记得2017年5月那个下午，我坐在办公室里，手机突然开始疯狂震动。不是普通的微信消息，而是整个IT部门都在惊呼：“坏了，电脑全红了！”屏幕上那种触目惊心的橙色警告框——“你的文件已加密，支付比特币解锁”——瞬间吞噬了成千上万台Windows电脑的硬盘。那一刻，整个互联网仿佛被按下了暂停键，医院的手术停了，火车站的票务系统瘫痪了，连加油站都因为无法支付而排起了长龙。
这就是WannaCry（ Wanna Decryptor ）勒索病毒大爆发的场景，一场席卷全球的数字灾难。但你知道吗？这场灾难其实是可以避免的，如果我们早就知道攻击者是如何发现并利用那个著名的“永恒之蓝”漏洞的话。今天，我想和你聊聊这段惊心动魄的历史，以及我们该如何用简单却有效的方法——关闭445端口——来保护我们自己的电脑安全。
一、永恒之蓝：那个让微软都头疼的“后门”
首先，让我们回到故事的起点。2017年4月，一个名叫“影子经纪人”（Shadow Brokers）的神秘黑客组织在网络上发布了一堆看起来很高深的代码和技术文档。这些内容涉及美国国家安全局（NSA）的一款顶级黑客工具，其中就包括“永恒之蓝”（EternalBlue）漏洞利用代码。
1.1 什么是“永恒之蓝”？
简单来说，“永恒之蓝”不是病毒本身，而是一个漏洞利用程序（Exploit）。它针对的是微软Windows操作系统中的一个关键安全漏洞——MS17-010。这个漏洞存在于Windows的文件共享服务中，具体来说，是存在于服务器消息块（SMB，Server Message Block）协议的一个实现缺陷里。
想象一下，你家的门（SMB协议）本来应该是关着安全的，但有个小偷（攻击者）发现门锁有个bug，可以用一根特制的铁丝（永恒之蓝代码）悄悄打开它，甚至不需要钥匙。一旦门被打开，小偷就能直接进入你的房间（你的电脑系统），在房间里安装任何他想安装的东西，比如监控摄像头（后门程序）或者保险箱（勒索软件）。
1.2 漏洞的原理：SMBv1的致命缺陷
SMB协议是Windows用来实现文件共享、打印共享等网络功能的核心协议。它允许一台电脑通过网络访问另一台电脑上的资源。然而，在SMBv1版本中，存在一个严重的内存处理错误。当攻击者向目标电脑的445端口发送一个精心构造的特制SMB请求时，目标电脑在处理这个请求时会发生缓冲区溢出（Buffer Overflow）。
缓冲区溢出是什么？打个比方，你有一个只能装10杯水的水杯（缓冲区），但有人强行往里面倒15杯水（特制请求）。多出来的5杯水就会溢出来，流到桌面上，甚至流入其他容器里。在电脑内存中，“溢出”的数据可能会覆盖掉重要的程序指令，攻击者利用这一点，可以执行自己预埋的恶意代码，从而完全控制目标电脑。
微软在2017年3月14日就意识到了这个漏洞，并发布了安全补丁（MS17-010）。但是，全球有数以亿计的Windows电脑没有及时更新。这正是WannaCry能够迅速传播的关键原因。
二、WannaCry：病毒如何“找上门”
了解了“永恒之蓝”这个武器，我们再看看WannaCry这个“杀手”是如何使用它的。WannaCry是一种蠕虫病毒（Worm），这意味着它不需要用户点击任何链接或打开任何附件，就能自动传播。它的工作方式分为两个部分：勒索模块和传播模块。
2.1 传播机制：端口扫描与漏洞利用
当一台电脑感染WannaCry后，它会立刻开始执行传播模块。这个模块的核心任务就是：在网络上寻找更多的受害者。它是如何寻找的呢？答案就是——端口扫描。
什么是端口扫描？
端口扫描就像是一个侦探在搜查一栋大楼里的每一扇门。电脑通过不同的端口（Port）来提供不同的网络服务。例如：
- 80端口：HTTP网页服务
- 443端口：HTTPS安全网页服务
- 21端口：FTP文件传输服务
- 445端口：SMB文件共享服务（Windows关键端口）
攻击者利用扫描工具，向网络上大量的IP地址发送探测包，检查哪些IP地址开启了特定的端口。如果目标电脑开启了445端口，并且没有安装MS17-010补丁，那么攻击者就会认为这台电脑是“薄弱环节”，并使用“永恒之蓝”漏洞利用代码发起攻击。
端口扫描的具体过程
我们可以用一个简单的Python脚本来模拟这个过程，帮助你理解端口扫描是如何工作的。请注意，这个代码仅用于学习和演示目的，切勿用于非法活动。
import socket
import threading
import queue
# 目标IP范围（模拟局域网）
target_ips = ["192.168.1." + str(i) for i in range(1, 255)]
# 要扫描的端口列表，重点扫描445端口
ports_to_scan = [445] # SMB端口
# 扫描结果队列
results = queue.Queue()
def scan_host(ip, port):
"""尝试连接指定IP的指定端口"""
try:
# 创建TCP socket
sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
sock.settimeout(1) # 设置1秒超时
# 尝试连接
result = sock.connect_ex((ip, port))
if result == 0:
# 端口开放
print(f"[+] {ip}:{port} 端口开放! 可能存在SMB漏洞。")
results.put((ip, port))
else:
# 端口关闭或过滤
pass
# print(f"[-] {ip}:{port} 端口关闭或不可达。")
sock.close()
except Exception as e:
pass
def scan_network():
"""多线程扫描网络中的所有目标"""
threads = []
for ip in target_ips:
for port in ports_to_scan:
t = threading.Thread(target=scan_host, args=(ip, port))
threads.append(t)
t.start()
# 控制并发数量，避免网络拥堵
if len(threads) >= 100:
for t in threads:
t.join()
threads = []
# 等待所有线程完成
for t in threads:
t.join()
print("\n[扫描完成] 发现的开放445端口：")
while not results.empty():
ip, port = results.get()
print(f" - {ip}:{port}")
if __name__ == "__main__":
print("开始扫描局域网中的445端口...")
scan_network()
这段代码的核心逻辑是：
- 定义目标：扫描局域网内192.168.1.1到192.168.1.254的所有IP。
- 扫描端口：重点扫描445端口，因为这是SMB服务所在的端口。
- 尝试连接：使用TCP套接字尝试连接每个IP的445端口。如果连接成功（
result == 0），说明端口开放，目标存在被利用的风险。 - 多线程加速：使用多线程同时扫描多个IP，提高扫描速度。
在实际的WannaCry病毒中，传播模块使用了更复杂的扫描策略，包括针对公网IP段的扫描。它会使用一个“ killed flag ”来避免重复感染同一台电脑，并使用特定的逻辑来确保传播速度。
2.2 感染后的行为：勒索与加密
一旦成功利用“永恒之蓝”漏洞进入目标电脑，WannaCry会做以下几件事：
- 传播自身：继续扫描网络，寻找更多受害者。
- 禁用安全软件：尝试关闭Windows Defender等安全程序。
- 加密文件：使用强大的AES加密算法，将用户文档、图片、视频等文件加密，并添加
.wnry扩展名。 - 显示勒索信：弹出橙色警告框，要求受害者支付0.05-0.1个比特币作为解密费用。
三、为什么关闭445端口是有效的防护手段？
在WannaCry爆发后，网络安全专家和IT管理员们迅速总结经验，提出了一个简单而有效的防护措施：关闭445端口。
3.1 445端口的重要性
445端口是Windows操作系统用于SMB over TCP（Server Message Block over Transmission Control Protocol）的默认端口。SMB协议用于：
- 文件共享（网络驱动器映射）
- 打印机共享
- 命名管道（用于进程间通信）
- 其他网络资源访问
由于SMB是Windows系统内部通信和文件共享的核心协议，因此445端口在企业的内网中几乎无处不在。然而，这也意味着它成为了攻击者的首选目标。
3.2 关闭445端口的原理
“永恒之蓝”漏洞利用代码是通过向目标电脑的445端口发送特制SMB请求来触发缓冲区溢出的。如果445端口被关闭（即不接受任何连接），那么攻击者的扫描工具就无法发现开放的SMB服务，也就无法发送恶意请求，整个攻击链就会断裂。
这就好比小偷发现你家的大门上挂着一个“此门已锁，请勿尝试”的牌子，他可能会转而寻找其他入口，或者干脆放弃。
3.3 如何关闭445端口？
方法一：通过Windows防火墙规则（推荐）
这是最简单、最安全的方法，适用于所有Windows版本。
- 打开“高级安全Windows防火墙”（可以在控制面板中搜索“高级安全Windows防火墙”）。
- 点击左侧的“入站规则”，然后点击右侧的“新建规则”。
- 选择“端口”，点击“下一步”。
- 选择“TCP”，并在“特定本地端口”中输入445，点击“下一步”。
- 选择“阻止连接”，点击“下一步”。
- 选择适用的配置文件（通常全选：域、专用、公用），点击“下一步”。
- 输入规则名称，例如“阻止SMB 445端口”，点击“完成”。
方法二：禁用Server服务（不推荐）
Server服务是负责提供文件、打印和命名管道共享的服务。禁用它会停止所有SMB共享功能，可能导致企业内部文件共享失效。因此，除非你完全不需要文件共享，否则不建议采用此方法。
要禁用Server服务：
- 按
Win + R，输入services.msc，回车。 - 找到“Server”服务，右键点击，选择“属性”。
- 将“启动类型”改为“禁用”，然后点击“停止”按钮。
- 点击“确定”保存。
方法三：通过组策略禁用SMBv1
虽然关闭445端口是最直接的防护，但禁用老旧的SMBv1协议也是一个良好的安全实践，因为SMBv2和SMBv3更安全。
- 按
Win + R，输入gpedit.msc，回车（仅适用于专业版及以上）。 - 导航到：计算机配置 -> 管理模板 -> 网络 -> Lanman工作站。
- 找到“启用不安全的Guest登录”，设置为“已禁用”。
- 找到“启用SMBv1客户端”，设置为“已禁用”。
- 重启电脑使设置生效。
四、除了关闭445端口，我们还能做什么？
虽然关闭445端口是有效的防护措施，但在现代网络环境中，完全禁用SMB可能会影响某些业务应用。因此，我们需要采取多层次的安全策略。
4.1 及时更新系统补丁
这是最根本的防护措施。微软在发现漏洞后会尽快发布补丁，用户应定期运行Windows Update，确保系统安全补丁处于最新状态。对于企业环境，可以部署WSUS（Windows Server Update Services）来集中管理补丁更新。
4.2 使用网络分段和防火墙
在企业网络中，应实施网络分段，将不同功能的设备隔离在不同的子网中。例如，将服务器放在一个单独的VLAN中，并配置防火墙规则，只允许必要的端口通信。这样可以限制攻击者在网络中的横向移动能力。
4.3 部署入侵检测/防御系统（IDS/IPS）
IDS/IPS系统可以监控网络流量，检测可疑的端口扫描和漏洞利用行为，并自动阻断攻击。例如，Snort、Suricata等开源IDS可以检测到针对445端口的异常SMB请求。
4.4 启用Windows Defender和第三方杀毒软件
现代的杀毒软件不仅依赖特征库匹配，还使用行为分析技术来检测勒索软件的加密行为。一旦检测到异常的文件加密活动，杀毒软件可以立即终止进程并恢复受影响的文件。
4.5 定期备份重要数据
无论采取多少防护措施，都不能保证100%的安全。定期备份重要数据是最后的保障。建议采用“3-2-1”备份原则：
- 3份数据副本
- 2种不同的存储介质
- 1份离线备份（防止勒索软件加密云端或网络备份）
五、从WannaCry看个人电脑安全防护
对于普通个人用户来说，可能不会像企业那样拥有复杂的网络架构，但以下几点防护措施同样重要：
5.1 开启Windows防火墙
确保Windows防火墙始终处于开启状态。防火墙可以阻止未经授权的入站连接，包括针对445端口的扫描。
5.2 禁用不必要的文件共享
如果你不需要与其他设备共享文件，可以在“网络和共享中心”中禁用文件和打印机共享。这样，445端口就不会对外暴露。
5.3 使用强密码并定期更改
虽然这与端口扫描无直接关系，但强密码可以防止攻击者通过 brute force（暴力破解）攻击进入你的系统。
5.4 警惕网络钓鱼邮件
WannaCry的早期版本（如2017年的大爆发）主要通过蠕虫方式传播，但后续的变种也可能通过钓鱼邮件传播。不要打开来源不明的邮件附件，尤其是.docm、.xlsm等宏文档。
5.5 考虑使用Linux或macOS
虽然Windows拥有最大的市场份额，但也因此成为攻击者的首要目标。对于对安全性有更高要求的用户，可以考虑使用Linux或macOS，这些系统的安全架构相对更严格，漏洞利用难度更高。
六、总结：安全意识是最好的防火墙
回顾WannaCry勒索病毒事件，我们可以看到，一场本可避免的全球性灾难，根源在于安全更新的滞后和基本网络防护措施的缺失。端口扫描是攻击者寻找受害者的第一步，而关闭445端口则是阻断这一步的最简单有效的方法。
但更重要的是，我们需要建立安全意识。安全不是一次性的任务，而是一个持续的过程。定期更新系统、启用防火墙、备份数据、警惕可疑链接……这些看似简单的措施，往往能在关键时刻保护我们的数字资产。
在数字化日益深入的今天，我们的电脑、手机、智能家居设备都已成为网络的一部分。了解基本的网络安全知识，不仅保护自己，也在保护整个网络生态的安全。毕竟，在网络世界中，每个人都是防线的一部分。
希望这篇文章能帮助你更好地理解端口扫描、永恒之蓝漏洞以及WannaCry病毒的本质，并能在日常生活中采取有效的防护措施。记住，预防胜于治疗，在你点击那个“接受”按钮之前，请先三思。