1day漏洞

一个补丁从发布到被逆向出利用代码，最快纪录是多久？答案是：不到24小时。这就是“1day漏洞”名字的由来——它介于0day和Nday之间，补丁已经出了，但大量系统还没来得及打上，攻击者就拿着现成的利用工具冲了进来。

2023年3月，微软修补了Outlook中的一个提权漏洞，编号CVE-2023-23397。补丁发布当晚，安全研究员Marcus Hutchins就在推特上指出，这个漏洞的利用方式极其简单——攻击者只需要发送一封特制邮件，不需要受害者点击任何链接，就能窃取NTLM哈希。消息传开后，GitHub上很快出现了PoC代码。那些还没打补丁的Exchange服务器，在第二天早上就已经被扫描器盯上了。

这个速度不是偶然。补丁本身是一份说明书。微软的月度安全更新里，每个CVE都附带描述、影响范围、严重等级。攻击者拿旧版本二进制和打补丁后的版本一对比，差异点就是漏洞所在。有人专门写脚本自动做这件事，业内叫“patch diffing”。一个高危漏洞的补丁发布后，几小时内就能定位到问题函数。如果漏洞逻辑不复杂，写利用代码的时间可能比叫一份外卖还短。

企业这边呢？打补丁从来不是点一下按钮的事。测试兼容性、走变更审批、安排停机窗口，一套流程走完，一周算快的。金融、医疗这些行业更慢，有些系统跑着十年前的内核，补丁根本打不上去。攻击者赌的就是这个时间差。他们不需要攻破什么高深防御，只要扫到一台没打补丁的机器就行。

我印象很深的一个案例是2021年的ProxyShell。三个漏洞串联，能在Exchange服务器上远程执行代码。补丁是4月发的，利用链在8月被公开。按说四个月够长了吧？但到了当年10月，全球仍有超过两万台Exchange服务器没打补丁。攻击者用自动化工具批量扫描，一台接一台地拿权限。那些服务器不是没人管，是管理员觉得“我们内网隔离了，不急”。可攻击者通过VPN入口或者钓鱼邮件，照样能摸进来。

1day漏洞的可怕之处在于，它把攻击门槛拉到了地板上。0day还需要顶尖研究员花几百万美元去挖，1day的利用代码可能挂在某个论坛上免费下载。脚本小子拿着现成工具就能扫全网。防守方呢？永远在跟补丁赛跑。你晚一天，攻击者的窗口就多一天。

有人会说，那我关掉不必要的端口、上WAF不就行了？能挡一部分，但挡不住所有。很多1day漏洞利用的是正常业务功能，流量看起来跟合法请求没区别。WAF规则还没更新，攻击者已经进来了。

真正的麻烦是心态。很多团队觉得“补丁出了，等下一个维护窗口再打”。可攻击者不看你的维护日历。他们看的是Shodan上的暴露面，是CVE编号后面的“远程利用”四个字。一个1day漏洞从公开到被大规模利用，有时候只需要一个周末。

所以别等。看到高危补丁，能打就立刻打。打不了就临时关服务、加访问控制。别让“1day”变成“Nday”——那意味着你已经被打穿了，而攻击者用的还是几个月前就该堵上的洞。