2024年3月，最新微软紧急推送了一个带外补丁，最新修的最新是CVE-2024-21412——一个Windows Defender SmartScreen的绕过漏洞。攻击者用一个特制的最新Internet快捷方式文件，就能让系统跳过安全警告，最新直接执行恶意代码。最新这玩意儿在被修复之前，最新已经在野被利用了将近两个月。最新换句话说，最新那段时间里，最新你双击一个看起来人畜无害的最新.url文件，机器可能就已经被人拿下了。最新

这就是最新0day的日常。不是最新科幻电影里那种全球瘫痪的宏大叙事，而是最新某个周二早上你打开邮件附件的那一下。

0day到底意味着什么

先把这个词拆开。0day里的“0”指的是厂商已经知晓漏洞存在的天数——零天。也就是说，当攻击者开始利用它的时候，软件厂商根本还不知道有这么个洞。防御方手里的牌是零。没有补丁，没有签名，没有已知的入侵指标。你的杀毒软件看到那个恶意文件，就像保安看到一个从没见过的面孔，手里没拿任何通缉令。

2021年12月的Log4Shell是个典型。Log4j这个Java日志库被无数企业系统引用，漏洞公开当天，全球的安全团队都在通宵打补丁。但真正的0day阶段——在漏洞被公开之前——已经有攻击者在利用了。安全公司Mandiant后来披露，至少有两组国家级APT在公开前就已经掌握了这个漏洞。那段时间里，他们进出目标网络，如入无人之境。

漏洞从哪来

0day的源头比大多数人想的要“平庸”。

一部分来自安全研究员的合法发现。他们找到漏洞，按流程报给厂商，厂商修，然后公开致谢。这是理想路径。但另一部分来自黑市。漏洞赏金平台上的价格从几千美元到几十万美元不等，而灰色市场的报价往往更高。一个能远程执行代码的iOS 0day，在2023年的行情大概是250万到350万美元。这个数字不是我编的，是多家安全媒体和行业报告反复交叉验证过的。

还有一部分，来自厂商自己。代码写得太快，测试覆盖不够，一个边界检查漏了，一个内存没释放干净。CVE-2024-3400是Palo Alto Networks防火墙里的一个命令注入漏洞，CVSS评分10.0——满分。攻击者构造一个特定请求，就能以root权限在防火墙上执行任意命令。防火墙本身是拿来防攻击的，结果自己成了入口。这事发生在2024年4月，补丁出来之前，已经有攻击者在扫描全球暴露在公网上的PAN-OS设备了。

普通人能做什么

说实话，面对0day，普通用户的直接防御手段非常有限。你没法提前打一个不存在的补丁。

但有几件事确实能改变你被盯上的概率。第一，别关自动更新。我知道很多人嫌重启麻烦，但补丁从发布到被大规模利用之间的窗口越来越短——有时候只有几天。第二，把攻击面缩小。你不需要的端口、服务、浏览器插件，全关掉。0day再多，也得有个入口才能进来。第三，对“紧急”和“异常”保持敏感。钓鱼邮件最常用的套路就是制造紧迫感：你的账户有问题、你的包裹被扣了、你的发票需要确认。攻击链的起点往往不是技术漏洞，而是你点了一下。

我自己的做法是：主力工作机上不装任何非必要的第三方软件，浏览器用两个不同的配置隔离日常和敏感操作，重要账号全部开硬件密钥双因素。这些习惯挡不住一个专门针对我的0day，但能挡住99%的批量攻击。剩下那1%，说实话，只能靠厂商响应速度和一点运气。

0day不会消失。只要软件还有人在写，漏洞就会存在。攻防之间的时间差，就是攻击者的全部筹码。而这个时间差，正在被越来越快的补丁推送和越来越灵敏的异常检测一点点压缩。压缩到零的那天不会到来，但每压缩一点，攻击者的日子就难过一点。

(责任编辑：休闲)