ProxyLogon 是什么
ProxyLogon 是 2021 年 3 月微软针对本地部署 Exchange Server 修复的一组漏洞链，核心包括服务端请求伪造（CVE-2021-26855）、反序列化（CVE-2021-26857）与任意文件写入（CVE-2021-26858、CVE-2021-27065）。攻击者可通过面向外网的 OWA/ECP 入口获取服务器权限并写入 Web Shell。它被大量用于实际入侵，因此处置重点是补丁与入侵排查并行。
基本信息
| 影响产品 | 本地部署 Exchange Server（2013/2016/2019 为主，2010 的对应更新随后跟进） |
|---|---|
| 漏洞类型 | SSRF + 反序列化 + 任意文件写入组合利用 |
| 修复方式 | 安装微软带外安全更新（KB5000871 及后续累积更新） |
| 官方工具 | Exchange On-premises Mitigation Tool（EOMT）与 Test-ProxyLogon 检测脚本 |
| 应急指引 | CISA 曾发布针对该漏洞的紧急指令要求限期处置 |
版本与补丁核查（Exchange Management Shell）
版本与补丁核查（Exchange Management Shell）
Get-ExchangeServer | Format-List Name, Edition, AdminDisplayVersion # 看主版本与累积更新
Get-Command Exsetup.exe | ForEach-Object {$_.FileVersionInfo} # 看服务器内部版本号
# 内部版本号需与公告给出的修复版本区间比对，仅看安装日期无法判断是否已修处置顺序建议
处置顺序建议
1. 限制 443 对外暴露或加访问控制（未修补前优先收口）
2. 安装带外补丁（KB5000871 及后续累积更新）
3. 扫描 Web 目录与 ECP/OWA 路径中的异常文件（Web Shell 常出现在 owa\auth 一类目录）
4. 轮换管理员与高权限账户口令，检查异常邮箱规则与委派权限
5. 审计日志与异常进程，必要时按事件响应流程取证后重建典型使用场景
- 存量 Exchange 资产盘点：确认是否仍有面向公网的本地部署实例
- 补丁窗口前评估：用 Test-ProxyLogon 类脚本先判断是否已被利用
- 应急响应：结合 Web 目录文件清单与日志确认是否有 Web Shell 落地
- 替代方案评估：长期看是否迁移到云端邮件服务或前置访问代理
- 通报与上报：被利用痕迹确认后按流程上报并保留证据
修复后必须核对的痕迹
| 位置 | 看什么 | 异常表现 |
|---|---|---|
| Web 目录 | OWA/ECP 路径下的 aspx 文件 | 出现与业务无关的脚本文件 |
| 邮箱规则 | 用户级转发与隐藏规则 | 存在转发到外部地址的规则 |
| 账户与权限 | 管理员组成员、服务账号 | 出现新增高权限账号 |
| 日志 | Exchange 日志中的异常请求 | 短时间大量探测路径请求 |
打补丁不等于清除入侵：被利用过的系统要按事件响应流程排查 Web Shell、异常邮箱规则与凭据泄露，仅在补丁后复扫一遍无法确认攻击者是否已被清除。
Exchange 的安全更新需要按官方说明组合安装：只装累积更新不装对应的安全更新（SU），会缺少关键修复。