```html

0day漏洞怎么修复

没有补丁。这就是洞修0day漏洞最要命的地方。你拿到一个还在活跃利用的洞修漏洞，厂商那边可能连根因都没定位到，洞修更别提发布修复程序了。洞修所以“修复”这个词在0day场景下，洞修严格来说是洞修不成立的——你只能缓解、绕过、洞修或者用临时手段把攻击面堵上。洞修等官方补丁出来，洞修那已经是洞修Nday了。

去年某大型企业的洞修VPN设备爆出一个预认证RCE，攻击者直接构造特定HTTP请求就能拿到root。洞修厂商的洞修补丁拖了整整11天才发。这11天里，洞修安全团队能做什么？我认识的一个运维负责人干了三件事，挺有代表性。

第一件，把设备从公网撤下来。听起来很粗暴，但有效。他们本来有二十多台边缘VPN，直接切到白名单访问——只允许公司出口IP连。攻击面瞬间从整个互联网缩到几个固定地址。这不算修复，但攻击者扫不到你了。代价是出差员工骂娘，只能走手机热点加二次验证，撑了一周多。

第二件，上虚拟补丁。他们在WAF里写了一条自定义规则，专门拦那个漏洞利用的HTTP特征——请求里带某个畸形Header且URI路径匹配特定正则。这玩意儿误报率不低，但总比被打穿强。虚拟补丁本质是流量层拦截，绕过方法很多，比如分块传输、编码变形。可对于大多数脚本小子级别的利用，够用了。

“你不可能修好一个你不知道怎么坏的玩意儿。0day的修复，本质是时间换空间。”——某甲方安全负责人的原话

第三件更狠：直接改代码。他们拿到了设备固件，反编译出那个有问题的二进制模块，发现是解析某个自定义协议时没检查长度。于是用二进制补丁工具把那个memcpy的size参数硬编码成固定值，重新刷回去。这操作风险极高，搞不好设备变砖。但他们有备用机，赌了一把。结果撑到了官方补丁发布。这种玩法不是谁都能干，需要逆向能力和硬件冗余。

上面三个手段，撤公网是隔离，WAF是拦截，改固件是热修。优先级怎么排？我的看法是：能隔离就别拦截，能拦截就别改代码。隔离最稳，但业务影响大；拦截灵活，但可能被绕过；改代码最彻底，但容易把自己搞死。

说到日志，有个坑。不少设备默认日志级别根本记不下攻击细节，等你发现被打了，去翻日志只有一条“连接重置”。所以平时就得把关键设备的日志级别调高，转发到SIEM。0day来了你才有东西可查。临时抱佛脚？佛都下班了。

官方补丁出来之后，别急着全量推。先在小范围灰度，观察有没有兼容性问题。有些厂商的补丁修了漏洞但引入了新Bug，甚至把功能改残。我见过一个防火墙补丁打完，IPsec隧道全断，因为厂商改了一个默认加密套件。测试，一定要测试。

最后说个现实：0day永远修不完。你防御做得再好，攻击者总能找到新的切入点。所以心态要摆正——0day响应不是追求“完美修复”，而是在有限时间内把风险降到可接受水平。能隔离就隔离，能缓解就缓解，实在不行就关服务。业务停摆总比数据被拖走强。

补丁管理是日常功夫，0day是应急考试。平时不练，考试就挂。