1. 什么是零日漏洞

零日攻擊是指利用零日漏洞對(duì)系統(tǒng)或軟件應(yīng)用發(fā)動(dòng)的網(wǎng)絡(luò)攻擊。

?

零日漏洞也稱零時(shí)差漏洞，通常是指還沒有補(bǔ)丁的安全漏洞。由于零日漏洞的嚴(yán)重級(jí)別通常較高，所以零日攻擊往往也具有很大的破壞性。目前，任何安全產(chǎn)品或解決方案都不能完全防御住零日攻擊。

零日漏洞中的“零日”得名于漏洞被公開后，補(bǔ)丁未出現(xiàn)的天數(shù)。漏洞被公開當(dāng)天，一般來(lái)講都不會(huì)及時(shí)推出補(bǔ)丁，所以稱為零日漏洞；如果N日后仍然沒有補(bǔ)丁，則稱為N日漏洞。換個(gè)角度講，“零日”也可以理解為針對(duì)此漏洞的攻擊出現(xiàn)在哪天，漏洞公開當(dāng)天即利用此漏洞的攻擊稱為零日攻擊，以此類推。

實(shí)際上，“零日”現(xiàn)在已經(jīng)不再局限于漏洞被公開的時(shí)間長(zhǎng)短。所謂“零日”不一定是真的剛剛發(fā)現(xiàn)，黑客完全有可能在很久之前發(fā)現(xiàn)了漏洞，但就是沒有公開。那么對(duì)于外界來(lái)說(shuō)，漏洞公開的那一刻才能稱為零日漏洞。所以，“零日”往往可以理解為“軟件供應(yīng)商和公眾未知”，但是“黑客或暗網(wǎng)上的交易者已知”。

2. 什么是零日市場(chǎng)

在十幾年前，零日漏洞是比較少見的。在百萬(wàn)級(jí)惡意軟件中，可能只有零星幾個(gè)是零日漏洞相關(guān)的惡意軟件。那時(shí)的零日攻擊往往很輕易即可實(shí)現(xiàn)諸如遠(yuǎn)程入侵或取得控制權(quán)這樣的結(jié)果。

然而，隨著網(wǎng)絡(luò)安全技術(shù)的不斷發(fā)展，現(xiàn)今單純依靠一個(gè)零日漏洞就想突破防御，幾乎是不太可能的，更不要提獲得控制權(quán)。事實(shí)上，當(dāng)前發(fā)動(dòng)一次APT攻擊就要集合數(shù)個(gè)甚至數(shù)十個(gè)零日漏洞，以復(fù)合攻擊方式突破被攻擊者的防御。所以，含金量高的零日漏洞賣出天價(jià)也是屢見不鮮，這也是催生零日市場(chǎng)的重要原因之一。

零日市場(chǎng)主要分為三類：

黑色市場(chǎng)：購(gòu)買者主要利用零日漏洞進(jìn)行犯罪行為，如入侵系統(tǒng)、竊取密碼、轉(zhuǎn)移資金等。黑色市場(chǎng)一般存在于暗網(wǎng)中。

白色市場(chǎng)：主要指各個(gè)機(jī)構(gòu)或廠商創(chuàng)建的漏洞賞金計(jì)劃（如ZDI）。漏洞發(fā)現(xiàn)者（很有可能就是黑客）向軟件供應(yīng)商披露漏洞信息并獲得相應(yīng)的獎(jiǎng)金，軟件供應(yīng)商會(huì)在發(fā)生零日攻擊前盡快推出相應(yīng)補(bǔ)丁。這個(gè)市場(chǎng)中的一類特殊購(gòu)買者是安全公司，他們?cè)跐B透測(cè)試中使用零日漏洞來(lái)確定客戶系統(tǒng)是否可以防御住攻擊。

灰色市場(chǎng)：購(gòu)買方主要為軍隊(duì)、情報(bào)機(jī)構(gòu)或執(zhí)法部門等，其利用零日漏洞主要出于政治目的或監(jiān)視目的。

零日漏洞的價(jià)格可能會(huì)有很大差異，這取決于許多因素，例如漏洞帶來(lái)多大的利益。通常來(lái)說(shuō)，適用于多個(gè)版本的漏洞比單個(gè)版本中的漏洞更有價(jià)值，iOS的漏洞比Microsoft的漏洞更有價(jià)值。

3. 如何將零日漏洞轉(zhuǎn)化為零日攻擊

理想狀態(tài)下，當(dāng)某人檢測(cè)到軟件中包含潛在安全問題時(shí)，該人會(huì)通知軟件供應(yīng)商或公布給大眾，軟件供應(yīng)商會(huì)著手修復(fù)漏洞、研發(fā)相應(yīng)補(bǔ)丁。此時(shí)，即使黑客知曉了該漏洞，也需要一些時(shí)間來(lái)開發(fā)惡意程序。網(wǎng)絡(luò)管理者可以在這段時(shí)間里針對(duì)零日漏洞進(jìn)行緊急規(guī)避操作，例如關(guān)閉部分服務(wù)，等待補(bǔ)丁發(fā)布后再恢復(fù)相關(guān)業(yè)務(wù)。

然而現(xiàn)實(shí)是殘酷的，黑客一般會(huì)使用自動(dòng)化測(cè)試工具和逆向工程技術(shù)來(lái)尋找漏洞，因此很可能是第一個(gè)發(fā)現(xiàn)零日漏洞的人。黑客憑借挖掘到的零日漏洞，可以輕松越過嚴(yán)密的網(wǎng)絡(luò)防護(hù)措施，滲透入網(wǎng)絡(luò)，最終實(shí)施零日攻擊。

由于零日漏洞的嚴(yán)重級(jí)別通常較高，所以零日攻擊往往也具有很大的破壞性。研究表明，基于零日漏洞的惡意軟件占比達(dá)到30％，形式包括病毒、蠕蟲、木馬等。零日攻擊普遍被設(shè)計(jì)為可以快速傳播的形式，以便感染盡可能多的主機(jī)和系統(tǒng)。零日攻擊也由被動(dòng)式、傳播緩慢的文件和宏病毒方式，演化為更主動(dòng)、自我傳播的電子郵件蠕蟲和混合威脅方式，這大大縮短了威脅傳播的時(shí)間，擴(kuò)大了威脅影響的范圍。

當(dāng)零日攻擊發(fā)生后，通常軟件供應(yīng)商或安全廠商需要幾天甚至幾個(gè)月時(shí)間才能分析出攻擊的相關(guān)信息。在這段時(shí)間內(nèi)，黑客顯然可以獲得豐厚的利益。

4. 零日攻擊的主要目標(biāo)

零日攻擊的目標(biāo)一般分為兩類：

（1）高價(jià)值的目標(biāo)

例如金融機(jī)構(gòu)、醫(yī)療機(jī)構(gòu)、國(guó)家機(jī)構(gòu)或軍隊(duì)機(jī)構(gòu)等。無(wú)論是出于經(jīng)濟(jì)目的還是政治目的，攻擊成功的收益都將是巨大的，因此用于此類場(chǎng)景的零日漏洞也往往是暗網(wǎng)上最昂貴的。

（2）影響范圍大的目標(biāo)

例如瀏覽器軟件、操作系統(tǒng)軟件、常見應(yīng)用軟件等。根據(jù)近年的零日漏洞統(tǒng)計(jì)數(shù)據(jù)來(lái)看，針對(duì)Microsoft軟件（Windows、IE、Office等）的攻擊最多，這也是因?yàn)镸icrosoft產(chǎn)品的應(yīng)用最為廣泛。

5. 典型零日攻擊事件

（1）震網(wǎng)病毒

震網(wǎng)病毒（Stuxnet）可能是第一個(gè)實(shí)際應(yīng)用的網(wǎng)絡(luò)武器。該惡意軟件利用多個(gè)零日漏洞進(jìn)行滲透和傳播，最終操控了伊朗核電站的離心機(jī)并導(dǎo)致其被摧毀。

（2）Sony Zero-Day Attack

Sony Zero-Day Attack是對(duì)索尼影業(yè)娛樂發(fā)起的零日攻擊。黑客利用一個(gè)零日漏洞滲透進(jìn)入索尼的網(wǎng)絡(luò)，迅速訪問了所有重要信息。然后，黑客開始發(fā)布竊取到的敏感信息，包括未上映的新電影副本、業(yè)務(wù)交易明細(xì)、業(yè)務(wù)計(jì)劃等，給索尼造成了重大損失。

（3）Operation Aurora

極光行動(dòng)（Operation Aurora）是一次典型的利用零日漏洞開展的APT攻擊。黑客通過社會(huì)工程學(xué)調(diào)查Google職員的信息，然后誘使該職員點(diǎn)擊惡意網(wǎng)站鏈接。通過利用零日漏洞植入惡意程序，黑客最終對(duì)Google公司實(shí)施了攻擊。

（4）蘋果“三叉戟”

2016年8月，蘋果IOS系統(tǒng)出現(xiàn)了歷史上最大的漏洞，因?yàn)橘|(zhì)量極高且由三個(gè)零日漏洞組成，所以命名“三叉戟”。

用戶只需要輕輕點(diǎn)擊黑客發(fā)來(lái)的鏈接，手機(jī)就會(huì)被遠(yuǎn)程越獄。黑客瞬間就能獲得手機(jī)的最高權(quán)限。眾所周知，蘋果手機(jī)越獄往往需要幾個(gè)漏洞層層配合才能實(shí)現(xiàn)，但利用零日漏洞，通過一個(gè)鏈接，就可以徹底遠(yuǎn)程控制你的 iPhone。

?

閱讀原文：https://mp.weixin.qq.com/s/PpsDxnmCQnMnlstlWiyV4Q