支撑现代服务器运转的底层硬件正在成为网络攻击者的新目标，而其中的致命软肋正是主板上安装的基板管理控制器（BMC）。安全研究人员最新公布的报告显示，多年来由各大主流服务器厂商生产并交付的数码设备，如今依然有数以万计的控制器暴露于公网及企业内网之中。由于长期存在且极易被利用的严重漏洞，这些服务器正面临被攻击者全面掌控的风险。
基板管理控制器（BMC）是几乎所有企业级服务器内置的微型计算机，具备独立的固件、操作系统、网络协议栈以及专属 IP 地址。即便在主服务器处于关机或无响应状态时，系统管理员依然能够通过 BMC 完成重启机器、安装更新、重装操作系统和监控硬件等一系列运维操作。然而，正是这种极深层级的控制权限，在方便 IT 运维的同时也带来了极大的安全隐患——一旦 BMC 遭到入侵，攻击者便能接管整个底层服务器。
在近期召开的 Black Hat 物理与网络安全大会上，runZero 创始人兼首席执行官、固件安全专家 HD Moore 展示了他的最新研究成果。研究表明，他早在 2013 年就已揭示的许多安全缺陷至今依然广泛存在。不仅如此，他还披露了影响包括 HPE、Supermicro、Avocent、华为、联想、戴尔等多个品牌 BMC 产品的十几项新发现漏洞。问题的核心依然集中在 IPMI 协议上，即允许 BMC 进行带外管理服务器的标准接口。
为了评估安全暴露的实际规模，研究人员开展了两次大规模扫描。公网扫描结果显示，有超过 86，000 台 BMC 的管理服务直接暴露于互联网，其中超过半数（54%）存在至少一项高危漏洞，多达 7，5000 台设备仍未修补编号为 CVE-2013-4786 的老旧漏洞，攻击者可借此离线破解管理员密码。而在企业内部网络的扫描中，在抽查的 126，761 台设备里，近 29% 的 BMC 同样包含一个或多个高危缺陷。
这些漏洞涵盖了 BMC 软件栈的多个层面，涉及身份验证、会话安全、内存管理以及固件与密钥的处理机制。部分漏洞源于 IPMI 身份验证握手过程中的缺陷，攻击者可通过篡改消息顺序绕过检查，获取初步访问权限。受影响的产品包括 HPE iLO、Supermicro、OpenBMC 以及基于 OpenBMC 开发的新华三（H3C）和英伟达系统。攻击者在取得初步脚手架后，可将其他漏洞进行串联组合，从而实现全面接管。
另一类安全隐患在于 IPMI 在会话建立后并未始终强制执行完整性校验与数据加密。设备仅依据攻击者发出的请求头来判断是否验证与解密数据包，而非依赖协商好的安全算法，导致未经签名和加密的命令在已建立的安全会话中被误判接受。此外，部分系统的会话 ID 生成机制也极为脆弱，采用简单计数器或时钟值替代强随机数，攻击者预测并接管其他用户的活跃会话后，便能通过控制台直接操纵设备。
在内存管理和固件层面，部分系统的管理 SSH 服务在身份验证前即存在长度校验漏洞，可被直接用于远程执行代码。而在固件完整性方面，未签名或可被篡改的固件配合缺失的配置校验，使得攻击者能利用高权限账户安装持久化木马或替换验证密钥。对于公共固件镜像中硬编码的密钥与常数，攻击者还可提取并复用为有效凭证，解密网络流量或直接登录设备。
默认密码和弱密码策略更是加剧了风险。大量 BMC 依然使用出厂预设密码，结合离线哈希破解技术，攻击者能在短时间内攻破防护。研究指出，部分厂商使用的默认密码字符空间过小，即便采用随机化生成策略，也仅是将密码破解的时间从几小时延长至几天，无法从根本上阻挡拥有强大计算资源的攻击者。
为帮助网络安全人员评估自身风险，研究人员已开源名为 OOBscan 的扫描工具，供管理员排查服务器集群中的 BMC 漏洞。安全专家建议，应采取使用长且复杂的独立密码、尽可能禁用 IPMI 和 KCS 接口、阻断主机端对 BMC 的访问，以及将各 BMC 网络接口进行独立隔离等防范措施，以彻底降低平行攻击面带来的硬件级安全威胁。