2017年5月12日，洞修WannaCry勒索病毒横扫全球。洞修我清楚记得那天下午，洞修几个做运维的洞修朋友在群里炸了锅——医院挂号系统瘫了，加油站不能刷卡，洞修学校机房屏幕全被锁成红底黑字的洞修勒索界面。而罪魁祸首利用的洞修漏洞，微软早在两个月前就发了补丁。洞修问题是洞修，大量机器根本没打上。洞修

Win7的洞修生命周期在2020年1月14日正式结束。微软不再为这个系统推送安全更新，洞修除非你花钱买ESU（扩展安全更新）。洞修但直到今天，洞修国内仍有大量设备跑着Win7——老旧的洞修工控机、收银终端、内网办公电脑。这些机器不打补丁，等于门锁坏了还不修。

先搞清楚你面对的是什么

Win7的漏洞分几类。最要命的是远程代码执行漏洞，攻击者不需要你点任何东西，只要机器联网就能打进来。比如经典的MS17-010（永恒之蓝），WannaCry和后来的NotPetya都用它。还有提权漏洞，攻击者先进来但权限不够，利用这类漏洞拿到管理员权限。再就是信息泄露和拒绝服务，相对没那么致命，但也不能忽视。

关键补丁其实就那几个。MS17-010对应KB4012212（月度汇总）或KB4012215，这是必打的。CVE-2019-0708（BlueKeep），远程桌面服务的蠕虫级漏洞，对应KB4499164。还有CVE-2020-0601，加密库的欺骗漏洞，影响所有Windows版本。这几个补丁覆盖了大部分高危攻击面。

离线打补丁的实操

很多Win7机器在内网，根本连不上Windows Update。你需要手动下载补丁包。微软的Update Catalog（catalog.update.microsoft.com）还能访问，搜索KB号就能找到对应的.msu文件。注意区分32位和64位，Win7 SP1和RTM的补丁也不一样。

下载完拷到目标机器，双击安装，重启。如果提示“此更新不适用于你的计算机”，八成是系统版本不对，或者缺前置补丁。比如KB4499164需要先装KB4474419（SHA-2代码签名支持）。这种依赖关系很烦人，但绕不过去。

批量部署的话，用DISM命令把补丁打进WIM镜像，或者用WSUS服务器推送。小规模环境写个批处理脚本，用wusa.exe静默安装也行。记得加/norestart参数，最后统一重启。

补丁之外的事

光打补丁不够。Win7的SMBv1协议本身就是个筛子，直接在注册表里禁掉。路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters，把SMB1的DWORD值改成0。RDP如果不用也关掉，或者至少改端口、加网络级认证。

还有个现实问题：有些老软件只认Win7，升级系统就罢工。这种机器要么物理隔离，要么用防火墙白名单锁死出站流量。别指望杀毒软件能兜底，勒索病毒变种太快，特征库根本追不上。

我自己的做法是，能升Win10的尽早升。实在升不了的，至少把MS17-010和BlueKeep补丁打上，关掉不必要的端口和服务。别等到中招了才想起来补，那时候文件已经加密了，解密密钥要比特币，你给还是不给？

最后提一句，网上有些“Win7补丁合集”来路不明，里面夹带私货的不在少数。只从微软官方渠道下载，校验哈希值。别嫌麻烦，安全这事偷懒就是给自己挖坑。