关于零日漏洞以下哪种说法不正确

“零日漏洞永远无法被防御。关于”——这句话在安全圈里流传很广，零日漏洞但它错得离谱。下种零日漏洞指的说法是厂商尚未发布补丁的软件缺陷，攻击者利用它时，不正防御方确实没有现成的关于修复方案。可这不等于只能干瞪眼。零日漏洞2010年震网病毒利用Windows的下种四个零日漏洞打击伊朗核设施，微软在攻击曝光后迅速发布补丁，说法而在此之前，不正赛门铁克等公司已经通过行为检测拦截了部分变种。关于漏洞是零日漏洞零日，攻击行为却不是下种隐形的。

很多人把零日漏洞和“高级持续性威胁”划等号。说法这个说法也不正确。不正零日漏洞只是APT武器库中的一件工具，并非必要条件。2016年孟加拉国央行失窃8100万美元，攻击者主要利用的是SWIFT系统里一个已知漏洞——补丁早就有了，只是银行没打。零日漏洞很贵，在黑市上能卖到数十万甚至上百万美元，普通犯罪团伙更倾向于用Nday漏洞。把零日漏洞等同于APT，就像把狙击枪等同于战争——工具重要，但战争靠的是整套体系。

还有一种流行说法：“零日漏洞只存在于操作系统和浏览器里。”这同样不正确。2017年WannaCry利用的EternalBlue漏洞，最初影响的是Windows的SMB协议，但后来人们发现，很多工控设备、路由器、甚至医疗设备里的第三方库同样存在零日漏洞。我曾在一次安全会议上听某位研究员展示过某品牌心脏起搏器的远程管理接口，里面一个零日漏洞能让攻击者修改起搏频率。操作系统只是冰山一角，固件、协议栈、甚至芯片微码都可能藏着零日。

“零日漏洞的发现只能靠运气。”这话也不对。运气当然有成分，但现代漏洞挖掘已经高度工程化。Google的Project Zero团队用模糊测试（fuzzing）加人工审计，每年稳定发现数百个零日漏洞。2019年他们公布的iOS零日漏洞链，就是通过分析一个异常的内存访问模式顺藤摸瓜找出来的。更不用说还有专门的漏洞收购平台，比如Zerodium，明码标价收购零日。这背后是系统化的代码审计、符号执行、差分测试，不是买彩票。

最后一种错误说法：“零日漏洞一旦被利用，就一定会造成大规模破坏。”现实恰恰相反。大多数零日漏洞被利用时，攻击者会刻意控制传播范围，避免引起厂商和执法机构注意。2018年曝光的“幽灵”（Spectre）和“熔断”（Meltdown）漏洞影响几乎全部现代CPU，但攻击者并没有用它去搞大规模勒索，因为一旦大规模利用，补丁和缓解措施会迅速跟进。零日漏洞更像是一把手术刀，而不是炸弹。真正造成大规模破坏的，往往是那些已经被公开、但没被修补的已知漏洞——比如2017年的WannaCry，利用的是泄露的NSA工具，而不是零日。

所以回到标题的问题：以上哪种说法不正确？答案是——以上全部不正确。零日漏洞可以被部分防御，不等于APT，不限于操作系统，不靠运气，也不必然造成大规模破坏。安全圈里关于零日漏洞的误解，比漏洞本身还多。搞清楚这些，比背几个术语更有用。