ProxyLogon（Exchange 漏洞链）处置要点

2021 年 3 月微软针对 Exchange Server 的多个漏洞（含 CVE-2021-26855 等）发布带外补丁；该漏洞链曾被用于获取邮箱访问并植入后门，修复后必须做入侵痕迹排查。

版本与补丁核查（Exchange Management Shell）

Get-ExchangeServer | Format-List Name, Edition, AdminDisplayVersion
Get-Command Exsetup.exe | ForEach-Object {$_.FileVersionInfo}

1. 限制对外 443 暴露或加访问控制
2. 安装带外补丁（KB5000871 及后续累积更新）
3. 扫描 Web 目录与 ECP 路径中的异常文件
4. 轮换管理员与高权限账户口令
5. 审计日志与异常邮箱规则

打补丁不等于清除入侵：被利用过的系统要按事件响应流程排查 webshell、异常邮箱规则与凭据泄露。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌