GitHub下架研究人员公布的Exchange漏洞PoC - 教育研究与实验杂志社投稿_期刊论文发表|版面费|电话|编辑部|论文发表- 教育研究与实验

一、稿件要求： 1、稿件内容应该是与某一计算机类具体产品紧密相关的新闻评论、购买体验、性能详析等文章。要求稿件论点中立，论述详实，能够对读者的购买起到指导作用。文章体裁不限，字数不限。 2、稿件建议采用纯文本格式(*.txt)。如果是文本文件，请注明插图位置。插图应清晰可辨，可保存为*.jpg、*.gif格式。如使用word等编辑的文本，建议不要将图片直接嵌在word文件中，而将插图另存，并注明插图位置。 3、如果用电子邮件投稿，最好压缩后发送。 4、请使用中文的标点符号。例如句号为。而不是.。 5、来稿请注明作者署名(真实姓名、笔名)、详细地址、邮编、联系电话、E-mail地址等，以便联系。 6、我们保留对稿件的增删权。 7、我们对有一稿多投、剽窃或抄袭行为者，将保留追究由此引起的法律、经济责任的权利。二、投稿方式： 1、请使用电子邮件方式投递稿件。 2、编译的稿件，请注明出处并附带原文。 3、请按稿件内容投递到相关编辑信箱三、稿件著作权： 1、投稿人保证其向我方所投之作品是其本人或与他人合作创作之成果，或对所投作品拥有合法的著作权，无第三人对其作品提出可成立之权利主张。 2、投稿人保证向我方所投之稿件，尚未在任何媒体上发表。 3、投稿人保证其作品不含有违反宪法、法律及损害社会公共利益之内容。 4、投稿人向我方所投之作品不得同时向第三方投送，即不允许一稿多投。若投稿人有违反该款约定的行为，则我方有权不向投稿人支付报酬。但我方在收到投稿人所投作品10日内未作出采用通知的除外。 5、投稿人授予我方享有作品专有使用权的方式包括但不限于：通过网络向公众传播、复制、摘编、表演、播放、展览、发行、摄制电影、电视、录像制品、录制录音制品、制作数字化制品、改编、翻译、注释、编辑，以及出版、许可其他媒体、网站及单位转载、摘编、播放、录制、翻译、注释、编辑、改编、摄制。 6、投稿人委托我方声明，未经我方许可，任何网站、媒体、组织不得转载、摘编其作品。

GitHub下架研究人员公布的Exchange漏洞PoC

作者:

关键词:

摘要：

一名越南的安全研究人员Nguyen Jang本周三(3/10)透过GitHub分享他撰写的概念性验证(Proof of Concept)攻击程式，所开采的是微软于今年3月初紧急修补的ProxyLogon漏洞，不过，几个小时之后，GitHub即将该程式下架，而引起资安社群的不平。

ProxyLogon其实是由4个不同的Exchange Server安全漏洞所组成，Jang所打造的概念性验证程式则是串联了当中的CVE-2021-与CVE-2021-漏洞，虽然该PoC程式无法直接用来攻击，但只要稍加修改就能上阵。

GitHub向Motherboard表示，该平台了解PoC攻击程式的公开及散布对资安社群而言具有教育及研究价值，而该平台的目标则是兼顾此一价值与整个生态系统的安全，且其政策禁止用户散布正被积极开采之漏洞的攻击程式。

Jang则向Motherboard透露，他对于自己的PoC攻击程式被下架没有什么意见，但它是由真正的攻击程式改写的，将可协助那些正在分析相关漏洞的研究人员。

尽管Jang自己觉得无所谓，但资安社群却起了不平之鸣。资安顾问公司TrustedSec创办人Dave Kennedy即说，微软必须出面解释为何从GitHub上移除了针对自家产品的PoC攻击程式，而且该程式所开采的漏洞已经被修补，GitHub则应厘清哪些PoC可以存在于该平台，而又有哪些不可以，是否只有针对微软产品的不行?Google安全专家Tavis Ormandy也出面质疑GitHub采用双重标准，因为它并没有禁止所有的PoC，而是根据需求擅自仲裁。

这是因为GitHub存在着其它各种安全漏洞的PoC，却都安然无恙。

事实上，微软是在意识到ProxyLogon漏洞遭到中国骇客Hafnium开采之后，才修补了相关漏洞，而骇客早在微软修补前的两个多月就展开攻击，且根据资安业者ESET的分析，至少已有10个骇客团队企图开采ProxyLogon漏洞，以于受害者的Exchange Server上植入恶意程式。

#漏洞#

文章来源：《教育研究与实验》网址: http://www.jyyjysyzz.cn/zonghexinwen/2021/0314/862.html