局域网用户慎打kb951748补丁

 刚进入暑假，就有不少老师反映无法上网，而且所反映的症状都一样：可以登陆QQ，就是无法浏览网页，同时许多杀毒软件无法更新病毒库。因为大家是通过校园网接入，校园网划分了许多虚拟网段，同一网段的电脑容易受到ARP病毒的攻击，所以首先怀疑病毒问题，马上用最新的病毒库进行查杀，查杀完成后依然如故，排除了病毒影响。接下来按惯例修复IE、winsock、Lsp连接等，均无功而返。注意到访问网页出现的错误信息是“找不到服务器或 DNS 错误”，于是开始查找网络问题。先ping网关，通，然后ping DNS服务器、外网IP，也通。尝试通过IP地址访问，发现可以浏览网页，因此确定问题是无法解析域名所致。通过网上提供的解决此问题的相关方法，如设置DNS、重新安装网卡、TCP/IP协议等均不能解决，百思不得其解。正一筹莫展时，想到有的电脑是刚刚重新做过系统，而且都是在更新系统后出现的问题，是不是罪魁祸首在更新的补丁上，于是查找最后更新的补丁，发现一个名称为KB951748的补丁，马上尝试卸载，重启后问题解决，原来是这个补丁若的祸。
通过查找微软网站，该补丁为7月7日发布，概述为：现已确认有一个安全问题，远程攻击者可能会利用此问题曲解 Microsoft Windows 系统上的用户所不知道的系统操作或行为。您可以通过安装此 Microsoft 更新程序来保护计算机免受侵害。安装本更新程序后，可能必须重新启动计算机。漏洞描述:此安全更新可解决 Windows 域名系统 (DNS) 中两个秘密报告的漏洞，这些漏洞可允许欺骗。 DNS 客户端和 DNS 服务器中均存在这些漏洞，这些漏洞可能会允许远程攻击者将 Internet 上针对系统的网络通信重定向至攻击者自己的系统。看来此补丁的确与DNS有关。
因为微软是按照IANA的建议将默认的动态端口由原来的1024～5000改变为49152～65535，所以本机访问DNS的动态端口段发生改变，如果防火墙设置的非常严格（每个端口详细控制），那么就很容易出现无法上网的问题，而防火墙不是很严格就没有问题。因此打上补丁就不能上网都发生在有防火墙保护的局域网用户中，而通过拔号上网的家庭用户却不存在这个问题。但是因为该补丁会把TCP/IP连接数恢复到10，而且因为端口的改变，某些使用了1024～5000端口的应用程序，如迅雷、BT软件、PPLIVE等会受到影响，在此建议家庭用户可考虑自己的使用情况决定是否打上该补丁，而带防火墙的局域网用户则需慎重，最好不要打。

文章如转载，请注明转载自【网管小王的独立博客】：http://www.5iadmin.com/