1988年11月2日晚上，蠕虫美国康奈尔大学23岁的病毒研究生罗伯特·莫里斯把一段代码放进了互联网。半小时后，利用约6000台Unix服务器开始疯狂复制这段代码，什漏系统负载飙升，蠕虫打印机吐出乱码，病毒校园网瘫痪。利用这不是什漏蓄意破坏——莫里斯只是想写个程序统计联网主机数量，但代码里有个bug让病毒无限自我复制。蠕虫这件事后来被称为“莫里斯蠕虫”，病毒也是利用人类第一次真正领教蠕虫的威力。

蠕虫不需要一个“入口”漏洞，什漏它更像一个带着万能钥匙的蠕虫窃贼，挨家挨户试锁。病毒莫里斯蠕虫用了三个漏洞：Sendmail调试后门、利用Finger服务的缓冲区溢出，还有通过rsh/rexec的弱口令猜解。你看，它不挑食——系统漏洞、协议缺陷、人为疏忽，全是它的可乘之机。

真正让蠕虫“横行”的，是它和普通病毒的本质区别。病毒得寄生在文件里，靠用户点击激活；蠕虫却是独立运行的进程，自己会跑。它扫描网络，找到目标，利用漏洞注入代码，然后新副本继续扫描。这个过程不需要任何人工干预，像野火一样蔓延。2001年的“红色代码”蠕虫，利用微软IIS的索引服务漏洞，9小时内感染了25万台服务器。它甚至把网页改成“Hacked By Chinese!”——不过那不是中国黑客干的，只是蠕虫把漏洞利用代码里的字符串写进了被黑页面。

有些蠕虫专挑“逻辑漏洞”下手。2017年的“想哭”勒索蠕虫，利用的是美国国家安全局泄露的“永恒之蓝”漏洞。这个漏洞藏得极深——微软的SMB文件共享协议在处理特殊构造的数据包时，会错误地允许执行任意代码。更讽刺的是，微软其实在漏洞被公开前两个月就发布了补丁，但全球大量机构没及时更新。医院、学校、工厂的生产系统断网，英国国家医疗服务体系的电脑屏幕上跳出红色勒索信，要求支付300美元比特币。那些没联网的机器没事，反而是“内网隔离”成了蠕虫的帮凶——因为内网机器往往不更新补丁。

还有一类蠕虫钻的是“人性漏洞”。1999年的“梅利莎”病毒，伪装成色情网站链接的Word文档，诱导收件人打开。它不算严格意义的蠕虫，但传播方式类似——通过Outlook地址簿自动群发。有意思的是，它利用了人对“标题党”的天然好奇。这种社会工程学漏洞，到今天依然是钓鱼邮件的主要手段。

你看，蠕虫的“漏洞”从来不是单一的技术缺陷。技术漏洞可以打补丁，协议漏洞可以改设计，但人的惰性和好奇心永远补不上。莫里斯蠕虫爆发后，美国国防部建立了CERT协调中心，专门响应安全事件。可三十多年过去，每次大规模蠕虫爆发，根因还是那几样：没打补丁、弱口令、安全意识差。2019年的“永恒之蓝”变种“挖矿蠕虫”还在扫描445端口，而微软早在2017年就修复了这个漏洞。

蠕虫就像一面镜子，照出网络世界最脆弱的部分不是代码，是管理代码的人。

(责任编辑：百科)