5.1 黎明期复盘：Morris 蠕虫与早期里程碑

5.1 黎明期复盘：Morris 蠕虫与早期里程碑

本节摘要：1988 年 11 月 2 日晚，康奈尔大学研究生罗伯特·莫里斯释放了他命名为"地图"的实验程序。十五个小时内，约六千台联网主机瘫痪，占当时互联网的十分之一；四年后的判决让《计算机欺诈与滥用法》第一次真正长出牙齿。复盘这场"良性意图酿成恶性事故"的经典案例，能看到此后所有大规模疫情的原型要素：漏洞利用、多途径传播、指数复制、以及缺失的刹车。

数字事实开场

六万人的网络世界里，六千台机器同时罢工——按比例换算到今天的互联网相当于数亿设备。停止感染的方法只有一个不在计划内的：加州伯克利的研究员们连夜发出一款疫苗程序，并赌对了它的设计者会通过检查一个特定标记进程来判断目标是否已被感染。整个扑灭行动没有产品可买、没有预案可循，全靠一群工程师的电话与通宵。这就是安全行业从零出发时的样子。

一、背景：一个不设防的世界

要理解这场疫情，得先还原 1988 年的互联网生态。联网主机约六万台，绝大多数是高校与科研机构的小型机，彼此通过信任机制互相远程执行命令——是的，当时的网络默认熟人社会，身份认证形同虚设。管理员文化崇尚开放共享，"防火墙"这个词还没有被用于网络安全语境。

事件的主角莫里斯出身计算机世家，父亲是贝尔实验室的著名科学家。他写这个程序的动机至今仍有争论，主流证据指向"测量互联网规模"的学术好奇心——他事后坚称程序本应悄无声息地自我限制。这是整场悲剧最讽刺的地方：肇事者可能真的没想干坏事，而程序确实如此设计了一个自毁开关，只是开关本身有 bug。

二、过程：三重传播与一处致命失误

用前文建立的四段式语言重新描述这条史上第一条大规模感染链。投递环节不存在——它就是为自主传播而生；利用环节占了三个渠道，这在对 1988 年而言已是豪华配置：

Morris 的三条传播通道（复盘视角）
────────────────────────────────────────────
A 渠道 常见服务解析器的输入缺陷
      向流行名称服务发送超长字符串 触发溢出获得命令执行
B 渠道 邮件处理服务的调试后门
      利用收信流程中遗留的调试指令直接注入命令
C 渠道 弱口令猜解
      内置一份常用账户名与口令组合表 在可信网络里命中率惊人
​

真正的历史性时刻发生在传染检查逻辑上。为了避免重复感染拖垮机器，作者设计了条件判断：若目标机已在运行则跳过。但他给这个判断加了七分之一的随机例外——本意大概是容忍清理不完全的情况，却让统计意义上的跳过率远低于预期；更糟的是业界流传的另一版本说判断本体就因编译变量作用域问题从未生效过（调查报告对细节存有分歧，但两种解释殊途同归）。总之刹车失灵了，油门焊死了：每台中招机器又开始全力向外扇动翅膀，把负载较低的科研小服务器当场压垮。

三、结果：没有剧本的扑灭战

损失清单读起来像一封写给未来的备忘录。机器层面，成百上千台主机陷入蠕虫副本的疯抢循环直至寸步难行；数据层面的破坏反而出奇地少——程序并没有毁坏文件，纯粹的算力窒息已足够造成全国性科研停摆。处置堪称一场群众运动：伯克利与普渡团队各自逆向后发布了清除与免疫方案，管理员们在邮件列表上接力自救，前后约五天全网才算平复。

法律后果同样开创先河：莫里斯成为该联邦法案下第一个被定罪的人，判处缓刑、社区服务与罚金——相对于后来的同类行为，量刑温和，但"代码即责任"的判例从此立住。颇具讽刺意味的尾声：他后来成为麻省理工的正教授，那门课的第一讲正是分布式系统的容错设计。

四、根因分析：它为什么能成立

站在今天回望，Morris 事件的成立条件可以浓缩为四个"当时都没有"：

• 没有边界概念：研究网络的信任模型放任任何节点向邻居发起任意请求；
• 没有最小权限：系统服务带着过高权限运行，单点缺陷直接兑换成全场控制；
• 没有限速思想：复制逻辑里唯一的安全阀是一次恰好失效的条件判断；
• 没有响应体系：扑灭靠临时志愿军的电话树，官方连统一通报渠道都缺席。

对照第 2 章的知识你会认出来：四条对应的现代防线分别是网络分区、权限收敛、速率控制与应急组织——每一个都是这次疫情留给后世的制度遗产。一次事故换四个学科基石，学费昂贵但"物有所值"。

五、变式与遗产

Morris 之后，行业在十年内完成了三项奠基： CERT 应急响应组织的成立确立了国家级协同体系；防火墙从学术概念变成货架商品；"蠕虫必须有节育器"写入所有现代 Botnet 的工程规范——讽刺的致敬。更深远的是观念层面：代码错误可以成为公共事件，软件不再只是私人作品。

后续的变式家族也值得一提。2003 年的 SQL 蠕虫王把单一漏洞的纯爆发推向极致：不含 payload、纯黑洞式拥堵，全球范围内十二分钟扫完应当扫的一切——它是 Morris 教科书中"失控"一页的量子化重印。2020 年前后另一些趋势则走向了另一个极端：跨平台跨架构、隐匿自身于云基础设施，算是黎明期理想主义者的黑暗转世。

穿越练习：把这场疫情搬进今天的检测体系

复盘案例最有效的自测方式是穿越推演——假设同一段代码原样投放到一张现代化的企业网里，防御方能在第几分钟发现它？按本章学过的检测栈逐层过一遍：

第一道关卡在网关侧就会失守其隐蔽性：三条传播通道里的解析器溢出与服务后门利用，其协议行为特征早已躺在数十年的规则库存里，首包即拦；即便首台宿主侥幸漏网，弱口令猜解会产生密集的认证失败流水——SIEM 的爆破识别规则在分钟级把它顶上值班队列。第二道关卡在终端遥测：蠕虫自我复制伴随大量"父进程创建同名子进程"的谱系特征与首次出现的无签名二进制，行为引擎直接积分到拦截线。就算全部静默通过，横向漫游对远程管理端口的会话增速也会在第 3 章那张暴露面清单上现形。

推演结论并不体面：它能撑过的时间大概率以分钟计。但这恰恰不是嘲讽历史的理由——1988 年的管理员们同样聪明，他们只是缺少今天这套"每层都有人站岗"的纵深结构。穿越练习的价值在于提醒读者：现在习以为常的每一道闸门，都是某场灾难的账单换来的。下一次你因为"又升级杀软、又打补丁"觉得繁琐时，想想那五天五夜的电话树。

本节要点回顾

• Morris 的三通道设计与随机化跳过实验奠定了此后一切大规模蠕虫的技术范式。
• 事故的核心教训不在利用技巧而在刹车机制的失效——复杂系统必须外挂独立的限速装置。
• 四条根因对应四项现代制度遗产：分区、最小权限、速率控制、常备应急组织。
• 法律意义上本案首开先例：无论动机多么无辜，大规模投放即担刑责。
• 复盘方法论的第一课已经示范：背景、过程、结果、根因、遗产五段缺一不可。

下一次疫情将把攻击矛头从"机器之脆"转向"人心之软"。下节进入邮件蠕虫黄金年代。