永恒之蓝漏洞攻击

2017年4月14日，永恒一个叫“影子经纪人”的漏洞黑客组织扔出了一堆NSA的武器库文件。里面有个东西，攻击后来被叫做“永恒之蓝”。永恒它不是漏洞病毒，是攻击一个漏洞利用工具，专门打Windows的永恒SMB协议。微软其实在当年3月就发了补丁MS17-010，漏洞但太多人没装。攻击一个月后，永恒WannaCry勒索蠕虫拿着这个工具横扫全球，漏洞英国NHS瘫痪，攻击雷诺工厂停产，永恒国内高校的漏洞毕业答辩材料被锁。那会儿我在学校机房帮人重装系统，攻击一屋子电脑全蓝屏，墙上贴着“请勿拔电源”的纸条，没人理。

永恒之蓝的核心不复杂。SMBv1协议处理某些请求时，对缓冲区长度检查有缺陷。攻击者构造一个特殊数据包，就能让远程机器执行任意代码。不需要用户点任何东西，只要445端口开着，联网就行。这跟后来那些靠钓鱼邮件的勒索软件完全不是一个量级。WannaCry的传播速度是分钟级的——一个校园网里有一台中招，半小时内能感染几百台。我见过一个实验室的监控录像，下午两点十七分第一台机器弹窗，两点四十一分整个机柜的指示灯全变成红色闪烁。

为什么影响这么大？三个条件同时凑齐了。漏洞利用代码公开且稳定，微软补丁存在但普及率低，SMB端口在企业内网和校园网里大量暴露。很多单位的内网防火墙只防外网，内部横向流量根本不管。永恒之蓝正好是横向移动的利器。NSA把它当武器藏了五年，影子经纪人泄露后，任何会点Metasploit的人都能用。从泄露到WannaCry爆发，中间隔了不到三十天。

具体攻击过程分两步。第一步，扫描目标网段里开放445端口的机器。第二步，发送特制的SMB数据包，触发缓冲区溢出，在目标进程里写入shellcode。成功之后，攻击者获得System权限——Windows最高权限。WannaCry在此基础上加了蠕虫模块，感染后自动扫描同网段其他机器，形成指数级扩散。有个细节挺讽刺：永恒之蓝利用的SMBv1协议，微软在2014年就标记为过时了，但为了兼容老设备一直没删。直到WannaCry之后，微软才在Windows 10秋季创意者更新里默认禁用SMBv1。

我后来拆过一个WannaCry样本。它加密文件用的AES-128，密钥再用RSA-2048加密。理论上没有私钥解不开。但有意思的是，作者似乎留了个“kill switch”——蠕虫会先请求一个特定域名，如果请求成功就停止传播。结果那个域名被英国一个安全研究员注册了，WannaCry的扩散戛然而止。这事说明作者可能没想搞这么大，或者只是技术炫技没考虑后果。但损失已经造成了，全球至少二十万台机器中招，直接经济损失几十亿美元。

现在回头看，永恒之蓝暴露的是整个安全生态的滞后性。漏洞从发现到补丁发布平均要几个月，补丁从发布到全面部署又要几个月。攻击者只需要赢一次，防守方要赢每一次。更麻烦的是，很多工业控制系统、医疗设备还在跑Windows 7甚至XP，根本没法打补丁。我去年在一个工厂里还看到SMBv1开着，问IT为什么不关，回答是“那台老机床的控制器只认这个”。永恒之蓝没消失，它只是藏进了那些没人敢动的角落。