上周某制造业客户的密码内网被勒索病毒加密，溯源发现攻击入口就是漏洞一台老式文件服务器的SMB弱口令。管理员一脸无奈：“这密码还是何修建厂时设的，一直没改过。密码”——这类事故太常见了，漏洞SMB（Server Message Block）协议作为Windows网络共享的何修核心，一旦账号密码薄弱，密码等于把共享文件夹直接挂到了公网上。漏洞

修复的何修第一步，别急着改密码。密码先确认SMB服务是漏洞否真的需要对外开放。很多企业的何修SMB端口（445）直接暴露在公网，这是密码最致命的。用端口扫描工具自查一下，漏洞如果发现公网IP能访问内网SMB，何修立刻在防火墙封掉。去年有个客户，SMB只给内部用，但路由器做了端口映射，导致国外IP能直接连上，黑客暴力破解只用了两小时就进去了。内网服务就该待在内网，公网访问请走VPN。

第二步才是密码治理。别只改一个管理员密码，要全面排查所有SMB账户。用脚本批量检测弱口令，比如空密码、用户名等于密码、123456这类常见组合。检测时注意别把账户锁定了，建议在非业务高峰期操作。我见过一个运维兄弟，跑检测脚本太猛，把域控账户全锁了，结果全公司电脑弹窗要求解锁，场面一度混乱。

密码策略要落地，不只是设置里勾选“密码必须符合复杂性要求”。强制要求12位以上，包含大小写字母、数字和特殊字符。但更关键的是定期轮换——每90天强制改一次。有个小技巧：给SMB服务单独建专用账户，别用管理员账号共享文件。权限最小化，每个部门只能访问自己的目录，能大幅降低爆破成功后的横向移动风险。

补丁更新别忽略。SMB漏洞多如牛毛，最著名的永恒之蓝（MS17-010）至今仍在被利用。Windows系统要确保安装最新累积更新，旧版本系统（如Windows 7、Server 2008）尽量升级或隔离。实在不能升级的老设备，至少禁用SMBv1协议——这个老古董协议安全性极差，在“启用或关闭Windows功能”里取消勾选即可。顺带说一句，SMBv2和v3相对安全，但也要保持更新。

日志监控是最后一道防线。开启SMB审计日志，记录失败登录尝试。设置告警规则，比如同一IP在5分钟内尝试密码超过10次，立即触发通知并自动封禁IP。上周处理的一个案例，攻击者用了分布式IP池来慢速爆破，单个IP不显眼，但总失败次数异常。后来我们加了“同一时间段内失败总数超过50次就临时禁用账户”的规则，才堵住这个口子。

修复后一定要验证效果。用漏洞扫描工具重新检测SMB弱口令，确认所有高危项清零。再模拟攻击——让安全团队尝试用之前的弱口令登录，应该全部拒绝。别忘了检查备份策略，万一被攻破，能快速恢复数据。有个客户修复完没做验证，一个月后又被同一弱口令打穿，因为新加的账户没继承密码策略，用了个简单密码。

最后提醒一句：SMB弱密码漏洞不是单点问题，它反映的是整体密码管理意识。建议定期做内部钓鱼测试，提高员工安全意识。技术手段能挡住大部分攻击，但人的习惯才是漏洞的根源。你改了密码，他随手写在便签纸上贴显示器旁边，等于白改。安全这事，从来都是技术和管理两条腿走路。