環境偵察
目標文件伺服器雙網卡：一張連實驗室網段 (192.168.203.2)，一張接校園骨幹網。實驗室主機同網段 (192.168.203.16)。Ping 通，但 Telnet 54321 埠連線逾時，判斷有防火牆 (黑冰)。FTP (21) 亦被阻擋。
探測 139 埠與共享
使用 hping 發送 SYN 探測 139 埠，確認開放。嘗試 IPC$ 空連線失敗，嘗試弱口令枚舉帳號。
漏洞利用嘗試
- 計劃利用黑冰防火牆已知溢出漏洞 (如 CVE-2005-XXXX) 發送惡意封包繞過防護。
- 或透過共享服務 (IPC$, ADMIN$) 結合弱口令/空密碼嘗試横向移動。
防禦視角分析
- 防火牆配置錯誤：允許 ICMP 但阻擋高埠，卻未針對 139/445 進行深度檢測與封鎖已知攻擊特徵。
- 網段劃分不當：實驗室網段直接連通伺服器管理介面，缺乏管理專用 VLAN 與堡壘機。
- 弱口令與空連線：未強制複雜密碼、未啟用「限制匿名存取」(RestrictAnonymous=1)。
- 未及時修補防火牆本身漏洞：黑冰舊版本存在多個遠端溢出漏洞。
加固建議
- 管理介面 (RDP、SSH、Webmin、防火牆管理埠) 僅允許管理網段/IP 存取，強制 MFA。
- 啟用防火牆 IPS 功能，訂閱最新特徵庫，封鎖 SMB 溢出、空會話枚舉等攻擊。
- 網路分段：伺服器、實驗室、骨幹網分離，ACL 僅放行業務必要埠。
- 帳號策略：長度≥12、複雜度、鎖定閾值、定期輪換；禁用 Guest、重命名 Administrator。
- 部署主機入侵偵測 (HIDS) 監控關鍵系統檔、登入事件、進程建立樹。
總結
雙網卡伺服器若配置不當，反而成為跨網段攻擊的橋樑。防火牆非銀彈，需配合網路架構、帳號管理、補丁週期、行為分析才能發揮效用。