360永恒之蓝漏洞补丁

2017年5月12日，永恒WannaCry勒索病毒横扫全球。漏洞英国NHS系统瘫痪，补丁手术取消，永恒救护车被拒之门外。漏洞国内高校的补丁机房、政府的永恒办事终端、加油站的漏洞自助缴费机，一个接一个弹出红色窗口——"你的补丁文件已被加密，支付300美元比特币解锁"。永恒那两天，漏洞安全圈的补丁人几乎没合眼。

但很多人不知道的永恒是，这场灾难本可以避免。漏洞微软在两个月前，补丁也就是2017年3月14日，已经发布了MS17-010补丁，修复了"永恒之蓝"利用的SMB协议漏洞。问题是，大量机器没打。

永恒之蓝到底是什么

它不是病毒本身，是一套漏洞利用工具。简单说，Windows的SMB文件共享协议在处理某些请求时存在缓冲区溢出，攻击者可以远程执行任意代码，不需要用户点击任何东西。你的电脑开着445端口，联网状态下就可能中招。

这套工具据传来自美国国家安全局（NSA）的网络武器库，后来被"影子经纪人"黑客组织泄露到网上。泄露之后，任何人都能下载使用。门槛一下子降到极低。

WannaCry只是把永恒之蓝和勒索软件打包在一起。真正危险的地方在于它的传播方式——蠕虫式扩散。一台中招，同网段的其他机器跟着遭殃，完全自动，不需要人为触发。当年很多内网机器没有外网连接，照样被感染，原因就是内网中有一台机器已经带毒。

补丁为什么没打上

我跟不少企业的运维聊过这事。原因五花八门：有的单位用的是盗版系统，不敢开自动更新；有的业务系统跟某个老版本补丁冲突，IT部门怕出事就干脆不推；还有的纯粹是疏忽，觉得"我们内网很安全"。

内网安全这个想法特别要命。永恒之蓝的传播恰恰就是靠内网横向移动。你边界防护做得再好，一旦有一台机器被攻破，内网就成了病毒的高速公路。

另一个现实问题是，很多老旧系统还在跑Windows XP、Windows Server 2003。微软早就停止支持了，但生产线上跑着关键业务，换不了。WannaCry爆发后，微软罕见地为XP和2003发布了紧急补丁KB4012598。这个补丁现在仍然可以下载。

补丁之外还需要做什么

打补丁是第一位的。MS17-010对应的补丁编号因系统版本不同而不同：Win7是KB4012212，Win10早期版本是KB4013429，Server 2008是KB4012215。装完之后重启，确认生效。

关掉445端口。如果业务不需要SMB文件共享，直接在防火墙层面封掉入站和出站的445流量。需要的话，至少限制只允许特定IP访问。

关掉SMBv1。这个协议版本太老了，漏洞多，性能差。Windows 10和Server 2016之后默认已经禁用，但老系统需要手动关。在"启用或关闭Windows功能"里找到"SMB 1.0/CIFS文件共享支持"，取消勾选。

还有一点容易被忽略：补丁管理要有制度。不是这次出了事打一下，下次又忘了。定期扫描内网哪些机器缺补丁，建个台账，该推的推，该重启的重启。听起来很笨，但管用。

八年后的今天

永恒之蓝已经八岁了。但它没消失。2024年，安全厂商还在捕获利用这个漏洞的攻击样本。原因很简单：总有人没打补丁，总有人关不掉445，总有人还在跑XP。攻击成本太低了，一个现成的利用工具，扫一遍IP段，总能找到漏网的。

补丁这件事，说到底是个执行力问题。技术方案早就有了，微软甚至给停支持的系统都发了补丁。难的是让每一台机器都装上，让每一个运维都当回事。WannaCry那两天，我印象最深的不是病毒多厉害，是很多单位连自己有多少台机器、装的什么系统、打了哪些补丁，都说不清楚。

先把家底摸清，再谈安全。