灰愛
0DAY漏洞 最早的破解是专门针对软件的，叫做WAREZ，后来才发展到游戏，音乐，影视等其他内容的。0day中的0表示zero，早期的0day表示在软件发行后的24小时内就出现破解版本，现在我们已经引申了这个含义，只要是在软件或者其他东西发布后，在最短时间内出现相关破解的，都可以叫0day。 0day是一个统称，所有的破解都可以叫0day。
0Day的概念最早用于软件和游戏破解，属于非盈利性和非商业化的组织行为，其基本内涵是“即时性”。Warez被许多人误认为是一个最大的软件破解组织，而实际上，Warez如黑客一样，只是一种行为。0Day也是。当时的0Day是指在正版软件或游戏发布的当天甚至之前，发布附带着序列号或者解密器的破解版，让使用者可以不用付费就能长期使用。因此，虽然Warez和0Day都是反盗版的重要打击对象，却同时受到免费使用者和业内同行的推崇。尽管Warez和0Day的拥护者对以此而谋利的盗版商不齿，但商业利益的驱动还是将破解行为的商业化推到了高峰。而眼下的0Day，正在对信息安全产生越来越严重的威胁。
“0day”其实就是Warez的一种传播形式，“0day”不是说那些破解专家不到1天就“搞定”某个软件，而是说他在最短的时间内迅速地“解锁”，并在网上发布。0day的真正意思是“即时发布”（尽管不是真的当天发布），大家可以把它看作是一种精神。
“0day”是一种自发的网络运动而已，“warez”是对破解的泛称；如果有人说他属于“0day组织”，并不是说他真的在一个叫做“0day”的破解组织里干活，其真正涵义是他属于某个破解组织，而这个组织经常向0day发布作品。很多人说“0day”是一个邪恶的组织，其实他们只是将自己的破解作品以“0day”的发行形式发布，分享给全世界的人。
“0day”的主要目的是交换，完全是非商业化、非盈利、志愿的行为。如果有人将0day的东西拿去做成盗版光盘，那么与0day的本意无关。
0day漏洞，是已经被发现(有可能未被公开),而官方还没有相关补丁的漏洞。
信息安全意义上的0Day
信息安全意义上的0Day是指在系统商在知晓并发布相关补丁前就被掌握或者公开的漏洞信息。
0day漏洞是怎么被发现的?
什么是0Day
0Day的概念最早用于软件和游戏破解，属于非盈利性和非商业化的组织行为，其基本内涵是“即时性”。Warez被许多人误认为是一个最大的软件破解组织，而实际上，Warez如黑客一样，只是一种行为。0Day也是。当时的0Day是指在正版软件或游戏发布的当天甚至之前，发布附带着序列号或者解密器的破解版，让使用者可以不用付费就能长期使用。因此，虽然Warez和0Dday都是反盗版的重要打击对象，却同时受到免费使用者和业内同行的推崇。尽管 Warez和0Day的拥护者对以此而谋利的盗版商不齿，但商业利益的驱动还是将破解行为的商业化推到了高峰。而眼下的0Day，正在对信息安全产生越来越严重的威胁。
信息安全意义上的0Day是指在安全补丁发布前而被了解和掌握的漏洞信息。
2005年12月8日，几乎影响 Windows所有操作系统的WMF漏洞在网上公开，虽然微软在8天后提前发布了安全补丁（微软的惯例是在每月的第一个周二），但就在这8天内出现了二百多个利用此漏洞的攻击脚本。漏洞信息的公开加速了软件生产企业的安全补丁更新进程，减少了恶意程序的危害程度。但如果是不公开的0Day呢？WMF漏洞公开之前，又有多少人已经利用了它？是否有很多0Day一直在秘密流传？例如，给全球网络带来巨大危害的“冲击波”和“震荡波”这两种病毒，如果它们的漏洞信息没有公开，自然也就没有这两种超级病毒的产生。反过来想，有什么理由认为眼下不存在类似的有着重大安全隐患的漏洞呢？（Dtlogin远程溢出漏洞于 2002年被发现，2004年公布。）
看不见的才是最可怕的，这就是0Day的真正威胁。
不可避免的0Day
信息价值的飞速提升，互联网在全球的普及，数字经济的广泛应用，这一切都刺激着信息安全市场的不断扩大，软件破解、口令解密、间谍软件、木马病毒全部都从早期的仅做研究和向他人炫耀的目的转化为纯商业利益的运作，并迅速地传播开来，从操作系统到数据库，从应用软件到第三方程序和插件，再到遍布全球的漏洞发布中心，看看它们当中有多少0Day存在？可以毫不夸张的说，在安全补丁程序发布之前，所有的漏洞信息都是0Day，但是从未发布过安全补丁的软件是否就意味着它们当中不存在0Day呢？
有人说：“每一个稍具规模的应用软件都可能存在0Day。”没错！从理论上讲，漏洞必定存在，只是尚未发现，而弥补措施永远滞后而已。
只要用户方不独自开发操作系统或应用程序，或者说只要使用第三方的软件，0Day的出现就是迟早的事，无论你是使用数据库还是网站管理平台，无论你是使用媒体播放器还是绘图工具，即便是专职安全防护的软件程序本身，都会出现安全漏洞，这已是不争的事实，但最可怕的不是漏洞存在的先天性，而是0Day的不可预知性。
从开源的角度上来说，Linux更容易比封闭源代码的Windows存在更多的0Day。那些自以为使用着安全操作系统的人，迟早会被0Day攻击弄得哑口无言。而微软呢？远有IIS和IE，近有WMF和Excel，由于其操作系统应用的广泛性，如今已是补丁加补丁，更新再更新，最新操作系统Vista竟然含有几万行的问题代码。尚未发行，已是满目疮痍，谁又能保证微软的源代码没有丝毫泄露呢？
0Day走向何方
越来越多的破解者和黑客们，已经把目光从率先发布漏洞信息的荣誉感转变到利用这些漏洞而得到的经济利益上，互联网到处充斥着数以万计的充满入侵激情的脚本小子，更不用说那些以窃取信息为职业的商业间谍和情报人员了。于是，0Day有了市场。
国外两年前就有了0Day的网上交易，黑客们通过网上报价出售手中未公开的漏洞信息，一个操作系统或数据库的远程溢出源码可以卖到上千美元甚至更高；而国内的黑客同行，前不久也在网上建立了一个专门出售入侵程序号称中国第一0Day的网站，尽管类似的提供黑客工具的网站很多，但此网站与其它网站的区别在于0Day的特性十分明显：价格较高的攻击程序的攻击对象，还没有相应的安全补丁，也就是说这样的攻击程序很可能具有一击必中的效果。这个网站成立不久便在搜索引擎中消失了，也许已经关闭，也许转入地下。但不管怎样，0Day带来的潜在经济利益不可抹杀，而其将来对信息安全的影响以及危害也绝不能轻视。
软件上的0Day几乎不可避免，那硬件呢？硬件是否存在0Day？答案无疑是肯定的。近年来，思科路由器漏洞频繁出现，今年2月，已被曝光的某知名网络产品漏洞至今仍未被修复。对于那些基于IP协议连接网络的路由、网关、交换机，哪个电信运营商敢百分之百地保证自己的网络设备万无一失？（2005年4月11日，全国超过二十个城市的互联网出现群发性故障；同年7月12日，北京20万ADSL用户断网）。
早在两年前，英特尔的首席技术官就提出过互联网不能承受与日俱增的使用者这一想法，当时，被很多人认为是无稽之谈。今年6月，在美国的商业圆桌会议上，包括惠普公司、IBM公司、Sun公司、通用汽车公司、家得宝公司和可口可乐公司等在内的160个企业代表呼吁政府要对发生大规模网络故障的可能性做好准备工作……
当今的互联网，病毒、蠕虫、僵尸网络、间谍软件、DDoS犹如洪水般泛滥，所有的这一切都或多或少地从0Day走过，可以预测，在不远的将来，互联网瘫痪绝不遥远。
源代码检测软件 漏洞多，开发怎么办
找八哥源代码安全测试管理系统，是思客云（北京）软件技术有限公司是基于多年源代码安全实践经验自主研发的一套领先的源代码安全漏洞检测系统。该系统拥有强大的安全分析引擎，极为广泛的安全漏洞检测规则，以及针对我国特色的安全编码特征库，能够全面地对系统源代码中所存在的安全漏洞，性能缺陷，编码规范等9大类共1000多小类的问题进行综合性分析。同时“找八哥”采用先进的“私有云”+分布式集群的架构方式，WEB式用户界面，使得系统部署极为简单、方便；用户操作极为灵活、高效。
漏洞检测的几种方法
漏洞扫描有以下四种检测技术：
1.基于应用的检测技术。它采用被动的、非破坏性的办法检查应用软件包的设置，发现安全漏洞。
2.基于主机的检测技术。它采用被动的、非破坏性的办法对系统进行检测。通常，它涉及到系统的内核、文件的属性、操作系统的补丁等。这种技术还包括口令解密、把一些简单的口令剔除。因此，这种技术可以非常准确地定位系统的问题，发现系统的漏洞。它的缺点是与平台相关，升级复杂。
3.基于目标的漏洞检测技术。它采用被动的、非破坏性的办法检查系统属性和文件属性，如数据库、注册号等。通过消息文摘算法，对文件的加密数进行检验。这种技术的实现是运行在一个闭环上，不断地处理文件、系统目标、系统目标属性，然后产生检验数，把这些检验数同原来的检验数相比较。一旦发现改变就通知管理员。
4.基于网络的检测技术。它采用积极的、非破坏性的办法来检验系统是否有可能被攻击崩溃。它利用了一系列的脚本模拟对系统进行攻击的行为，然后对结果进行分析。它还针对已知的网络漏洞进行检验。网络检测技术常被用来进行穿透实验和安全审记。这种技术可以发现一系列平台的漏洞，也容易安装。但是，它可能会影响网络的性能。
网络漏洞扫描
在上述四种方式当中，网络漏洞扫描最为适合我们的Web信息系统的风险评估工作，其扫描原理和工作原理为：通过远程检测目标主机TCP/IP不同端口的服务，记录目标的回答。通过这种方法，可以搜集到很多目标主机的各种信息（例如：是否能用匿名登录，是否有可写的FTP目录，是否能用Telnet，httpd是否是用root在运行）。
在获得目标主机TCP/IP端口和其对应的网络访问服务的相关信息后，与网络漏洞扫描系统提供的漏洞库进行匹配，如果满足匹配条件，则视为漏洞存在。此外，通过模拟黑客的进攻手法，对目标主机系统进行攻击性的安全漏洞扫描，如测试弱势口令等，也是扫描模块的实现方法之一。如果模拟攻击成功，则视为漏洞存在。
在匹配原理上，网络漏洞扫描器采用的是基于规则的匹配技术，即根据安全专家对网络系统安全漏洞、黑客攻击案例的分析和系统管理员关于网络系统安全配置的实际经验，形成一套标准的系统漏洞库，然后再在此基础之上构成相应的匹配规则，由程序自动进行系统漏洞扫描的分析工作。
所谓基于规则是基于一套由专家经验事先定义的规则的匹配系统。例如，在对TCP80端口的扫描中，如果发现/cgi-bin/phf/cgi-bin/Count.cgi，根据专家经验以及CGI程序的共享性和标准化，可以推知该WWW服务存在两个CGI漏洞。同时应当说明的是，基于规则的匹配系统有其局限性，因为作为这类系统的基础的推理规则一般都是根据已知的安全漏洞进行安排和策划的，而对网络系统的很多危险的威胁是来自未知的安全漏洞，这一点和PC杀毒很相似。
这种漏洞扫描器是基于浏览器/服务器（B/S）结构。它的工作原理是：当用户通过控制平台发出了扫描命令之后，控制平台即向扫描模块发出相应的扫描请求，扫描模块在接到请求之后立即启动相应的子功能模块，对被扫描主机进行扫描。通过分析被扫描主机返回的信息进行判断，扫描模块将扫描结果返回给控制平台，再由控制平台最终呈现给用户。
另一种结构的扫描器是采用插件程序结构。可以针对某一具体漏洞，编写对应的外部测试脚本。通过调用服务检测插件，检测目标主机TCP/IP不同端口的服务，并将结果保存在信息库中，然后调用相应的插件程序，向远程主机发送构造好的数据，检测结果同样保存于信息库，以给其他的脚本运行提供所需的信息，这样可提高检测效率。如，在针对某FTP服务的攻击中，可以首先查看服务检测插件的返回结果，只有在确认目标主机服务器开启FTP服务时，对应的针对某FTP服务的攻击脚本才能被执行。采用这种插件结构的扫描器，可以让任何人构造自己的攻击测试脚本，而不用去了解太多扫描器的原理。这种扫描器也可以用做模拟黑客攻击的平台。采用这种结构的扫描器具有很强的生命力，如着名的Nessus就是采用这种结构。这种网络漏洞扫描器的结构如图2所示，它是基于客户端/服务器（C/S）结构，其中客户端主要设置服务器端的扫描参数及收集扫描信息。具体扫描工作由服务器来完成。
微软office 0day漏洞是怎样爆发的？原理是什么？如何防范？
金山公司对微软office 0day漏洞的解决方案：http://www.duba.net/zt/2009/office_0day/
下载补丁就可以了。
原理：
360安全中心今日（13日）发布公告称，网上又曝出一个新的微软0day漏洞“Office内存破坏”漏洞，木马产业链已开始同时利用该Office漏洞和Windows MPEG-2视频漏洞大肆传播木马。360安全专家表示，同时利用两大微软0day漏洞对网民进行大规模“挂马”攻击，这在网络安全历史上还是第一次，这将使互联网安全形势雪上加霜。
据360安全专家介绍，微软“Office内存破坏”0day漏洞存在于Office网页组件“OCW10.dll”中，黑客如果以特定序列使用该漏洞组件的方法调用浏览器窗口对象，就会触发内存破坏从而导致执行任意代码。该漏洞目前主要影响Windows XP系统下的Office2000及以后的所有版本。
安装以上微软Office软件的网民，当使用IE6、IE7或使用IE内核的浏览器访问利用该0Day漏洞的“挂马网页”时，暗藏在网页中的攻击代码就会把包括盗账号、窥隐私、弹广告、远程控制等各种木马程序偷偷下载到网民电脑中，致使网民电脑随时面临网银、网游、QQ账号等数字财产失窃的风险，甚至成为任人摆布的“肉鸡”。
根据360安全中心恶意网页监控系统的数据，从7月11日凌晨开始，网上开始出现利用该漏洞的零星“挂马”攻击。短短两天时间，攻击量迅速放大。截至13日15时，相应“挂马网页”数已达到7963个，360安全卫士三天来已为用户拦截了超过1000万次“挂马”攻击。
更为严重的是，目前许多“挂马网页”上暗藏的攻击代码，同时针对了最新Office漏洞和正处于爆发中的MPEG-2视频漏洞。就是同时攻击以上两大0Day漏洞，360安全卫士总拦截量高达600万次以上。
参考资料：http://tech.163.com/09/0713/21/5E4NIBEU000915BF.html
转载请注明出处51数据库 » 0day安全软件漏洞分析技术源代码 什么是0day漏洞
