```html

系统漏洞与应用软件有关吗

上周帮一个朋友处理电脑蓝屏，折腾半天发现是漏洞某个国产杀毒软件的驱动和Windows 11的某个内核补丁冲突了。卸载之后一切正常。应用有关他问我：“这算系统漏洞还是软件软件bug？”我愣了一下——这个问题比想象中要复杂。

很多人把“系统漏洞”和“应用软件问题”当成两个独立的系统东西。系统漏洞嘛，漏洞就是应用有关Windows、Linux、软件macOS本身有缺陷，系统被黑客钻了空子；应用软件出问题，漏洞那是应用有关开发者代码写得烂。但实际情况是软件，这两者的系统边界远比想象中模糊。

一个典型的漏洞例子：2021年爆出的Log4j漏洞。Log4j是应用有关个Java日志库，被无数应用软件引用。攻击者利用它执行远程代码，影响范围覆盖了从iCloud到Minecraft服务器。你说这是系统漏洞还是应用软件漏洞？它既不是操作系统本身的问题，也不是某个应用故意留的后门——它是一个被广泛依赖的“零件”出了岔子，然后所有装了这个零件的软件都跟着遭殃。

再往深了想，操作系统本身也是由无数代码模块组成的。Windows的内核、图形子系统、网络协议栈，哪一个不是“软件”？当微软发布一个安全补丁修复远程代码执行漏洞时，你很难说清这到底是修补了“系统”还是修补了“系统里的某个应用”。只不过这个应用跑在Ring 0，权限高得吓人。

我见过不少运维人员有个习惯：系统补丁按时打，但第三方软件能不动就不动。结果呢？去年有个客户中了勒索病毒，查来查去发现是某个老版本PDF阅读器的漏洞。攻击者通过一个特制PDF拿到权限，然后横向移动到服务器。系统补丁打满了，但那个阅读器成了突破口。系统防线再坚固，应用软件开了个后门，照样白搭。

反过来也成立。有些应用软件本身写得没问题，但调用了系统提供的危险API，或者依赖了有缺陷的系统组件。比如早期Windows的Win32k.sys漏洞，很多浏览器和办公软件都受影响——因为它们都调用了这个内核模块的图形接口。这时候你说漏洞在浏览器？在Office？还是在Windows内核？都对，也都不完全对。

还有个更隐蔽的情况：应用软件和系统之间的“交互”本身就会产生漏洞。比如某个软件在安装时注册了一个系统服务，这个服务以SYSTEM权限运行，但没做好输入验证。攻击者不需要攻破系统，也不需要攻破软件主程序，只要往这个服务里塞恶意参数就能提权。这种漏洞算谁的？软件厂商说“我们只是调用了系统服务”，微软说“服务是你们自己注册的”。最后用户成了皮球。

我个人的判断是：“系统漏洞”和“应用软件漏洞”的划分，更多是出于责任归属和补丁管理的方便，而不是技术本质上的泾渭分明。对普通用户来说，纠结这个分类没太大意义。你真正需要关心的是：你的攻击面有多大？一个漏洞能不能被利用，取决于它是否暴露在可触达的路径上。系统补丁要打，应用软件也要更新，浏览器插件、输入法、甚至字体渲染库，一个都别放过。

那个朋友最后问我：“那我以后怎么防？”我说，别指望分清是系统的锅还是软件的锅。把自动更新全打开，少装来路不明的软件，重要数据勤备份。漏洞不挑出身，它只挑哪里最薄弱。

（写完这段，我默默把自己电脑上三个月没更新的那个PDF工具升级了。）

```

很赞哦!（17）