内容摘要：2017年5月12日，英国一名22岁的网络安全研究员在推特上发了一句话：“Oops。”配图是一台被锁死的Windows电脑，屏幕上弹着红色窗口，要求支付价值300美元的比特币。他叫Marcus Hut

2017年5月12日，控漏英国一名22岁的控漏网络安全研究员在推特上发了一句话：“Oops。”配图是控漏一台被锁死的Windows电脑，屏幕上弹着红色窗口，控漏要求支付价值300美元的控漏比特币。他叫Marcus Hutchins，控漏当时正在分析一个叫WannaCry的控漏样本。几小时后，控漏全球超过20万台Windows机器沦陷，控漏英国NHS的控漏急诊系统瘫痪，手术取消，控漏救护车被拒之门外。控漏这不是控漏电影，是控漏真实发生的。

WannaCry利用的控漏漏洞叫EternalBlue，来自美国国家安全局（NSA）的武器库。NSA早在2016年就发现了这个SMB协议漏洞，但没通知微软，而是留着自己用。直到黑客组织Shadow Brokers把工具包泄露到网上，微软才在2017年3月发了补丁MS17-010。但两个月的时间差，足够让还没打补丁的机器变成肉鸡。问题的根子不在技术，在于“漏洞囤积”这件事本身——你留着不修，别人偷了就能当核弹用。

Windows远控漏洞分几类。最粗暴的是RDP（远程桌面协议）爆破。很多服务器开着3389端口，管理员密码设成“admin123”，攻击者用Nmap扫一遍全网，拿Hydra跑字典，几分钟就能登进去。我见过一个案例：某公司财务服务器被远控，攻击者没装任何恶意软件，就用系统自带的远程桌面连上去，把工资表里的银行账号全改了。系统日志里干干净净，因为人家用的是合法登录。

更隐蔽的是利用SMB、NetBIOS这些老协议。Windows默认开着445端口，EternalBlue就是打这个。微软后来在Windows 10里默认关闭了SMBv1，但企业内网里一堆Windows 7、Server 2008还在跑，因为业务系统不敢升级。我在一次渗透测试里试过，用Metasploit的ms17_010_eternalblue模块打一台没打补丁的Server 2008，反弹shell直接拿到SYSTEM权限。整个过程不到30秒。

还有一类是RDP中间人劫持。攻击者在网络里做ARP欺骗，把流量导到自己机器上，再用sethc.exe替换法——把粘滞键程序换成cmd.exe，在登录界面按五次Shift就能弹出命令行。这招在物理接触机器时也能用，拿个U盘启动PE系统，改掉系统文件，重启后就能无密码进系统。微软后来加了“受限管理员模式”来防这个，但老系统照样中招。

防御这事，说复杂也复杂，说简单就三条。第一，别把RDP直接暴露在公网。要远程办公就上VPN，或者用RD Gateway。第二，补丁要打，但别瞎打。测试环境先跑一遍，确认业务系统不崩再推生产。第三，开RDP的机器别用弱密码，启用网络级认证（NLA），再配个账户锁定策略——输错五次就锁半小时，爆破成本直接拉满。

微软这些年其实做了不少事。Windows 10默认开Credential Guard，防哈希传递；Windows 11强制TPM 2.0，防物理接触攻击；Defender ATP能检测异常RDP登录行为。但企业里跑着的Windows 7、Server 2012还有一大把，这些系统早就不支持了，漏洞只能靠防火墙和网络隔离硬扛。我见过最离谱的：一台Windows XP机器还在跑生产控制软件，网线直接插在交换机上，连防火墙都没有。问为什么不升级，答“软件厂商倒闭了，没人做兼容”。

远控漏洞不会消失。只要Windows还有远程管理功能，就有攻击面。攻击者不需要多高明，他们只需要比你快一步——快在你知道漏洞之前利用它，快在你打补丁之前入侵。WannaCry之后，NSA建了漏洞披露流程，微软也搞了漏洞赏金计划，但博弈还在继续。你唯一能做的，是把那台老机器的网线拔了，或者至少，别让它直接面对互联网。