内容摘要：Windows 7 停更那年，我手里还有三台老机器在跑。一台收银，一台接雕刻机，还有一台专门给财务开票。微软说不再发补丁，可这些机器上的软件，换不掉。 漏洞不会因为微软不管就消失。2017年“永恒之蓝

Windows 7 停更那年，统漏我手里还有三台老机器在跑。洞修一台收银，统漏一台接雕刻机，洞修还有一台专门给财务开票。统漏微软说不再发补丁，洞修可这些机器上的统漏软件，换不掉。洞修

漏洞不会因为微软不管就消失。统漏2017年“永恒之蓝”爆发那天，洞修我眼睁睁看着隔壁公司整个内网被锁，统漏屏幕上跳着比特币地址。洞修他们的统漏系统就是Win7，没打MS17-010补丁。洞修那会儿离微软停更还有三年，统漏但很多人压根没开自动更新。补丁这东西，平时感觉不到，出事就是大事。

先说个最直接的：能升级就升级。这话听着像废话，但真有人死扛。我见过一个设计工作室，六台机器全Win7，理由是新版PS跑不动。后来我帮他们试了Win10 LTSC，装完PS 2018流畅得很。硬件没那么老，只是没人愿意折腾。升级前把重要数据备份到移动硬盘，别偷懒用系统自带迁移工具，那玩意儿经常漏文件。装完新系统，旧硬盘别格，挂上去当从盘，用几天确认没问题再处理。

升不了级的，比如那台接雕刻机的，只能硬扛。我的做法是物理隔离。这台机器不连外网，局域网里也只跟一台中转机通信。中转机装Linux，专门收文件。U盘？绝对不用。雕刻机操作员要传图纸，走中转机的共享文件夹。听起来麻烦，但比中勒索病毒强。有次操作员图省事插了手机，第二天机器就弹广告窗。重装花了半天，图纸全丢。从那以后，机箱USB口用热熔胶封了。

补丁这块，微软停更后有个“非官方”方案：0patch。这平台给Win7提供关键漏洞的微补丁，比如后来的BlueKeep。一年几十美元，比换设备便宜。我三台机器都装了，内存占用小，不影响雕刻软件运行。但说清楚，这不是微软官方支持，属于第三方兜底。装之前先打全微软最后那批补丁，别跳过。

杀毒软件别用那些花哨的。Win7上我试过火绒，安静，不弹窗，资源占用低。360也装过，但老机器跑起来卡，还总推荐装全家桶。火绒有个“漏洞修复”功能，能扫出系统缺失的补丁，但别全信，有些补丁装了反而蓝屏。我一般手动筛选，只装安全更新，驱动和功能更新跳过。装完重启，进系统看事件查看器，有报错就回滚。

浏览器是另一个大坑。IE早就不安全了，Chrome也停止支持Win7。现在能用的是Firefox ESR 115，官方支持到2024年9月。之后呢？只能换第三方编译版，比如Mypal或者K-Meleon。这些浏览器更新慢，但至少能打开现代网页。别用那些来路不明的“Win7专用浏览器”，很多绑了挖矿脚本。我中过一次，CPU直接跑满，风扇狂转。

还有个细节：关闭SMBv1。这协议老掉牙，永恒之蓝就靠它传播。控制面板→程序→启用或关闭Windows功能，找到SMB 1.0/CIFS文件共享支持，取消勾选。重启后局域网共享可能受影响，但安全第一。如果非要共享，改用SMBv2或v3，Win7默认支持，只是没开。注册表里改个键值就行，具体路径网上有，但改之前导出备份。

最后说个真实案例。去年一个客户找我，说财务电脑中病毒，文件全变.onion后缀。那台机器就是Win7，没打补丁，还开着远程桌面。我过去一看，远程桌面端口3389直接暴露在公网，密码是“123456”。病毒从扫描到加密，不到十分钟。数据没备份，最后花了三千找数据恢复公司，只救回一半。后来我给他重装系统，关了远程桌面，装了火绒，打了0patch，现在一年多了没再出事。

Win7不是不能用，但得清楚它在裸奔。要么花钱买第三方补丁服务，要么花时间做隔离和备份。最怕的是既不打补丁，又不备份，还觉得“我这机器没人盯”。病毒可不挑目标，它只挑漏洞。