还没有被发现的漏洞就是0day

安全圈有个经典悖论：一个漏洞被发现之前，还没它到底是有被“不存在”还是“潜伏”着？我倾向于后者。就像2017年席卷全球的发现WannaCry勒索病毒，它利用的漏洞“永恒之蓝”漏洞，其实早在NSA（美国国家安全局）手中攥了五年。还没那五年里，有被这个漏洞就是发现完美的0day，没人知道，漏洞没人修补，还没直到黑客组织Shadow Brokers把武器库偷出来公之于众。有被你看，发现漏洞一直都在，漏洞只是还没没人捅破那层窗户纸。

真正的有被0day不是技术问题，是发现信息差问题。我认识一位做漏洞挖掘的朋友，他每天的工作就是盯着那些开源代码库，一行行读，像侦探翻旧案。有次他花了三周时间，在某个流行的图片处理库底层找到一个整数溢出点——理论上可以远程执行代码。他兴奋地提交给官方，对方回复：“已知晓，但修复优先级低，因为没人会主动攻击这个路径。”朋友气笑了：“没人攻击是因为没人知道，等知道了你们就等着哭吧。”三个月后，这个漏洞被某APT组织利用，成了针对特定行业的0day攻击。

这里有个残酷的现实：漏洞的价值会随着曝光而暴跌。一个0day在黑市能卖到几十万甚至上百万美元，但只要被厂商修复，它就一文不值。所以很多安全研究者选择“囤货”——发现漏洞不上报，自己留着用。这就像农场主发现自家羊圈有个洞，不补，反而等着狼来，好拍下证据卖钱。道德上说不通，但逻辑上完全自洽。

更要命的是，有些漏洞根本没法修。比如芯片层面的熔断漏洞，2018年爆出来的时候，Intel、AMD全都中招。厂商只能通过系统补丁降低性能来缓解，真正的硬件修复得等下一代产品。这种漏洞，即使被公布了，它依然是0day——因为物理上无法彻底封堵。你看，有些0day是“被发现的漏洞”，有些是“无法被修复的漏洞”，后者才是真正的无底洞。

说到底，0day的本质是时间差游戏。攻击者赌的是发现速度，防御者赌的是修复速度。而普通用户呢？只能赌自己不是靶子。但讽刺的是，大多数0day最终都会变成“1day”——被公开后，所有人都在抢时间打补丁，但总有那么一批人，连补丁都懒得打。我见过太多企业，漏洞通报发过去三个月，回复永远是“已记录，后续版本修复”。然后呢？然后就是被勒索病毒点名。

所以下次听到有人说“我们系统很安全，没有漏洞”，我只会笑笑。不是嘲笑他的自信，是想起那个老段子：两个人在森林里遇到熊，一个人低头系鞋带，另一个问“你跑得过熊吗？”那人说：“我不用跑得过熊，跑得过你就行。”0day也一样，它不需要攻击所有人，只需要攻击那些跑得慢的。而真正的0day，永远在你还没系好鞋带的时候，就已经扑过来了。