win7系统漏洞补丁包

2017年5月12日，统漏WannaCry勒索病毒爆发那天，洞补丁包我正好在一家小公司做IT维护。统漏整个办公室二十多台电脑，洞补丁包有六台还跑着Windows 7。统漏上午十点左右，洞补丁包财务的统漏机器突然弹出一个红色窗口，说文件已被加密，洞补丁包要付300美元等值的统漏比特币才能解锁。我当时第一反应就是洞补丁包去拔网线，但已经晚了——局域网里三台Win7机器全中招。统漏那会儿微软其实在两个月前就发了MS17-010补丁，洞补丁包专门堵这个永恒之蓝漏洞。统漏问题是洞补丁包，那六台机器里只有两台开了自动更新。统漏

这件事让我彻底改变了对补丁的态度。以前总觉得Win7挺稳的，打补丁反而容易出兼容问题。但现实是，一个没打的补丁就能让整个网络瘫痪。后来我花了一整个周末重装系统、恢复数据，还得跟老板解释为什么没提前打补丁。从那以后，我给所有还跑Win7的机器建了个清单，每个月的补丁日之后一周内必须全部更新完。

Win7的补丁包其实分好几种。最常规的是月度安全更新，微软叫它“B系列”或“质量更新”，每个月第二个星期二发。这种补丁包通常包含几十个漏洞修复，从远程代码执行到权限提升都有。另一种是“仅安全更新”，不带IE累积更新和.NET框架那些东西，适合对稳定性要求极高的场景。但说实话，普通用户根本不用纠结选哪种，直接装月度汇总就对了。我见过有人为了省那点磁盘空间只装安全更新，结果后来装某个行业软件时缺了.NET的补丁，又得回头补，纯属折腾。

还有个坑是补丁的安装顺序。Win7的补丁有前置依赖，比如装某些2018年之后的补丁之前，必须先装2016年的一个服务堆栈更新。你要是直接从Windows Update里点“全部安装”，系统会自己处理顺序。但如果是手动下载补丁包离线安装，顺序错了就会报错“此更新不适用于你的计算机”。我吃过这个亏，后来养成习惯：离线打补丁时，先把所有补丁按发布时间排序，从最早的开始装，中间重启几次，虽然慢但一次过。

说到离线补丁包，很多企业内网机器不连外网，就得靠WSUS或者手动导入。微软官方有个“Windows 7 SP1 更新汇总包”，但那个只到2016年。2016年之后的补丁得自己去Microsoft Update Catalog搜。我一般会把每个月的安全更新单独下载，按年份建文件夹，再写个批处理脚本按顺序调用wusa.exe静默安装。这法子笨，但管用。有次给一个工厂的工控机打补丁，那些机器不能随便重启，我就挑周末半夜远程操作，装完一个补丁重启一次，前后花了四个小时，但周一上班时所有机器都正常。

2020年1月14日之后，微软停止了对Win7的免费安全更新。但如果你买了ESU（扩展安全更新），还能继续收到补丁。ESU第一年个人用户大概50美元，企业翻倍，之后每年涨价。我认识几个小老板，觉得Win7还能用就不想花钱，结果2021年PrintNightmare漏洞爆发时又中招了。那个漏洞影响所有Windows版本，但Win7没有官方补丁，只能靠关掉打印后台服务或者改注册表来缓解。我帮他们临时处理时，发现注册表里那个PointAndPrint的键值默认是1，改成0之后确实能挡住一部分攻击，但打印功能就废了。

现在回头看，Win7的补丁策略其实很简单：能联网就开自动更新，不能联网就手动按顺序打。别信什么“补丁打多了变慢”的说法，我实测过，一台干净Win7 SP1打完全部补丁后，开机时间只多了两三秒，但安全性完全不是一个级别。真正让机器变慢的是那些国产全家桶软件，跟补丁没关系。

最后说个具体操作：如果你手里还有Win7机器，去装一个叫“Windows 7 SP1 便捷更新包”的东西，微软官方出的，能把2016年4月之前的所有补丁一次性装完，省得一个个点。装完之后再打后续的月度汇总。整个过程大概需要重启五六次，耗时一小时左右。别嫌麻烦，比中一次勒索病毒再恢复数据快多了。