0day攻击

凌晨三点十七分，攻击某金融机构的攻击安全运维老张被手机震醒。屏幕上跳动的攻击不是闹钟，是攻击IDS告警——有人正用他从未见过的载荷，穿透了刚升级的攻击防火墙。他后来回忆，攻击那感觉像看着自家大门被一把看不见的攻击钥匙拧开，锁芯完好无损，攻击但门已经开了。攻击

这就是攻击0day。安全界管它叫“零日漏洞”，攻击意思是攻击从漏洞被利用到厂商发布补丁，中间有整整零天窗口期。攻击攻击者跑在所有人前面，攻击包括开发者自己。攻击没人知道它存在，所以没有任何签名能拦住它。老张那天遭遇的攻击，用的就是一个潜伏了半年的浏览器漏洞——黑客早在Chrome团队毫不知情时，就拿到了远程执行代码的钥匙。

这类攻击最阴险的地方在于，它不跟你拼蛮力。普通黑客撞库、扫端口，像撬锁的小偷，动静大，容易惊动邻居。而0day攻击者手里攥着原厂钥匙，大摇大摆走正门，还能顺手把监控录像循环播放。去年某APT组织入侵某国电网，用的就是Windows内核里一个未被公开的提权漏洞——安全人员翻遍日志，只看到一条看似正常的系统更新记录。

有人问，漏洞不都是程序员写代码时不小心留下的吗？对，但0day的“值钱”程度，取决于你能拿它干什么。在黑市上，一个iPhone远程越狱漏洞能卖到200万美元，比一套房还贵。买主是谁？不是普通罪犯，是国家级黑客团队。他们囤0day就像军火商囤导弹，专等关键时刻发射。2017年席卷全球的WannaCry勒索病毒，用的就是NSA泄露的“永恒之蓝”漏洞——那原本是政府武器库里的存货，被偷出来后才酿成大祸。

防御方永远在打一场不公平的仗。你装十个补丁，人家找十一个新洞。微软每月第二个星期二发布安全更新，但攻击者早就在日历上圈好了别的日子。有的漏洞从被利用到被发现，中间隔了整整三年——这三年里，攻击者就像住在你家地下室，每天半夜上来翻冰箱，你却以为闹鬼。

更让人头皮发麻的是，有些0day根本不会被公开。安全研究员发现漏洞，如果选择卖给政府而非厂商，那这个洞就永远暗着。你手机里的每个APP，操作系统里的每行代码，都可能藏着一个没人知道的后门。这不是阴谋论，是灰市交易的常态——某安全公司CEO私下说过，他们每年能挖到上百个0day，但只公开其中一小部分“不敏感”的，其余的都签了保密协议。

说回老张。那天他没能拦住攻击，但事后逆向分析时发现，攻击者留下的代码里有个拼写错误——把“privilege”写成了“priviledge”。这个细节让他后背发凉：连这种低级错误都会犯的团队，居然能悄无声息地突破层层防御。那要是他们更细心一点呢？

0day攻击没有完美的解法，只有不断缩小的窗口期。你唯一能做的，是假设自己已经被攻破，然后每天问一遍：如果漏洞明天才公布，我今天该备份什么？该断掉哪些连接？该给哪个系统打上临时补丁？——这种如履薄冰的状态，才是数字时代真正的生存常态。毕竟，锁匠修好一把锁的瞬间，另一个锁匠已经在研究怎么撬它了。