Win7&Server08 R2 关联补丁KB2992611、KB3018238、KB3042058、KB3172605详解

wu733 · 发表于 2026-4-26 18:47:07

本帖最后由 wu733 于 2026-5-21 12:40 编辑

一、打开MUC网址https://www.catalog.update.microsoft.com/home.aspx，搜索 “KB2992611”，见图1

二、找到Win7 x64版的下载链接，点击右侧Download，弹出下载对话，见图2
Win7 x64版提供了一个补丁KB2992611下载，SHA1: eGNWIHVw4fXEInlfPBWWGvPLLQo=

三、找到Server 08 R2版的下载链接，点击右侧Download，弹出下载对话，见图3
Server 08 R2版提供了两个补丁KB2992611、KB3018238下载，这两个补丁必须同时安装，也即安装其中任一补丁不重启，安装完第二个补丁再重启。
其中KB2992611的SHA1: eGNWIHVw4fXEInlfPBWWGvPLLQo=，与Win7 x64版的KB2992611一模一样，说明它们其实就是一样的补丁

四、解开KB2992611补丁（cab），见图4
除了组件 “_microsoft-windows-ciphersuiteorder-adm_31bf3856ad364e35_” （GDR：18606|LDR：22814，安装以后当前使用增量为18606版）以外，其它组件全部都是环境组件（后续全部被取代了）
打开组件 “amd64_microsoft-windows-ciphersuiteorder-adm_31bf3856ad364e35_6.1.7601.18606_”文件夹，见图5
其下有个 “ciphersuiteorder.admx” 文件，它属于组策略管理模板资源文件，用记事本打开，其内容见图6
通过比较：16385、18606、23403版 “ciphersuiteorder.admx” 文件的Hash值，见图7，会发现三者一模一样，也即KB2992611补丁更新的这个“ciphersuiteorder.admx” 文件与初始版一样，说明它更新的这个“ciphersuiteorder.admx” 本身并无意义，重要的是KB2992611更新了环境组件。但是时过境迁，这个当时更新的环境组件变成了冗余。所以，这个KB2992611整体来说算是冗余补丁。

五、解开KB3018238补丁（cab），见图8
其中是一些语言文件，组件名：“_microsoft-windows-c..order-adm.resources_31bf3856ad364e35_” （GDR：18673|LDR：22880），实际安装到系统中的为简体中文版
打开组件 “_microsoft-windows-c..order-adm.resources_31bf3856ad364e35_6.1.7601.18673_zh-cn_”文件夹，见图9
其下有个“ciphersuiteorder.adml” 文件，它属于组策略管理模板资源文件的简中语言包，可以用记事本打开
相比初始版组件“_microsoft-windows-c..order-adm.resources_31bf3856ad364e35_6.1.7600.16385_zh-cn_”，它们的“ciphersuiteorder.adml” 文件内容稍有不同。也即安装KB3018238补丁后，其对这个“ciphersuiteorder.adml” 文件内容进行了删减，从20项删减成16项，见图10

六、解开KB3042058补丁（cab），见图11
其中除了环境组件，还有一些语言文件，组件名：“_microsoft-windows-c..order-adm.resources_31bf3856ad364e35_” （GDR：18833|LDR：23037），实际安装到系统中的为简体中文版
打开组件 “_microsoft-windows-c..order-adm.resources_31bf3856ad364e35_6.1.7601.18833_zh-cn_”文件夹，见图12
其下也有个“ciphersuiteorder.adml” 文件，它也属于组策略管理模板资源文件的简中语言包，可以用记事本打开
相比KB3018238更新的组件“_microsoft-windows-c..order-adm.resources_31bf3856ad364e35_6.1.7601.18673_zh-cn_”，它们的“ciphersuiteorder.adml” 文件内容又发生了变化。也即安装KB3042058补丁后，这个“ciphersuiteorder.adml” 文件内容又变回了初始版的20项，见图13

七、解开KB3172605补丁（cab），见图14
其中也是除了环境组件，还有一些语言文件，组件名：“_microsoft-windows-c..order-adm.resources_31bf3856ad364e35_” （GDR：23452），实际安装到系统中的为简体中文版
打开组件 “_microsoft-windows-c..order-adm.resources_31bf3856ad364e35_6.1.7601.23452_zh-cn_”文件夹，见图15
其下也有个“ciphersuiteorder.adml” 文件，它也也属于组策略管理模板资源文件的简中语言包，可以用记事本打开
相比KB3042058更新的组件“_microsoft-windows-c..order-adm.resources_31bf3856ad364e35_6.1.7601.18833_zh-cn_”，它们的“ciphersuiteorder.adml” 文件内容又又发生了变化。这回竟然从20项增加到22项。见图16

纠正：
KB2992611属于独一无二、不可取代的补丁。必须先安装KB2992611，引入四个新加密套件。然后KB3042058再对系统所有的加密套件（包括KB2992611新引入的四个）进行优化排序。而KB3042058本身并不引入新的加密套件。
KB3018238属于冗余补丁，被KB3042058取代，它更新的 “ciphersuiteorder.adml”（GDR：18673|LDR：22880），内容从20项→16项。
KB3042058属于独一无二、不可取代的补丁（除了KB3172605）。它更新的 “ciphersuiteorder.adml”（GDR：18833|LDR：23037），内容从16项→20项。
KB3172605属于巨型冗余补丁，但是它更新的 “ciphersuiteorder.adml”（GDR：23452）是最终版，内容从20项→22项。

最终应该这样打补丁（包括Server08 R2）：
KB2992611+KB3042058+提取KB3172605中的“ciphersuiteorder.adml” 。
而KB3018238是多余的（无论Win7、Server08 R2还是其它系统），它是为了解决KB2992611发布之初带来的兼容性问题，禁用了KB2992611新引入的四个加密套件。

yisheng1312 · 发表于 2026-4-26 19:23:51

感谢大神分享了

it323 · 发表于 2026-4-26 19:25:02

介绍很详细。

yyz219195888 · 发表于 2026-4-26 19:32:52

受教了，非常感谢

sn4735 · 发表于 2026-4-26 19:40:27

感谢大佬分享，这个分析真厉害

a66 · 发表于 2026-4-26 19:47:56

涨知识了

lqjxcf · 发表于 2026-4-26 19:53:48

感谢，学习了

13325531750 · 发表于 2026-4-27 07:54:50

Win7@Server08 R2 关联补丁KB2992611、KB3018238、KB3042058、KB3172605详解，感谢分享！

klbshhw · 发表于 2026-4-27 08:38:27

感谢分享！！！！！！！！

cpbjlwh · 发表于 2026-4-27 08:44:40

感谢分享，又学习了！

slc1234 · 发表于 2026-4-27 08:46:54

感谢分享!!!

poloa3 · 发表于 2026-4-27 09:05:19

致敬分享

2011morning118 · 发表于 2026-4-27 09:38:07

感谢分享，又学习了！

guong · 发表于 2026-4-27 12:53:12

学习了感谢分享！

xianglang · 发表于 2026-4-27 14:21:17

这几个补丁做什么用的？

ebaqiang · 发表于 2026-4-27 16:28:38

非常优秀，支持原创

womwom · 发表于 2026-4-27 18:36:53

学习学习

wu733 · 发表于 2026-4-28 19:59:34

xianglang 发表于 2026-4-27 14:21
这几个补丁做什么用的？

这几个补丁自己到https://www.catalog.update.microsoft.com/home.aspx搜索相关信息

wu733 · 发表于 2026-4-28 20:48:52

关于KB2992611这个Schannel安全补丁，等有时间我再比较一下安装前后注册表及注册表权限的变化。如果只是这些变化，则完全不需要安装KB2992611，直接导入变化的注册表信息，并将特定注册表项赋予TrustedInstaller权限即可。

ZXC7788 · 发表于 2026-4-30 08:41:26

学习了感谢分享！

ZXC7788 · 发表于 2026-5-2 12:12:22

谢谢分享

wu733 · 发表于 2026-5-2 19:34:43

KB2992611补丁的主角是schannel.dll，它是Windows中处理HTTPS、TLS/SSL协议的核心组件，提供了对新加密套件的实际支持，用来替换系统中旧的、有漏洞的文件。

而KB2992611补丁的配角是CipherSuiteOrder.admx，它本身不具备任何功能，只是一个“配置界面的说明书”。它告诉“本地组策略编辑器”（gpedit.msc）这个界面，应该在哪里显示一个叫做“SSL 加密套件顺序”的设置项，以及这个设置项保存数据的格式是什么。

也就是说安装KB2992611补丁后新增的加密套件功能，是由更新后的核心文件schannel.dll提供的，而CipherSuiteOrder.admx 只是一个用来配置“如何排序”这些套件的组策略模板。

又或者说schannel.dll是新功能本身，CipherSuiteOrder.admx只是用来控制该功能的图形界面和操作入口。

但是KB2992611补丁的主角schannel.dll后续又被月度汇总取代，故这个KB2992611是否可以不用安装？

w11y11 · 发表于 2026-5-5 10:52:11

我想知道这些内容是否包含在第八版中

wu733 · 发表于 2026-5-5 21:54:48

w11y11 发表于 2026-5-5 10:52
我想知道这些内容是否包含在第八版中

跟第八版大相径庭了，我这里在研究几乎不打补丁的方案

ZXC7788 · 发表于 2026-5-8 21:30:14

感谢分享

wssln · 发表于 2026-5-19 09:35:38

感谢大佬分享！

wu733 · 发表于 2026-5-21 12:16:42

越发深刻理解了补丁之间的底层联系

		自动登录	找回密码
密码			注册

[原创] Win7&Server08 R2 关联补丁KB2992611、KB3018238、KB3042058、KB3172605详解

评分

点评

点评