零日漏洞

2010年6月，零日漏洞一个叫Sergey Ulasen的零日漏洞年轻研究员在Windows系统里发现了一个从没见过的驱动程序文件。他把它拖进反编译工具，零日漏洞看了几分钟，零日漏洞后背发凉。零日漏洞这个文件不依赖任何已知漏洞，零日漏洞因为它利用的零日漏洞是Windows内核里一个连微软自己都不知道的缺陷——一个尚未被修补、尚未被公开、零日漏洞尚未被任何人发现的零日漏洞漏洞。零日。零日漏洞从发现到武器化，零日漏洞攻击者手里攥着这张牌，零日漏洞而防守方连牌桌都没看到。零日漏洞

零日漏洞到底特殊在哪？零日漏洞普通漏洞从被厂商知晓到发布补丁，中间有个窗口期，零日漏洞可能是几天，也可能是几个月。零日的窗口期是——负的。攻击者已经在用了，厂商还在睡。这个时间差就是它的全部威力所在。一个远程代码执行零日在地下黑市能卖到250万美元，价格是普通漏洞的几十倍，买的不是技术难度，买的是“没人知道”。

但零日并非无迹可寻。2017年Shadow Brokers泄露了NSA的Equation Group工具包，里面一口气暴露了十几个零日，其中一个叫EternalBlue。微软其实在泄露前两个月已经发了补丁——MS17-010。问题是，全世界有超过一百万台机器没打。两个月后WannaCry爆发，横扫150个国家，英国NHS的医院系统直接瘫痪，手术取消，救护车改道。一个已经被修补的漏洞，因为补丁没装，照样造成了核弹级破坏。零日的可怕不只在“未知”，更在于“已知但未修”的惰性。

防守方也不是完全被动。Google的Project Zero团队有个规矩：发现漏洞后给厂商90天，到期不修就公开细节。这招够狠，逼着厂商动起来。但90天对某些嵌入式系统厂商来说连测试环境都搭不完。2019年，Project Zero发现iOS的iMessage里有个零点击漏洞，攻击者发一条消息就能控制设备，不需要用户任何操作。苹果花了几天就修了，但那是苹果。换成工业控制系统的PLC固件呢？连OTA升级通道都没有。

我翻过一些地下论坛的截图，零日交易早就产业化了。Zerodium这种公司明码标价收购，iOS零日最高200万美元，Android 250万，Chrome 100万。卖家不用露脸，用加密货币结算。买方是谁？政府机构、情报承包商、还有偶尔被曝光的商业间谍公司。NSO Group的Pegasus间谍软件就是靠零日链条打进目标手机的，从沙特记者卡舒吉到墨西哥调查记者，受害者名单长得让人麻木。

真正让我不安的不是零日的技术复杂度，而是它的经济学。修补一个漏洞的成本远高于利用它的收益——对攻击者来说。防守方要覆盖所有系统、所有版本、所有配置，攻击者只需要找到一个薄点。这种不对称在零日上被放大到极致。你不可能防住一个你不知道的东西，但你可以假设它存在。零信任架构、沙箱隔离、行为监控，这些不是万能药，但至少让攻击者拿到零日后没那么容易横向移动。2010年Stuxnet用了四个零日才瘫痪伊朗离心机，如果伊朗的工控网络做了分段隔离，它可能需要八个。

零日不会消失。只要代码是人写的，就有未知缺陷。但把零日当成不可防御的魔法武器，那是自己吓自己。真正该盯的是补丁管理流程、网络分段策略、还有那些常年不更新的老旧系统。攻击者最喜欢的目标从来不是最难的，是最懒的。