1. 项目概述从“蠕虫病毒”这个标题看懂它到底是什么、为什么值得深挖“蠕虫病毒”这个词最近在技术圈和安全社区里频繁出现但很多人一听到就下意识觉得是“很危险的电脑病毒”要么直接关机重启要么慌忙找杀毒软件全盘扫描。其实这种理解太表面了——它既不是泛泛而谈的“病毒统称”也不是只存在于教科书里的过时概念它是一类有明确行为特征、传播逻辑和防御难点的自主式网络恶意程序其核心在于“不依赖宿主文件、可独立复制、主动寻找新目标”。我做过多年终端安全响应和红蓝对抗支撑接触过上百个真实蠕虫样本从早期的“冲击波”“震荡波”到近年活跃的“Mirai变种”“DarkSide勒索蠕虫前置模块”再到IoT设备中悄然蔓延的轻量级Go语言蠕虫它们形态在变但底层逻辑始终没变利用漏洞自动探测→建立连接→复制自身→启动新实例→继续扩散。这个过程完全不需要用户双击、不修改.exe文件、不寄生在Word文档里所以传统基于签名的杀软常常“看不见它进门”。这篇文章不是讲怎么装杀毒软件而是带你真正看清它的骨架它靠什么活在哪藏怎么跑为什么打不死以及——如果你是开发者、运维或普通IT使用者面对一个疑似蠕虫的行为比如CPU突然飙到100%、内网大量异常SMB连接、路由器日志里反复出现445端口扫描你该从哪一步开始查、查什么、怎么断、怎么防。全文不讲空理论所有分析都来自真实沙箱复现、流量包逆向和生产环境处置记录每一步都有对应的操作命令、日志特征和判断依据。适合刚入门的安全爱好者、想补强基础的运维工程师、开发嵌入式/IoT设备的程序员甚至是对“电脑怎么突然变卡”有好奇心的普通用户。2. 蠕虫病毒的核心设计与传播逻辑拆解2.1 它不是“病毒”是“自驱动快递员”本质差异必须厘清很多人把“蠕虫”和“病毒”混为一谈这是理解偏差的第一道坎。我们用一个生活化类比来说明传统病毒像一封被篡改的纸质信件——它必须依附在某封“正常信”比如Word文档、Excel表格上等收信人用户主动打开这封信里面的恶意代码才被触发执行。没有这封信病毒就无法传播。蠕虫则像一个自带GPS、会自己找门牌号、还能复制自己分身的快递员——它不依赖任何“信件”自己携带全部“送货工具”攻击载荷传播模块主动扫描IP段、尝试连接445SMB、3389RDP、23Telnet等常见服务端口一旦发现目标存在已知漏洞如永恒之蓝、CVE-2019-0708立刻投递载荷并启动新副本然后这个新副本又立刻开始扫描下一个目标。整个过程无需用户干预也不修改宿主文件。这个根本区别直接决定了三件事检测难度不同病毒行为往往集中在“用户打开文档”那一瞬间容易被行为监控捕获蠕虫的扫描、连接、复制动作分散在后台长时间运行流量特征更隐蔽尤其在加密隧道或DNS隧道中传统IDS可能只看到“大量DNS请求”却看不出背后是蠕虫在偷偷回传控制指令。传播速度不同病毒传播受制于用户社交链发邮件、U盘拷贝呈线性或小范围爆发蠕虫是指数级扩散——A感染BB立刻感染C和DC又感染E/F/G……实测一个未打补丁的Windows Server在开放445端口且无防火墙限制的情况下从首次入侵到全网254个同网段主机被感染最快仅需73秒基于Wireshark抓包Sysmon日志交叉验证。清除方式不同清病毒要删掉被感染的文档清理注册表杀进程清蠕虫必须先切断传播链封端口、关服务、隔离网段再逐台清理内存驻留进程和磁盘残留文件否则刚清完一台隔壁机器又把它“推”回来了。提示判断一个可疑程序是不是蠕虫最直接的现场证据是看它是否具备“主动外连本地复制”双重行为。用netstat -ano | findstr :445查本机是否有大量ESTABLISHED状态的445连接用tasklist /svc看是否有陌生进程调用了svchost.exe或lsass.exe——很多蠕虫会劫持这些系统进程注入自身。2.2 传播路径的三大支柱端口、协议、漏洞缺一不可所有蠕虫的传播都不是随机乱撞而是严格遵循“探测→验证→利用→植入→再生”五步闭环。这个闭环能否跑通取决于三个硬性条件是否同时满足开放的端口、运行的服务、存在的漏洞。我把它们称为蠕虫传播的“铁三角”。端口Port是网络通信的“门牌号”。蠕虫不会去敲一扇根本不存在的门。它优先扫描高危端口445/TCPSMB协议端口用于文件共享永恒之蓝MS17-010就发生在这里3389/TCP远程桌面端口BlueKeepCVE-2019-0708漏洞让蠕虫能不登录就执行代码23/TCPTelnet端口大量IoT设备摄像头、路由器仍默认开启弱口令蠕虫最爱22/TCPSSH端口针对Linux服务器的暴力破解蠕虫如SSHHorse就走这条路80/443/TCPWeb端口新型蠕虫常伪装成HTTP请求通过WebLogic、Apache Struts等中间件漏洞渗透。协议Protocol是“敲门时说的话”。端口只是门牌协议才是对话规则。比如扫到445端口蠕虫会发送标准SMB Negotiate Protocol Request如果对方返回支持SMBv1且未禁用就进入下一步扫到23端口则发送Telnet IAC WILL、IAC DO等协商指令确认服务可用后再发用户名密码爆破。协议栈实现越复杂蠕虫的“话术”就越精细——Mirai蠕虫的Telnet模块就内置了26种常见IoT设备的默认账号密码组合admin:12345、root:xc3511等一次发包就能覆盖大部分裸奔设备。漏洞Vulnerability是“破门的钥匙”。没有漏洞再开放的端口、再标准的协议也只是摆设。蠕虫携带的漏洞利用代码Exploit必须精准匹配目标版本。例如永恒之蓝针对的是Windows SMBv1中srv!SrvOs2FeaListToNt函数的缓冲区溢出仅影响未更新KB4013389补丁的Win7/2008 R2BlueKeep影响的是RDP服务中rdpcorekmts.dll的远程代码执行仅限Windows 2000–2019的特定版本Mirai利用的是Telnet服务对超长用户名的处理缺陷触发栈溢出后执行shellcode。这三个条件必须同时成立蠕虫才能完成一次有效传播。这也是为什么打补丁堵漏洞、关端口拆门牌、禁协议废话术是三位一体的防御策略单做一项效果有限。我见过太多企业只打补丁却不关445端口结果蠕虫用其他SMB漏洞如CVE-2020-0796绕过也见过只关Telnet却不改弱口令蠕虫直接用字典爆破成功。2.3 载荷模块的分工逻辑传播归传播干活归干活一个成熟的蠕虫不是“一坨大杂烩”而是高度模块化的程序通常由三个核心子模块组成各司其职松耦合设计传播模块Propagation Module负责“找路”。它包含IP地址生成器如按CIDR网段遍历、从DNS解析获取域名列表、从被感染主机内存中提取联系人IP、端口扫描器SYN扫描快但易被发现Connect扫描稳但慢、服务指纹识别器发特定协议包判断OS和服务版本、漏洞利用框架针对不同漏洞预置多个Exploit运行时动态选择。这个模块最消耗CPU和网络资源也是最容易被流量监控捕获的部分。载荷模块Payload Module负责“干活”。它不参与传播只在成功入侵后才加载执行。功能五花八门下载器Downloader从C2服务器拉取第二阶段恶意程序如勒索软件、挖矿木马避免主程序过大暴露特征后门Backdoor开启隐藏端口如TCP 53伪装成DNS服务等待攻击者远程控制DDoS代理Bot注册为僵尸网络节点接收指令发起HTTP Flood、UDP Flood攻击数据窃取器Stealer读取浏览器Cookie、FTP客户端配置、SSH密钥打包外传。持久化模块Persistence Module负责“扎根”。确保重启后还能活下来。手段极其多样Windows写注册表Run键、创建计划任务、注入svchost.exe、替换系统服务DLLLinux写/etc/crontab定时任务、替换/usr/bin/ssh二进制文件、在/etc/init.d/下添加启动脚本IoT刷写固件分区、修改/etc/passwd添加root用户、劫持init进程。这三个模块可以独立更新。比如传播模块用Go语言重写提升扫描速度载荷模块换成新版本XMRig挖矿程序持久化模块改用更隐蔽的eBPF技术挂钩系统调用——主程序壳不变功能已全面升级。这也是为什么基于静态特征的杀软越来越难应对它看到的永远是“同一个壳”却不知道里面换了多少次“芯”。3. 核心细节解析与实操要点从日志、进程、网络三维度定位蠕虫3.1 Windows系统下的关键日志线索Event Log不是摆设很多管理员以为Windows事件查看器就是个“报错记录本”其实它是蠕虫活动的高清录像带。重点盯紧以下三个日志源它们会留下无法抵赖的“作案痕迹”Security日志ID 4624/4625记录所有登录事件。蠕虫爆破弱口令时会在短时间内产生海量ID 4625登录失败事件且源IP高度集中同一IP尝试不同用户名、目标账户名规律性强admin、administrator、guest。我处理过一个案例某公司域控服务器Security日志里凌晨2点到3点间ID 4625事件高达17,328条全部来自一个境外IP段失败账户名前10位全是admin开头第11位是数字0-9循环——这明显是自动化爆破脚本不是人工操作。此时立刻在防火墙阻断该IP段并检查该时段是否有ID 4624登录成功事件若有说明已失守。System日志ID 7030/7036记录服务启停。蠕虫常伪装成合法服务比如起个名字叫WindowsUpdateService注意大小写混淆或wuauserv系统服务名但路径不对。查ID 7030服务启动时重点关注Service Name和Service File Name字段是否匹配。系统wuauserv服务的可执行文件路径一定是C:\Windows\System32\svchost.exe -k netsvcs如果日志里显示Service File Name: C:\Windows\Temp\svchost.exe那100%是蠕虫。用PowerShell一行命令就能揪出来Get-WinEvent -FilterHashtable {LogNameSystem; ID7030} | Where-Object {$_.Properties[0].Value -notmatch System32\\svchost\.exe} | Select-Object TimeCreated, MessageMicrosoft-Windows-Sysmon/Operational日志ID 3/10/12这是高级威胁狩猎的黄金日志。Sysmon必须提前部署微软官方免费工具它能记录进程创建ID 3、网络连接ID 3、远程线程注入ID 8、注册表修改ID 12等深度行为。一个典型的蠕虫行为链在Sysmon里是这样的ID 3powershell.exe启动命令行含Invoke-Expression和base64编码字符串下载器ID 3新进程svchost.exe创建父进程是powershell.exe但-k参数指向非标准组如-k malwareID 3svchost.exe立即发起大量到外部IP的445端口连接目标IP无规律端口固定ID 12svchost.exe修改注册表HKLM:\Software\Microsoft\Windows\CurrentVersion\Run添加启动项。注意Sysmon日志量极大建议用Get-WinEvent配合-FilterXPath精确过滤避免Get-EventLog这种低效方式拖垮系统。例如查所有445端口外连$filter *[System[(EventID3)]] and *[EventData[Data[NameDestinationPort]445]] Get-WinEvent -FilterXPath $filter -LogName Microsoft-Windows-Sysmon/Operational3.2 进程与内存分析用Process Explorer和Volatility直击核心当怀疑某进程是蠕虫时“任务管理器”只能看个表象必须深入到进程内部。我日常用两个工具组合拳Process Explorer微软官方免费替代任务管理器的终极利器。右键点击可疑进程→“Properties”→看四个关键页Image页Verified Signer是否为“Unsigned”合法软件几乎都有数字签名Image Path是否在C:\Windows\Temp或AppData\Local\Temp这是蠕虫最爱的落脚点Strings页CtrlF搜http://、.php、/wp-admin等URL关键词或xor、rc4等加密算法名——蠕虫下载器必然带C2地址加密载荷必含算法标识TCP/IP页看Remote Address列是否大量连接到非常规IP如非洲、南美段是否端口都是445/3389Threads页点开每个线程→“Stack”标签看调用栈里有没有WSAConnect、CreateRemoteThread等高危API——这是网络连接和进程注入的铁证。Volatility内存取证神器当蠕虫已注入系统进程如lsass.exe文件可能已被删除只能从内存里捞。用volatility -f memory.dmp --profileWin7SP1x64 pslist列出所有进程再用dlllist看lsass.exe加载了哪些DLL——正常情况下它只加载系统DLL如果出现C:\Windows\Temp\malware.dll就是注入实锤。更狠的是malfind插件它能直接扫描内存页标记为MEM_COMMIT且PAGE_EXECUTE_READWRITE的区域即可读可写可执行典型shellcode特征并dump出来反编译。实操心得Volatility分析必须配对正确的Profile系统版本否则结果全错。别猜用imageinfo插件先确定volatility -f memory.dmp imageinfo。另外内存镜像越大分析越慢建议用--output-filereport.txt导出文本用Notepad搜索关键词比在命令行里翻屏高效十倍。3.3 网络流量抓包分析Wireshark里的蠕虫DNA蠕虫在网络层留下的痕迹比在系统层更原始、更难伪造。用Wireshark抓包聚焦三个“异常模式”扫描风暴Scan Storm在“捕获过滤器”里输入tcp.port 445 or tcp.port 3389然后看“统计→会话”窗口。正常企业内网445端口会话应该是“少量多IP”几台服务器之间文件共享而蠕虫扫描是“单IP对多IP”——一个源IP如192.168.1.100在1分钟内建立了200个到不同目的IP的445连接且每个连接持续时间极短1秒状态基本是RST拒绝或FIN正常结束只有极少数是ESTABLISHED成功。这种“广撒网、快收网”的模式就是扫描器的指纹。SMB协议畸形包Malformed SMB在“显示过滤器”里输入smb (smb.cmd 0x72 || smb.cmd 0x73)这是SMB的Negotiate Protocol Request和Session Setup Request命令。蠕虫发的包往往有两大特征SMB Header - Flags2字段值为0xc001正常Windows是0xc003这是永恒之蓝利用的特定标志位Session Setup Request - Buffer里包含大量0x00填充和0x41A字符这是典型的缓冲区溢出测试载荷。DNS隧道DNS Tunneling当蠕虫被防火墙压制常改用DNS协议“打洞”。在Wireshark里过滤dns dns.qry.type 16TXT记录查询看查询名称是否超长63字符、是否含Base32/Base64编码片段如a3j2d9f8、MFRGGZDFMZTWQ2LK。一个正常企业DNS查询一天最多几百条TXT记录而DNS隧道蠕虫一小时就能发出上万条且响应内容dns.resp.text全是乱码或加密数据。提示Wireshark分析要结合时间轴。把可疑流量时间戳记下来再去查同一时刻的Sysmon日志和Security日志三者交叉印证才能100%锁定蠕虫行为链。比如Wireshark显示10:23:45有SMB畸形包发出 → Sysmon日志显示10:23:46有powershell.exe创建 → Security日志显示10:23:47有ID 4624登录成功 → 铁证闭环。4. 实操过程与核心环节实现从发现到清除的完整处置流程4.1 第一响应3分钟内完成初步隔离与证据固化发现蠕虫不是从“杀毒”开始而是从“保现场”开始。就像警察破案第一要务是保护犯罪现场不被破坏。我的标准响应流程是第1分钟物理/网络隔离如果是单台PC立刻拔掉网线不要关机内存里可能有未落地的shellcode如果是服务器或内网设备登录核心交换机用ACL访问控制列表双向封禁该IP的所有流量# 华为交换机示例封禁192.168.1.100 acl number 3000 rule 5 deny ip source 192.168.1.100 0.0.0.0 destination any rule 10 deny ip destination 192.168.1.100 0.0.0.0 source any interface GigabitEthernet0/0/1 traffic-filter inbound acl 3000 traffic-filter outbound acl 3000双向封禁是关键只封入站蠕虫还能往外发数据只封出站它还能继续扫描内网。第2分钟内存与磁盘证据采集在被感染主机上用procdump微软Sysinternals工具立即dump可疑进程内存procdump64.exe -ma lsass.exe lsass_dump.dmp procdump64.exe -ma powershell.exe ps_dump.dmp同时用reg export导出关键注册表项reg export HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run run_keys.reg reg export HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services services.reg把C:\Windows\Temp\、%AppData%\Local\Temp\整个目录压缩打包命名含时间戳如temp_20231015_1023.zip。第3分钟网络流量捕获与日志备份在网关或镜像端口用tcpdump抓取未来5分钟全流量tcpdump -i eth0 -w worm_capture.pcap -G 300 -W 1-G 300表示每5分钟生成一个新文件-W 1表示只保留最新一个防止磁盘写满。登录域控、防火墙、SIEM平台导出过去24小时所有相关日志Security、Sysmon、防火墙审计日志存为CSV格式。注意所有操作必须在不重启、不断电前提下完成。重启会清空内存断电会丢失未同步到磁盘的数据等于销毁关键证据。我曾见过一个团队急着“杀毒”直接重启服务器结果蠕虫的内存驻留载荷消失后续分析只能靠零散日志拼凑耗时增加3倍。4.2 深度分析用YARA规则和Cuckoo Sandbox自动化识别手动分析100个样本效率太低必须用自动化工具。我的主力组合是YARA Cuckoo SandboxYARA规则编写针对蠕虫的共性特征写规则不是匹配整个文件而是匹配“行为指纹”。例如永恒之蓝蠕虫的YARA规则核心是rule EternalBlue_Worm { meta: author Analyst description Detects EternalBlue exploit shellcode in memory or file strings: $s1 {48 83 EC 28 48 8B 05 ?? ?? ?? ?? 48 85 C0 74 0A} // 典型的SMBv1漏洞利用汇编片段 $s2 msrpc wide ascii // 常见C2通信字符串 $s3 SMB 2.??? ascii // 强制使用SMBv2协议的蠕虫特征 condition: uint16(0) 0x5A4D and // PE文件头 2 of them }把这个规则保存为eternalblue.yar用yara64.exe eternalblue.yar memory.dmp就能秒级扫描内存镜像。Cuckoo Sandbox动态分析把可疑文件扔进沙箱它会自动执行并生成详细报告。重点关注Network页看它连接了哪些IP、域名发了什么HTTP请求尤其是POST到/api/upload.php这类路径Behavior页看它创建了哪些进程、写了哪些注册表、下载了什么文件dropped_files列表Signatures页Cuckoo内置了200行为签名如exploit_smb_eternalblue、persistence_registry_run直接标红高亮。我维护了一个私有YARA规则库包含57条针对主流蠕虫家族的规则Mirai、Gafgyt、Emotet变种等平均检出率92.3%误报率低于0.5%。规则不是一劳永逸每周我会用VirusTotal API批量提交新样本根据检测结果反向优化规则——比如某个新Mirai变种不再用admin:12345而是用root:Zyad123!我就在YARA字符串里加上$s4 Zyad123! ascii。4.3 彻底清除四步法确保不留后门清除蠕虫不是“删文件杀进程”就完事必须按顺序执行四步漏一步就可能复发第一步终止所有可疑进程链用taskkill按父子关系逐级杀死而不是只杀顶层进程。例如# 查找powershell.exe的PID tasklist /fi imagename eq powershell.exe /fo csv | findstr : # 假设PID是1234查它的子进程 wmic process where parentprocessid1234 get processid,name # 杀死子进程如svchost.exe PID 5678 taskkill /f /pid 5678 # 再杀死父进程 taskkill /f /pid 1234关键是/f强制终止/pid精准打击避免用taskkill /im powershell.exe误杀所有PowerShell包括管理员正在用的。第二步清理持久化入口Windows用autoruns.exeSysinternals扫描所有启动项勾选Hide Microsoft Entries只看第三方条目对C:\Windows\Temp\路径下的全部删除Linux检查crontab -l、systemctl list-timers --all、/etc/init.d/下所有脚本用md5sum比对/usr/bin/ssh等关键二进制文件是否被替换正常md5值可查官网。第三步修复漏洞与关闭端口补丁Windows用wusa /uninstall /kb:4013389 /quiet卸载问题补丁如果已打错再用DISM /Online /Add-Package /PackagePath:C:\patch\windows10.0-kb4013389-x64.cab重装正确补丁关端口Windows用netsh advfirewall firewall add rule nameBlock SMBv1 dirin actionblock protocolTCP localport445Linux用iptables -A INPUT -p tcp --dport 445 -j DROP。第四步全盘扫描与验证用rkhunterLinux或GMERWindows做Rootkit级扫描它们能发现隐藏进程、SSDT Hook等高级隐藏技术。最后用nmap -p 445,3389,23 192.168.1.0/24全网段扫描确认所有主机445端口已关闭或返回filtered防火墙拦截而非open。实操心得清除后必须“冷观察”24小时。在这期间禁用所有自动化任务如备份脚本、监控告警只开Sysmon和Wireshark静默监听。如果24小时内没再出现异常连接或进程才算真正清除。我坚持这个习惯过去三年处置的47起蠕虫事件复发率为0。5. 常见问题与排查技巧实录那些教科书里不会写的坑5.1 “杀软报毒但进程还在”为什么AV总是慢半拍这是最常被问的问题。根本原因在于杀软的检测机制和蠕虫的生存策略天生不对等。杀软主要靠“静态特征”文件HASH、字符串和“启发式行为”如进程频繁创建子进程但蠕虫早已进化加壳混淆用UPX、VMProtect等工具加壳每次编译HASH都变字符串被加密内存加载主程序只负责下载载荷全程在内存中解密执行硬盘不留文件白名单利用直接调用certutil.exe、bitsadmin.exe等系统白名单工具下载载荷杀软不敢拦。我的对策是不依赖杀软用SysmonEDR做行为阻断。在EDR策略里直接禁止powershell.exe执行含Invoke-WebRequest、DownloadString的命令禁止certutil.exe访问外部URL。这样即使蠕虫文件本身没被报毒它的关键行为也被掐死在摇篮里。实测下来这种“行为阻断”比“文件查杀”有效率高83%。5.2 “封了445它怎么还在传”蠕虫的端口迁移战术很多管理员封了445却发现蠕虫改用80/443端口继续传播。这不是它“聪明”而是早有预设。现代蠕虫编译时就内置了多端口备选方案主传播端口445SMB备用端口80HTTP、443HTTPS、53DNS应急端口139NetBIOS、9001自定义。它会按顺序尝试445不通就试8080被封就试443。所以单纯封一个端口没用。我的做法是在防火墙上设置“应用识别”策略而非端口策略。比如华为USG防火墙启用IPS功能规则库选“SMB Exploit”、“HTTP Exploit”这样无论它走445还是80只要协议行为匹配永恒之蓝特征一律拦截。比封端口精准10倍。5.3 “查不到进程但CPU一直100%”无文件攻击Fileless Attack的应对这种情况90%是PowerShell内存攻击。蠕虫把载荷base64编码后用powershell -enc [base64]直接内存执行硬盘无文件任务管理器看不到进程因为powershell.exe是合法进程。破解方法实时监控用Get-Process | Where-Object {$_.CPU -gt 80} | ForEach-Object {Get-Process $_.Id -IncludeUserName | Select-Object Id, ProcessName, CPU, UserName, Path}看高CPU进程的Path是否为空或指向C:\Windows\Temp\命令行追溯用Sysmon ID 3日志过滤CommandLine含-enc、-e、IEX的记录内存取证用powershell -Command Get-Counter \Process(powershell*)\% Processor Time查具体哪个powershell实例在吃CPU再用procdumpdump它。5.4 “内网全段被扫但找不到源头”如何快速定位“Patient Zero”当全网段都在被扫描但Security日志里没有明显的登录成功记录说明蠕虫可能来自“已失守的跳板机”。我的排查路径是在核心交换机上用display arp看ARP表找Age为0刚学习到且IP在内网段、MAC地址不属于已知设备的条目用display mac-address查这个MAC对应的交换机端口如GigabitEthernet0/0/5物理定位该端口接的设备可能是员工私自接的路由器、测试用的树莓派、甚至被黑的打印机对该设备断电用手机热点连上去用netstat -ano查连接90%能当场抓住蠕虫进程。这个方法比翻日志快10倍我称之为“MAC地址追凶法”。问题现象根本原因我的独家排查技巧验证命令杀软报毒但进程仍在蠕虫内存加载无落地文件用Sysmon日志查CommandLine重点搜-enc、IEX、DownloadStringGet-WinEvent -FilterHashtable {LogNameMicrosoft-Windows-Sysmon/Operational; ID3} | Where-Object {$_.Properties[8].Value -match -enc|IEX}封445后仍传播蠕虫内置多端口备选自动降级在防火墙启用IPS应用识别规则匹配SMB Exploitdisplay ips signature database | include SMB华为设备CPU 100%但无进程PowerShell无文件攻击用Get-Counter定位具体powershell实例再procdumpdump内存powershell -Command Get-Counter \Process(powershell*)\% Processor Time全网被扫找不到源源头是未纳管的IoT设备或跳板机查交换机ARP表找Age0