SQL Slammer 事件回顧

2003/01/25 農曆年前夕，SQL Slammer (別名：強風、SQL 監獄、SQL 殺手) 掃蕩全球，癱瘓多國骨幹網。利用 Microsoft MSSQL 2000 緩衝區溢位漏洞 (UDP 1434 埠)，攻擊執行 SQL Server 2000 / MSDE 2000 的 Windows 系統。感染主機瘋狂發送 UDP 封包造成網路擁塞。

與 Code Red II、Nimda 驚人相似處

• 同利用已知 OS/應用漏洞感染。
• 同利用受感染機器風暴式二次傳播。
• 同造成 DoS 攻擊。
• 同可能殘留後門。

微軟於 2002/07/24 發布 MS02-039 修補程式，7/25 確認 MSDE 同樣受影響。若當時及時修補、預防，災難本可避免。

事後應對：清除與防護相對簡單

• 病毒僅駐留記憶體，不感染檔案、不植入後門、不發郵件 → 重開機即清除。
• 安裝 SQL 修補程式或 SQL 2000 SP3 即可免疫。

深層反思：為何用戶屢屢受害？

紅色代碼、Nimda 慘痛教訓後，為何仍中招？發現固定循環：

1. 廠商發布漏洞公告
2. 管理員未及時關注
3. 未安裝修補程式 (關鍵環節)
4. 蠕蟲爆發
5. 媒體大肆報導
6. 廠商發布清除工具
7. 管理員緊急清除
8. 事後檢討
9. 安裝修補程式 (關鍵防禦環節)
10. 進入下一輪循環

主體皆為「用戶」，客體皆為「修補程式」。企業級用戶常由網管兼任安全、專職人力極少，難以追蹤海量漏洞公告。且「漏洞公開 → 修補程式釋出」的時間窗口 (Zero-day) 仍可被惡意利用。單靠修補程式屬被動防禦，受制因素多，難以有效預防。