win漏洞

2017年5月12日下午，英国国家医疗服务体系（NHS）超过三分之一的医院信托机构在几小时内陷入瘫痪。急诊室医生盯着蓝屏的电脑，手术排期系统无法访问，连病历都调不出来。这不是科幻电影，是WannaCry勒索病毒利用Windows SMB协议漏洞（MS17-010）发动的真实攻击。漏洞本身早在两个月前就被微软修补了，但那些没打补丁的机器——尤其是还在跑Windows 7甚至XP的老系统——成了活靶子。

这事让我一直记到现在。不是因为它规模大，而是因为它太典型了：一个已经发布补丁的漏洞，照样能掀翻半个国家的医疗系统。问题从来不在漏洞本身，在于人。

漏洞是怎么被“养”出来的

Windows的代码库有几十年的历史包袱。为了兼容老软件、老驱动、老协议，微软不得不保留大量遗留组件。SMBv1就是活化石级别的协议，设计之初根本没考虑过现代网络安全环境。它信任局域网内的通信，认证机制薄弱，内存管理也粗糙。结果呢？一个精心构造的数据包就能触发缓冲区溢出，让攻击者在目标机器上执行任意代码。

我翻过MS17-010的补丁说明，微软的措辞很克制，只说“修复了远程代码执行漏洞”。但安全圈的人一看就明白，这是Equation Group（据信与美国NSA有关联的黑客组织）丢出来的武器级漏洞。Shadow Brokers把工具包公开后，从漏洞公开到武器化利用，间隔不到一个月。速度之快，让很多企业的补丁周期根本追不上。

打补丁这件事，比想象中难

你可能会想，打个补丁不就完了？现实是，很多企业不能随便打。我认识一个制造业的IT管理员，他们车间里有一台关键设备跑着Windows XP，控制软件是2005年买的，厂商早就不维护了。一打补丁，软件就崩。不打，机器就裸奔。最后他们只能把这台机器从物理上隔离出网络，用U盘拷数据。这种“土办法”在工业控制领域遍地都是。

NHS的情况更复杂。不同医院信托机构各自为政，有的还在用Windows XP，有的IT预算被砍到骨头里，有的连资产清单都理不清。漏洞管理不是技术问题，是管理问题，是预算问题，是人的问题。

漏洞经济链

零日漏洞在黑市上明码标价。一个能远程攻破Windows的漏洞，价格从几万美元到几十万美元不等。Zerodium、Crowdfense这些公司公开收购，转手卖给政府客户。漏洞成了商品，发现漏洞的人成了“研究员”，利用漏洞的人成了“安全专家”。这条产业链上，防御方永远是最后知道消息的那一个。

微软的漏洞赏金计划最高给到25万美元，但跟黑市价比，还是低。更别说有些漏洞根本不会流到公开市场——它们被情报机构囤着，像子弹一样压进弹匣，等着关键时刻用。

个人能做什么

说实话，面对这种级别的漏洞，个人用户很无力。但有几件事还是得做：别用已经停止支持的Windows版本，Windows 7在2020年1月就终止支持了，继续用就是拿安全换方便；开启自动更新，别老点“稍后提醒”；备份数据，离线备份，别把鸡蛋都放在一个联网的篮子里。

我自己的习惯是，重要数据至少存两份，一份在移动硬盘，一份在云盘，但云盘那份加密。听起来有点偏执，但WannaCry那会儿，我有个朋友在高校实验室，整个实验室的论文数据被加密，最后付了比特币才拿回来。他说那感觉像被抢劫，还得笑着给钱。

Windows漏洞不会消失。代码是人写的，人就会犯错。问题在于，我们是不是每次都等到出事才想起来补窟窿。NHS那件事之后，英国政府拨了款，微软也发了补丁，但下一次呢？

很赞哦!（54）