RPC (Remote Procedure Call) 介面在 TCP 135 埠處理 DCOM 物件啟動請求時，因格式錯誤訊息檢查不當，導致緩衝區溢位，攻擊者可匿名遠端執行任意代碼 (SYSTEM 權限)，影響 Windows NT 4.0 至 Server 2003 所有版本。本文提供三層次防護方案。

漏洞技術細節

• 觸發點： RPC/DCOM 介面 (TCP 135) 處理格式錯誤的物件啟動請求 (UNC 路徑等)。
• 根因： rpcss.dll 未正確驗證訊息長度/結構，導致堆積/堆疊溢位。
• 影響： 未經認證的遠端攻擊者可完全控制主機 (格式化硬碟、新增管理員帳號、植入後門)。

三層次防護策略 (由淺入深)

第一層：網路層封鎖 (立即生效、零成本)

於周界防火牆/個人防火牆封鎖下列埠口：

135/TCP, 135/UDP   (RPC Endpoint Mapper)
139/TCP, 139/UDP   (NetBIOS Session Service)
445/TCP, 445/UDP   (SMB/CIFS over TCP)
593/TCP, 593/UDP   (HTTP-RPC-EPMAP)

Windows XP/Server 2003 內建「網際網路連線防火牆」(ICF) 預設即封鎖入站 RPC，請確認已啟用。

第二層：主機層停用 DCOM (徹底斷開攻擊面)

1. 執行 dcomcnfg.exe。
2. XP/2003：主控台根節點 → 元件服務 → 電腦 → 右鍵「我的電腦」→「內容」。
3. 「預設內容」頁籤 → 取消勾選「在這台電腦上啟用分散式 COM」。
4. 確定並重新開機。

副作用： 依賴 DCOM 的遠端管理 (WMI、MMC 遠端管理單元)、部分企業應用 (SMS、Exchange) 將失效。評估業務影響後再實施。

第三層：部署官方修補程式 (根治)

作業系統	中文版下載連結	英文版下載連結
Windows Server 2003 (x86)	下載	下載
Windows Server 2003 (x64)	—	下載
Windows XP (x86)	下載	下載
Windows XP (x64)	—	下載
Windows 2000 (SP3/SP4)	下載	下載
Windows NT 4.0 (Server/Enterprise)	下載	下載
Windows NT 4.0 Terminal Server	—	下載

進階：TCP/IP 篩選快速封鎖 (無防火牆環境)

1. 網路連線 → 內容 → TCP/IP → 內容 → 進階 → 選項 → TCP/IP 篩選 → 內容。
2. 啟用篩選 → 「僅允許」模式 → 僅添加業務必需埠 (80, 443, 25, 110, 21 等)。
3. 注意：僅支援白名單，大量埠環境管理困難，建議僅作臨時應急。

金山網鏢/天網防火牆設定範例

右鍵托盤圖示 → 設定 → 進階 → 啟用 IP 封包過濾 → 添加 TCP/UDP 135、139、445、4444 (新流言病毒) 至封鎖清單。

修補後驗證

• 掃描器 (Nessus/OpenVAS) 掃描 135 埠不再報 MS03-026/MS04-012。
• netstat -an 確認 135 埠仍在聆聽 (正常)，但嘗試利用代碼 (如 rpcdcom.exe) 應失敗。
• 事件檢視器「系統」日誌無事件 ID 1000 (RPCSS 當機)。

核心原則： 「封鎖埠口爭取時間 → 停用 DCOM 縮小面 → 打上修補根治」，三步驟並行，纔能在蠕蟲大流行前完成防禦佈署。