漏洞排查概述：漏洞的定义、生命周期与分类

各位好，欢迎来到第二章。上一章我们聊了启动校验的基本思路，今天要进入一个更核心的话题——漏洞排查。

说实话，我见过太多团队把「漏洞」挂在嘴边，但真要问他们「漏洞到底是什么」，回答往往很模糊。有人觉得是代码写错了，有人觉得是配置没改对。嗯，都对，但都不全。

这一章，我会从三个角度把漏洞讲透：它到底是什么、它怎么来的、它长什么样。搞懂这些，后面的排查工作才有根基。

一、漏洞的定义：不只是「Bug」那么简单

先给个标准定义：漏洞是系统在需求、设计、实现或运维阶段引入的，可被利用来破坏安全策略的缺陷。

注意几个关键词：

• 可被利用——不是所有缺陷都是漏洞。一个按钮位置不对是缺陷，但没人能拿它提权。
• 破坏安全策略——漏洞一定涉及机密性、完整性或可用性的丧失。
• 全生命周期引入——别以为只有写代码才会出漏洞。需求阶段漏掉权限校验，设计阶段没做输入过滤，运维阶段暴露了调试端口，都是漏洞。

二、漏洞的生命周期：从出生到消亡

漏洞不是凭空出现的，它有自己的「一生」。理解这个生命周期，你才能知道在哪个阶段该做什么事。

我把它分成七个阶段：

1. 引入期——开发或配置过程中埋下隐患。比如程序员忘了做参数校验。
2. 潜伏期——漏洞存在于系统中，但没人发现。这个阶段可能持续几小时，也可能持续几年。
3. 发现期——有人（白帽、黑帽、自动化工具）发现了这个漏洞。
4. 公开期——漏洞信息被披露。可能是厂商发公告，也可能是黑客论坛上叫卖。
5. 利用期——攻击者编写并投放利用代码（Exploit）。
6. 修复期——厂商发布补丁，或运维人员修改配置。
7. 消亡期——所有受影响系统完成修复，漏洞不再可用。

你想想看，哪个阶段最危险？

我个人觉得是潜伏期到利用期之间的窗口。尤其是「发现期」到「公开期」——如果发现者是黑帽，他可能直接进入利用期，而你完全不知情。

下面这张图可以帮你直观理解漏洞的生命周期：

三、漏洞分类：系统、应用、网络

搞懂生命周期之后，我们得知道漏洞长在哪儿。我习惯把漏洞分成三大类：系统漏洞、应用漏洞、网络漏洞。这三类覆盖了绝大多数实战场景。

1. 系统漏洞

系统漏洞指的是操作系统、驱动程序、内核模块、系统服务层面的缺陷。这类漏洞的特点是：一旦被利用，往往能获得最高权限。

常见例子：

• 权限提升漏洞——普通用户通过漏洞拿到 root 或 SYSTEM 权限。
• 内核内存破坏——比如缓冲区溢出导致内核崩溃或代码执行。
• 系统服务远程执行——像 EternalBlue（永恒之蓝）利用 SMB 服务漏洞远程执行代码。

2. 应用漏洞

应用漏洞范围最广，包括 Web 应用、数据库、中间件、桌面软件等。这类漏洞的特点是：数量最多，利用门槛参差不齐。

常见例子：

• SQL 注入——用户输入被拼接到 SQL 语句中执行。
• 跨站脚本（XSS）——攻击者把恶意脚本注入到页面中。
• 文件上传漏洞——允许用户上传可执行文件到服务器。
• 反序列化漏洞——程序反序列化不可信数据时触发恶意代码。

说白了，应用漏洞大多出在「信任用户输入」这件事上。你想想看，一个登录框、一个搜索框、一个文件上传按钮——每一个都是攻击者的突破口。

3. 网络漏洞

网络漏洞存在于网络协议、网络设备、通信加密等层面。这类漏洞的特点是：影响范围大，往往能「隔空」攻击。

常见例子：

• 协议设计缺陷——比如 SSL/TLS 的 POODLE 攻击。
• 中间人攻击——攻击者拦截并篡改通信数据。
• 网络设备后门——路由器、交换机存在默认口令或隐藏接口。
• DNS 劫持——篡改域名解析结果，把用户引到恶意站点。

下面这个表格可以帮你快速对比三类漏洞：

维度	系统漏洞	应用漏洞	网络漏洞
攻击面	操作系统、驱动、内核	Web 应用、数据库、中间件	协议、设备、通信链路
利用后果	通常获得最高权限	数据泄露、功能滥用	流量劫持、网络瘫痪
修复方式	补丁更新、内核加固	代码修复、WAF 规则	协议升级、设备固件更新
排查难度	中等（依赖系统日志）	较高（依赖代码审计）	中等（依赖流量分析）
典型 CVE 示例	CVE-2017-0144 (EternalBlue)	CVE-2017-5638 (Struts2)	CVE-2014-3566 (POODLE)

四、三类漏洞的关联与实战视角

别把这三类漏洞看成孤立的。实战中，攻击者往往组合使用。

举个例子：攻击者先通过网络漏洞（比如中间人攻击）拿到通信数据，发现一个 Web 应用存在 SQL 注入（应用漏洞），通过注入拿到数据库中的系统账号密码，然后用这个账号登录服务器，再通过系统漏洞（比如内核提权）拿到 root 权限。

你看，一条完整的攻击链，三类漏洞全用上了。