永恒之蓝是漏洞还是病毒

2017年5月12日，我正蹲在工位上啃三明治，漏洞手机突然开始疯狂弹窗。还病英国那边朋友发来消息，永恒说NHS的漏洞电脑全蓝屏了，急诊室排班系统瘫痪，还病医生拿着纸笔手动记录病人信息。永恒同一时间，漏洞国内高校的还病校园网也炸了锅，实验室的永恒服务器、图书馆的漏洞借阅机、甚至食堂的还病刷卡机，一个接一个变成蓝底白字的永恒“想哭”画面。那天下午，漏洞我头一回听说“永恒之蓝”这个词。还病

它到底是个漏洞，还是个病毒？这个问题乍看像在问“刀是凶器还是铁块”。永恒之蓝本身是一段代码，准确说，是美国国家安全局（NSA）开发的网络武器，代号EternalBlue。它利用的是Windows系统SMB协议里的一个漏洞——微软在2017年3月已经发了补丁MS17-010，但太多人没装。NSA把它捏在手里好几年，直到被黑客组织“影子经纪人”偷出来公开。所以永恒之蓝的原始身份，是漏洞利用工具，不是病毒。

但事情没那么简单。WannaCry勒索病毒把永恒之蓝当成了传播引擎。你一旦中招，电脑里的文件全被加密，屏幕上跳出一个红色倒计时，要你付价值300美元的比特币。病毒是那个勒索软件，永恒之蓝是它撬锁的那根铁丝。铁丝本身不杀人，可当它被塞进成千上万台没打补丁的机器里，后果就是全球20多万台电脑瘫痪，医院取消手术，工厂停产，快递卡在分拣中心。这时候你说永恒之蓝只是个漏洞，显然低估了它的破坏力。

我后来翻过NSA的泄露文档，里面把永恒之蓝归类为“网络武器”。武器和漏洞的区别在哪？漏洞是墙上的裂缝，武器是专门用来撬开裂缝的撬棍。裂缝本身无害，撬棍也只是一根铁棍，可当撬棍被批量复制、分发到每个小偷手里，裂缝就成了灾难的入口。WannaCry的作者把永恒之蓝和勒索模块打包，做成一个自动扫描、自动感染、自动加密的蠕虫。它不需要你点任何链接，只要你的电脑开着445端口，没打补丁，它就能自己钻进来。

有个细节挺讽刺。微软早在2017年3月就发了补丁，但很多机构懒得更新。NHS的IT系统老旧得离谱，有些机器还在跑Windows XP。永恒之蓝利用的漏洞在XP上同样有效，而微软对XP的支持早就停了。所以当病毒来袭，那些没打补丁的机器就像没关窗户的屋子，永恒之蓝是风，WannaCry是跟着风飘进来的火。风本身不烧东西，可没有风，火也蔓延不了那么快。

我认识一个高校网管，他跟我说那天下午他正在开会，手机突然被同事打爆。实验室的服务器全挂了，里面存着三年的实验数据。他冲回机房，拔网线、关交换机，折腾到半夜。后来他查日志，发现第一台中招的机器是一个研究生的笔记本，那台电脑连过校园网，445端口开着，补丁没打。永恒之蓝从那台笔记本开始，像藤蔓一样爬遍了整个机房。他说：“我恨的不是病毒，是那个漏洞。病毒还能杀，漏洞不补，下次换个病毒照样进来。”

所以回到标题。永恒之蓝是漏洞吗？是，它的本质是一个SMB漏洞的利用代码。它是病毒吗？不是，它没有自我复制和加密文件的能力。可它被武器化之后，成了WannaCry的翅膀。你没法简单说它是漏洞还是病毒，就像你没法说火药是烟花还是炮弹。取决于谁在用，怎么用，以及你有没有把窗户关上。

2017年那个夏天之后，我养成了一个习惯：每台新电脑到手，第一件事就是关掉445端口，第二件事是检查补丁。永恒之蓝教会我的不是区分漏洞和病毒，而是别等墙塌了才想起补裂缝。那些没打补丁的机器，现在还在某个角落开着445端口，等着下一阵风。