内容摘要：1988年11月2日晚上，康奈尔大学的研究生罗伯特·莫里斯把一段代码放进了互联网。他本意是想测测网络有多大，结果这段代码像滴进清水里的墨汁，迅速晕染开来。六千台电脑接连趴窝，其中包括哈佛、麻省理工、N

1988年11月2日晚上，蠕虫漏洞康奈尔大学的蠕虫漏洞研究生罗伯特·莫里斯把一段代码放进了互联网。他本意是蠕虫漏洞想测测网络有多大，结果这段代码像滴进清水里的蠕虫漏洞墨汁，迅速晕染开来。蠕虫漏洞六千台电脑接连趴窝，蠕虫漏洞其中包括哈佛、蠕虫漏洞麻省理工、蠕虫漏洞NASA的蠕虫漏洞机器。系统管理员们眼睁睁看着自己的蠕虫漏洞机器CPU占用率飙到99%，键盘敲下去毫无反应，蠕虫漏洞只能拔电源。蠕虫漏洞

这是蠕虫漏洞蠕虫第一次登上历史舞台。跟病毒不一样，蠕虫漏洞它不需要宿主文件，蠕虫漏洞自己就能在网络上爬行复制。像一条看不见的蛇，顺着网线从一个机器滑到另一个机器。莫里斯后来被判了三年缓刑和一万美金罚款，但他无意间打开了一扇门——门后面站着的是后来所有的勒索软件、僵尸网络、挖矿木马。

蠕虫最阴险的地方在于它的传播方式。它不靠欺骗用户点击，专挑系统漏洞下手。2017年的WannaCry就是个典型例子，它利用的是微软一个已经打了补丁的漏洞，但全球仍有大量机器没更新。英国国民医疗服务体系的电脑被锁，手术被迫取消；中石油的加油站无法刷卡；中国多所高校的毕业生论文被加密。整个事件里最讽刺的是，攻击者只用了几个月的开发时间，防御方却要花数年去修复那些从不更新系统的单位。

我在一家中型企业做过安全运维。老板觉得装了防火墙就万事大吉，但蠕虫根本不从防火墙走——它走的是员工把U盘插进电脑那一刻。2019年我们公司中过一次招，源头是财务部一台老旧的XP系统机器，那台机器连着打印机，打印机又连着内网交换机。蠕虫从U盘进入，在内网里横向移动，三天后全公司四百多台电脑都出现了同一个症状：桌面壁纸变成红色，弹窗要求支付三个比特币。

事后排查发现，那台XP机器上有个2015年的漏洞，微软早就停止支持了。我们花了两周时间逐台打补丁，期间业务停摆，损失大概够买五十台新电脑。你说这账怎么算？省下来的升级费用，最后翻着倍还回去。

蠕虫攻击的本质是一场军备竞赛。漏洞是武器，补丁是盾牌。但现实是，很多人连盾牌都懒得举。IoT设备崛起后情况更糟——摄像头、路由器、智能门锁，这些设备几乎没有安全防护，却都连着网络。Mirai蠕虫在2016年把美国东海岸的DNS服务商打瘫痪，用的就是几十万台被劫持的摄像头。那些摄像头的主人可能到现在都不知道自己的设备参与了一场网络攻击。

有意思的是，蠕虫技术本身也在进化。现在的蠕虫会伪装成正常流量，会利用机器学习躲避检测，甚至会自我删除痕迹。安全厂商和攻击者之间的猫鼠游戏越来越高端，但最基础的防线依然是那件老掉牙的事：及时打补丁，关掉不必要的端口，别用默认密码。

说到底，蠕虫不是技术问题，是人性问题。它专门攻击那些“觉得不会出事”的人。每次蠕虫爆发后，总有一批人跳出来说要加强安全意识，然后过几个月又恢复原样。直到下一次爆发，再重复同样的流程。

别嫌我说话难听，如果你现在还没把系统更新设为自动，那你的机器就是蠕虫的潜在温床。不是危言耸听，只是时间问题。