内容摘要：凌晨两点十七分，我盯着屏幕上跳动的红色警报框，后背有点发凉。那台连着内网财务系统的老式Windows 7工作站，正被一股来自外部的数据流反复试探——永恒之蓝，这个在2017年让全球医院、工厂和政府部门

凌晨两点十七分，已成我盯着屏幕上跳动的功阻红色警报框，后背有点发凉。止永那台连着内网财务系统的蓝漏老式Windows 7工作站，正被一股来自外部的洞入数据流反复试探——永恒之蓝，这个在2017年让全球医院、已成工厂和政府部门瘫痪的功阻蠕虫病毒，居然还在暗网里流通着。止永更讽刺的蓝漏是，这台机器上个月刚被我贴过“禁止联网”的洞入标签，但有人偷偷拔掉了网线又插了回去。已成

攻击发生前十分钟，功阻我刚好在机房巡检。止永说实话，蓝漏如果不是洞入因为那台机器风扇噪音太刺耳，我根本不会注意到它。机柜角落里的网线被接上了一台二手交换机，线缆标签上潦草地写着“临时测试”。我蹲下来摸了一下交换机外壳，温热的——至少运行了三个小时。那一刻我就知道要出事，因为整个内网早就做过SMB协议封禁，唯独这台临时接入的设备没打补丁。

我立刻拔掉网线，但已经晚了。监控日志显示，攻击流量在拔线前两秒还在持续增长。系统日志里出现了可疑的管道名称请求，那是永恒之蓝利用SMBv1漏洞的典型特征。我做了个大胆的决定——不急着重装系统，而是把这块硬盘拆下来，挂到一台装有蜜罐环境的备用机上。我想看看它到底想干什么。

接下来的四十分钟，我像个旁观者一样看着蠕虫代码在虚拟环境里疯狂自我复制。有意思的是，这个变种并不像原始版本那样无差别攻击，它内部嵌入了一份内网IP白名单，优先扫描财务系统网段。要不是我提前封了445端口，后果不堪设想。蜜罐里伪造的共享文件夹吸引了它的注意力，它开始尝试用内置的密码字典暴力破解，但我的密码策略用了十五位随机字符，它撞了六万次都没成功。

真正让我意外的是，凌晨三点零六分，攻击流量突然断了。不是被拦截，而是它自己停了。我检查日志发现，这个蠕虫在尝试连接一个位于境外的C2服务器时，因为DNS解析失败而触发了自身的“自杀机制”——代码里写死了如果连续三次无法连接服务器，就自动删除所有文件并退出。这大概是最早一批“有KPI考核”的僵尸网络程序，攻击失败就得自我了断。

天亮后，我给那台工作站重装了系统，把SMBv1彻底禁用，并且给所有交换机端口做了MAC地址绑定。那个偷接网线的同事后来承认，是为了给一个临时外包团队开测试环境，以为“就一会儿不会出事”。我没骂他，只是把那次攻击的完整日志打印出来，贴在了机房门口——上面用红笔圈出了他拔掉网线的那个时间点，旁边写着：“这五分钟，差点让我们整个财务系统裸奔。”

这次事件让我想明白一个道理：永恒之蓝之所以能横行这么多年，不是因为它技术有多高明，而是总有人觉得“临时用一下没事”。真正的防线从来不是防火墙或补丁，而是每个伸手去拔网线、插网线的人，能不能在那一瞬间多想几秒。现在那台工作站的机箱上加了一把物理锁，钥匙在我手里。谁要用，先写申请。