网站蠕虫

2001年夏天，网站蠕虫我蹲在网吧的网站蠕虫破椅子上，屏幕上的网站蠕虫红色代码像水银一样流动。隔壁打CS的网站蠕虫少年突然骂了一句——他的鼠标不动了。整个网吧的网站蠕虫机器都在重启，那是网站蠕虫我第一次亲眼见到网站蠕虫发威。不是网站蠕虫电影里那种炫酷的黑客攻击，而是网站蠕虫像感冒病毒在教室里传染，一台接一台，网站蠕虫电脑屏幕集体闪烁，网站蠕虫然后黑掉。网站蠕虫

网站蠕虫和普通病毒不一样。网站蠕虫普通病毒是网站蠕虫砸你家窗户的流氓，蠕虫是网站蠕虫那种会自己撬锁、自己复制钥匙、网站蠕虫挨家挨户送钥匙的快递员。它不需要你点开什么附件，不需要你下载什么文件。只要你的网站开着端口，它就顺着网线爬进来，然后在你的服务器里找一个漏洞，把自己复制几百份，再顺着你的网络连接爬向下一台机器。2003年的Slammer蠕虫，整个互联网用了十几分钟就被它扫了个遍，全球大约七万五千台服务器中招。那年的ATM机吐不出钱，航空公司的值机系统瘫痪，韩国人的手机收不到信号——全是因为一行只有376字节的代码。

我后来在一家电商公司做过安全运维。老旧的PHP站点，后台登录页连个验证码都没有。老板觉得“我们这么小的网站谁会来攻击”，结果某个周五晚上，整个数据库被删了，首页挂着一行英文：“你的备份在哪里？”那是一次典型的蠕虫式攻击——先扫描端口，发现漏洞，植入后门，然后在凌晨三点执行删除命令。后来我们查日志，发现这个蠕虫已经在我们服务器里潜伏了四十多天，期间它一直在悄悄把用户数据往外传。

蠕虫最烦人的地方在于，它不跟你讲道理。它会变异。你封了它常用的端口，它换个端口继续爬；你打了补丁，它找新的漏洞钻。就像你家里进了蟑螂，你踩死一只，角落里还有几百只卵在孵化。更可怕的是，现在的蠕虫已经会组合利用了——先通过钓鱼邮件进来，然后利用系统漏洞提权，再横向移动，最后加密你的文件勒索赎金。2017年的WannaCry就是典型，它利用的是美国国家安全局泄露的网络武器，全球150多个国家的医院、学校、工厂，甚至中国的加油站都中招了。

但话说回来，蠕虫这东西其实挺“笨”的。它不会思考，只会按预设的逻辑执行。问题是，写这段逻辑的人很聪明。他们知道哪个版本的OpenSSL有心脏滴血漏洞，知道哪个CMS后台默认密码没改，知道哪台路由器还在用admin/admin这种弱口令。我见过最离谱的一次，是某工厂的工业控制电脑被蠕虫感染了，原因居然是那台电脑的操作系统还是Windows XP，而且连着外网——因为要远程看监控。

现在很多公司都上了防火墙、入侵检测、行为审计，但蠕虫依然在跑。为啥？因为最脆弱的环节永远是人和流程。你装了再好的安全设备，有人把U盘插进内网电脑，蠕虫就能搭便车进来。你给服务器打了所有补丁，但新上线的业务系统又用了过时的组件。蠕虫就像水，哪里有缝隙就往哪里渗。它不挑食，只要有网络，有代码，有电，它就能活着。

写这篇文章的时候，我又看了一眼安全监控后台，全球每秒钟大概有几百次端口扫描在发生。那些扫描器背后，可能就是某个蠕虫的变种在试探。说实话，我已经习惯了这种背景噪音，就像住在铁路边的人听惯了火车声。但每次半夜手机收到告警短信，我还是会爬起来看一眼——谁知道这次爬进来的，是只蟑螂，还是条眼镜蛇呢。