内容摘要：扫描技术是蠕虫病毒得以肆虐的“眼睛”。没有它，蠕虫就是个瞎子，只能被动等待宿主上门。1988年的莫里斯蠕虫，就是靠扫描互联网上的主机漏洞，一口气感染了六千台机器——当时整个互联网才六万台主机。这玩意儿

扫描技术是扫描蠕虫病毒得以肆虐的“眼睛”。没有它，技术蠕虫就是蠕虫个瞎子，只能被动等待宿主上门。病毒1988年的扫描莫里斯蠕虫，就是技术靠扫描互联网上的主机漏洞，一口气感染了六千台机器——当时整个互联网才六万台主机。蠕虫这玩意儿一夜之间让美国国防部差点瘫痪，病毒不是扫描因为它代码多精妙，而是技术它扫描得够快、够准。蠕虫

蠕虫的病毒扫描逻辑其实很粗暴。它不像黑客那样有明确目标，扫描更像一个拿着万能钥匙挨家挨户试锁的技术贼。经典的蠕虫“随机扫描”策略，就是让蠕虫随机生成IP地址，然后挨个探测端口。2003年的Slammer蠕虫把这一招玩到了极致——它用单包UDP扫描，不建立完整连接，每秒能扫出七万五千个目标。结果呢？全球互联网在十五分钟内就出现大面积瘫痪，韩国全国断网，ATM机集体罢工。我当年在网吧正打游戏，突然整个网吧的机器同时蓝屏，老板还以为电压不稳，其实那是Slammer在扫描时把路由器流量全占满了。

但单纯的随机扫描效率其实很低，因为IP地址空间有43亿个，大部分是空号。聪明的蠕虫会用“选择性扫描”——专挑IP段密集的区域下手。比如B类地址段，通常分配给大型机构，里面主机多、防御弱。Conficker蠕虫就爱这么干，它把扫描目标锁定在校园网和企业内网，因为这些地方用Windows系统且不常打补丁。我见过一个案例，某大学机房有三百台电脑，一台中了Conficker，半小时内扫遍整个B段，把同网段的打印机和路由器全给拖下水了。

扫描技术本身还在进化。传统的全端口扫描慢得像爬，现在蠕虫改用“分布式扫描”——让被感染的机器各自负责一段IP，相当于组建了一支扫描军团。WannaCry勒索病毒就是典范，它利用永恒之蓝漏洞扫描445端口，每台中招的电脑都会变成新的扫描器，同时攻击局域网和随机外网IP。那阵子我帮朋友修电脑，发现他公司里只要有一台没打补丁的XP系统，整个办公室的Windows 7全得遭殃，因为蠕虫在局域网里扫描时根本不走路由器，直接靠ARP协议在二层网络里横冲直撞，防火墙根本拦不住。

扫描还有个致命特点：它会暴露攻击意图。安全人员就是靠监视扫描流量来预警的。但蠕虫也不傻，有些会伪装成正常HTTP请求，或者故意放慢扫描速度，绕过低速阈值报警。比如某个变种，每分钟只扫两个IP，三天才完成一轮探测，传统IDS根本不会把它当威胁。这就像小偷在你家门口蹲点，不撬锁、不翻墙，就每天路过看几眼，等你哪天忘记关窗户。

说到底，扫描技术决定了蠕虫的传播半径和破坏力。防御方要做的，不是等扫描发生后再去封堵，而是提前把该打的补丁打上、该关的端口关掉。毕竟蠕虫的扫描器永远不会累，但人总会松懈。我见过太多企业，防火墙配置得固若金汤，结果内网一台老旧服务器忘了更新，就成了蠕虫的跳板——扫描器才不管你是核心数据库还是打印室的老爷机，它只看哪扇门没锁。