一台”默然的打印机”引发的勒索恶梦

2019年深秋，望京某科技公司的IT认真人老周接到销售团队的紧迫电话——所有打印机同时”罢了工”，屏幕上赫然显示一串加密提醒，要求支付0.5个比特币才给解密密钥。！８钜斓氖牵镜奈募服务器在统一天夜里也泛起了异常会见日志。！＠现芘挪榱苏教欤欧⒚鞴セ魅肟诰尤皇且惶磐叩耐绱蛴』游幢荒扇肴魏吻寰舱铰裕厦苈隺dmin/123456用了三年，直到那天成为攻击者的跳板。！Ｕ獠皇枪吕。！2022年北京某制造业客户也遭遇了类似场景，打印机被植入挖矿程序，CPU占用率终年跑满，打印速率慢得像蜗牛，运维职员排查了三个月才定位到这台”默然的终端”。！４蛴』飧霭旃医锹淅镒畈黄鹧鄣淖氨福诔晌笠的谕钆橙醯耐黄瓶。！

第一道防线：：：从修改默认密码最先

市面上常见的HP LaserJet、Ricoh MP、Canon imageRUNNER、Xerox WorkCentre等商用机型，出厂默认治理密码通常是admin、123456、空缺或与型号相关的简朴组合。！Ｆ笠挡晒汉笾苯由舷呤褂茫苈胝馐露煌暇褪侨迥。！Ｎ壹羁湔诺囊患铱突В20多台打印机全用一个admin账号，密码写在打印机底部的便签纸上——攻击者只要走进办公区拍张照就能拿到权限。！

拿到打印机Web治理界面后，攻击者能做的事远比”偷偷打几张纸”严重得多：：：修改DNS指向垂纶服务器、在打印使命中嵌入恶意宏代码、通过IPP协议抓取打印使命明文数据，甚至使用LDAP设置挟制获取域账户哈希值——这就是著名的”打印机攻击横向移动”手法。！Ｄ玫接蚬希之后，配合NTLM中继攻击，攻击者可以模拟域控权限，乱杀一片。！

清静加固的第一步简朴粗暴：：：购置或安排新装备后，第一时间修改所有默认凭证，建设”装备-账号-密码”台账并纳入交接清单。！Ｈ羰悄愕拇蛴』构易拍厦苈耄厦θジ模耐晁媸植庖幌履懿豢蒚elnet/SSH登录。！永乐高网络装备整包服务里就包括了上架前的基础清静加固流程，笼罩这一环节。！

SNMP权限：：：被忽视的情报通道

打印机的SNMP（简朴网络治理协议）是个好工具，利便IT治理员批量盘问装备状态、墨粉余量、纸张容量。！５侍庠谟冢掀粲玫腟NMP v1和v2c协议没有任何加密，社区字符串（community string）默认是public/private，明文传输，街边随便一个扫描器扫一扫就能拿到数据。！

攻击者通过SNMP能获取的信息包括：：：IP地点、MAC地点、打印机型号、固件版本、已装置的固件
？？、网络设置、打印机共享名，甚至能读取历史打印使命中残留的敏感信息。！Ｄ城寰餐哦幼龉馐裕銎疽桓瞿系腟NMP community string，在内网中探测10分钟就能绘制出完整的打印机资产拓扑图——包括每台装备所在的楼层、所属部分、毗连的交流机端口。！Ｕ庹磐级怨セ髡呃此导壑盗牵热魏紊韫ぞ叨季。！

加固建议：：：进入打印机治理界面，将SNMP v1/v2c的社区字符串改为至少16位的重大字符串，或者直接关闭SNMP v1/v2c，只保存SNMP v3并启用认证和加密。！Ｈ羰怯迪低骋览礢NMP监控，务必确认监控平台也同步更新为v3设置。！＠现茇屎蟀压舅写蛴』腟NMP community改成了32位随机字符串，他说那天晚上睡得特殊扎实。！

1. 登录打印机Web治理界面 → 网络设置 → SNMP设置
2. 禁用SNMP v1/v2c或修改community string为强密码
3. 启用SNMP v3并设置认证（MD5/SHA）+加密（DES/AES）
4. 确认所有监控平台使用SNMP v3凭证
5. 按期审计SNMP会见日志，排查异常盘问泉源

9100端口：：：藏在角落的准时炸弹

Port 9100是RAW打印协议（也叫9100打印服务）的默认端口，险些所有网络打印机都会默认监听这个端口。！Ｋ睦媸谴湫矢、兼容性好，打印数据直接发送到9100端口就能出纸；；；但坏处同样显着——这个端口没有任何认证机制，只要能会见到就能往内里灌数据。！

攻击者可以直接向9100端口发送恶意数据触发已知误差，或者直接投递嵌入了恶意宏的Office文档、PDF文件。！2021年某清静聚会上就演示过，通过9100端口向一台未修复误差的HP打印机投递特制文档，乐成在打印机嵌入式系统上执行恣意代码，进而读取打印机内存中的打印使命数据——包括人为条、条约扫描件、神秘备忘录。！

加固思绪有两种：：：其一，榨取9100端口对非授权IP袒露，在防火墙或交流机ACL中限制只有打印服务器IP可以会见打印机9100端口；；；其二，若是营业允许，彻底禁用RAW打。！，改用IPP（Internet Printing Protocol，Port 631）或LPD（Line Printer Daemon，Port 515）等更清静的协议替换。！Ｎ医ㄒ榈淖龇ㄊ潜４鍵PP用于Web打。！，把9100从防火墙规则里踢出去，只允许特定IP段会见。！９赜谌肥敌枰４9100的场景，建议通过VPN隧道封装后再传输，别让它裸奔在办公网里。！

VLAN隔离：：：把打印机关进”笼子”里

大大都中小企业在妄想网络时，交流机端口随手一插，打印机跟员工电脑、服务器混在统一网段里。！Ｕ庵”扁平化”架构利便治理，但也埋下了重大的横向移动风险。！Ｒ坏┠程ù蛴』还テ疲セ髡吡湍苌柰骋煌蔚乃凶氨浮猄MB共享、RDP服务、数据库端口……全在触手可及的规模之内。！

准确的做法是把打印机归入自力的VLAN，与办公终端、营业系统、服务器域彻底隔离。！４蛴×髁客骋煌ü惶ɑ蚣柑ù蛴》务器中转，员工电脑只与打印服务器通讯，打印服务器再通过专用VLAN与各楼层、各部分的打印机交互。！Ｕ庋幢隳程ù蛴』萋洌セ髡咭仓荒茉诖蛴』鶹LAN里打转，想往办公网或服务器网渗透，隔着三层路由和ACL，没那么容易。！

实操层面，给打印机单独计齐整个VLAN（好比VLAN 30，打印机网段），焦点交流机上设置三层路由，办公网到打印机VLAN走ACL白名单战略，只放行打印服务器的IP。！Ｓ刑跫的客户还可以启用802.1X认证，让打印机入网也需要身份验证，彻底杜绝私接装备。！Ｓ览指 sTrust 零信任清静方案里就有网络准入控制的完整实践，可以从基础上管控装备入网清静。！

固件升级：：：别让误差一直在那里等着

2022年5月，SentinelLabs披露了影响数十款HP打印机的严重误差（CVE-2022-3942），攻击者只需发送恶意数据包即可远程执行代码，受影响固件版本跨度长达数年。！2023年，CISA（美国网络清静和基础设施清静局）更是直接忠言，称主流商用打印机中保存可被使用的RCE误差，建议企业连忙更新固件。！３痰牟苟【驮谀抢铮质凳瞧笠道锎笞诖蛴』茏湃、五年前的老固件，误差从未修复。！

固件不更新的原因很现实：：：打印机不像PC，没有弹窗提醒，升级固件需要手动下载固件包、进入治理界面上传、重启装备，操作一次延伸十几分钟的打印服务，许多运维职员嫌贫困就弃捐了。！８独У氖牵承├闲秃糯蛴』墓碳升级历程中容易蜕化变砖，运维职员不敢动。！

建议企业建设季度打印机固件巡检机制，登录各品牌官网盘问对应型号的最新固件版本和已知误差说明（HP有PSRT报告，Xerox有清静通告），实时测试并安排清静补丁。！９赜谝丫柚骨寰仓С值男秃牛ǔ滩辉傩疾苟。！），列入替换妄想，新采购装备优先思量已内置清静启动和自动更新功效的产品。！

打印机清静没有银弹，但改变默然的被动时势并不难。！Ｐ薷哪厦苈、收紧SNMP权限、把9100端口藏好、给打印机一个自力的VLAN房间、养成更新固件的习惯——这五件事做下来，通俗黑客剧本小子或许率会绕道走。！Ｕ嬲锌桃獾腁PT攻击需要更高本钱，而大大都中小企业的资产价值还不至于让攻击者下这么重的注。！

若是你看完这篇文章，想起公司某台角落里吃灰的老打印机，心里最先发虚——那就去改一改，真的不难。！