打印机漏洞怎么解决

打印机刚打完一份合同，打印洞解纸还是机漏决热的，屏幕上却弹出一行字：“检测到打印后台程序漏洞，打印洞解请立即修复。机漏决”这玩意儿就跟牛皮癣一样，打印洞解隔三差五冒出来。机漏决更烦的打印洞解是，有时候它不提示，机漏决直接让打印机变成局域网里的打印洞解“肉鸡”——攻击者能通过它读到共享文件夹里的财务报表，甚至横向跳到别的机漏决电脑上装勒索软件。

去年某地一家设计公司就栽在这上面。打印洞解二十多台打印机，机漏决固件还是打印洞解2016年的版本，默认密码没改，机漏决Web管理界面直接暴露在内网。打印洞解攻击者从一台打印机入手，三天后整个公司的图纸全被加密。老板以为是病毒，重装了所有电脑，结果打印机一插上，又中招。最后查出来，漏洞在打印机的打印语言解析模块——一个叫“PostScript”的老家伙，处理畸形数据时能直接执行任意代码。

这类漏洞怎么来的？说白了，打印机本质上是一台小电脑。它有CPU、内存、操作系统（通常是裁剪过的Linux或VxWorks），还跑着各种服务：Web服务器、FTP、甚至邮件客户端。厂商为了省成本，用开源组件不更新，或者自己写的代码里藏着缓冲区溢出。更离谱的是，很多打印机默认开启“原始打印”端口（9100端口），任何人都能往里灌数据。攻击者构造一个超长的打印任务，就能覆盖内存，跳转到恶意代码。

解决的第一步，不是急着打补丁，而是先摸清家底。打开路由器的DHCP客户端列表，把所有打印机的IP记下来。然后挨个访问它们的Web界面——默认密码通常是“admin”、“123456”或者“password”。能进去的，立刻改密码，关掉不用的服务：FTP、Telnet、IPP over HTTP，只留必要的9100和631端口。如果Web界面根本打不开，说明固件太老，连管理功能都残缺，这种机器最好直接隔离到单独的VLAN里。

补丁怎么打？别指望Windows Update。打印机的固件更新得去厂商官网，输入型号，下载对应的固件文件。注意，有些厂商把固件更新做成了Windows可执行文件，运行后它会自动搜索局域网里的打印机——这本身就是一个安全隐患。更稳妥的做法是：用网线直连打印机，在浏览器里上传固件。更新过程中千万别断电，否则打印机变砖，只能换主板。

如果厂商已经停止支持，比如某款2010年的激光打印机，官网连驱动都不提供了。这时候有两个选择：一是把它从网络里拔出来，只当USB打印机用；二是刷开源固件，比如“OpenWrt”有打印机支持包，但刷机有风险，刷坏了别找我。我自己的做法是，把老打印机接在一台树莓派上，用“CUPS”做打印服务器，树莓派定期更新，打印机只跟树莓派说话，不直接暴露给其他设备。

还有一个容易被忽略的点：打印任务本身。很多人打印完不取走，纸张堆在出纸口。攻击者可以远程发送一个“打印测试页”的任务，里面嵌入恶意宏，等你拿起来看的时候，如果电脑开了宏自动执行，就中招了。所以，打印机旁边最好放一个碎纸机，敏感文件打完立刻取走，废页直接碎掉。

最后说个真实案例。某医院放射科，打印机连着PACS系统，用来打CT报告。IT部门发现打印机每隔一小时就往一个境外IP发送数据包。抓包一看，是打印机固件里的后门，把打印内容（包括患者姓名、诊断结果）偷偷传出去。厂商承认是“调试功能”，但补丁要等三个月。医院直接换了另一品牌的打印机，旧的那台砸了卖废铁。所以，买打印机时别只看价格和速度，查一下厂商的漏洞披露历史。那些常年不发布安全公告的品牌，再便宜也别碰。

打印机漏洞解决起来不复杂，但需要你把它当电脑看，而不是一个外设。改密码、关服务、打补丁、隔离网络，四件事做完，能挡住九成以上的攻击。剩下的那一成，靠运气，也靠你愿不愿意花半小时去官网翻翻固件更新记录。