CrowdStrike造成850万台Windows蓝屏——红衣教主锐评：堪比“投下100万颗原子弹”

7月19日，美国安全软件CrowdStrike更新出错，导致Windows电脑大规模蓝屏，引发全球多个地区的公共服务陷入瘫痪。

据悉，多国的航空、铁路、银行、企业、媒体、酒店等多领域因此次Windows系统崩溃宕机，连新能源产业链生产也收到了影响。

微软官方发布博文称，CrowdStrike 的更新影响了 850 万台 Windows 设备，约占 Windows 设备总数的 1%。

虽然百分比很小，但对经济和社会造成的广泛影响反映了无数运营许多关键服务的企业使用 CrowdStrike 的事实。

特斯拉CEO埃隆·马斯克直接抨击称，这是史上最大IT事故，没有之一，已经在公司所有系统中彻底删除了CrowdStrike。

事故当天，微软CEO纳德拉表示，CrowdStrike发布的更新影响了全球的IT系统。我们已经意识到这一问题，并正在与CrowdStrike和整个行业密切合作，为客户提供技术指导和支持，使他们的系统安全恢复在线。

但纳德拉的推文立即引来了马斯克的吐槽：“这给汽车供应链带来了冲击”。

既然是安全软件的锅，红衣教主周鸿祎又怎么会错过这种蹭热点的机会。

在刚过去的周末，360 创始人周鸿祎连发多条视频，以日前发生的因 Crowdstrike 更新导致全球 Windows 大面积蓝屏死机事件为主题，谈论了国产安全软件的重要性以及这场史上最大 IT 事故所带来的启发。

“这次的事件也再次展露了微软在整个市场中的占有率之高、覆盖面之广以及其系统崩溃所带来的威力，不亚于在数字世界投下 100 万颗原子弹。”

他指出，在因为 CrowdStrike 软件出错和微软发生冲突导致蓝屏、导致全世界很多基础设施出问题之际，中国却基本上没有受到影响的原因在于：“中国 90% 的电脑上绝大多数企业杀毒软件都用的是 360 杀毒和 360 安全卫士，我们有很大的优势。”

周鸿祎还提到，360 有一个自动化的蓝屏修复技术，在出现蓝屏的时候只需重启系统便可以快速恢复，不会影响到用户的正常使用。360 安全软件在全球范围内有着丰富的实践经验，在安全性和稳定性上绝对经得起考验，迄今没有出过一起类似的安全事故。

同时，周鸿祎也认为，微软此次的全球大面积蓝屏事件给我们敲响了警钟，我们国家的电脑网络安全必须要掌握在自己手里，电脑的杀毒软件也一定要是国产品牌。这样才能保证在数字化、智能化的时代，不会因为一个小 Bug、小更新或小小的攻击导致整个社会、整个城市、整个国家陷入停摆。

7 月 21 日，CrowdStrike 发布了引发此次全球性蓝屏事故的分析报告，称事故归咎于他们在例行更新中出现的逻辑错误。

CrowdStrike 公司当时发布了 Falcon 安全软件的配置更新，结果导致无数受影响的 Windows 系统出现蓝屏死机错误（BSOD）。

报告显示，“针对安全软件的配置更新引发了一个逻辑错误，从而导致受影响的系统出现系统崩溃和蓝屏死机。”

CrowdStrike 通常每天都会发布几次更新，以适应新的网络威胁。这个特定的更新旨在检测恶意软件使用的新的恶意命名管道。

命名管道是 Windows 中用于进程间通信的通信通道。

然而，这次更新无意中含有一个逻辑错误，结果导致操作系统崩溃。

该更新的逻辑错误影响了运行面向 Windows 7.11 及以上版本的 Falcon 传感器的系统，这些系统在 2024 年 7 月 19 日 04 点 09 分至 05 点 27 分期间在线。

配置文件称为“通道文件”（Channel Files），是 Falcon 的行为保护机制的必要组成部分。

这些文件位于
C:\Windows\ System32\drivers\CrowdStrike\目录中，名称以“C-”开头。

有问题的文件即 Channel File 291 原本旨在检测恶意命名管道，却不料导致了系统崩溃。

CrowdStrike 发现后迅速采取行动以解决问题，更新了 Channel File 291 的内容以修复逻辑错误。

尽管如此，这次中断还是产生了重大影响，干扰了航空公司、医院和企业等众多行业领域的正常运营。

谷歌前员工 Zach Vorhies 在社交媒体上透露了这起故障背后的技术细节。

他解释道：“这是一个来自内存不安全的 C++ 语言的 NULL 指针。”

Vorhies 详细阐述了在 C++ 中，地址 0x0 用来表示没有值。当程序试图访问这个地址时，它导致了系统崩溃。

他举了一个简单的例子：“C++ 程序员在传递对象时本应该通过‘检查 null’来检查这个问题。”

最后看看红衣教主对此次事故的心得总结。

Reference

https://weibo.com/1708942053/OoJZiCO0N

https://x.com/Perpetualmaniac/status/1814376668095754753