什么是系统漏洞如何修复系统漏洞

2017年5月，什系WannaCry勒索病毒横扫全球，统漏超过150个国家的洞何20多万台电脑被锁死，医院手术被迫取消，修复系统工厂生产线停摆。漏洞攻击者利用的什系，是统漏Windows系统里一个叫"永恒之蓝"的漏洞。微软其实早在两个月前就发布了修复补丁，洞何但大量用户没有更新。修复系统一个已知的漏洞漏洞，加上没打的什系补丁，酿成了教科书级别的统漏灾难。

系统漏洞说白了就是洞何代码里的缺陷。程序员写代码时考虑不周全，修复系统或者逻辑上留了缺口，漏洞攻击者就能顺着这个缺口钻进来。它可能是一段没做边界检查的输入验证，可能是一个权限判断写反了的条件语句，也可能是一个第三方库里的已知问题。漏洞本身不一定致命，但一旦被利用，轻则数据泄露，重则系统完全失控。

漏洞的来源五花八门。缓冲区溢出是最经典的类型——程序往一个固定大小的容器里塞了超出容量的数据，多出来的部分覆盖了相邻的内存区域，攻击者精心构造这段溢出数据，就能执行任意代码。SQL注入也常见，网站没过滤用户输入，攻击者在输入框里填一段SQL语句，数据库就被操控了。还有跨站脚本、权限提升、竞态条件……每一种都有对应的攻击手法和防御思路。

修复漏洞这件事，核心就两个字：补丁。软件厂商发现漏洞后，会开发修复程序，通过更新推送给用户。听起来简单，做起来麻烦。企业环境里，服务器不能随便重启，业务系统不能随便中断，一个补丁从测试到全面部署，走几周甚至几个月都正常。更头疼的是，有些老旧系统厂商已经停止支持，漏洞发现了也没人修，只能靠隔离、加固等手段硬扛。

个人用户面对漏洞，最直接的办法就是别关自动更新。Windows、macOS、手机系统，厂商推送更新就装，别拖。很多人觉得更新烦，重启耽误事，一拖就是几个月。攻击者最喜欢这种用户。浏览器、常用软件也一样，保持最新版本。Chrome每隔几周就修一批漏洞，你不更新，等于裸奔。

企业层面的事情复杂得多。得有资产管理，搞清楚自己有多少台机器、跑了什么系统、装了什么软件。连资产清单都没有，谈漏洞管理就是空话。然后要持续做漏洞扫描，用工具定期探测系统里存在哪些已知漏洞。扫出来之后排优先级——不是所有漏洞都同等紧急，暴露在公网上的、能被远程利用的、影响核心业务的，先修。内部隔离环境里的低危漏洞，可以排后面。

打补丁只是修复手段之一。有些漏洞没法打补丁，比如系统已经EOL（生命周期结束），厂商不管了。这时候只能做补偿性控制：把系统隔离到独立网络、加防火墙规则限制访问、部署入侵检测系统盯着异常流量。这些措施不能根除漏洞，但能大幅降低被利用的风险。

还有一类漏洞来自代码本身，比如自己公司开发的应用程序。这种情况就得走安全开发生命周期，在写代码阶段就做安全审查，上线前做渗透测试。事后发现漏洞再修，成本高得多，而且可能已经被利用了很长时间都没察觉。

漏洞不会消失。代码是人写的，人就会犯错。攻击者的手法也在进化，今天修好的漏洞，明天可能有新的绕过方式。能做的就是缩短从漏洞公开到修复完成的时间窗口。WannaCry的教训不是"微软有漏洞"，而是"补丁发了两个月，还有那么多人没打"。这个时间差，才是攻击者真正的机会。