互联网早期：安全并不是第一优先级#

互联网的前身： ARPANET 诞生于一个与今天完全不同的环境。

当时能够接入网络的，主要是政府机构、大学和研究单位。网络规模有限，参与者数量也不多，因此整个系统在很大程度上建立在“参与者可信”的假设之上。

这直接影响了早期网络协议的设计。

Telnet 可以直接通过网络登录远程计算机，却长期使用明文传输用户名和密码；FTP 的账号和数据同样可以明文传输；早期电子邮件协议也缺乏今天常见的身份验证机制。很多网络服务默认认为来自网络中的请求是正常请求，而不是潜在的攻击输入。

从今天的角度来看，这些设计显得相当危险。

但在当时，它们并不完全不合理。毕竟，如果一个网络只连接少量经过授权的科研机构，那么“如何方便地互联”显然比“如何防范互联网上数以亿计的陌生设备”更加重要。

问题在于，互联网发展得太过迅速，这一切都发生了变化。

网络迅速扩大，而很多原本建立在信任基础上的协议和软件，并没有同步完成安全转型。

1988 年，一个著名的网络蠕虫，让整个互联网第一次真正意识到这个问题。

它就是 Morris Worm——莫里斯蠕虫。

1988：Morris Worm，让网络攻击第一次实现自动传播#

1988 年 11 月，一个仅有 99 行代码的程序开始在当时的互联网中自行传播。

它后来被称为 Morris Worm。

今天看来，蠕虫自动扫描网络、寻找目标、利用漏洞，然后继续感染下一台机器，似乎已经是非常熟悉的攻击模式。但在当年，这是一件极具冲击力的事情。

Morris Worm 综合利用了 Unix 系统中的多个问题，包括网络服务漏洞、弱口令和配置缺陷。一旦进入某台机器，就会继续寻找其他可感染主机。

它的传播方式并不是“复制一个文件然后等用户打开”，而是主动寻找下一台主机，并尝试通过不同方式进入：

1
发现其他主机
2
   ↓
3
尝试网络服务漏洞
4
   ↓
5
尝试弱口令 / 信任关系
6
   ↓
7
进入系统
8
   ↓
9
复制并启动自己
10
   ↓
11
继续寻找下一台主机

这也是“网络蠕虫”与传统文件病毒最核心的区别：传播过程本身就是自动化的。

它并不是传统意义上必须依附文件传播的“病毒”，而是一种更加顺应当时时代的恶意程序：

网络蠕虫。

传统病毒通常需要附着在其他文件或程序上，例如感染可执行文件，再等待用户运行后继续复制；蠕虫则可以独立运行，并通过网络主动寻找下一个目标。

Morris Worm 最重要的意义并不是它感染了多少机器，而是它证明了：

漏洞不只是让某一台计算机被攻破，还可以成为恶意程序自动传播的通道。

从这一刻开始，安全问题不再只是“某个人入侵了某台计算机”。

正如现实中的传染病会在人群中扩散，网络蠕虫也可以从一台机器自动传播到另一台机器。

Morris Worm 之后，计算机安全事件响应机制开始受到重视，CERT/CC 也在这一时期成立。

Morris Worm 展示了攻击方第一次能够借助网络快速放大一个安全问题，而防守方的回应，则不再只是让某个管理员单独修好某台机器，而是开始建立事件通报、漏洞协调和应急响应机制。

也就是说，防御第一次开始尝试以组织化响应对抗自动化传播。

互联网安全由此逐渐从少数技术人员关注的问题，发展成一个正式的研究和管理领域。

1990 年代：病毒与漏洞利用开始同时成熟#

进入 1990 年代后，个人计算机和 Windows 系统迅速普及。

这一时期，传统文件病毒依然是最常见的恶意程序之一。病毒可以感染 .exe、.com 等可执行文件，也可以感染启动扇区，甚至通过 Office 宏进入 Word 和 Excel 文档。

与此同时，漏洞利用技术也开始逐渐成熟。

其中最具代表性的一类，就是 缓冲区溢出。

很多程序使用 C 或 C++ 编写，而这些语言允许程序直接操作内存。如果开发者没有正确检查输入数据的长度，攻击者就可能向一个固定大小的缓冲区写入超过其容量的数据。

原本的内存结构可能类似：

1
[ 缓冲区 ][ 其他数据 ][ 返回地址 ]

如果输入内容超过缓冲区长度，多余的数据就可能继续覆盖后面的内存区域。

一旦攻击者能够控制程序的返回地址，就可能进一步改变程序的执行流程。

这让原本看起来只是“程序崩溃”的错误，变成了“执行攻击者代码”的安全漏洞。

1996 年，Aleph One 发表经典文章《Smashing The Stack For Fun And Profit》，系统介绍了栈缓冲区溢出的利用方式。这篇文章后来几乎成为漏洞利用技术史上的标志性文献。

但如果要理解 1990 年代末的恶意软件，单讲漏洞还不够。

这一时期还有一个极具代表性的名字：CIH

1998—1999：CIH，破坏型文件病毒时代的代表#

CIH大约在 1998 年出现，并在 1999 年因为大规模发作而广为人知。

它通常也被称为“切尔诺贝利病毒”或“4 月 26 日病毒”。

与后来依靠网络漏洞高速传播的蠕虫不同，CIH 更接近传统意义上的文件感染型病毒。

它会感染 Windows 可执行文件，并将自己的代码嵌入其中。某些 CIH 变种还会尽量利用 PE 文件中原本没有被使用的空隙存放自身代码，从而减小文件体积明显变化带来的异常感。

当用户运行被感染程序时，病毒代码也会被执行，并继续寻找其他可执行文件进行感染。

其基本逻辑可以简化为：

1
运行被感染程序
2
   ↓
3
CIH 代码被执行
4
   ↓
5
寻找其他可执行文件
6
   ↓
7
写入病毒代码
8
   ↓
9
等待触发日期
10
   ↓
11
执行破坏载荷

某些 CIH 变种在特定日期触发后，会尝试覆盖硬盘数据；在部分硬件和系统环境下，还可能破坏 Flash BIOS 内容。

这使 CIH 成为 1990 年代末最著名的破坏型病毒之一。

CIH 的意义不只是“破坏力强”。

它代表的是一个仍然带有明显“病毒文化”色彩的时代。

当时很多病毒作者更在意的是：

• 能否感染更多文件；
• 能否隐藏自身；
• 能否展示复杂的技术技巧；
• 能否造成足够明显的破坏。

也就是说，在 CIH 所代表的时代：

计算机本身就是攻击和破坏的目标。

这和后来恶意软件逐渐追求盗号、控制、流量变现乃至勒索，有非常明显的区别。

从恶意软件演化史来看，CIH 很适合作为“传统文件病毒时代”的一个阶段性顶点。

1999—2000：Melissa 与 ILOVEYOU，邮件和社会工程学接管传播#

1999 年，**Melissa（梅丽莎）**大规模传播。

它利用 Microsoft Word 文档中的宏功能，并结合 Outlook 邮件客户端自动向通讯录中的联系人发送带毒文档。

它的传播思路非常典型：

1
用户打开带宏文档
2
   ↓
3
宏代码执行
4
   ↓
5
感染 Word 模板 / 文档
6
   ↓
7
读取 Outlook 通讯录
8
   ↓
9
自动发送带毒附件

也就是说，Melissa 并不需要攻破操作系统内核，而是把 Word 宏和 Outlook 自动化接口这些“正常功能”拼接成了一条传播链。

它并不主要依靠传统系统漏洞，而是滥用了 Office 宏和邮件客户端的自动化能力。

这说明攻击面并不只来自程序错误。

很多时候，合法功能本身也可能被恶意利用。

2000 年，**ILOVEYOU（爱虫，也常称“我爱你”蠕虫）**又进一步展示了社会工程学的威力。

用户收到主题类似“ILOVEYOU”的邮件，因为好奇打开附件，恶意脚本随后修改本地文件，并继续通过通讯录传播。

它本质上是一个脚本型蠕虫。用户一旦运行附件，脚本就会执行本地文件操作，并利用邮件客户端继续向联系人复制自己。

和 Melissa 相比，ILOVEYOU 更突出的一点是：传播链条的第一步不是技术突破，而是诱导用户主动执行。

它的技术本身并不算复杂，但传播效果却极其惊人。

原因很简单：

它利用的不是某个高深漏洞，而是人的心理。

从这一时期开始，一个重要的攻击思想逐渐成熟：

如果无法骗过计算机，也可以先骗过人。

这条路线后来一直延续到今天的钓鱼邮件、伪造登录页、恶意二维码和社交平台诈骗。

Web 的兴起：Web 应用成为新的漏洞重灾区#

1990 年代后期到 2000 年代初，互联网开始进入真正意义上的 Web 时代。

PHP、ASP、JSP、CGI 等动态网页技术逐渐普及，数据库也开始大量用于网站后台。

过去的漏洞往往存在于操作系统或网络服务中，而现在，任何一个网站程序都有可能成为攻击目标。

于是，一批今天依然很常见的 Web 漏洞开始出现：

• SQL 注入；
• XSS；
• 命令注入；
• 文件包含；
• 目录遍历；
• 任意文件上传；
• 身份验证绕过；
• Session 劫持。

以 SQL 注入为例，如果开发者直接把用户输入拼接到 SQL 语句中，攻击者就可能通过构造特殊输入改变原本查询逻辑。

例如，程序原本只想执行一次普通的账号查询：

1
SELECT * FROM users
2
WHERE username = '$username'
3
AND password = '$password';

如果 $username 和 $password 直接来自用户输入，那么攻击者提供的内容就可能被数据库当成 SQL 语法的一部分，而不是单纯的数据。

问题的本质并不是 SQL 本身“不安全”，而是程序将“用户提供的数据”和“程序执行的指令”混在了一起。

XSS 和命令注入其实也有类似的思想。XSS 是让原本应该被当作网页内容的数据，被浏览器误当成脚本执行；命令注入则是让原本应该只是参数的数据，被操作系统外壳解释成了新的命令。

因此，这一类漏洞背后的共同问题可以概括为：

数据与指令的边界被打破了。

现代防御通常会通过参数化查询、上下文相关转义、严格输入校验等方式，尽量让“数据始终只是数据”。

2001 年，OWASP 成立。后来广为流传的 OWASP Top 10，也逐渐成为 Web 安全领域最著名的风险分类之一。

这也是 Web 安全攻防逐渐体系化的过程。

攻击方不断寻找新的输入点，把用户数据变成 SQL、脚本或系统命令；防守方则逐渐形成参数化查询、输出编码、输入校验、权限隔离和安全开发规范等方法。

于是，攻防双方争夺的重点从“某台服务器有没有明显漏洞”，进一步深入到了：

应用程序如何理解和处理每一份来自外部的数据。

从这里开始，漏洞已经不再只是操作系统开发者的问题，也成为普通网站开发者每天都要面对的问题。

2001—2004：高速网络蠕虫#

如果说 Morris Worm 证明了自动传播攻击的可能性，那么 2000 年代初的一系列蠕虫，则真正展示了这种攻击在大规模互联网中的破坏力。

这一时期有几个重要背景：

Windows 个人电脑大量普及，越来越多设备直接接入互联网，而自动更新机制和用户安全意识还远没有今天成熟。

一台没有及时安装补丁的计算机，只要暴露在互联网上，就可能被自动扫描和感染。

1
扫描 IIS
2
   ↓
3
利用缓冲区溢出
4
   ↓
5
进入服务器
6
   ↓
7
继续扫描
8
   ↓
9
感染更多服务器

1
邮件附件
2
   ├─→ 用户执行
3
Web 漏洞
4
   ├─→ 服务器感染
5
网络共享
6
   ├─→ 局域网传播
7
被感染网页
8
   └─→ 客户端继续受影响

1
利用 SQL Server 漏洞
2
   ↓
3
恶意代码进入内存
4
   ↓
5
高速生成随机 IP
6
   ↓
7
向下一批服务器发送攻击数据

1
攻击方
2
自动扫描 + 漏洞利用 + 高速传播
3
              ↓
4
防守方
5
防火墙 + 补丁管理 + 自动更新 + 网络隔离

2000 年代中后期：恶意软件开始从“破坏”转向“赚钱”#

这一时期，恶意软件的目标逐渐发生变化。

网上银行、网络游戏、即时通信、电商和数字支付快速发展，互联网账号开始拥有直接经济价值。

于是攻击目标从“让你的电脑出问题”逐渐变成：

• 盗取银行账户；
• 盗取网络游戏账号；
• 窃取 QQ 等即时通信账号；
• 发送垃圾邮件；
• 控制设备；
• 构建僵尸网络；
• 引流和广告欺诈。

恶意软件开始明显商业化。

这一转折，在中文互联网语境中有一个非常有代表性的案例：

熊猫烧香。

2006—2007：熊猫烧香，从破坏型病毒走向黑产化恶意软件#

“熊猫烧香”在 2006 年末到 2007 年初大规模传播。

它最有辨识度的特征，就是大量被感染文件的图标会变成一个“熊猫举着三炷香”的形象。

对很多当时的国内 Windows 用户来说，这几乎成为了“电脑中病毒”的视觉符号。

但如果只把它理解成“一个图标很特别的病毒”，就低估了它在恶意软件演化史上的意义。

熊猫烧香带有明显的文件感染能力，同时又存在网络传播、下载其他恶意组件和黑产化利用等特征。

它会感染本地可执行文件，并修改部分网页文件；在一些传播场景中，还会借助局域网共享、可移动存储介质等方式继续扩散。用户看到的大量“熊猫烧香”图标，本质上是文件被病毒修改后的外在表现。

可以简单理解为：

1
感染本地文件
2
   ↓
3
修改文件图标 / 内容
4
   ↓
5
利用共享或移动介质扩散
6
   ↓
7
下载或配合其他恶意组件
8
   ↓
9
盗号 / 控制 / 变现

相关传播体系中还出现了大量变种，恶意程序的目的也逐渐和盗号、控制、流量变现等利益联系起来。

这和 CIH 所代表的时代已经完全不同。

CIH 更像：

感染 → 隐藏 → 复制 → 等待触发 → 破坏。

而到了熊猫烧香时代，思路开始变成：

感染 → 传播 → 控制 → 盗号 / 僵尸网络 / 引流 → 获利。

这个变化非常关键。

因为它意味着：

被感染的计算机不再只是破坏对象，而开始成为一种“资产”。

攻击者没有必要马上把电脑弄坏。

一台能够联网、能够运行、还能长期接受控制的计算机，可能更加有价值。

它可以被用来盗取账号、发垃圾邮件、攻击其他网站、挂马、刷流量，甚至加入僵尸网络。

这也迫使防守方改变思路。

过去，人们往往把“电脑是否崩溃、文件是否损坏”当成判断感染的重要依据；但面对追求长期控制的木马和僵尸网络，真正危险的状态反而可能是：

电脑看起来一切正常，但攻击者已经悄悄获得了控制权。

因此，防御的重点开始从“阻止明显破坏”，进一步转向进程行为、网络连接、持久化机制和异常活动的检测。

因此，“熊猫烧香”很适合被看作中文互联网恶意软件从传统病毒文化逐渐走向黑产化的一道标志。

病毒、蠕虫和木马的边界开始模糊#

到了 2000 年代中后期，“病毒”这个大众称呼已经越来越难准确描述所有恶意程序。

传统病毒强调的是：

感染文件，并自我复制。

蠕虫强调的是：

独立运行，并通过网络自动传播。

木马则更加重视：

伪装、控制和长期驻留。

但现实中的恶意软件越来越可能同时具备多种能力：

1
文件感染
2
+
3
网络传播
4
+
5
远程控制
6
+
7
下载其他组件
8
+
9
僵尸网络接入

因此专业领域越来越倾向于使用一个更大的总称：

Malware——恶意软件。

“病毒”只是其中的一种。

僵尸网络：感染本身不再是最终目标#

随着恶意软件商业化，Botnet——僵尸网络逐渐成为互联网黑产的重要基础设施。

攻击者通过漏洞、木马、恶意下载或者弱口令控制大量设备，再把这些机器组织成一个可以统一下发指令的网络。

被控制设备可以用于：

• 发动 DDoS；
• 发送垃圾邮件；
• 扫描漏洞；
• 挖矿；
• 广告欺诈；
• 传播其他恶意软件。

每台设备本身可能不起眼，但数万甚至数十万台设备同时行动，就会形成巨大的攻击能力。

这个时代最有代表性的恶意软件之一，就是 Conficker。

2008：Conficker，漏洞、弱口令与僵尸网络的结合#

**Conficker（飞客）**利用 Windows Server Service 漏洞传播，同时也会尝试弱口令、网络共享和可移动设备等其他传播方式。

它的传播逻辑并不依赖单一入口，而是同时尝试：

1
系统漏洞
2
+
3
共享目录
4
+
5
弱口令
6
+
7
可移动设备

感染后，它还会修改系统设置、干扰部分安全服务，并尝试与控制基础设施建立联系。

这意味着 Conficker 已经不只是“会复制自己的蠕虫”，而开始具备明显的长期控制和僵尸网络属性。

它感染规模巨大。

更重要的是，感染并不是它的最终目的。

被感染设备可以继续成为一个大型僵尸网络的一部分，等待后续控制。

这意味着恶意软件的设计目标发生了根本变化：

过去：

感染本身就是目的。

现在：

感染只是获得长期控制权的第一步。

这条思路后来在木马、APT、挖矿程序和勒索攻击中不断发展。

2010：Stuxnet，让恶意代码进入物理世界#

2010 年被发现的 Stuxnet（震网），是整个网络安全历史中的分水岭之一。

它针对的不是普通用户电脑，而是工业控制系统。

Stuxnet 利用了多种高级攻击技术，其中包括当时尚未公开修复的 0day 漏洞。

1
漏洞已经存在
2
   ↓
3
厂商尚不知情
4
   ↓
5
没有补丁
6
   ↓
7
攻击者如果掌握利用方法
8
   ↓
9
就可能发动 0day 攻击

1
发现漏洞
2
   ↓
3
厂商分析
4
   ↓
5
发布安全公告
6
   ↓
7
提供补丁
8
   ↓
9
用户安装更新

1
攻击者发现漏洞
2
   ↓
3
秘密开发 Exploit
4
   ↓
5
开始攻击
6
   ↓
7
受害者出现异常
8
   ↓
9
安全研究人员发现攻击
10
   ↓
11
厂商才知道漏洞存在
12
   ↓
13
开始开发补丁

1
已经公开漏洞
2
+
3
已经存在 Exploit
4
+
5
仍未安装补丁的设备

1
进入目标系统
2
   ↓
3
提升权限
4
   ↓
5
绕过限制
6
   ↓
7
在内部继续传播
8
   ↓
9
接触工业控制软件
10
   ↓
11
修改控制逻辑

1
进入系统
2
   ↓
3
识别工业控制环境
4
   ↓
5
确认设备与运行条件
6
   ↓
7
只有目标符合预设条件
8
   ↓
9
修改控制逻辑
10
   ↓
11
影响离心机等物理设备

APT：漏洞更多只是攻击链的初始入口#

随着攻击技术的发展，安全行业开始频繁使用一个术语：

APT——Advanced Persistent Threat，高级持续性威胁。

和早期“发现漏洞 → 发动攻击 → 完成破坏”的模式相比，APT 更强调长期、隐蔽和有明确目标的入侵过程。

攻击者可能先调查目标组织，然后通过钓鱼邮件、暴露在公网的服务、弱口令或软件漏洞获得最初访问权限。

之后，他们往往不会立即发动破坏，而是继续：

• 提升权限；
• 窃取管理员账号；
• 横向移动；
• 建立后门；
• 搜索高价值系统；
• 长期窃取数据。

到了这里，单个漏洞已经不再是整个攻击过程的中心。

它只是整个攻击链的入口之一。

APT 也让“攻防战”的不对称性变得更加明显。

防守方需要保护整个组织中的账号、终端、服务器、网络边界和内部系统；攻击者却只需要在其中找到一条能够继续深入的路径。

因此现代防御逐渐不再假设：

“只要把入口堵住，攻击就结束了。”

而是开始强调：

即使攻击者已经进入，也要尽早发现异常、限制横向移动，并阻止攻击继续扩大。

这就是后来纵深防御、零信任、EDR 和持续监控等思路越来越重要的背景之一。

2014：Heartbleed，基础组件漏洞影响整个互联网#

2014 年，**Heartbleed（心脏滴血漏洞）**曝光。

它存在于被大量服务器使用的 OpenSSL 中。

漏洞与 TLS Heartbeat 功能有关。这个功能原本只是为了让通信双方确认连接仍然存活：客户端发送一小段数据，服务器再把这段数据原样返回。

问题出在长度检查。

可以把一次正常请求理解成：

1
我发送了 5 个字节，
2
请把这 5 个字节返回给我。

而存在漏洞的实现没有认真核对“实际收到多少数据”和“对方声称有多少数据”是否一致。

于是攻击者可以实际只发送很短的数据，却声明：

1
我发送了 5 个字节，
2
但请返回 65535 个字节。

服务器为了凑够这个长度，就可能继续读取相邻内存中的其他内容并一并返回。

因此，Heartbleed 本质上不是“攻进去执行代码”，而是一种越界读取：攻击者让程序读出了原本不应该暴露给它的内存。

泄露的数据可能包含 Cookie、用户名、密码甚至其他敏感信息。

Heartbleed 最重要的意义，不只在于漏洞本身。

它揭示了现代互联网的另一个事实：

很多看起来彼此独立的网站，其实依赖着相同的底层基础组件。

于是，一个基础库中的漏洞，就可能同时影响数量庞大的服务器。

这为后来受到广泛关注的软件供应链安全问题埋下了伏笔。

2016：Mirai，把摄像头和路由器变成攻击武器#

随着摄像头、路由器、电视、打印机和各种智能设备接入互联网，一个新的攻击面开始出现：

IoT——物联网设备。

很多设备为了降低成本和简化部署，存在默认密码、无法更新固件、开放不必要服务、硬编码凭据等问题。

2016 年，Mirai Botnet 让这一问题彻底进入公众视野。

Mirai 会扫描互联网上的设备，并尝试使用一批常见默认用户名和密码登录。

这里并不一定存在复杂的“程序漏洞”。

很多设备出厂时预设了固定账号，用户又从未修改密码；有些设备甚至把管理服务直接暴露在公网。于是攻击者只需要不断尝试常见凭据，就可能直接获得远程登录权限。

它的逻辑更像：

1
扫描设备
2
   ↓
3
发现远程管理服务
4
   ↓
5
尝试默认账号 / 弱口令
6
   ↓
7
登录成功
8
   ↓
9
植入 Mirai

这说明安全问题并不总来自代码错误。

不安全的默认配置和身份认证设计，同样可以形成大规模攻击面。

一旦成功，这些摄像头、路由器和 DVR 就会被纳入僵尸网络。

之后，它们可以被统一用于发动大规模 DDoS。

Mirai 最值得记住的一点是：

互联网攻击使用的“计算资源”，已经不再局限于电脑和服务器。

一台无人关注的摄像头，也可能成为攻击网络的一部分。

2017：WannaCry，把网络蠕虫和勒索软件合二为一#

2017 年，**WannaCry（想哭）**爆发。

它成为现代互联网安全史上最著名的恶意软件之一。

WannaCry 利用了 Windows SMB 协议漏洞，其中最广为人知的漏洞利用方式就是 EternalBlue（永恒之蓝）。

SMB 常见于 TCP 445 端口。

SMB 本身是 Windows 中用于文件和资源共享的重要协议，问题并不是“445 端口天然有毒”，而是旧版 SMB 实现中曾存在严重的内存处理缺陷。

EternalBlue（永恒之蓝）利用的核心思路，可以简单理解为：

向存在缺陷的 SMB 服务发送经过特殊构造的网络数据，让系统在处理这些数据时发生内存破坏，最终获得远程代码执行能力。

也就是说，攻击者并不需要先登录系统。

只要目标主机的 SMB 服务暴露在网络中、系统版本存在漏洞并且没有安装补丁，就可能在处理恶意网络请求时被直接攻破。

因此 WannaCry 真正可怕的地方，不只是“它会加密文件”，而是 EternalBlue 给了它一个能够自动进入下一台机器的传播入口。

WannaCry 的危险之处在于，它同时具有两种能力：

第一种是蠕虫传播。

它会扫描其他存在漏洞的 Windows 主机并尝试自动感染。

第二种是勒索。

感染之后，它会加密用户文件并索要赎金。

于是传播流程变成了：

1
扫描 445
2
    ↓
3
利用 SMB 漏洞
4
    ↓
5
进入系统
6
    ↓
7
加密文件
8
    ↓
9
继续扫描下一台设备

它把两个时代的恶意软件特征结合到了一起：

2000 年代的高速网络蠕虫 + 2010 年代的勒索软件。

也正因如此，WannaCry 能够在短时间内对全球大量医院、企业、学校和机构造成影响。

从攻防角度看，WannaCry 还有一个格外值得注意的地方：

防守方其实已经拥有补丁。

Microsoft 在 WannaCry 大规模爆发之前已经发布了针对相关 SMB 漏洞的安全更新，但现实中的大量设备并没有及时安装。

于是，这场攻防并不是“攻击者掌握了防守方完全不知道的秘密”，而是变成了另一种竞赛：

1
防守方发布补丁
2
       ↓
3
用户是否及时更新？
4
       ↓
5
攻击者开始大规模扫描
6
       ↓
7
尚未更新的设备被感染

这说明补丁发布并不等于漏洞风险自动消失。

在很多现实事件中，防守方真正需要争取的是：

能否在攻击者完成大规模武器化和扫描之前，把修复真正部署到足够多的设备上。

NotPetya：看起来像勒索软件，但更接近破坏程序#

不久之后，又出现了 NotPetya。

它表面上看起来很像勒索软件。

系统被感染后，会显示勒索信息。

但 NotPetya 的核心行为并不只是“加密几个用户文件”，而会破坏磁盘相关数据结构，并利用企业网络中的凭据和漏洞继续横向传播。

1
生成加密密钥
2
   ↓
3
加密受害者数据
4
   ↓
5
保留恢复密钥所需的信息
6
   ↓
7
受害者付款
8
   ↓
9
攻击者提供解密能力

1
数据被破坏 / 加密
2
   ↓
3
显示勒索信息
4
   ↓
5
受害者付款
6
   ↓
7
攻击者也无法据此还原正确密钥
8
   ↓
9
数据依然无法正常恢复

勒索软件从单一恶意程序升级成企业级入侵行动#

WannaCry 之后，勒索软件继续快速演化。

早期勒索程序更依赖大规模随机感染。

现代勒索攻击则越来越倾向于：

先进入企业网络，再进行长期准备。

攻击者可能通过：

• VPN 漏洞；
• RDP 弱口令；
• 钓鱼邮件；
• Web 漏洞；
• 被盗账号；

获得最初访问权限。

随后不会立即加密文件，而是先横向移动、获取管理员权限、寻找备份服务器、窃取数据并关闭安全软件。

最后再同时加密大量设备。

这时，勒索软件已经不再只是一个孤立运行的恶意程序。

它变成了整个网络入侵行动的最后阶段。

同时，“双重勒索”也开始流行：

不付款，不仅不给解密工具，还可能公开已经窃取的数据。

供应链攻击：恶意代码开始藏进“正常软件”#

现代软件开发越来越依赖第三方组件。

一个普通应用背后可能依赖：

• npm 软件包；
• Python 库；
• Java 组件；
• Docker 镜像；
• CI/CD 插件；
• 第三方 SDK。

于是攻击者开始采用另一种思路：

如果一千家公司都使用同一个软件，那么不一定要逐个攻击这一千家公司。

只要攻击它们共同信任的软件供应链即可。

2020 年曝光的 SolarWinds 事件就是这一领域极具代表性的案例。

攻击者影响了软件构建或更新链路，使恶意代码进入正常软件版本。

以 SolarWinds 事件为例，真正进入受害环境的恶意后门后来常被称为 SUNBURST。它并不是靠用户下载“可疑恶意文件”进入系统，而是跟随正常软件更新一起被安装。

这使供应链攻击和传统恶意软件传播方式形成鲜明对比：

传统恶意软件努力伪装成“可信软件”，而供应链攻击则试图直接进入“可信软件本身”。

传统攻击往往发生在用户下载安装软件之后，而供应链攻击则把目标向前移动到了“软件是如何被生产出来的”这一环节。

可以把正常链路理解为：

1
源代码
2
  ↓
3
构建系统
4
  ↓
5
签名 / 打包
6
  ↓
7
官方更新服务器
8
  ↓
9
用户安装

如果攻击者控制了其中某个关键环节，就可能让恶意代码在发布前进入最终版本。

这样一来，用户看到的可能依然是：

• 官方网站；
• 正常版本号；
• 合法更新程序；
• 正常安装流程。

但实际安装包中已经包含后门。

用户通过官方渠道安装更新，却可能同时把后门带入企业网络。

这种攻击最危险的地方在于，它利用的是：信任。

陌生程序容易被警惕，但官方更新通常会被认为可靠。

供应链攻击恰恰试图进入这个可信链条内部。

2021：Log4Shell，一个日志组件震动互联网#

2021 年出现的 Log4Shell（CVE-2021-44228） 是现代漏洞史上的代表性事件。

问题来自 Java 生态中广泛使用的日志组件 Log4j。

很多服务器甚至不知道自己间接使用了它。

Log4Shell 的核心问题出在 Log4j 某些版本会对日志内容中的特殊表达式继续进行解析。

正常情况下，日志组件的职责只是“把字符串记下来”。

例如：

1
用户登录失败：Alice

理论上，这段内容应该原样写进日志。

但存在漏洞的版本会把某些特殊格式的字符串理解成“需要继续解析的指令”，并可能进一步触发 JNDI 资源查找。

这就导致一个非常危险的边界被打破：

原本只是要被记录的数据，开始影响程序接下来要做什么。

在特定条件下，这种远程资源查找可能进一步导致攻击者控制代码执行流程。

因此，Log4Shell 和 SQL 注入在思想上其实有一点相似：都是本应作为数据处理的内容，被错误地赋予了指令能力。

漏洞曝光后，攻击者迅速开始自动扫描互联网上存在漏洞的服务器。

Log4Shell 很能体现现代攻防节奏究竟有多快。

漏洞公开之后，攻击者可以迅速把公开信息编写成扫描和利用程序；与此同时，防守方则需要完成资产排查、确认依赖关系、升级组件、临时缓解、监控异常请求等一系列工作。

于是双方争夺的不只是“谁懂这个漏洞”，而是：

谁能更快把知识转化成行动。

攻击方希望在补丁和缓解措施普及之前找到更多目标，防守方则希望在大规模利用发生之前确认自己究竟哪些系统受到影响。

一旦成功获得代码执行能力，攻击往往不会停止在“证明漏洞存在”。

攻击者可能进一步下载：

• 挖矿程序；
• 远程控制木马；
• 僵尸网络程序；
• 勒索软件；
• 其他后门。

这里也能看出现代恶意软件的一个重要特点：模块化。

最先利用 Log4Shell 的代码可能只负责“打开入口”，真正的恶意功能则由后续下载的程序承担。

例如：

1
Log4Shell
2
   ↓
3
获得初始执行能力
4
   ↓
5
下载器 / Loader
6
   ↓
7
木马、矿工、勒索程序、Botnet 客户端

所以在现代攻击中，“漏洞利用程序”和“最终恶意软件”往往已经不是同一个东西。

现代攻击链越来越像：

1
漏洞
2
    ↓
3
初始代码执行
4
    ↓
5
下载器
6
    ↓
7
木马 / 后门
8
    ↓
9
横向移动
10
    ↓
11
窃密 / 挖矿 / 勒索

漏洞只是入口。

恶意软件负责真正完成后续攻击。

Log4Shell 还暴露了另一个现实问题：

企业可能根本不知道自己是否使用了某个存在漏洞的组件。

即使业务应用可能没有直接引用 Log4j，却可能通过框架、库和依赖链间接引入它。

这也推动了 SBOM——Software Bill of Materials，软件物料清单等概念的发展。

攻击面从软件扩展到云、身份系统和硬件#

今天谈到的安全问题，范围已经远远超出传统程序漏洞的范畴。

现代攻击面可能来自：

• 云平台权限配置错误；
• OAuth 与身份认证逻辑缺陷；
• API 越权；
• Kubernetes 与容器环境配置错误或逃逸漏洞；
• CI/CD 凭据泄露；
• 浏览器沙箱逃逸；
• 虚拟化平台漏洞；
• 软件依赖漏洞；
• CPU 微架构问题。

2018 年公开的 Spectre（幽灵漏洞）和 Meltdown（熔断漏洞）就与现代处理器的推测执行机制有关。

现代 CPU 为了提高速度，会尝试提前执行“很可能接下来就要运行”的指令。这种机制叫做推测执行。

即使后来发现猜错了，CPU 也会在逻辑上撤销这些执行结果。

问题在于：

逻辑结果虽然被撤销了，但某些微架构痕迹——例如缓存状态——可能已经留下。

攻击者可以通过测量访问某些内存位置所需的细微时间差，间接推测之前发生过什么。

这就是所谓的侧信道攻击（Side-Channel Attack）。

1
缓冲区溢出
2
SQL 注入
3
身份验证绕过
4
权限配置错误

1
程序输入
2
   ↓
3
程序处理
4
   ↓
5
程序输出

1
程序输入
2
   ↓
3
程序处理
4
   ├──→ 正常输出
5
   │
6
   └──→ 时间 / 缓存 / 功耗 / 电磁 / 声音等痕迹
7
                         ↓
8
                    攻击者观察
9
                         ↓
10
                    推测隐藏信息

1
输入：abcdef
2
正确：abcxyz

1
猜错第 1 位 → 平均响应很快
2
猜对第 1 位 → 平均稍慢
3
猜对前 2 位 → 又稍慢一点

1
数据已经在 Cache 中
2
→ 读取很快
3

4
数据不在 Cache 中
5
→ 需要访问更慢的内存
6
→ 读取较慢

1
受害程序访问秘密数据
2
        ↓
3
某些数据进入 Cache
4
        ↓
5
攻击者测量不同位置的访问时间
6
        ↓
7
发现某些位置异常快速
8
        ↓
9
推测受害程序刚刚访问过什么

1
CPU 推测执行
2
   ↓
3
短暂接触敏感数据
4
   ↓
5
根据秘密值访问不同数据
6
   ↓
7
秘密相关的数据进入 Cache
8
   ↓
9
CPU 发现预测错误
10
   ↓
11
逻辑执行结果被撤销
12
   ↓
13
Cache 状态仍然存在差异
14
   ↓
15
攻击者测量访问时间
16
   ↓
17
反推出秘密数据

1
尝试读取高权限内存
2
   ↓
3
CPU 短暂继续执行
4
   ↓
5
秘密影响 Cache
6
   ↓
7
权限检查失败
8
   ↓
9
正常结果被丢弃
10
   ↓
11
通过 Cache 侧信道恢复秘密

1
训练 CPU 分支预测
2
   ↓
3
诱导错误推测
4
   ↓
5
受害程序短暂执行错误路径
6
   ↓
7
访问与秘密相关的数据
8
   ↓
9
Cache 状态改变
10
   ↓
11
攻击者测量 Cache
12
   ↓
13
推测秘密

1
这里少了长度检查
2
这里没有转义输入
3
这里错误地开放了权限

防御也在不断进化#

攻击技术在进化，防御机制同样如此。

而且两者并不是彼此独立发展的。

很多今天习以为常的安全机制，本身就是过去一次次攻击留下的结果；反过来，每增加一道防线，也会改变攻击者下一步选择的路径。

早期程序几乎没有今天常见的内存保护措施。

后来逐渐出现：

• DEP / NX；
• ASLR；
• Stack Canary；
• CFG；
• 浏览器沙箱；
• 权限隔离。

这让现代漏洞利用越来越难依靠单个问题完成整个攻击。

很多攻击需要组合多个漏洞和技术：

1
信息泄露
2
    ↓
3
绕过 ASLR
4
    ↓
5
获得代码执行
6
    ↓
7
逃逸沙箱
8
    ↓
9
提升权限

这就是所谓的 Exploit Chain——漏洞利用链。

单个漏洞可能被防御机制限制，但多个漏洞组合起来，仍然可能形成完整攻击能力。

这也很好地体现了攻防双方长期演化的关系：

1
缓冲区溢出普及
2
   ↓
3
Stack Canary / DEP 出现
4
   ↓
5
攻击者寻找绕过方式
6
   ↓
7
ASLR 提高地址预测难度
8
   ↓
9
攻击者结合信息泄露绕过 ASLR
10
   ↓
11
沙箱与权限隔离继续加强
12
   ↓
13
攻击者组合多个漏洞形成 Exploit Chain

安全机制很少能“一劳永逸”地终结某类攻击。

更常见的结果是：

防御提高攻击成本，攻击者再寻找新的组合方式，而新的攻击又推动下一代防御出现。

病毒、蠕虫、木马和勒索软件，到底有什么区别#

随着恶意软件种类越来越多，几个常见概念也有必要区分。

从 CIH 到熊猫烧香：为什么这两个案例值得放在一起看#

如果单独看 CIH 和熊猫烧香，它们都可以被大众简单地称作“电脑病毒”。

但放进整个恶意软件发展史里，它们代表的其实是两个完全不同的时代。

CIH 代表的是：

破坏型文件病毒时代。

攻击者更关注感染、隐藏、复制和破坏效果。

而熊猫烧香代表的则是：

恶意软件开始明显黑产化的时代。

攻击者逐渐发现，保持一台受害计算机继续运行，比直接毁掉它更有价值。

于是目标发生了变化：

1
CIH：
2
计算机 = 被破坏的目标
3

4
熊猫烧香时代：
5
计算机 = 可以持续利用的资产

再往后，恶意软件继续沿着这条路线演化：

1
文件病毒
2
    ↓
3
网络蠕虫
4
    ↓
5
盗号木马
6
    ↓
7
僵尸网络
8
    ↓
9
勒索软件
10
    ↓
11
企业级勒索
12
    ↓
13
完整网络犯罪产业链

从这个角度看，CIH 和熊猫烧香之间相隔的几年，其实正好见证了恶意软件目的从“破坏”向“控制和获利”的转变。

四十年的演化，可以浓缩成一条时间线#

如果把整个发展过程压缩成一条时间线，大致可以看到：

1
1980s
2
早期网络漏洞
3
    ↓
4
1988
5
Morris Worm
6
漏洞利用开始支持自动传播
7
    ↓
8
1990s
9
文件病毒、宏病毒、缓冲区溢出逐渐成熟
10
    ↓
11
1998–1999
12
CIH
13
文件感染 + 强破坏型病毒
14
    ↓
15
1999
16
Melissa
17
宏病毒 + 邮件自动传播
18
    ↓
19
2000
20
ILOVEYOU
21
社会工程 + 邮件传播
22
    ↓
23
2001–2004
24
Code Red / Nimda / Slammer / Blaster / Sasser
25
网络漏洞驱动的高速蠕虫时代
26
    ↓
27
2005–2007
28
木马、盗号、僵尸网络与黑产兴起
29
    ↓
30
2006–2007
31
熊猫烧香
32
文件感染 + 网络传播 + 黑产化
33
    ↓
34
2008
35
Conficker
36
漏洞 + 弱口令 + 僵尸网络
37
    ↓
38
2010
39
Stuxnet
40
0day 漏洞 + 工业控制攻击
41
    ↓
42
2010s
43
APT、木马、勒索软件持续发展
44
    ↓
45
2016
46
Mirai
47
IoT 僵尸网络
48
    ↓
49
2017
50
WannaCry / NotPetya
51
漏洞利用 + 网络传播 + 勒索 / 破坏
52
    ↓
53
2020s
54
供应链攻击、企业级勒索、云与身份攻击
55
    ↓
56
2021
57
Log4Shell
58
基础组件漏洞 + 自动化后续投毒
59
    ↓
60
今天
61
漏洞利用链 + 恶意软件模块化 + 完整攻击产业链

这条时间线里最明显的变化，并不是“病毒越来越厉害”这么简单。

真正发生变化的是攻击者的目标。

最早：

病毒想复制自己。

后来：

蠕虫想传播得更快。

再后来：

木马想长期控制机器。

接着：

僵尸网络想把机器变成资源。

而今天：

攻击者往往希望控制整个企业网络，并从数据、勒索、资源或情报中持续获利。

结语：漏洞是入口，恶意软件决定“进去之后做什么”#

如果只研究漏洞，很容易把网络安全理解成“程序员写错了代码”。

如果只研究病毒，又容易把安全理解成“不要运行陌生文件”。

但互联网安全真正的发展过程，其实是两者不断结合。

漏洞决定：

攻击者能不能进去。

恶意软件决定：

进去之后能做什么。

Morris Worm 让人们第一次看到利用网络弱点实现自动传播的可能。

CIH 展示了传统文件病毒惊人的破坏能力。

Melissa 和 ILOVEYOU 证明邮件与社会工程学同样能够制造大规模传播。

Code Red、Slammer、Blaster 和 Sasser 把利用网络漏洞实现的自动化感染推向高峰。

熊猫烧香则见证了恶意软件从“破坏电脑”逐渐走向“控制电脑并获利”的转折。

Conficker 让感染设备成为长期控制的僵尸网络节点。

Stuxnet 将恶意代码的影响带入工业世界。

Mirai 让摄像头和路由器成为攻击资源。

WannaCry 把高速蠕虫与勒索软件结合起来。

而到了 Log4Shell 和现代供应链攻击时代，一个漏洞往往只是完整攻击链中的第一步。

因此，现代安全的目标早已不再只是：

“不要中病毒。”

而是：

即使某个漏洞被利用、某台设备被感染，也要让攻击难以继续扩散，并尽早发现和阻断整条攻击链。

如果把这四十多年的演化史，重新放在“攻防”视角下观察，就会发现几乎所有重要节点都具有相似的结构：

1
新的攻击方式出现
2
        ↓
3
暴露原有防线的不足
4
        ↓
5
防守方增加新的安全机制
6
        ↓
7
攻击成本提高
8
        ↓
9
攻击者寻找新的入口或绕过方法
10
        ↓
11
下一轮攻防开始

Morris Worm 推动了事件响应体系的发展，网络蠕虫推动补丁和自动更新普及，内存漏洞推动 DEP、ASLR 等保护机制成熟，APT 又推动防守方从“守住入口”转向持续监控和纵深防御，而 Spectre、Meltdown 甚至把这场博弈带到了 CPU 微架构层面。

所以，这段“演化史”说到最后，就是一场“攻防战”：

攻击者不断证明旧防线哪里还不够，而防守方则不断把这些教训变成下一层防线。

这或许才是过去四十多年互联网漏洞与恶意软件发展史留给今天最重要的一条经验。

参考资料#

本文主要参考 Microsoft、CERT/CC、OWASP、CISA、NIST、Apache 等机构发布的安全公告、漏洞说明与技术资料：

1. Carnegie Mellon University Software Engineering Institute — Fostering Growth in Professional Cyber Incident Management
   介绍 1988 年 Morris Worm 事件以及 CERT/CC 成立的历史背景。
   SEI：Morris Worm 与 CERT/CC 历史

2. OWASP Cheat Sheet Series — SQL Injection Prevention Cheat Sheet
   介绍 SQL 注入的形成原因、参数化查询以及数据库输入与 SQL 指令混淆的问题。
   OWASP：SQL Injection Prevention Cheat Sheet

3. OWASP Cheat Sheet Series — Cross Site Scripting Prevention Cheat Sheet
   介绍 XSS 的基本原理以及输出编码、HTML 上下文和浏览器脚本执行之间的关系。
   OWASP：Cross Site Scripting Prevention Cheat Sheet

4. OWASP Cheat Sheet Series — OS Command Injection Defense Cheat Sheet
   介绍命令注入中用户输入被错误解释为操作系统命令或参数的原理。
   OWASP：OS Command Injection Defense Cheat Sheet

5. Microsoft Security Bulletin MS08-067 — Vulnerability in Server Service Could Allow Remote Code Execution
   Conficker 等恶意程序所利用的重要 Windows Server Service 远程代码执行漏洞。
   Microsoft：MS08-067

6. Microsoft Security Intelligence — Win32/Conficker threat description
   介绍 Conficker 的网络传播、弱口令、可移动设备传播以及关闭安全服务等行为。
   Microsoft：Win32/Conficker

7. Heartbleed — The Heartbleed Bug
   介绍 OpenSSL Heartbeat 长度校验错误及其导致的越界内存读取问题。
   Heartbleed Bug 官方说明

8. Microsoft Security Bulletin MS17-010 — Security Update for Microsoft Windows SMB Server
   介绍 SMBv1 中可导致远程代码执行的信息处理漏洞，是理解 EternalBlue 与 WannaCry 传播机制的重要资料。
   Microsoft：MS17-010

9. Microsoft Security Blog — WannaCrypt ransomware worm targets out-of-date systems
   Microsoft 对 WannaCry/WannaCrypt 的传播机制、SMB 漏洞利用以及蠕虫行为的技术分析。
   Microsoft Security Blog：WannaCrypt ransomware worm targets out-of-date systems

10. Microsoft Security Blog — New ransomware, old techniques: Petya adds worm capabilities
    介绍 2017 年 Petya/NotPetya 事件中的网络传播、漏洞利用以及破坏行为。
    Microsoft Security Blog：Petya adds worm capabilities

11. CISA — Active Exploitation of SolarWinds Software
    介绍 SolarWinds Orion 供应链攻击事件以及 SUNBURST 后门相关情况。
    CISA：Active Exploitation of SolarWinds Software

12. Apache Log4j — Release Notes
    Apache 官方关于 CVE-2021-44228、Message Lookup、JNDI 功能以及后续安全修复的说明。
    Apache Log4j：Release Notes

13. CISA — Mitigating Log4Shell and Other Log4j-Related Vulnerabilities
    CISA、FBI、NSA 等机构联合发布的 Log4Shell 技术说明与缓解建议。
    CISA：Mitigating Log4Shell and Other Log4j-Related Vulnerabilities

14. NIST Computer Security Resource Center — Side-Channel Attack
    NIST 对侧信道攻击的定义，涵盖执行时间、功耗、电磁辐射和声学信息等侧信道。
    NIST：Side-Channel Attack

15. NIST CSRC — Side Channels: Attacks, Defences, and Evaluation Schemes
    介绍时间侧信道、功耗分析、电磁侧信道及相关防御方法。
    NIST：Side Channels — Attacks and Defences

16. Intel — Intel Analysis of Speculative Execution Side Channels
    Intel 对 Spectre、Meltdown 以及推测执行侧信道问题的技术说明。
    Intel：Analysis of Speculative Execution Side Channels

17. Microsoft Learn — SMB security hardening in Windows Server and Windows Client
    介绍现代 Windows 中 SMB 协议的安全强化措施。
    Microsoft Learn：SMB security hardening

18. Microsoft Learn — Control SMB signing behavior
    介绍 SMB Signing 的工作方式、配置方法以及其在防止中间人攻击中的作用。
    Microsoft Learn：Control SMB signing behavior

19. Microsoft Learn — SMB Security Enhancements
    介绍较新 Windows Server 与 Windows 客户端中的 SMB 安全机制和协议增强。
    Microsoft Learn：SMB Security Enhancements