老服务器半夜被勒索病毒加密了文件，杀毒软件报告里提到 ms17010。很多人以为这是个病毒名，其实它是微软 2017 年 3 月发布的安全公告编号，对应 Windows SMB 服务端的一组远程漏洞。同年 5 月爆发的 WannaCry 勒索病毒正是利用这组漏洞在内网传播，全球几十万台机器中招，445 端口从此出了名。

漏洞本身是怎么回事

SMB 是 Windows 用于文件共享和打印的协议，默认监听 445 端口。这组漏洞出在 SMB 服务端处理特定请求的逻辑上，机器只要开着 445 端口又没打补丁，就可能被直接拿到系统权限，连账号密码都不需要。Windows XP、Win7、Server 2003 到 Server 2016 都在受影响范围内，越老的系统风险越高。

怎么检查自己有没有风险

两个角度查。第一看补丁：命令行执行 wmic qfe get 列出已装更新，对照 2017 年 3 月之后的安全更新编号，比如 Win7 SP1 对应 KB4012212，已停支持的 XP 和 Server 2003 微软当时也单独发过应急补丁。第二看协议：管理员 PowerShell 执行 Get-SmbServerConfiguration，看 EnableSMB1Protocol 是不是 True。对外检测可以在授权前提下用 nmap 的 ms17-010 探测脚本，只做检测，不要拿别人的机器做任何测试。

防护三步：打补丁、关 SMB1、管端口

  • 打补丁是根治：开启 Windows Update 装齐更新，内网机器可以用 WSUS 统一推送。
  • SMBv1 是上个时代的协议，Win10 和新版系统直接关掉：控制面板进启用或关闭 Windows 功能，取消勾选 SMB 1.0；或者执行 Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol，重启生效。
  • 管住边界：445 端口没有必要暴露到公网，防火墙入站规则封掉来自外网的 445，内网也按网段收敛。

老设备关不掉 SMBv1 怎么办

有些 NAS、老打印机和工控设备只支持 SMBv1，直接关闭会断共享。这类机器要做隔离：单独划 VLAN，限制能访问它的地址，别让它跨网段，同时关注厂商有没有新固件。实在没救的设备尽早替换，挂着裸奔的风险比省下的钱高得多。

给个实际判断：ms17010 已经过去多年，但内网里没打补丁的老系统一直都在，勒索团伙至今还在扫 445 端口。新装机默认关 SMBv1，老机器先查补丁再谈别的，这是底线。