oday漏洞是指

Oday漏洞是漏洞指那些已经被发现、但官方还没有发布补丁的漏洞安全缺陷。攻击者拿到它的漏洞时候，防守方手里什么都没有——没有修复程序，漏洞没有检测规则，漏洞甚至连这个漏洞长什么样都说不清楚。漏洞零日，漏洞说的漏洞就是官方知晓的天数：零。

这个词听起来挺玄乎，漏洞但它的漏洞本质很朴素。任何软件都是漏洞人写的，人就会犯错。漏洞一个缓冲区没做边界检查，漏洞一个权限验证逻辑写反了，漏洞一个反序列化接口忘了过滤输入——这些错误在代码里躺着，漏洞平时没人注意。直到某天有人翻出来，发现可以利用，而厂商还蒙在鼓里，它就成了Oday。

2021年爆出的Log4j漏洞是个典型案例。Log4j是Java生态里一个极其常见的日志组件，几乎所有大型Java应用都会间接依赖它。漏洞公开那天是12月9日，但在此之前，已经有攻击者在野外利用了至少一周。那一周里，全球无数服务器处于敞开状态。安全团队连夜排查，运维通宵打补丁，而攻击者只需要发一条精心构造的日志字符串，就能让目标服务器执行任意代码。这个漏洞的CVSS评分是10.0，满分。你很难找到比这更糟糕的情况了。

Oday的可怕之处不在于技术有多高深，而在于信息不对称。攻击者知道漏洞在哪，防守者不知道。这种不对称可以维持几天、几周，有时候甚至几年。Stuxnet蠕虫用的那几个Windows零日漏洞，据信在被发现之前已经活跃了相当长时间。等到微软反应过来，事情早就做完了。

有人觉得Oday离普通人很远，那是大公司和大政府才需要操心的事。这个判断不太对。你手机上的浏览器、你用的聊天软件、你公司内网的VPN设备，任何一个环节出问题，都可能被Oday打穿。Pegasus间谍软件就是靠零日漏洞链入侵iPhone的，不需要用户点任何链接，一条iMessage就能完成植入。受害者包括记者、律师、人权活动人士。他们也不是什么高价值军事目标，照样被盯上。

Oday的买卖已经形成了一条完整的产业链。漏洞经纪公司从研究者手里收购零日，转手卖给政府客户或者情报机构。价格从几万美元到几百万美元不等，取决于漏洞的利用价值——能远程执行代码的比只能本地提权的贵，能绕过沙箱的比不能绕过的贵。Zerodium这家公司曾经公开报价：iOS零日远程越狱，250万美元。这个价格本身就说明了问题。

防守方也不是完全没办法。缓解措施能在一定程度上提高利用门槛，比如ASLR、CFG、沙箱隔离。威胁情报和异常行为检测有时候能捕捉到零日利用的痕迹，虽然不能从根上解决问题，但至少能缩短从入侵到发现的时间窗口。微软的Windows Defender ATP就曾经通过行为分析抓到过零日攻击，靠的不是特征库，而是“这个进程干的事不太对劲”。

真正让人头疼的是，Oday永远不会消失。只要还有人写代码，就还有人写出带漏洞的代码。攻防双方在这个层面上是永恒的猫鼠游戏，没有终局。你能做的，是假设自己随时可能被一个未知漏洞打中，然后提前想好：如果现在中招了，我多久能发现，多久能止血，多久能恢复。

这个问题比“怎么防住所有Oday”要现实得多。因为后者根本做不到。