MS12020这个漏洞，对M洞何对靶本质上是机进SMB远程代码执行。攻击者发一个精心构造的行加SMB数据包，就能在目标机器上弹个shell。对M洞何对靶当年不少内网就是机进靠它被打穿的。靶机要加固，行加别急着上补丁，对M洞何对靶先想清楚一件事——你这台机器真的机进需要开着445端口对外服务吗？

绝大多数场景下，答案是行加不需要。最简单的对M洞何对靶加固第一步，直接关掉SMBv1。机进微软官方都说了，行加这玩意儿该退役了。对M洞何对靶在PowerShell里跑一句Set-SmbServerConfiguration -EnableSMB1Protocol $false，机进然后重启服务。行加这一步做完，MS12020的攻击面直接砍掉一大半。别觉得麻烦，你关掉的是个十年前的漏洞，不是啥新鲜功能。

但光关SMBv1不够。如果业务上必须保留SMB服务，那就得动防火墙。靶机如果放在隔离网段，那就用主机防火墙额外限制来源IP。只允许特定管理IP访问445端口，其他全丢。有人会问，那内网横向移动怎么办？兄弟，内网里攻击者一旦控制了一台机器，他扫到的445端口越多越开心。你每放一个IP，就等于多给他一扇门。别信什么“内网安全”这种鬼话，默认全拒，白名单放行。

接下来是补丁。MS12020对应的安全更新是MS12-020，但注意，这补丁只对特定系统版本有效。Windows Server 2003和XP早就停止支持了，你打补丁也打不上。这时候就别死磕系统了，直接考虑隔离或者迁移。现实里我见过有人拿台跑着2003的机器当靶机练手，补丁打不上，最后只能把网线拔了用快照恢复。这不算加固，这是掩耳盗铃。

还有一个容易忽略的点——账户策略。MS12020利用过程中，攻击者经常需要猜测凭据或者用空会话。你检查一下靶机上的Guest账户，默认禁用了吗？本地账户的密码策略设置了没？我见过不少靶机为了图方便，把密码设成admin123，结果漏洞没打成，倒被暴力破解搞定了。加固不是只针对漏洞本身，而是把整个攻击链的所有环节都堵死。

最后，日志和监控。开启SMB审计日志，记录445端口的访问尝试。靶机环境里可能没人盯着看，但你要养成习惯。万一哪天攻击者换了别的漏洞，日志就是你唯一能追溯的线索。别等到被打了才想起来看日志，那时候日志可能都被清了。

说到底，MS12020的加固核心就一句话：减少暴露面，及时打补丁，管好账户权限，留好痕迹。别指望一个操作一劳永逸，安全是个动态过程。靶机练手时多花十分钟做这些，将来真上了生产环境，你才不会慌。