2010年1月12日，洞攻百度被伊朗黑客组织“伊朗网络军团”篡改主页，洞攻用户访问跳转到一条政治声明。洞攻事后调查发现，洞攻攻击者利用的洞攻正是百度域名注册商Register.com的一个0day漏洞——一个尚未公开、厂商不知情的洞攻系统缺陷。整个过程没有暴力破解，洞攻没有分布式拒绝服务，洞攻仅仅是洞攻一行精心构造的请求，就让全球最大的洞攻中文搜索引擎门户洞开。

0day漏洞之所以可怕，洞攻在于它的洞攻“不对称性”。防守方需要修补所有可能的洞攻漏洞，而攻击者只需找到其中一个。洞攻更致命的洞攻是，在漏洞被公开之前，市面上没有任何补丁或检测签名——杀毒软件形同虚设，防火墙成为摆设。就像你锁好了所有门窗，却不知道墙壁本身是纸糊的。

我见过一个真实的案例。某金融机构的内网系统，管理员自信地认为隔离做得足够好，所有外联端口都被关闭。但攻击者利用一个Windows打印服务中的0day，通过一封看似普通的PDF邮件，在内存中执行了恶意代码。整个过程不落盘，不触发任何文件监控，直到三个月后数据被暗网出售，他们才意识到系统早已失守。事后分析显示，那个漏洞在微软发布补丁前，已经被攻击者利用了至少47天。

0day的生命周期遵循一条残酷的曲线：发现、利用、传播、补丁、失效。但这条曲线的每个节点都充满变数。有的漏洞被地下市场以百万美元价格交易，有的被情报机构囤积用于网络战，还有的被安全研究员意外公开。2017年Shadow Brokers泄露的NSA武器库中，EternalBlue这个0day后来被WannaCry勒索蠕虫利用，造成全球150多个国家、30万台电脑瘫痪。一个原本用于国家级网络攻击的工具，最终流落到网络犯罪手中，讽刺又必然——因为0day一旦被创造，就无法真正销毁。

普通用户并非完全无能为力。虽然无法预知0day，但可以控制攻击面。关闭不必要的服务、及时更新已知补丁、对敏感操作启用双因素认证——这些基础措施能极大降低被命中的概率。记住，攻击者选择目标时讲究成本效益，你不需要比熊跑得快，只需要比同伴跑得快。

真正的麻烦在于，0day攻击往往没有明显的入侵迹象。系统日志可能干干净净，CPU占用毫无异常，网络流量波动微小到可以忽略。这就像慢性毒药，等到症状显现时，往往已经病入膏肓。所以，安全团队需要把精力放在假设已被攻破的检测策略上，而不是单纯依赖边界防御。

回到百度那次事件，讽刺的是，攻击者使用的0day漏洞在几周后就被公开并修复了。但谁也无法保证，下一个0day不会潜伏在你的系统里，等待某个凌晨被悄然触发。安全从来不是一劳永逸的状态，而是一场永不停歇的博弈——你只能尽量让自己成为那个更难击中的目标。

(责任编辑：热点)