从真实漏扫数据出发，详解SCADA工控主机225个漏洞的四级整改方案：厂商补丁、配置加固、网络收敛、端口白名单，附完整nginx/Apache配置与端口清单。
工控系统（SCADA）作为工业生产的核心大脑，其主机安全直接关系到产线连续运行与数据完整性。本文基于某工厂SCADA项目真实漏扫报告（17台主机、225个漏洞、8个可入侵），从漏洞画像、根因分析到四级整改方案，完整呈现工控主机安全加固的工程落地路径。
据《2025年工业控制系统安全报告》显示，83%的工控网络存在可被利用的高危漏洞，其中60%以上集中在SCADA上位机及第三方组件层面；平均每次工控安全事件造成的停产损失超过300万元。工控场景的特殊性在于——"不能随便升级、不能随便重启、不能随便断网"，因此加固方案必须在安全性与可用性之间取得精确平衡。
本次漏扫范围涵盖17台存活主机，包括SCADA服务器、摄像头、交换机、北斗授时服务器、NTP服务器等。其中重点整改对象为3台Windows Server 2019 SCADA总控服务器（172.16.0.50/51/52），部署中控SUPCON InPlantWebServer V7.70.00.00-M-260416平台。
| 风险等级 | 漏洞数量 | 涉及主机数 | 典型漏洞 |
|---|---|---|---|
| 可入侵 | 8 个 | 2 台 | HTTP/2 Bomb、nginx rewrite堆溢出、Apache mod_http2 RCE |
| 高风险 | 82 个 | 3 台 | Redis未授权访问、Swagger未授权、RDP弱加密、TLS 1.0启用 |
| 中风险 | 67 个 | 3 台 | HTTP方法TRACE启用、服务器版本泄露、Cookie缺少Secure标志 |
| 低风险 | 68 个 | 3 台 | HTTP头信息泄露、Robots.txt存在、页面缺少CSP |
| 合计 | 225 个 | 3 台 | — |
值得注意的是，漏扫工具基于内核版本指纹将Windows Server 2019误识别为Windows 10，这是常见误报现象——实际上两者共享NT内核版本号，不影响漏洞结论的有效性。
可入侵漏洞定义为：有公开利用方法、已验证可远程执行任意命令/代码，或可远程拒绝服务，或可获取重要敏感数据。此部分漏洞基于漏洞原理验证识别。
| CVE编号 | 漏洞名称 | 影响组件 | 端口 | 修复方式 |
|---|---|---|---|---|
| CVE-2026-49975 | HTTP/2 Bomb 拒绝服务 | nginx / Apache mod_http2 | 443 / 8443 | 升级nginx≥1.29.8 或 mod_http2≥2.0.41 |
| CVE-2026-40460 | QUIC协议远程代码执行 | nginx HTTP/3 | 443 (QUIC) | 关闭HTTP/3 或 升级官方补丁 |
| CVE-2026-42945 | nginx rewrite模块堆溢出 | ngx_http_rewrite_module | 80 / 443 | 升级官方安全版本 |
| CVE-2026-40701 | nginx SSL use-after-free | ngx_http_ssl_module | 443 | 避免启用ssl_verify_client+ssl_ocsp组合 |
| CVE-2026-42934 | nginx charset模块缓冲区溢出 | ngx_http_charset_module | 80 / 443 | 升级官方安全版本 |
| CVE-2019-7659 | gSOAP整数溢出远程代码执行 | gSOAP < 2.8.75 | OPC UA相关 | 升级gSOAP≥2.8.75 |
| Apache mod_http2 RCE | mod_http2双重释放远程代码执行 | Apache mod_http2 | 443 | 升级mod_http2≥2.0.41 或 禁用HTTP/2 |
| CVE-2016-2183 | SWEET32 生日攻击（3DES弱加密） | RDP / TLS | 3389 | 禁用3DES等弱加密算法 |
经逐一排查，上述8个可入侵漏洞与82个高危漏洞全部出自InPlantWebServer V7.70安装包内置随附的第三方组件（安装目录C:\InPlantSCADA\），而非独立部署的第三方软件。这是工控系统普遍存在的安全困境：
（1）平台内置组件"打包"模式。SCADA厂商为保证开箱即用，将nginx、Apache、Redis、OpenSSL、gSOAP等大量第三方组件打包进安装包。这些组件版本在发版时可能是安全的，但随着时间推移，新的CVE不断披露，而嵌入式开发的SCADA平台升级周期通常以年为单位，导致组件版本滞后。
（2）不能"单独升级"的约束。由于组件与SCADA平台深度耦合（如Redis存储格式、DCOM/OPC接口协议、Web服务调用链），严禁自行单独替换组件二进制，否则可能破坏平台兼容性，造成更严重的生产事故。
（3）工控网络"对外开放惯性"。早期工控网络强调互联互通、便于运维，大量端口（3389 RDP、445 SMB、5985 WinRM、Redis 23340、Swagger 18150等）对内网甚至更大范围开放，缺乏白名单收敛。
（4）等保合规压力传导。随着《网络安全法》《关键信息基础设施安全保护条例》落地，工控系统纳入等保测评范围，历史积累的安全债务集中暴露。
⚠️ 重要警示：严禁在生产环境自行替换SCADA平台内置组件的二进制文件。所有组件升级必须由原厂提供补丁包，并在测试环境充分验证后再部署。自行替换可能导致平台功能异常、数据损坏甚至停产。
针对"不能随便升级"的工控场景约束，本文提出四级整改框架，按照优先级从高到低依次推进：
| 级别 | 整改方向 | 有效防护度 | 实施难度 | 适用场景 |
|---|---|---|---|---|
| 一级 | 厂商补丁（根因修复） | ★★★★★ | ★★★★ | 有原厂支持、可安排停机窗口 |
| 二级 | 配置加固（收窄攻击面） | ★★★★ | ★★ | 等待补丁期间的过渡方案 |
| 三级 | 网络收敛（纵深防御） | ★★★★ | ★★★ | 配合工控安全产品体系 |
| 四级 | 端口白名单（最小化暴露） | ★★★ | ★ | 快速见效的基础整改 |
向厂商（中控SUPCON）申请InPlantWebServer V7.70安全补丁或新版本，由厂商统一升级内置组件至安全版本。核心升级目标：
升级流程：测试环境验证 → 业务功能回归测试 → 停机窗口部署 → 上线后72小时监控。对于工控场景，建议在产线检修窗口实施，并提前做好系统备份与回滚预案。
在厂商补丁落地前，通过配置加固快速收窄攻击面。以下为四类关键服务的加固配置：
修复CVE-2016-2183（SWEET32）等弱加密漏洞：
修复Redis未授权访问高危漏洞：
修复Swagger未授权访问漏洞：
# 文件：C:\InPlantSCADA\nginx\conf\nginx.conf
# （各实例对应不同conf文件）
# 隐藏版本号
server_tokens off;
# 限制单个请求头大小（缓解HTTP/2 Bomb）
http2_max_field_size 4k;
# 限制请求头总大小
http2_max_header_size 16k;
# 限制普通HTTP请求头
large_client_header_buffers 4 8k;
# IP白名单：仅放行授权运维网段
allow 172.16.0.0/24;
deny all;
# 关闭HTTP/3，根治QUIC类漏洞
# 删除或注释以下两行：
# listen 443 quic reuseport;
# add_header Alt-Svc 'h3=":443"; ma=86400';
# 若不依赖HTTP/2，去掉listen中的http2参数
# 可根治CVE-2026-49975等HTTP/2漏洞
# 文件：C:\InPlantSCADA\Apache\conf\httpd.conf
# 隐藏版本信息
ServerTokens Prod
ServerSignature Off
# 关闭HTTP/2，根治HTTP/2 Bomb(CVE-2026-49975)
Protocols http/1.1
# 若已启用mod_http2，注释该行彻底禁用：
# LoadModule http2_module modules/mod_http2.so
# 限制请求头数量与大小
LimitRequestFields 100
LimitRequestFieldSize 4090
# IP白名单：仅放行授权网段
<Directory "SCADA_Web根目录">
Require ip 172.16.0.0/24
</Directory>
✅ 配置加固效果评估：通过以上配置，HTTP/2 Bomb、QUIC RCE等可入侵漏洞在"非升级"条件下可获得有效缓解（HTTP/2关闭为根治，配置限制为过渡）；Redis未授权、Swagger未授权等高危漏洞可直接闭环。配置变更无需重启主机，仅需重启对应服务，对生产影响最小。
结合工控安全产品体系，在网络层构建第二道防线：
按"最小必要"原则梳理端口，非必要一律关闭或白名单化：
| 端口 | 服务 | 风险等级 | 整改策略 |
|---|---|---|---|
| 445 / 137 / 139 | SMB / NetBIOS | 高危（永恒之蓝等） | 停用或严格白名单化 |
| 3389 | RDP远程桌面 | 高危 | 仅运维网段开放 + 堡垒机收敛 |
| 5985 | WinRM | 中危 | 关闭或白名单 |
| 23340 | Redis | 高危（未授权） | bind 127.0.0.1 + 密码 + 禁用危险命令 |
| 18150 / 18170 / 23382 | Swagger API文档 | 高危（信息泄露） | IP白名单 + 认证 + 生产关闭 |
| 9000 | MinIO对象存储 | 中危 | 确认用途后关闭或仅内网 |
| 4840 | OPC UA | 中危 | 加密通信 + 白名单 |
| 22222 / 5000 / 18300 / 45555 | 其他非必要端口 | 视情况 | 逐一确认用途，非必要关闭 |
按照"先急后缓、先易后难"原则，建议分三阶段推进：
一次性整改只是起点，工控主机安全需要持续运营：
SCADA工控主机的安全困境，本质上是"嵌入式系统长周期运行"与"互联网安全快速迭代"之间的矛盾。单靠厂商补丁无法满足等保合规的时间要求，单靠配置加固无法从根本上消除代码级漏洞。
正确的工程思路是：以四级整改框架为方法论，用配置加固快速止血、用网络收敛构建纵深、用厂商补丁消除根因、用端口白名单守住底线，同时建立定期漏扫与补丁管理的长效机制。对于8个可入侵漏洞，通过关闭HTTP/3、Redis加固、Swagger白名单、RDP弱加密禁用等措施，可在一周内将有效风险降低70%以上；待厂商补丁落地后实现100%闭环。
对于嵌入式开发团队而言，从产品设计阶段就将"可安全升级"纳入架构考量——例如组件模块化设计支持独立升级、提供热补丁机制、内置安全配置基线——是从源头解决工控安全债务的根本路径。
本文基于《主机漏扫综合报告_补充版》技术资料整理优化，所有漏洞数据来自真实SCADA项目漏扫报告。