2018年windows平台漏洞年度报告

2018年，年w年度微软总共发布了超过750个安全补丁，平台其中“关键”级别占了三成。漏洞这个数字比2017年涨了约12%。报告但真正让安全圈炸锅的年w年度，不是平台数量，而是漏洞漏洞的“质量”——好几个漏洞直接打穿了Windows内核的底裤。

最典型的报告例子是CVE-2018-8414。这个藏在Windows Shell里的年w年度远程代码执行漏洞，被卡巴斯基实验室在野外捕获时，平台攻击者已经用它配合一个Office 0day，漏洞玩起了“无文件攻击”。报告整个攻击链不落地任何可执行文件，年w年度全靠PowerShell脚本在内存里翻江倒海。平台你说吓人不吓人？漏洞更讽刺的是，微软在6月发布修补程序时，居然因为签名问题导致部分补丁安装失败，又紧急回炉重造了一次。

内核漏洞在2018年格外扎眼。CVE-2018-8897是个典型的“调试寄存器”设计缺陷，任何低权限进程都能通过触发异常来劫持内核控制流。这个洞被多个APT组织盯上，包括臭名昭著的Lazarus Group。我印象特别深的是，安全研究员Alex Ionescu在推特上吐槽：“这漏洞简直是把内核大门钥匙挂在门框上，还贴了张纸条‘请自取’。” 微软的修复方式是修改了上下文切换逻辑，但代价是影响了部分调试工具的性能——典型的“拆东墙补西墙”。

浏览器和Office还是重灾区。Edge浏览器在2018年贡献了83个CVE，其中一半以上是类型混淆漏洞。Office方面，方程式组织泄露的CVE-2018-0802，一个普通的RTF文件就能触发堆溢出，微软从2017年12月拖到2018年1月才彻底修好。这期间，网上公开的利用代码已经满天飞了。有个段子说，安全研究员们那阵子见面打招呼都问：“今天你被0802打了吗？”

抛开技术细节，2018年有个趋势值得玩味：微软开始大量使用“缓解措施”而非彻底修复。比如针对CVE-2018-8629（一个Win32k提权漏洞），微软只是增加了额外的内核对象校验，并没有从根上解决GDI对象的引用计数问题。这种“打补丁式”修法，导致后续几个月内出现了至少三个变种绕过。安全圈里有人戏称，微软的补丁日变成了“漏洞猜谜游戏”——你永远不知道这个补丁是治标还是治本。

还有个容易被忽略的细节：2018年微软把大量精力放在“虚拟化安全”上，推出了基于Hyper-V的Windows Defender System Guard。但讽刺的是，VBS（虚拟化安全）本身也引入了新攻击面。CVE-2018-0952就是通过VBS的hypervisor漏洞实现的提权。这让我想起一句老话：每一层安全加固，都可能成为新的跳板。

这一年，微软的漏洞响应速度明显分化：对已被利用的0day，平均修复时间缩短到9天；但对那些“理论上存在”的漏洞，比如多个内核信息泄露问题，拖了三个月甚至半年才处理。这种“看人下菜碟”的策略，虽然现实，但确实让不少个人用户感到不安——毕竟谁也不想当那个“理论上的受害者”。

2018年给安全行业留下了一个尴尬的共识：Windows的漏洞生态已经从“单点爆破”转向“组合拳”。单看每个漏洞，好像都只是“中危”；但把内核漏洞、浏览器漏洞、Office漏洞串起来，就是一条完整的“用户点击-远程执行-内核提权”的夺命链。微软在年末发布的《Security Insights》报告里也承认，超过60%的入侵事件涉及至少两个不同组件的漏洞组合。这大概就是现代攻击的常态了——别指望一个补丁能救你，你得把整个系统当成一个会漏水的桶，时刻盯着每个缝隙。