去年秋天，远程我帮一家小公司做内网排查，桌面发现他们三台Windows Server 2012 R2的漏洞3389端口直接暴露在公网上。管理员说图方便，远程出差时能随时连回来。桌面我扫了一眼日志，漏洞每分钟有上百次来自不同IP的远程登录尝试，其中几个已经成功登录过——用的桌面还是默认的Administrator账户。

远程桌面协议本身没什么错。漏洞微软从Windows NT 4.0 Terminal Server Edition开始塞进系统里的远程这套东西，设计初衷是桌面让管理员在局域网内远程操作服务器。问题出在它默认就监听0.0.0.0，漏洞出厂的远程防火墙规则又经常被随手关掉。很多人装完系统第一件事就是桌面打开远程桌面，然后设个“Admin123!”之类的漏洞密码，觉得够用了。

2019年爆发的BlueKeep漏洞（CVE-2019-0708）让不少人第一次意识到远程桌面可以有多危险。这个漏洞影响Windows 7、Server 2008 R2及更早版本，攻击者不需要任何认证就能通过RDP协议在目标机器上执行任意代码。那段时间我正好在给几个客户做补丁管理，亲眼看着一台没打补丁的Windows 7测试机在联网后不到四十分钟就被植入挖矿程序。机器风扇狂转，CPU占用率飙到100%，任务管理器里多了一堆随机命名的进程。

BlueKeep之后微软改了策略，RDP漏洞的补丁优先级明显提高。但真正的问题从来不只是漏洞本身。我见过太多人把远程桌面当成VPN用，直接映射到公网，密码设得跟WiFi密码一样随意。更麻烦的是，很多中小企业的IT外包人员为了省事，会在多台机器上使用同一套凭据。一旦其中一台被攻破，攻击者拿着这套凭据就能在内网横向移动，像逛自家后院一样。

去年年底有个案例让我印象很深。一家做外贸的公司，财务电脑被入侵，攻击者通过远程桌面登录后没有马上搞破坏，而是安静地装了键盘记录器，潜伏了将近三周。等公司发现异常时，攻击者已经拿到了网银U盾的密码，转走了两笔货款。事后查日志，入侵入口是一台前台接待用的Windows 10电脑，远程桌面开着，密码是“888888”。

怎么防？如果非要开远程桌面，至少别直接暴露在公网。套一层VPN，或者用RD Gateway做中转。密码策略别偷懒，长度和复杂度都要够。多因素认证能加就加，微软的Azure MFA或者第三方的Duo都行。还有，别用默认端口3389，改成其他端口能挡掉大部分自动化扫描——虽然这算不上真正的安全措施，但能减少很多噪音。补丁要及时打，尤其是RDP相关的。我自己的习惯是每个月第二个周二之后一周内把关键补丁全部推完，不拖。

最根本的一条：能不开远程桌面就别开。很多场景其实用TeamViewer、AnyDesk或者向日葵就能解决，这些工具走的是出站连接，不需要在防火墙上开洞。真要管理服务器，SSH或者Windows Admin Center都比裸奔的RDP强。我见过一家公司把所有服务器的RDP全部关掉，改用Jump Server做跳板，访问需要申请临时权限，权限有效期只有两小时。麻烦是麻烦了点，但两年下来一次安全事件都没出过。

远程桌面漏洞这件事，说到底是个权衡问题。便利和安全永远在打架，但把RDP直接扔到公网上，相当于把家门钥匙插在锁孔里还贴了张纸条写着“欢迎光临”。

(责任编辑：时尚)