2024年2月，微软发布了一个紧急补丁，修复Exchange Server里的一个漏洞。CVE-2024-21410，CVSS评分9.8。攻击者不需要任何认证，就能通过NTLM中继攻击提权，直接读取用户邮箱。这个漏洞在被修补之前，已经被至少两个勒索软件团伙盯上了。
Exchange Server的零日漏洞从来不是新鲜事。2021年的ProxyLogon（CVE-2021-26855）让全球超过25万台服务器在几天内被植入webshell，美国网络安全和基础设施安全局（CISA）当时直接下令联邦机构必须在48小时内打补丁或断开服务器。那波攻击的幕后黑手被归因于与中国有关的APT组织Hafnium。到了2022年，ProxyShell和ProxyNotShell又接连爆出，攻击链一个比一个成熟。
为什么Exchange总是被盯上？答案不复杂。它几乎无处不在。全球大量企业、政府机构、教育单位的邮件系统跑在Exchange上。邮件服务器天然暴露在公网，端口443和25必须对外开放，否则邮件收发就断了。更关键的是，Exchange和Active Directory深度绑定。拿下Exchange，等于拿到了通往整个域环境的跳板。攻击者的算盘打得很精：一个漏洞，撬动整个企业网络。
微软的应对方式也在变。2021年ProxyLogon之后，他们推出了Exchange Server的“紧急缓解工具”，还搞了一个自动更新机制，叫Exchange Emergency Mitigation Service（EEMS）。这东西能在补丁发布前自动应用临时缓解措施。听起来不错，但实际效果嘛……我在几个企业环境里见过EEMS被组策略禁用的情况，IT管理员嫌它“自作主张”。安全工具和运维习惯之间的拉扯，从来就没停过。
另一个问题是补丁滞后的现实。很多企业跑的是Exchange 2016或2019的本地部署版本，升级路径复杂，有些还依赖第三方归档或合规插件，补丁一打就可能破坏业务流程。2023年的一次调查显示，ProxyLogon被披露两年后，仍有超过6万台Exchange服务器未打补丁。这不是懒，是真实世界的IT运维困境。
攻击者的手法也在进化。早期的零日利用主要是直接RCE，后来变成了NTLM中继+提权组合拳。CVE-2024-21410就是典型：攻击者先通过其他手段拿到一个低权限账户，然后利用Exchange的NTLM认证缺陷，中继到其他服务，最终拿到域管理员权限。整个过程不需要用户点击任何链接，也不需要钓鱼邮件。防守方连日志都未必看得全。
微软在2023年宣布Exchange Server 2019将是最后一个本地部署版本，后续全面转向Exchange Online。这个决定对安全团队来说喜忧参半。云版本确实省去了打补丁的麻烦，但数据主权、合规要求和网络延迟问题让不少组织还在犹豫。混合部署模式成了折中方案，可混合环境本身的攻击面比纯本地还大——你既要防云端的令牌窃取，又要防本地服务器的零日。
我的判断是：Exchange Server的零日不会消失，至少在本地部署版本彻底退出主流之前不会。攻击者知道邮件系统的价值，也知道企业打补丁的速度。防守方能做的，不是等微软的补丁，而是把Exchange从“信任边界”里拿出来。启用MFA、限制NTLM、监控异常邮箱访问、把Exchange服务器放在独立VLAN里——这些措施不能阻止零日被利用，但能大幅压缩攻击者的操作窗口。
安全圈有句话：邮件服务器是企业的王冠珠宝。Exchange就是那顶王冠上最显眼的钻石。贼盯着它，不是一天两天了。