smb未授权漏洞怎么修复

SMB未授权漏洞，授权说穿了就是漏洞445端口裸奔。攻击者不用密码就能连上你的修复共享文件夹，翻个底朝天。授权这不是漏洞危言耸听，2017年WannaCry勒索病毒横扫全球，修复打的授权正是SMBv1的这个七寸。国内某大型连锁酒店，漏洞内网所有收银机中招，修复数据被锁，授权交了几百万赎金才恢复营业。漏洞所以，修复别觉得这事儿离你远。授权

修复的漏洞第一步，先把SMBv1这个老古董给禁了。修复Win10和Server 2016之后的系统，在“控制面板-程序和功能-启用或关闭Windows功能”里，找到“SMB 1.0/CIFS文件共享支持”，把勾去掉，重启。注意，老掉牙的XP和Server 2003就别指望了，它们天生就带着这毛病，最好的办法是直接淘汰，别让它们再上生产网。我见过有运维图省事，把老机器扔在角落当打印服务器，结果成了内网横向渗透的跳板。

光关v1不够，SMBv2/v3也有过漏洞，比如永恒之蓝的变种就打过v2。所以第二招，打补丁。微软每个月第二个星期二发布更新，你最好在三天内把补丁推下去。别嫌麻烦，勒索病毒爆发从来不等你方便。之前有个客户，财务部一台共享文件服务器，半年没更新，中了CVE-2020-0796（SMBGhost），整层楼的Excel文件全被加密，最后从备份恢复花了三天，业务停摆的损失够买十台新服务器了。

第三招，也是最容易被忽略的——改默认配置。很多人开着SMB就是为了方便共享，但权限设置得跟筛子一样。右键共享文件夹-属性-安全，把“Everyone”这个组删掉，换成只给特定域用户或用户组读写权限。别图省事直接给“完全控制”，那等于把家门钥匙挂在门口。另外，关闭不必要的共享，比如C$、ADMIN$这类管理共享，在注册表里把AutoShareServer和AutoShareWks设为0，或者直接禁用Server服务（但会影响打印共享，自己权衡）。

网络层面也得堵。防火墙里只允许可信IP段访问445端口，别对公网开。用组策略或者防火墙规则，把SMB的入站连接限制在业务必需的网段。有个真实案例，某公司为了远程办公方便，把445端口映射到了公网，结果被扫描器盯上，半小时内就被植入了挖矿木马。后来改成VPN接入，问题才消停。

最后说个实操细节。如果你不确定自己有没有中招，用PowerShell跑一句Get-SmbServerConfiguration | Select EnableSMB1Protocol，看返回是True还是False。True就赶紧关。再配合Get-WindowsFeature FS-SMB1（服务器版）检查。修复完记得用nmap扫一遍自己的IP，nmap -p445 --script smb-protocols 你的IP，确认v1已经消失。别光说不练，这套操作下来，你的SMB才算真正穿上了裤子。