2017年5月，应用WannaCry勒索病毒横扫全球150个国家，操作英国国民健康服务体系（NHS）的系统电脑集体蓝屏，手术被迫取消，安全急诊病历无法调取。漏洞事后调查发现，本方攻击入口并非什么高深的应用后门程序，而是操作一个早在3月份就被微软打上补丁的SMB漏洞——永恒之蓝。那些中招的系统医院，只是安全没来得及更新系统。

这个案例把最核心的漏洞漏洞利用逻辑摆上了台面：绝大多数安全漏洞，根本不是本方黑客凭空挖出来的，而是应用系统自身长期怠于修补后，被公开的操作武器化代码精准命中。所以，系统应用操作系统安全漏洞的基本方法，第一件事不是去研究漏洞原理，而是建立补丁管理的肌肉记忆。补丁不是IT部门的例行公事，它是跟时间赛跑的止血带。你每拖延一天，就相当于把家门钥匙挂在锁孔上，等着路过的人拧一下。

补丁之外，第二层防护是配置加固。很多系统默认配置是“能用就行”，压根没考虑攻击面。比如Windows的SMBv1协议，默认开启，但绝大多数企业根本用不到它。WannaCry就是顺着这个默认开启的端口爬进来的。关掉不需要的服务、禁用不必要的账户、修改默认端口、启用防火墙规则——这些动作看起来琐碎，却能砍掉一大半已知漏洞的立足点。我见过不少运维人员抱怨加固文档太长，可他们忘了，攻击者手里也有一份同样的检查清单，而且他们比运维更勤快。

再说说账号权限。一个残酷的事实是，很多漏洞之所以造成严重破坏，不是因为系统被攻破，而是因为被攻破的进程跑了管理员权限。SQL注入拿到的是普通用户权限，那就只能看数据；如果拿到的是SYSTEM权限，就能直接改注册表、种后门。所以，最小权限原则不是挂在墙上的标语，而是要在每个服务账号、每个计划任务、每个开机启动项里落地。把管理员账号单独隔离，日常操作不用它登录，这是成本最低、回报最高的防护手段之一。

补丁打了，配置改了，权限收了，系统就安全了吗？不一定。还有一类漏洞是“零日”——厂商自己都还不知道。这时候就得靠检测和响应兜底。日志审计、入侵检测、异常行为分析，这些不是事后诸葛亮的摆设。举个例子，某个内网服务器半夜两点突然向外部IP发起大量SSL握手，这多半不是员工加班，而是被植入了挖矿木马。如果日志没开、告警没配，这种动静根本无人知晓，木马可以在内网潜伏几个月，慢慢横向移动。

最后说个很多人不爱听的：漏洞管理本质上是个业务决策，不是纯技术活儿。老板问“这个补丁能不能下周再打”，你得能回答“可以，但下周之前出事概率大概是多少”。这需要你对自己系统资产有清晰的台账——哪些机器暴露在公网，哪些跑着核心业务，哪些即使被打穿也无所谓。没有资产清单，谈漏洞管理就是空中楼阁。我见过一家公司，把一台五年前的老服务器忘在角落里，上面跑着无人维护的PHP 5.6，直到被扫描到才想起来。那台机器上的漏洞，比他们整个安全团队的年假还多。

所以你看，所谓“基本方法”并不玄妙：先堵住已经知道的洞，再关掉用不上的门，接着限制每个人的活动范围，然后睁大眼睛盯着异常动静，最后把所有决策建立在清晰的资产认知之上。这五步走完，大多数漏洞攻击对你来说，就只是别人家新闻里的故事了。