一台还在跑Windows XP的电脑机器，插上网线那一刻就已经输了。漏洞这不是扫描危言耸听。去年我帮一个做模具加工的电脑小厂子看网络，车间里三台工控机全是漏洞XP系统，其中一台的扫描共享文件夹里躺着2003年以来的所有图纸。老板说“能用就行”，电脑直到有天早上发现所有图纸被加密，漏洞桌面上留了个比特币钱包地址。扫描恢复数据花了四万，电脑停工三天。漏洞

XP的扫描漏洞不是“有没有”的问题，是电脑“有多少还没被发现”的问题。微软2014年4月8日停止支持，漏洞那天之后所有新披露的扫描漏洞都是零日。你装再新的杀毒软件也没用——杀毒软件跑在XP上，XP本身千疮百孔。就像给纸糊的房子装防盗门，门再结实，墙一推就倒。

扫描之前先搞清楚：你在找什么

很多人以为漏洞扫描就是跑个Nessus或者OpenVAS，等报告出来打补丁。XP上这套流程走不通。微软不给你补丁了，扫描器能告诉你存在MS08-067漏洞，但你上哪儿下载KB958644？有些第三方网站存了离线补丁包，但来源不明，装上去可能比漏洞本身更危险。

所以XP的漏洞扫描目标要变。不是“发现漏洞然后修补”，而是“发现漏洞然后隔离”。扫描的重点应该放在：哪些端口在监听、哪些服务在跑、哪些共享目录对匿名用户开放。我见过最离谱的一台XP，445端口对公网开放，IPC$空连接能直接读C盘。这种机器不需要什么高级漏洞利用，一个脚本小子就能把它翻个底朝天。

具体怎么扫

Nmap扫端口是第一步。XP默认开135、139、445，这三个端口在局域网里就是活靶子。如果这台机器还跑着IIS 5.1或者SQL Server 2000，80和1433也开着，那攻击面大得吓人。我习惯用nmap -sV -p 135,139,445,1433,3389 <目标IP>先摸一遍，看服务版本。XP SP3的445端口如果返回Windows XP microsoft-ds，基本可以确定没打任何后续补丁。

接着用Metasploit的smb_version模块确认系统版本，再用ms08_067_netapi模块测试——注意，只在你有授权的机器上测。这个漏洞2008年公布，但2024年我还能在工厂内网里扫出一堆没打的XP。为什么？因为打补丁要重启，重启工控机可能丢配置，没人敢动。

共享目录是另一个重灾区。smbclient -L //目标IP -N，如果直接列出共享列表，说明空会话没关。再smbclient //目标IP/共享名 -N，能进去的话，里面有什么敏感文件就全看运气了。我见过把财务账套放在XP共享里的，也见过把PLC编程软件授权文件放里面的。这些文件被拿走，损失比勒索软件还大。

扫出来之后怎么办

能打补丁的打补丁——虽然微软不发了，但有些漏洞的补丁在停服前就出了，只是没装。比如MS17-010，2017年3月发的，比停服晚了三年，但确实有XP的补丁。这个补丁能挡永恒之蓝，一定要装。装不了的，用防火墙把135、139、445全封了，只留业务需要的端口。如果业务就是需要445共享，那在交换机上做ACL，只允许特定IP访问。

最彻底的办法是物理隔离。那台XP机器不连外网，不插U盘，需要传文件就用刻录光盘或者串口。听起来原始，但比中勒索软件便宜。我认识一个做CNC加工的，他的XP控制机至今还在用软盘传G代码。软盘容量小，病毒也少，反而安全。

XP不会消失。工业控制、医疗设备、收银系统里藏着大量XP，换系统的成本比中一次病毒高得多。所以漏洞扫描对XP来说不是一次性任务，是持续监控。每周扫一次端口，每月查一次共享权限，发现异常立刻断网。别指望微软，别指望杀毒软件，只能靠自己盯着。