Win7漏洞修复工具：别急着装，洞修先看看它到底在修什么

我把一台老旧的复工ThinkPad从仓库翻出来，开机后系统提示“Windows 7已停止安全更新”。洞修屏幕上弹出一个第三方“漏洞修复工具”的复工推荐框，红色感叹号晃得人眼晕。洞修我点了“忽略”，复工然后手动打开控制面板里的洞修Windows Update——结果它转圈五分钟，最后告诉我“无法连接更新服务”。复工
这就是洞修Win7用户的日常：官方通道堵死，第三方工具趁机涌上来。复工

这些工具确实能干点实事。洞修比如“360漏洞修复”或“腾讯电脑管家”里的复工补丁模块，它们会扫描系统缺失的洞修KB编号补丁，然后从自家服务器下载安装。复工我试过一次，洞修它确实能补上那个著名的“永恒之蓝”漏洞（MS17-010），也就是当年勒索病毒WannaCry的入口。装上后，我再拿端口扫描器测445端口，响应直接变沉默。
但问题在于，工具不会告诉你它装的是“替代补丁”还是“精简补丁”。

有回我给一台Win7装了个小众修复工具，它一口气打了四十多个补丁，重启后系统直接蓝屏。进安全模式查日志，发现它把两个互斥的更新（KB3125574和KB3172605）强行塞了进去——这俩货在微软官方序列里是“二选一”的关系，工具却不管三七二十一全给装上。后来我手动卸载其中一个，系统才恢复。第三方工具为了显示“修复数量多”，往往会忽略补丁间的依赖冲突。

更隐蔽的问题是“假修复”。某些工具会篡改系统文件版本号，让检测程序误以为补丁已安装。比如它把ntdll.dll的版本从6.1.7601改成6.1.7602，然后告诉你说“漏洞已修复”。实际上核心代码根本没动，该暴露的端口还是暴露着。我拿Metasploit框架试过，一个未打补丁的SMB漏洞照样能打穿。这种工具纯粹是心理安慰剂，甚至可能预留后门——毕竟它需要系统最高权限才能改文件。

那怎么办？我的建议分两步。第一步，去微软更新目录网站（catalog.update.microsoft.com）手动搜KB编号，下载对应补丁包。这个网站至今仍开放Win7补丁下载，只是不再自动推送。第二步，如果嫌麻烦，就用工具但必须选大厂的——至少它们的补丁库是人工审核过的，不会乱塞冲突包。我目前留了一台Win7做测试机，只用“联想驱动管理”里的补丁功能，它只推微软官方原版补丁，从不自作主张加料。

最后说个细节。你打开工具时注意看它扫描的“漏洞数”——如果显示200多个漏洞，基本可以断定是虚报。Win7停止支持前，累计发布的有效安全补丁也就150个左右，而且很多已被后续更新替代。工具把“缺失的替代补丁”也算作漏洞，纯粹是吓唬你。真正靠谱的工具，会明确区分“安全更新”和“功能更新”，并且告诉你“此补丁已被KBxxxxxx替代，无需安装”。
修Win7就像补旧船，堵漏之前先看清哪个洞是真实的，哪个只是油漆剥落。工具只是扳手，判断力还得自己握。