内容摘要：2017年5月12日，英国国家医疗服务体系NHS）旗下至少16家医院的电脑屏幕突然弹出红色窗口，要求支付价值300美元的比特币才能解锁文件。医生们被迫放下手术刀，转而用纸笔记录病历。这场混乱的源头，是

2017年5月12日，端口英国国家医疗服务体系（NHS）旗下至少16家医院的漏洞利用电脑屏幕突然弹出红色窗口，要求支付价值300美元的端口比特币才能解锁文件。医生们被迫放下手术刀，漏洞利用转而用纸笔记录病历。端口这场混乱的漏洞利用源头，是端口攻击者扫描到一台未打补丁的Windows机器上开放的445端口，然后丢进了一个叫“永恒之蓝”的漏洞利用漏洞利用工具。

445端口是端口Windows系统里SMB协议（服务器消息块）的默认通信端口。它原本是漏洞利用为了让局域网内的机器共享文件、打印机和串口设备。端口问题在于，漏洞利用这个协议从设计之初就假定“内网是端口可信的”。早期Windows版本里，漏洞利用SMB的端口身份验证机制薄弱得可怜，甚至有些配置下根本不需要密码。攻击者一旦能连上445端口，就能尝试各种手段：空会话枚举用户列表、暴力破解共享密码、利用远程代码执行漏洞直接拿shell。

“永恒之蓝”不是第一个也不是最后一个。更早的MS08-067（Conficker蠕虫）同样通过445端口传播，感染了超过900万台电脑。但“永恒之蓝”的特别之处在于，它是美国国家安全局（NSA）开发的武器，后来被“影子经纪人”黑客组织泄露到网上。一个NSA级别的漏洞利用工具，配上自动扫描传播的蠕虫代码，效果就像把军用级炸药交给了一群街头混混。

漏洞利用的过程其实不复杂。攻击者用扫描器（比如masscan）在互联网上搜索开放445端口的IP，然后发送特制的SMB数据包。这个数据包会触发Windows内核里srv.sys驱动的一个缓冲区溢出，覆盖掉返回地址，最终执行攻击者注入的shellcode。shellcode通常只做一件事：从远程服务器下载真正的恶意载荷，比如勒索软件或者挖矿程序。整个过程在几秒内完成，受害者连弹窗都来不及看清。

为什么445端口至今还在惹麻烦？因为太多企业内网依赖它。文件共享、域控认证、打印机队列——这些日常操作都绕不开SMB。关掉445端口，很多业务直接瘫痪。更麻烦的是，很多老旧设备（比如Windows Server 2003、XP）根本没有官方补丁，或者管理员不敢重启生产服务器。我见过一家工厂的工控机跑着Windows 2000，445端口敞开着，因为那台机器控制着一条价值千万的生产线，停机打补丁的损失比被勒索还大。

临时缓解措施倒是有几个。在防火墙层面阻断来自外网的445端口访问，这是最基本的。内网可以用IPsec策略只允许特定主机通信。微软后来在Windows 10和Server 2016里默认禁用了SMBv1，算是一大进步。但真正有效的办法只有两个：要么打补丁，要么把那些老系统从网络上隔离出去。别指望杀毒软件能拦住“永恒之蓝”，它利用的是系统级漏洞，杀软还没加载完，机器已经中招了。

有个细节挺讽刺。NSA开发“永恒之蓝”的时候，肯定知道这个漏洞有多危险。他们选择不向微软报告，而是留着自己用。等到漏洞泄露，全球遭殃。这就像造了一把万能钥匙，然后不小心把它丢在了街上。安全圈里有人开玩笑说，如果NSA早点把漏洞报给微软，WannaCry可能根本不会发生。但玩笑归玩笑，现实是：只要还有系统开着445端口，就永远有人会去捅那个窟窿。

最后说个真事。我认识一个运维，他们公司内网有台Windows 7的测试机，445端口开着，补丁没打。某天凌晨三点，机器突然开始疯狂扫描内网其他IP。他爬起来一看，机器已经被种了挖矿木马，CPU占用100%。清理完之后他问领导能不能关掉445，领导说“再等等，业务部门要用共享文件夹”。结果两周后，整个财务部的电脑都被加密了。有时候漏洞不在系统里，在人的脑子里。