永恒之蓝利用的永恒是SMBv1服务的445端口。就这么直接，漏洞利用没别的什端花活。

2017年那场席卷全球的永恒WannaCry勒索病毒，就是漏洞利用通过这个端口像野火一样烧起来的。当时英国NHS医院的什端电脑一台接一台锁屏，手术被迫取消，永恒德国铁路系统瘫痪，漏洞利用中石油加油站断网——全世界的什端目光都盯在屏幕上那个红底白字的勒索信上。而这一切的永恒入口，就是漏洞利用Windows系统默认开放的445端口。

这个端口本来是什端给局域网文件共享用的。你公司里那台共享打印机，永恒同事之间互传文档，漏洞利用走的什端都是它。问题出在SMBv1这个老协议上——它太老了，老到微软自己都懒得给它打补丁，却默认装在每一个Windows系统里。永恒之蓝利用的，正是SMBv1处理特制数据包时的缓冲区溢出漏洞。

攻击者只要向目标机器的445端口发送一串精心构造的数据，就能在系统内核里执行任意代码。更狠的是，这个漏洞还被设计成可蠕虫传播——一台机器中招，它就会自动扫描局域网内其他开放445端口的机器，继续感染。就像流感，一个喷嚏传一片。

我见过最讽刺的案例是，2019年某大型制造企业的内网被永恒之蓝反复扫荡，IT部门查来查去，最后发现源头是一台老旧的Windows XP工控机——它连着生产线的PLC，没法打补丁，又必须开着445端口跟其他设备通信。那台机器就像一扇没上锁的后门，黑客进出自如。

所以别问“为什么不用其他端口”。SMBv1的历史包袱太重，很多老旧设备、工业软件、打印机固件都绑死在445上。微软后来虽然发布了MS17-010补丁，甚至对已经停止支持的XP和Server 2003都破例更新，但现实世界里的系统远比想象中复杂。有些机器因为兼容性问题不敢打补丁，有些纯粹是IT管理员懒——直到被勒索了才哭天抢地。

要防住这个漏洞，最直接的办法就是关掉445端口。在防火墙规则里把入站连接拦死，或者干脆禁用SMBv1服务。对于必须使用SMB的场景，升级到SMBv3并启用签名和加密。但说实话，最有效的手段还是打补丁——MS17-010发布快八年了，现在还没打补丁的系统，就像大街上不锁门还贴了张“家里有金条”的告示。

顺带一提，永恒之蓝的泄露源是美国国家安全局的Equation Group，2017年被Shadow Brokers黑客组织公之于众。微软在漏洞公开前其实已经提前收到情报并发布了补丁——但没打的系统太多了。现实就是这么残酷：安全工具永远跑在漏洞利用前面，但跑不过人的惰性。