MS12-020：远程桌面中的漏洞可能允许远程代码执行：2012 年 3 月 13 日

受影响的软件 

操作系统	最大安全影响	综合严重等级	此更新替代的公告
Windows XP Service Pack 3 (KB2621440)	远程执行代码	严重	MS11-065 中的 KB2570222 由 KB2621440 替代
Windows XP Professional x64 Edition Service Pack 2 (KB2621440)	远程执行代码	严重	MS11-065 中的 KB2570222 由 KB2621440 替代
Windows Server 2003 Service Pack 2 (KB2621440)	远程执行代码	严重	MS11-065 中的 KB2570222 由 KB2621440 替代
Windows Server 2003 x64 Edition Service Pack 2 (KB2621440)	远程执行代码	严重	MS11-065 中的 KB2570222 由 KB2621440 替代
Windows Server 2003 SP2（用于基于 Itanium 的系统） (KB2621440)	远程执行代码	严重	MS11-065 中的 KB2570222 由 KB2621440 替代
Windows Vista Service Pack 2 (KB2621440)	远程执行代码	严重	没有公告由 KB2621440 替代
Windows Vista x64 Edition Service Pack 2 (KB2621440)	远程执行代码	严重	没有公告由 KB2621440 替代
Windows Server 2008（用于 32 位系统）Service Pack 2* (KB2621440)	远程执行代码	严重	没有公告由 KB2621440 替代
Windows Server 2008（用于基于 x64 的系统）Service Pack 2* (KB2621440)	远程执行代码	严重	没有公告由 KB2621440 替代
Windows Server 2008（用于基于 Itanium 的系统）Service Pack 2 (KB2621440)	远程执行代码	严重	没有公告由 KB2621440 替代
Windows 7（用于 32 位系统）和 Windows 7（用于 32 位系统）Service Pack 1 (KB2621440) Windows 7（用于 32 位系统）和 Windows 7（用于 32 位系统）Service Pack 1 (KB2667402)	远程执行代码	严重[1]	没有公告由 KB2621440 替代 没有公告由 KB2667402 替代
Windows 7（用于基于 x64 的系统）和 Windows 7（用于基于 x64 的系统）Service Pack 1 (KB2621440) Windows 7（用于基于 x64 的系统）和 Windows 7（用于基于 x64 的系统）Service Pack 1 (KB2667402)	远程执行代码	严重[1]	没有公告由 KB2621440 替代 没有公告由 KB2667402 替代
Windows Server 2008 R2（用于基于 x64 的系统）和 Windows Server 2008 R2（用于基于 x64 的系统）Service Pack 1* (KB2621440) Windows Server 2008 R2（用于基于 x64 的系统）和 Windows Server 2008 R2（用于基于 x64 的系统）Service Pack 1* (KB2667402)	远程执行代码	严重[1]	没有公告由 KB2621440 替代 没有公告由 KB2667402 替代
Windows Server 2008 R2（用于基于 Itanium 的系统）和 Windows Server 2008 R2（用于基于 Itanium 的系统）Service Pack 1 (KB2621440) Windows Server 2008 R2（用于基于 Itanium 的系统）和 Windows Server 2008 R2（用于基于 Itanium 的系统）Service Pack 1 (KB2667402)	远程执行代码	严重[1]	没有公告由 KB2621440 替代 没有公告由 KB2667402 替代

　　本次Windows RDP服务的这个漏洞也使得攻击者控制用户服务器或者造成蓝屏

　　 3月19日消息，Windows服务器近日被爆存在高危远程代码执行漏洞——MS12-020，微软公司把该漏洞级别定为最高级-严重(Critical)，攻击者可以通过向远程桌面端口(端口号3389)发送特定的数据包获得管理员权限。

　　历史上同样级别的漏洞都造成了巨大的危害和损失。2004年，MS04-011漏洞导致攻击者可以通过远程对445端口发送特定数据包，获得执行权限并传播病毒。依靠此漏洞传播的震荡波病毒造成全球数量众多的电脑瘫痪。2002年，Windows的RPC漏洞导致攻击者可以通过135端口远程控制服务器。依靠此漏洞传播的冲击波病毒导致全球大量电脑自动关机。

　　本次Windows RDP服务的这个漏洞也使得攻击者控制用户服务器或者造成蓝屏，一旦被广泛利用，不仅会对本服务器运行的正常应用造成影响，而且更会让服务器完全成为被黑客控制利用的工具，对整个互联网造成更大危害。

　　微软称，多数客户启用“自动更新”，他们不必采取任何操作。但是很多Windows服务器在使用过程中并未开启“自动更新”，安全宝称，提示服务器管理员立刻去下载安装官方补丁，避免因该漏洞遭受的损失。同时，广大服务器管理员现在可以检测服务器是否存在此漏洞风险。

　　安全宝指出，存在漏洞的文件是rdpwd.sys，出现漏洞的原因是HandleAttachUserReq()函数。如果攻击者向受影响的系统发送一系列特制RDP(Remote Desktop Protocol，远程桌面协议)数据包，则此漏洞可能允许远程执行代码。
检查本机是否出现此漏洞，控制面板--添加删除程序--软件更新--KB2621440 或者输入cmd命令 systeminfo | find "KB2621440"
攻击方式：rdp.exe ip 3389 线程