警惕！来自网络打印机的安全威胁

　　美国知名调味品公司McCormick的信息主管在去年遇到一件伤脑筋的事情: 明明已杀过毒的网段，却屡次遭受“冲击波”蠕虫病毒的重创，这个蠕虫病毒通过服务提供商连接进入了公司，在短短几小时内肆虐了多家工厂和办事处。

　　公司经过细致的调查后，发现原来是网络打印机惹的祸，“冲击波”和“震荡波”蠕虫的几个变种试图从被感染的网络打印机再次进行蔓延。

　　“冲击波”蠕虫在2003年肆虐时，Michael Rossman正好接过McCormick 公司IT服务和信息安全部门全球主管这一职位。他说:“‘冲击波’袭击了我们的所有PC机、射频识别设备和手持设备。我们很晚才明白，它还袭击了我们的打印机。”

　　Rossman说，“冲击波”和“震荡波”让IT主管们开始重视网络打印机，知道它们可能会给企业网络带来漏洞。在以前，企业的IT部门从来不为打印机安全操心，他们没有给打印机安装补丁、加固安全，而仅仅是一次次地加强PC机和服务器的防线。安全专家们说，如今打印机上安装的复杂应用程序比以往任何时候都多，并且运行着易受攻击的各种服务，IT部门很少考虑到打印机的风险管理或监督。

　　安全研究人员Brendan O’Connor说: “我一直觉得，从风险管理的角度来看，打印机设备完全被人忽视了。人们只关心它们安装完毕后能否正常工作。除非需要安装新的纸匣或者打印墨盒，否则没人会关注它们。”

　　并非哑设备

　　实际上，出于安全考虑，需要像对待服务器或者工作站那样来对待网络打印机，别把它们当成是哑外设。

　　去年夏季在拉斯维加斯举办的Black Hat大会上，O’Connor做了一次极其详细的演示，证明可绕开验证机制，在根目录层面植入命令、创建外壳代码，从而接管施乐公司WorkCentre系列的打印机——它们运行在Linux操作系统上。

　　他描述了安全受到危及的打印机可能面临的种种危害，包括口令窃取、口令篡改、劫持功能、抢夺打印任务以及改动计费程序。

　　O’Connor在自己的研究实验室里证明了这些破坏手段有可能得逞，他在Black Hat大会演讲期间播放了自己在实验室中如何钻这些漏洞的录像。

　　“这些打印机其实有为数不少的攻击途径。”O’Connor说，他白天是中西部一家金融服务公司的安全工程师。“我在演讲时透露了打印机的几个漏洞，另外几个则私下告诉给了施乐公司。”据媒体称，施乐对O’Connor的研究工作表示了感谢，随后发布了一个补丁。不过O’Connor说，漏洞依然存在。

　　问题仍在于有多少IT部门给自己的打印机安装上了安全补丁。安全技术专家Bruce Schneier在其博客里写道: “这之所以是个特别糟糕的问题，原因之一就是人们并不更新打印机软件。” Schneier是加州芒廷维尤BT Counterpane Internet Security Inc.的首席技术官，他问道: “代码没法打上补丁的那些打印机安全又如何？”

　　人们漠视打印机的安全不足为怪，因为近年来出现的打印机遭受攻击的数量很少。赛门铁克公司安全响应中心资深经理Dean Turner说，这主要是因为，眼下攻击PC机和笔记本电脑更加容易。但随着这些系统借助各种技术手段而变得更加安全，攻击者会把手中的工具对准下一个容易得手的目标，而未得到保护的打印机自然成了这样一个目标。

　　大规模攻击前夕

　　去年，赛门铁克发布了五个网络打印机品牌新出现的12个安全漏洞，这个数字似乎很小，但2005年发现的针对打印机的漏洞数量是10个，而在过去两年发现的这类漏洞的数量占了自1997年以来发现的打印机漏洞总数（52个）的近一半。

　　@Stake Inc.是一家安全漏洞评估公司，现已被赛门铁克收购，该公司的前任研究开发主管Chris Wysopal说，我们现在处在打印机遭到大规模攻击之前的阶段。他说，由于PC机和工作站得到加固，打印机引起了黑客界的注意，攻击者开始转而袭击打印机只是个时间问题。Wysopal回忆，自己在@Stake漏洞研究实验室工作时，曾通过红外端口闯入了一台打印机，并且更改了管理员口令。

　　研究人员说，人们普遍觉得打印机只容易受到来自公司局域网或者通过远程登录到公司虚拟专用网的攻击，但事实并非如此，马里兰州贝塞斯达SANS Institute的研究主任Alan Paller说: “五年前，四款惠普Jetdirect打印机控制器被用于拒绝服务攻击，从而导致新墨西哥州的一家ISP动弹不得。而在最近，共享打印机已成为让攻击者得以从低安全区潜入到高安全区的后门。”

　　Lamar Bailey是总部设在亚特兰大的ISS公司的高级运营经理，他说，只要任何远程代码执行漏洞攻击，譬如缓冲器溢出或者跨站脚本漏洞，就可以让僵尸机蔓延到打印机，或者使打印机成为发动其他攻击的跳板。ISS在其安全实验室中备有十多台打印机，以便测试新漏洞。

　　研究人员认为，网络打印机已经处在直接面临互联网攻击的险境，它的第一个也是最明显的薄弱环节就是，当把网络打印机放在企业防火墙外面以便员工进行远程打印时，会留下安全隐患。O’Connor、Wysopal和Turner都声称，他们在为客户进行漏洞评估时经常看到这种情况。

　　

　　另外，可从任何地方进行打印的网上服务也是直接面临互联网攻击的对象。其中一些接口包括嵌入式Web服务器以及带IP地址的网页。Rossman说，这就是为何作为风险管理策略的一部分，McCormick要关闭远程打印服务。

　　补丁管理

　　据安全专家称，在针对这些嵌入式设备采取的所有保护措施当中，系统加固和补丁管理是最重要的两项措施。Rossman说，McCormick现在依赖打印机厂商发布的软件更新版本和软件补丁。Paller说，厂商们为了向顾客提供更多的服务和应用，实际上给关闭默认服务、更改口令带来了难度。

　　厂商们已经在过滤、文档保护和访问控制方面取得了一些进展，不过它们在完善补丁管理和系统加固方面取得的进展甚小。O’Connor说，厂商们并不总是乐意提供新漏洞和补丁方面的信息，这样一来，IT部门就更加难以管理。

　　除非厂商们解决了存在的问题，用户也开始把打印机当成真正的风险环节来对待，否则网络打印机仍将是容易攻击的目标，等攻击者前来下手。

　　正如Rossman所说: “网络打印机是嵌入了Windows系统的大型打印设备，它与网络进行联系的方式与其他任何基于Windows的系统完全一样。它们需要被保护起来。”