凌晨三点，漏洞某大厂的漏洞安全工程师盯着屏幕上的告警日志，手指微微发抖。漏洞一个从未见过的漏洞攻击载荷正在内网横向移动，而他们连夜翻遍所有补丁库，漏洞找不到任何对应记录。漏洞这就是漏洞0day——一个连厂商自己都不知道的漏洞。

0day的漏洞“0”指厂商知晓漏洞的天数。攻击者发现漏洞后立刻利用，漏洞厂商的漏洞防御响应时间被压缩到零。2010年伊朗核设施里的漏洞“震网”病毒，一口气用了四个0day，漏洞直接让离心机失控自毁。漏洞这种漏洞在黑市上的漏洞标价，能抵得上一线城市一套房。漏洞

1day就温和多了——厂商已经发布补丁，但总有人没来得及更新。别小看这个时间差。2017年永恒之蓝漏洞被泄露时，微软其实早已修复，但全球仍有数十万台未打补丁的机器中招。勒索病毒WannaCry横扫150个国家，医院叫停手术，工厂流水线瘫痪，而罪魁祸首不过是个过期的漏洞。

有意思的是，这两者之间的界限越来越模糊。有的漏洞被厂商修复后，安全研究员会立刻逆向分析补丁，反推出漏洞细节，然后在24小时内写出利用代码。这时候1day实际上变成了“0.5day”——补丁公布和攻击出现几乎同步。我认识的一个红队成员说过，他们现在打比赛都懒得挖新洞，直接蹲守厂商补丁公告，拼手速就能拿分。

防御方的处境更尴尬。打补丁本身有风险，大系统牵一发动全身，银行核心系统甚至要停机维护。于是很多公司选择“先观察一周再说”，这一周恰恰是攻击者的黄金窗口。有个朋友在券商做安全，他告诉我，每次微软补丁日第二天，他们的SOC（安全运营中心）就会收到大量扫描探测，全是赶着1day窗口来碰运气的。

说到底，0day拼的是情报能力和代码审计功底，1day拼的是资产管理水平和响应速度。前者是高端黑客的竞技场，后者是普通攻击者的日常口粮。对于绝大多数企业来说，与其焦虑0day的不可预测，不如先把1day的补丁流程跑顺——毕竟，连永恒之蓝这种级别的攻击，最终靠的还是最基本的补丁管理。