上周帮朋友修电脑，安装一台用了四年的漏洞联想小新，开机后风扇狂转，安装任务管理器里有个叫“svchost.exe”的漏洞进程吃掉了40%的CPU。他问我是安装不是中毒了。我扫了一眼，漏洞说先别急，安装装个漏洞查看器看看。漏洞

很多人不知道，安装Windows系统里藏着一堆没打补丁的漏洞漏洞。不是安装微软不想修，是漏洞有些补丁会跟企业软件冲突，或者用户自己关了自动更新。安装漏洞查看器干的漏洞事很简单：把系统里所有已安装的更新列出来，跟微软官方漏洞库比对，安装告诉你哪个CVE编号还没补上。

我常用的是Windows Update MiniTool

这工具绿色免安装，双击就跑。界面丑得跟2005年的软件似的，但数据准。点“已安装更新”标签页，它会拉出所有KB编号。再切到“漏洞扫描”，等两三分钟，红色条目就是缺失的补丁。我朋友那台机器扫出来17个高危漏洞，最早的一个是2019年的SMB协议漏洞，能被远程执行代码。

他瞪大眼睛：“四年没打补丁？”我说你肯定用了什么“优化大师”把更新服务禁用了。他挠头笑。

另一个选择是Nessus Essentials，免费版能扫16个IP。但那是给小型网络用的，单机装它有点杀鸡用牛刀。而且Nessus扫漏洞依赖插件更新，第一次用要等半小时下载插件库。急性子的人受不了。

安装过程有个坑

Windows Update MiniTool需要.NET Framework 4.5以上。Win10自带4.8，没问题。但如果你还在用Win7，得先手动装.NET。我见过有人在虚拟机里跑Win7，双击工具没反应，骂骂咧咧说软件垃圾。其实是缺运行库。

下载渠道也乱。百度搜出来的前三个链接全是捆绑安装。真正的原版在MajorGeeks或者GitHub的存档仓库里。文件大小不到2MB，解压后只有一个exe和两个dll。如果你下到的压缩包有10MB，里面肯定塞了全家桶。

扫出漏洞之后怎么办

别一键修复。我吃过亏。去年在一台老服务器上扫出“永恒之蓝”漏洞，手贱点了自动更新，结果重启后SQL Server服务起不来了。补丁跟数据库驱动冲突。正确做法是：先看漏洞描述，判断攻击面。如果是内网机器，又不开放445端口，那个SMB漏洞可以缓一缓。如果是暴露在公网的Web服务器，那就得连夜打补丁，哪怕冒着重启失败的风险。

还有个细节：漏洞查看器显示的“缺失补丁”不一定都要装。微软有些补丁是替代关系，装了最新的累积更新，旧补丁自动失效。工具如果数据库没更新，会误报。所以扫完最好去微软安全响应中心官网核对一下CVE编号的发布日期。

我自己的习惯是每季度扫一次。笔记本还好，自动更新开着基本不漏。但那些测试机、虚拟机、老旧的工控机，才是漏洞重灾区。上个月扫出一台2013年的戴尔台式机，XP系统，37个高危漏洞。那台机器还连着车间的PLC。我说这玩意儿别联网了，物理隔离吧。厂里的技术员说不行，要传数据。最后折中方案：装了个防火墙规则，只允许特定IP访问。

漏洞查看器不是杀毒软件。它不拦攻击，只告诉你哪儿有洞。装完扫完，该打的补丁还得打。别指望一个2MB的小工具能保你平安。