微软Exchange Server服务漏洞：一场持续多年的微软“数字出血”

2021年3月2日，凌晨三点，服务某欧洲中型企业的漏洞IT管理员发现自己的邮件服务器CPU占用飙到100%。他打开任务管理器，微软看到名为“msupdate.exe”的服务进程正在疯狂向外发送数据。这不是漏洞微软的更新程序——这是黑客利用Exchange Server漏洞植入的Web Shell。那个晚上，微软全球有超过10万台Exchange服务器被攻破，服务包括美国多所大学、漏洞欧洲律师事务所，微软甚至一些地方政府机构。服务

这批漏洞编号是漏洞CVE-2021-26855、26857、微软26858、服务27065，漏洞统称ProxyLogon。攻击者不需要任何账号密码，只要向服务器发送一段特制HTTP请求，就能绕过身份验证，直接以系统权限执行命令。更讽刺的是，微软在2021年3月2日当天就发布了安全补丁，但许多企业根本没来得及打——从漏洞公开到被大规模利用，只隔了不到24小时。黑客比运维人员动作快，这已经是常态了。

Exchange Server的漏洞史其实相当漫长。2019年的CVE-2019-1040，攻击者能通过NTLM中继攻击获取域管理员权限。2020年的CVE-2020-0688，因为Exchange安装时使用了固定的加密密钥，任何经过身份验证的用户都能直接远程执行代码。到了2021年ProxyLogon，干脆连身份验证都省了。这些漏洞有个共同特点：它们都存在于Exchange对HTTP请求的处理逻辑中，而不是简单的代码缺陷。换句话说，Exchange的架构设计本身就埋着雷。

为什么Exchange总是中招？核心原因在于它太复杂了。一个邮件系统要处理SMTP、POP3、IMAP、OWA、ActiveSync、EAC管理接口，每个协议都有自己的解析器、认证流程和权限模型。这些组件之间还要互相调用，共享会话状态。攻击者只要找到两个组件之间的信任边界漏洞，就能像玩“信任跳跃”一样逐步提权。微软这些年一直在推云端的Exchange Online，本地版Exchange虽然还在维护，但开发资源明显倾斜——2022年之后，微软甚至不再提供Exchange Server的新功能更新，只修安全漏洞。

更麻烦的是，Exchange通常部署在域环境中，和Active Directory深度集成。攻破Exchange就等于拿到了一把通往整个内网的钥匙。安全公司Mandiant在2021年调查过一起案例：攻击者先利用ProxyLogon拿下Exchange，然后用Mimikatz抓取管理员哈希，接着通过DCSync攻击复制域控数据库，最后整个公司的域账号全部沦陷。整个链条只用了不到两小时。

打补丁这件事，说起来容易做起来难。Exchange的补丁不是简单的文件替换，需要停服务、备份数据库、运行升级向导，稍有不慎就会导致邮件队列堵塞或者数据库损坏。很多企业选择在周末凌晨操作，但漏洞利用可不挑时间。2021年那次，不少受害者是在补丁发布前就被攻破的——微软在3月2日发布补丁前，已有攻击者利用0day漏洞持续入侵了至少一个月，只是没人发现。

现在回看，微软在2022年秋季为Exchange Server 2019发布了最后一次大版本更新，之后只提供安全补丁。但Exchange Server 2013和2016已经停止主流支持，2019也将在2025年10月结束扩展支持。这意味着未来几年，还会有大量老旧Exchange服务器暴露在互联网上，成为黑客的“免费提款机”。如果你还在运行Exchange Server，建议立刻检查IIS日志里有没有可疑的POST请求，查看系统进程中是否有异常powershell.exe调用，然后赶紧规划迁移到Exchange Online——别等到服务器被加密勒索了才后悔。