上周帮朋友修电脑，查杀一台用了三年的计算机病笔记本，开机要四分半，毒修洞风扇像拖拉机。补系我打开任务管理器一看，统漏CPU占用率长期在80%以上，查杀一个叫“svchost.exe”的计算机病进程吃掉了大半资源。但真正的毒修洞svchost不会这样。我顺着路径找过去，补系发现它藏在C:\Users\Public\Documents\目录下，统漏图标伪装成系统文件，查杀数字签名一栏是计算机病空的。这就是毒修洞典型的挖矿木马，利用系统漏洞进来的补系。

很多人以为装了杀毒软件就万事大吉。统漏杀毒软件确实能查杀已知病毒，但病毒库更新永远滞后于新病毒的出现。真正有效的防线是补丁。微软每个月第二个周二发布安全更新，这个习惯从2003年延续至今。可我发现周围至少一半的人，系统更新是关闭的。理由无非是“怕影响工作”“更新完变卡”“弹窗太烦”。去年爆发的WannaCry勒索病毒，利用的是NSA泄露的“永恒之蓝”漏洞，微软在两个月前就发布了补丁。那些中招的机器，几乎都是没打补丁的Windows 7。

修补漏洞这件事，说到底是和攻击者抢时间。攻击者扫描到一个开放端口，尝试利用已知漏洞，整个过程可能只需要几秒钟。自动化的攻击工具在网上随处可见，不需要多高深的技术。我见过一个案例：某公司内网一台测试服务器，管理员觉得“内网安全”就没打补丁，结果被入侵后成了跳板，攻击者横向移动，最终控制了整个域控。损失的数据价值，够买几百台新服务器。

查杀病毒和修补漏洞，这两件事要分开看。查杀是事后补救，修补是事前预防。但很多人把顺序搞反了——等到中毒了才想起装杀毒软件，却从不主动检查系统更新。我的习惯是：每周手动点一次Windows Update，看看有没有遗漏的补丁；每月用离线病毒库全盘扫描一次；每季度检查一遍开机启动项和计划任务。听起来麻烦，但总共花不了二十分钟。比起系统崩溃后重装、恢复数据、改各种密码的时间，这点投入太划算了。

有个细节值得说：很多病毒会主动关闭系统更新服务。你以为是“更新失败”，其实是恶意程序在阻止你修补漏洞。遇到这种情况，先断网，再用PE盘启动，把更新服务重新开启。光靠杀毒软件删掉病毒文件没用，漏洞还在，下次照样中招。这就好比屋顶漏水，你拿盆接水（杀毒）不如上去补瓦（打补丁）。

普通用户不需要懂太多技术细节。记住三件事：系统更新别关，杀毒软件保持开启，来历不明的邮件附件和U盘别乱点。企业用户再加一条：内网也要打补丁，别信“隔离就安全”那套。我见过太多“隔离”的网络，因为一台笔记本连了手机热点，整个防线就塌了。

最后说个真实数据：微软安全响应中心统计过，打过最新补丁的系统，被成功攻击的概率下降97%。这个数字比任何杀毒软件的拦截率都高。病毒在变，漏洞在变，但防御的逻辑没变——堵住已知的洞，比追着未知的病毒跑更有效。