2017年5月12日，蓝漏英国国家医疗服务体系的蓝漏电脑屏幕上，突然跳出一个红色的蓝漏勒索窗口。患者病历被加密，蓝漏手术被迫取消，蓝漏救护车被转移到其他医院。蓝漏攻击者只收比特币，蓝漏300美元一台机器，蓝漏三天不付翻倍。蓝漏

罪魁祸首叫WannaCry，蓝漏它利用的蓝漏漏洞代号MS17-010，绰号永恒之蓝。蓝漏这个漏洞不在什么花哨的蓝漏第三方软件里，藏在Windows系统最古老的蓝漏文件共享协议SMBv1中。微软早在3月份就发布了补丁，蓝漏但全球大量机构没打。于是蠕虫像野火一样烧了150多个国家，20多万台电脑中招。

有意思的是，这个漏洞不是黑客挖出来的，而是美国国家安全局（NSA）开发的网络武器，被一个叫“影子经纪人”的组织偷了，公开扔到网上。一个国家级情报机构的攻击工具，成了全球勒索病毒的弹药。这事本身就够讽刺——你花纳税人的钱造了一把锁，结果被贼偷去撬了全世界的门。

技术细节其实不复杂。SMB协议在处理某些特定格式的请求时存在缓冲区溢出，攻击者发送精心构造的数据包，就能在目标机器上执行任意代码。永恒之蓝利用这个漏洞，先通过445端口扫描开放该端口的机器，然后发送恶意数据包，获取系统控制权。一旦拿下第一台，它就用同样的手法横向扩散，像传染病一样在局域网里爬。

我当时帮一家小企业排查中毒服务器，打开命令提示符，输入netstat -an，看到密密麻麻的连接记录，目标端口全是445。那种感觉像看见一列火车正朝你开过来，你却只能数它有多少节车厢。系统日志里反复出现一条错误：SMB会话建立失败，但紧接着就是成功记录。攻击者早就进去了，只是没人注意那些异常。

WannaCry最狠的地方在于，它不需要用户点任何东西。只要电脑连着网，开着445端口，没打补丁，躺平任打。跟钓鱼邮件那种需要人傻乎乎点附件的套路完全不同，纯机器对机器的自动传播。

有个细节很多人不知道——WannaCry自带一个“自杀开关”。它运行时会先访问一个随机域名，如果域名能解析，蠕虫就停止运行。一个22岁的英国研究员注册了这个域名，无意中按下了全球疫情的暂停键。但没过多久，变种出现，去掉了这个开关，攻击继续。

永恒之蓝到今天都没死透。2023年还有医院、学校、制造企业被它攻破的报道。很多老旧设备压根没法打补丁——Windows XP早已停止支持，某些工业控制系统用的嵌入式Windows版本连补丁路径都没有。你问这些机器为什么还连着网？因为换一套系统的成本，比中一次病毒高十几倍。

在命令行里敲下systeminfo，看看你的补丁日期。如果还停留在2017年3月之前，那台机器就是一颗定时炸弹。永恒之蓝真正可怕的地方，不是它多先进，而是这么多年过去，依然有大片机器裸露在445端口上，像没锁门的房子，等着路过的小偷推一下把手。