一个凌晨三点，安全研究员李昂的电脑屏幕上跳出一行代码。那不是他写的。他盯着那串字符，后背发凉——有人正通过一个他从未发现的系统漏洞，试图获取服务器的root权限。这个漏洞，就是所谓的“零日漏洞”。

零日漏洞的可怕之处，不在漏洞本身，而在于“零日”这个时间概念。厂商知道漏洞的那一天，就是漏洞被公开或利用的那一天——中间没有给厂商留出任何修补的时间窗口。换句话说，当漏洞被外界知晓时，它已经开始被利用了。就像你发现家里门锁坏了的同时，小偷已经站在客厅里了。

2017年的Equifax数据泄露是个教科书级的案例。黑客利用的正是Apache Struts框架中的一个零日漏洞，窃走了1.43亿美国人的敏感信息。讽刺的是，Apache在漏洞被利用的两个月前就发布了修复补丁，但Equifax没来得及更新。等他们发现时，数据已经在暗网上流转了。

但更让人毛骨悚然的是那些从未被发现的零日漏洞。它们像潜伏在地下的地雷，不知道什么时候会被踩响。国家级的黑客组织会专门储备这些漏洞，当作战略武器使用——美国国家安全局的“永恒之蓝”就是典型。这个漏洞被Shadow Brokers组织泄露后，引发了2017年的WannaCry勒索病毒全球大爆发，医院、工厂、政府机构一片混乱。一个被储备了五年的武器级漏洞，最终伤及了无数平民。

零日漏洞的市场也相当疯狂。在暗网上，一个针对主流操作系统的零日漏洞可以卖到几十万甚至上百万美元。买家可能是安全公司——他们买来研究后通知厂商修复；也可能是犯罪集团——用来植入勒索软件；还可能是政府机构——用来监控异见人士。同一个漏洞，在不同人手里，命运天差地别。

我自己就经历过一次零日漏洞的虚惊。去年某天，我使用的路由器固件突然推送了更新。更新日志里只写着“修复若干安全问题”，但更新后我发现路由器多了几个陌生进程。后来查资料才知道，那款路由器被曝出存在一个零日漏洞，允许攻击者远程执行任意代码。我更新得及时，但那些没更新的人呢？他们的路由器可能正在被僵尸网络控制，参与着DDoS攻击，而他们浑然不觉。

零日漏洞是信息安全领域永远的猫鼠游戏。厂商在拼命找漏洞，黑客也在拼命找漏洞，看谁先找到。这个游戏没有终点，因为代码是人写的，人总会犯错。我们能做的，只是尽量让漏洞被“白帽”找到，而不是被“黑帽”利用。但说到底，这也只是概率问题——就像你永远不知道，下一个凌晨三点，屏幕上的代码会是谁写的。