windows系统漏洞离线修复

一台没联网的系线修Windows机器，中了漏洞，统漏就像一个人困在孤岛上，洞离手里有药，系线修却没说明书。统漏去年我帮朋友处理一台老式收银机，洞离Win7系统，系线修POS软件必须跑在32位环境下，统漏老板死活不肯换。洞离机器不连外网，系线修但U盘插来插去，统漏中了“震网三代”的洞离变种——其实也不算变种，就是系线修永恒之蓝的衍生利用。系统卡得鼠标都飘，统漏任务管理器打开都费劲。洞离

离线修复第一件事，不是找补丁，是断源。拔掉所有USB设备，关掉无线网卡（如果有），用另一台干净电脑制作启动盘。PE环境里先全盘扫描，把可疑的exe、dll揪出来。那次我扫出三个隐藏的调度任务，全指向C盘一个随机名目录下的vbs脚本。删掉，清注册表RUN键，重启——系统能进，但漏洞还在。

真正的离线补丁得靠“搬运工”。微软官方有个WSUS离线更新工具，能在一台联网机器上下载全部补丁包，再拷贝过去。但体积巨大，Win7的补丁累计超过2GB。更聪明的方法是只打关键漏洞补丁——去CVE库查该系统的具体漏洞编号，比如MS17-010（永恒之蓝），单独下载对应KB4012212补丁。朋友那台收银机就是这么修的，一个补丁文件30MB，U盘拷过去，双击安装，重启，漏洞消失。

但补丁不是万能的。有些老系统，补丁根本装不上——比如WinXP SP3，微软早停止支持，补丁要么不兼容，要么装了蓝屏。这时候得用“曲线救国”方案：用第三方工具如0patch，它提供微补丁，不修改系统文件，只在内存层面修复漏洞。我试过一次，在XP上打了一个IE漏洞的微补丁，效果立竿见影，但每次开机得手动加载服务，麻烦。

还有个土办法，很多人不知道：禁用漏洞对应的服务或功能。永恒之蓝利用的是SMBv1协议，直接到“程序和功能”里把SMB 1.0/CIFS文件共享支持勾掉，漏洞就等于被“关在门外”。那次收银机我顺手也关了，速度反而快了——因为老机器不用网络共享，SMB服务纯属浪费资源。

离线修复的终极方案，是给系统做“冻龄”。装完补丁后，用Sysinternals的Autoruns检查所有自启动项，把不必要的全禁用。再用组策略限制远程访问，关闭445、139端口。最后，把系统镜像备份成一个WIM文件，存到另一个硬盘分区——万一再中毒，直接恢复镜像，比重新打补丁快得多。

那台收银机至今还在用，老板后来学会了自己定期插U盘备份。离线修复的本质，就是拿时间换空间——没有网络自动更新，就得人工判断、手动搬运。但别嫌麻烦，很多工控系统、医疗设备、ATM机，都靠这套土办法续命。漏洞是死的，人是活的，补丁打不上，还有歪招，关键是你得知道系统里跑着什么，漏洞长什么样，才能对症下药。