漏洞背景
Windows 2000 所有中文版本內建輸入法 (IME) 在 3389 終端服務登入畫面存在權限提升漏洞。攻擊者可在登入介面透過輸入法熱鍵/右鍵選單啟動系統工具 (如 cmd.exe, explorer.exe) 獲得 SYSTEM 權限。微軟已發布補丁修復，但仍有未修補系統暴露於網路。
攻擊流程 (教學環境)
- 取得終端服務客戶端 (
mstsc.exe / TS.rar)。
- 連線目標 (
cp.feedom.net)，出現 Win2K 登入畫面。
- 在使用者名/密碼輸入框右鍵選擇輸入法選單 → 「屬性」/「關於」等對話框 → 「檔案」→「開啟」瀏覽檔案系統。
- 啟動
cmd.exe、explorer.exe、regedit.exe 等，以 SYSTEM 身分執行。
- 添加管理員帳號、開啟 3389/其他埠、植入後門。
影響範圍
- Windows 2000 所有中文版 (Professional/Server/Advanced Server)。
- 啟用終端服務 (3389 埠開放) 且未安裝補丁 (MS04-XXX) 的系統。
修補與緩解
- 安裝補丁：部署微軟安全公告 MS04-XXX 對應修補程式。
- 停用不必要的終端服務：非遠端管理伺服器應關閉 Terminal Services。
- 限制存取來源：防火牆/ IPsec 僅允許管理網段/IP 連接 3389。
- 強制 NLA：Windows 2000 不支援 NLA，建議升級至支援 NLA 的作業系統 (Win 2008 R2+)。
- 帳號鎖定與監控：設定帳號鎖定閾值、審計登入失敗事件 (4625)、異常登入即時告警。
現代防禦視角
- 此漏洞屬「經典案例」，現代 Windows (10/11, Server 2016/2019/2022) 已重寫登入 UI 架構，不存在此特定問題。
- 但「登入介面權限過高、輸入法/輔助功能可啟動高權限程式」的設計模式在後續版本仍出現變體 (如 CVE-2019-XXXX, CVE-2021-XXXX)。
- 核心對策：最小化攻擊面 (關閉未用服務)、及時修補、網路分段存取控制、行為偵測 (登入介面產生子進程告警)。
總結
3389 輸入法漏洞是「實體/主控台存取繞過」的教科書級案例。雖年代久遠，其核心教訓 — — 任何暴露於非信任網路的登入介面皆應視為高風險攻擊面 — — 至今仍具指導意義。