网络蠕虫的传播途径

网络蠕虫的网络传播途径

2001年7月19日，红色代码蠕虫在九小时内感染了超过25万台服务器。蠕虫我没记错的播途话，当时连白宫网站都挂了。网络这个数字在今天看来不算什么，蠕虫但你要知道，播途那会儿全球网民总数才不过五亿。网络

蠕虫不是蠕虫病毒。病毒需要宿主文件，播途得等人点击才发作。网络蠕虫自己会跑，蠕虫它不依赖任何人为操作。播途这是网络本质区别——蠕虫是主动攻击者，病毒是蠕虫被动潜伏者。

最常见的播途传播通道是网络共享端口。Windows系统的445端口，历史上被蠕虫用了无数次。2003年的冲击波蠕虫，就是扫描整个网段内开放445端口的机器，然后通过缓冲区溢出漏洞打进去。感染一台，立刻以它为跳板，继续扫下一个IP段。像不像连环爆炸？每台被攻破的机器都变成新的炸弹。

邮件是另一条老路。我见过最狡猾的蠕虫会把自身拆成几十个片段，每个片段伪装成不同附件，分别发给同一收件人。收件人只下载了其中一部分，可能根本看不出异常。但当所有片段凑齐，系统里某个看似无害的脚本会被触发，把这些碎片重新拼装，激活蠕虫。这种手法在2000年代很流行，现在反而少了——因为现在的邮件网关会扫描所有附件内容。

移动存储介质这条途径，在物理隔离内网里格外致命。2010年的震网病毒，最初就是通过U盘混入伊朗纳坦兹核设施的。内网不连外网，但人总得往里带东西。U盘一插，蠕虫就进去了。它不急着发作，先在内网里横向扩散，找到控制离心机的那台工程师工作站才动手。整个过程持续了数月，没人察觉。

这几年，云服务成了新温床。容器镜像仓库、对象存储桶、甚至CI/CD流水线，都可能成为蠕虫的跳板。有个真实案例：黑客在公共Docker镜像里藏了挖矿蠕虫，谁pull下来运行，就被感染。然后这个容器会主动扫描同一Kubernetes集群里的其他节点，横向移动。你以为是开发环境，其实已经是蠕虫的繁殖场。

传播速度上，现代蠕虫利用的是自动化扫描加漏洞利用组合拳。一台肉鸡一秒钟可以探测上百个IP，配合全球IPv6地址空间的大规模部署，蠕虫的搜索半径比以前大得多。更麻烦的是，现在很多物联网设备常年在线，固件从不更新，简直是蠕虫的完美宿主。

说到底，蠕虫能传播，靠的是网络世界里的“信任”。端口开放意味着信任连接请求，邮件系统信任附件格式，内网信任U盘来源，容器镜像信任发布者。每一个信任点被突破，蠕虫就往前爬一步。安全补丁永远追不上新漏洞，但蠕虫不会累，它只是沿着最省力的路径一直往前。

我手机里存着一张2017年WannaCry爆发时的监控截图，全球感染地图一片红点。那晚我在机房值班，亲眼看着几台测试服务器陆续中招，屏幕弹出自带的勒索框。它们之间没有任何人为操作，就是自己传染过去的。那个画面比任何技术文档都让人印象深刻——蠕虫传播的本质，其实是对整个网络生态最直接的体检报告。