工作站服务正在运行漏洞

上周五下午，工作同事老张的站服电脑突然弹出一个蓝色错误框，提示“工作站服务正在运行”。运行他以为是漏洞系统抽风，直接点了“确定”。工作结果整个下午，站服公司文件服务器上的运行共享文件夹都对他无响应——他连自己部门的项目目录都打不开。

这不是漏洞个例。我见过好几台机器，工作尤其是站服那些装了Win10专业版、常年不重启的运行办公电脑，任务管理器里那个叫“Workstation”的漏洞服务（实际进程是mrxdav.sys或rdr_file相关组件）会莫名卡在“正在运行”状态。但诡异的工作是，它既没崩溃，站服也没报错，运行就是让你感觉网络邻居里的其他电脑像消失了一样。

这个漏洞的本质，其实是个“假活”状态。服务线程没死，但它的SMB会话缓存已经失效了。你访问共享时，系统还在尝试用旧的凭据去握手，对面服务器早就把会话踢了。于是客户端这边就一直转圈，直到超时。微软的官方文档里管这叫“会话重连失败”，但没人会仔细看那几十页英文技术说明。

我做过一次测试。在一台装了最新补丁的Win11机器上，连续运行三天不重启，然后手动停掉“工作站”服务再启动——重启后第一次访问共享盘，延迟高达12秒。第二次就恢复正常了。但如果你不手动干预，系统可能永远卡在那个“运行中”的假状态里。更麻烦的是，某些安全软件会把这个服务当作系统核心进程，拒绝结束它。

所以，遇到这问题别急着重装。先试试在管理员命令行里敲net stop workstation && net start workstation，强制重启一次服务。如果提示“服务无法停止”，那就得用sc query mrxdav看看具体子组件状态。多数情况是rdr4.sys这个驱动文件没正常加载。

但说实话，治标不治本。我怀疑这跟Windows的“快速启动”功能有关——混合关机模式下，内核会话被部分保留，导致服务状态和底层网络栈不同步。你可以在电源选项里关掉“启用快速启动”，然后彻底关机再开机，比任何补丁都管用。

还有个野路子。如果你急着用共享文件，又不想重启机器，可以试试在“运行”框里输入\\localhost，强制本地回环访问一次。有时候这能触发系统重新初始化SMB会话。我试过三次，两次有效，剩下一次直接蓝屏了——所以这招有风险，数据没保存前别乱用。

说到底，这个漏洞没有官方CVE编号，微软也没把它当安全缺陷处理。它更像一个长期存在的“设计瑕疵”。但对企业内网来说，它造成的生产力损失比某些真正的漏洞还大——毕竟没人愿意等五分钟才能打开一个Excel文件。我的建议很简单：关键岗位的电脑，每周至少重启一次。别迷信“休眠代替关机”，那玩意儿才真是坑。