Netlogon漏洞处置指南：CVE-2020-1472详解
通告编号:NS-2020-00532020-09-15TAG：Netlogon、CVE-2020-1472、EXP已公开漏洞风险：利用此漏洞，攻击者可获得域控制器的管理员权限。版本：1.01漏洞简介近期，绿盟科技监测到国外安全公司Secura公布了NetLogon特权提升漏洞（CVE-2020-1472）的详细信息及验证脚本，导致漏洞风险急剧增加。攻击者需要在与目标相同的局域网（LAN）上进行利用，未经身份验证的攻击者通过NetLogon远程协议（MS-NRPC）在建立与域控制器的安全通道时，可以利
通告编号:NS-2020-0053
2020-09-15
利用此漏洞，攻击者可获得域控制器的管理员权限。
版本：
1.0
1
漏洞简介
近期，绿盟科技监测到国外安全公司Secura公布了NetLogon特权提升漏洞（CVE-2020-1472）的详细信息及验证脚本，导致漏洞风险急剧增加。攻击者需要在与目标相同的局域网（LAN）上进行利用，未经身份验证的攻击者通过NetLogon远程协议（MS-NRPC）在建立与域控制器的安全通道时，可以利用此漏洞获取域管理员访问权限。此漏洞由微软在8月补丁更新中披露，CVSS评分为10，影响广泛，目前网络上已有EXP公布，建议相关用户立即采取措施进行防护。
Netlogon是Windows中用于为域控制器注册所有SRV资源记录的服务。它提供用户和机器在域内网络上的认证与复制数据库进行域控备份，还用于维护域成员与域之间、域与域控之间、域DC与跨域DC之间的关系。
绿盟科技已迅速复现此漏洞：
参考链接：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472
SEE MORE →
2影响范围
受影响版本
Windows Server 2008 R2 for x64-based Systems Service Pack 1Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)Windows Server 2012Windows Server 2012 (Server Core installation)Windows Server 2012 R2Windows Server 2012 R2 (Server Core installation)Windows Server 2016Windows Server 2016 (Server Core installation)Windows Server 2019Windows Server 2019 (Server Core installation)Windows Server, version 1903 (Server Core installation)Windows Server, version 1909 (Server Core installation)Windows Server, version 2004 (Server Core installation)3漏洞检测
3.1 工具验证
披露此漏洞的Secura已在GitHub上上传了验证脚本，相关用户可以使用此工具进行检测：
https://github.com/SecuraBV/CVE-2020-1472
受影响系统（Windows Server 2012 R2）的检测结果如下：
3.2 产品检测
绿盟科技的远程安全评估系统（RSAS）、网络入侵检测系统（IDS）及综合威胁探针（UTS）已具备对此漏洞的扫描与检测能力，请已部署以上设备的用户升级至最新版本。
V6.0R02F01.1917
http://update.nsfocus.com/update/downloads/id/108456
IDS
5.6.9.23542
http://update.nsfocus.com/update/downloads/id/108464
5.6.10.23542
http://update.nsfocus.com/update/downloads/id/108465
UTS
5.6.10.23542
http://update.nsfocus.com/update/downloads/id/108469
关于RSAS的升级配置指导，请参考如下链接：
https://mp.weixin.qq.com/s/aLAWXs5DgRhNHf4WHHhQyg
4漏洞防护
4.1 官方升级
目前微软官方已针对受支持的系统版本发布了修复此漏洞的安全补丁，强烈建议受影响用户尽快安装补丁进行防护，官方下载链接：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472
注意：由于网络问题、计算机环境问题等原因，Windows Update的补丁更新可能出现失败。用户在安装补丁后，应及时检查补丁是否成功更新。
右键点击Windows图标，选择“设置(N)”，选择“更新和安全”-“Windows更新”，查看该页面上的提示信息，也可点击“查看更新历史记录”查看历史更新情况。
针对未成功安装的更新，可点击更新名称跳转到微软官方下载页面，建议用户点击该页面上的链接，转到“Microsoft更新目录”网站下载独立程序包并安装。
4.2 其他防护措施
在安装更新补丁后，还可通过部署域控制器 (DC) 强制模式以免受到该漏洞影响：
请参考官方文档进行配置《如何管理与 CVE-2020-1472 相关的 Netlogon 安全通道连接的更改》：
4.3 产品防护
针对此漏洞，绿盟科技网络入侵防护系统(IPS) 已发布规则升级包，请相关用户升级至最新版本规则，以形成安全产品防护能力。安全防护产品规则版本号如下：
5.6.9.23542
http://update.nsfocus.com/update/downloads/id/108464
5.6.10.23542
http://update.nsfocus.com/update/downloads/id/108465
产品规则升级的操作步骤详见如下链接：
IPS：https://mp.weixin.qq.com/s/JsRktENQNj1TdZSU62N0Ww
END
作者：绿盟科技威胁对抗能力部
面向需要在腾讯会议中隐藏真实环境的Windows用户，本文详解如何开启并自定义虚拟背景。针对背景杂乱或人物边缘抖动痛点，提供从进入“虚拟背景和美颜”设置、添加本地JPG/PNG图片、调整镜像方向到优化光线与距离的完整步骤。同时涵盖绿幕取色技巧及遇到设备不支持时的驱动更新与替代方案，帮助用户快速获得清晰的视频会议画面。
面向需要在腾讯会议Windows客户端中移交管理权的用户，解决因原主持人需离场或更换管理者导致的权限交接需求。本文详解在成员管理列表中定位接任者、通过“更多”菜单执行“设为主持人”的具体步骤，并区分联席主持人与完全主持人的权限差异。同时说明操作前的身份确认要点及转移后原主持人变为普通成员的后果，帮助用户安全、准确地完成会议主导权移交。
面向需在今日头条开展品牌运营的企业主体，本文详解通过电脑端头条号创作平台注册企业账号的完整流程。针对用户常混淆的“注册”与“蓝V认证”概念，明确两者独立办理的原则。内容涵盖登录平台、选择正确的企业账号类型（特别提示无对公账户个体户的选型风险）、提交主体证照及运营人资料等关键步骤，帮助用户高效完成账号初始化，避免因资料不符导致提现受限或审核失败。
面向腾讯会议参会用户，解决入会后误传环境音或被主持人限制发言时的麦克风控制问题。本文介绍会中通过底部工具栏一键静音的操作方法，讲解如何通过界面图标变化及系统提示准确识别静音状态，区分扬声器音量与麦克风输入的区别。同时说明被主持人全员静音时申请发言的正确流程，以及入会前关闭“入会开启麦克风”的预防设置，帮助用户在会议中保持音频礼仪并避免干扰。
面向需要核查Steam账号安全状况的用户，本文介绍通过客户端“帮助→Steam客服”进入“我的账户”，在“您Steam账户的相关数据”中查看“最近登录历史记录”的具体路径。该方法用于追溯历史活动，不同于管理设备凭据的授权设备列表。文中说明如何结合时间、系统及显示地区核对记录，并提醒在使用加速器或代理时显示地点可能偏差，避免仅因城市不同误判账号被盗，指导用户在发现无法解释的活动时进一步检查安全设置。
面向使用PotPlayer播放视频时希望隐藏字幕的用户，本文提供两种关闭字幕的可靠路径。针对内嵌轨道或外挂SRT、ASS等渲染字幕，可通过播放窗口按Alt+H快速切换显示状态，或在右键“字幕”菜单中取消“显示字幕”勾选；若需持久关闭，可进入F5选项面板的“字幕”设置，取消“在屏幕上显示字幕”。同时说明快捷键无效时的排查方法，以及压制字幕无法通过软件开关去除的限制，帮助用户准确区分渲染字幕与画面自带文字。
面向需要简化参会流程的腾讯会议组织者，本文介绍如何取消入会密码以提升便捷性。针对新预定会议，指导在安全设置中保持“入会密码”未勾选；针对已创建会议，说明通过“修改会议”关闭密码并重新保存的操作路径。重点提示取消后需重新发送最新邀请链接，因为旧消息中的密码文字不会自动更新。同时涵盖企业管控限制下的替代安全方案，如开启等候室或锁定会议，确保在无密码状态下维持会议安全性。
面向需要在番茄免费小说中通过微信支付开通VIP的用户，本文说明从账号登录到完成付款的具体路径。操作核心在于进入当前账号的“我的”页面选择套餐，并在收银台确认是否提供微信支付选项。需注意连续包月的自动续费条款，以及Apple订阅渠道可能不支持直接微信支付的限制，付款前务必核对收款方与权益生效账号。
面向腾讯会议主持人或企业管理员，解决会议中显示的文字水印及音频追溯信息问题。本文详解会前预定会议时关闭水印的设置路径，以及会中通过主持人工具实时关闭文字水印的操作步骤。同时说明音频水印的版本要求（3.30.20及以上），并指出若开关被企业策略锁定，普通成员需联系管理员调整账户策略才能取消。
面向希望优化Steam商店浏览体验的用户，通过调整商店偏好解决推荐内容不精准或不想看到特定类型游戏的问题。本文介绍进入商店偏好页面的路径，说明如何勾选或取消内容筛选及产品类型，并指导在排除标签中添加或移除不感兴趣的游戏类型。注意该设置仅影响显示推荐，不改变商店国家或购买资格，选项可能因地区和账户状态而异。
火山引擎是字节跳动旗下企业级云与AI服务平台。聚焦大模型核心能力，依托字节自研豆包多模态大模型，凭借火山方舟一站式平台，提供模型精调、推理部署、智能应用搭建等全链路服务，结合高性能AI算力，助力各行业快速落地大模型数字化与智能化应用。
