alantop -專業量化投資者

目前已知可能導致漏洞的應用程序有,HP Photo & Imaging Gallery 1.1 與 version 2.1這個軟件包含在惠普全功能打印機驅動程序中.

據了解,該問題早在今年6月就被發現并上報,但微軟一直沒有回應,導致了今日0day漏洞的出現.

眼下的0Day正引發信息安全新“地震”看不見的才是最可怕的 　　這就是0Day的真正威脅 　　如果你是一家企業的網絡安全主管，企業外網的安全代碼、腳本分析、環境配置、維護補丁已做到無懈可擊，內網防火墻、防病毒、入侵檢測、身份認證等硬件設施也齊全完備，從技術手段來講，似乎沒有什么可擔心的；但你考慮過你所使用的操作系統、網站平臺或其他第三方應用程序，是否存在著某個不為人知的重大漏洞呢？當你發現你的網絡已遭入侵，信息已被竊取，查遍所有漏洞數據庫和安全補丁資料卻不得其解。這時，你考慮過0Day么？ 　　什么是0Day 　　0Day的概念最早用于軟件和游戲破解，屬于非盈利性和非商業化的組織行為，其基本內涵是“即時性”。Warez被許多人誤認為是一個最大的軟件破解組織，而實際上，Warez如黑客一樣，只是一種行為。0Day也是。當時的0Day是指在正版軟件或游戲發布的當天甚至之前，發布附帶著序列號或者解密器的破解版，讓使用者可以不用付費就能長期使用。因此，雖然Warez和0Dday都是反盜版的重要打擊對象，卻同時受到免費使用者和業內同行的推崇。盡管 Warez和0Day的擁護者對以此而謀利的盜版商不齒，但商業利益的驅動還是將破解行為的商業化推到了高峰。而眼下的0Day，正在對信息安全產生越來越嚴重的威脅。 　　信息安全意義上的0Day是指在安全補丁發布前而被了解和掌握的漏洞信息。 　　2005年12月8日，幾乎影響 Windows所有操作系統的WMF漏洞在網上公開，雖然微軟在8天后提前發布了安全補丁（微軟的慣例是在每月的第一個周二），但就在這8天內出現了二百多個利用此漏洞的攻擊腳本。漏洞信息的公開加速了軟件生產企業的安全補丁更新進程，減少了惡意程序的危害程度。但如果是不公開的0Day呢？WMF漏洞公開之前，又有多少人已經利用了它？是否有很多0Day一直在秘密流傳？例如，給全球網絡帶來巨大危害的“沖擊波”和“震蕩波”這兩種病毒，如果它們的漏洞信息沒有公開，自然也就沒有這兩種超級病毒的產生。反過來想，有什么理由認為眼下不存在類似的有著重大安全隱患的漏洞呢？（Dtlogin遠程溢出漏洞于 2002年被發現，2004年公布。） 　　看不見的才是最可怕的，這就是0Day的真正威脅。 　　不可避免的0Day 　　信息價值的飛速提升，互聯網在全球的普及，數字經濟的廣泛應用，這一切都刺激著信息安全市場的不斷擴大，軟件破解、口令解密、間諜軟件、木馬病毒全部都從早期的僅做研究和向他人炫耀的目的轉化為純商業利益的運作，并迅速地傳播開來，從操作系統到數據庫，從應用軟件到第三方程序和插件，再到遍布全球的漏洞發布中心，看看它們當中有多少0Day存在？可以毫不夸張的說，在安全補丁程序發布之前，所有的漏洞信息都是0Day，但是從未發布過安全補丁的軟件是否就意味著它們當中不存在0Day呢？ 　　有人說：“每一個稍具規模的應用軟件都可能存在0Day。”沒錯！從理論上講，漏洞必定存在，只是尚未發現，而彌補措施永遠滯后而已。 　　只要用戶方不獨自開發操作系統或應用程序，或者說只要使用第三方的軟件，0Day的出現就是遲早的事，無論你是使用數據庫還是網站管理平臺，無論你是使用媒體播放器還是繪圖工具，即便是專職安全防護的軟件程序本身，都會出現安全漏洞，這已是不爭的事實，但最可怕的不是漏洞存在的先天性，而是0Day的不可預知性。 　　從開源的角度上來說，Linux更容易比封閉源代碼的Windows存在更多的0Day。那些自以為使用著安全操作系統的人，遲早會被0Day攻擊弄得啞口無言。而微軟呢？遠有IIS和IE，近有WMF和Excel，由于其操作系統應用的廣泛性，如今已是補丁加補丁，更新再更新，最新操作系統Vista竟然含有幾萬行的問題代碼。尚未發行，已是滿目瘡痍，誰又能保證微軟的源代碼沒有絲毫泄露呢？ 　　0Day走向何方 　　越來越多的破解者和黑客們，已經把目光從率先發布漏洞信息的榮譽感轉變到利用這些漏洞而得到的經濟利益上，互聯網到處充斥著數以萬計的充滿入侵激情的腳本小子，更不用說那些以竊取信息為職業的商業間諜和情報人員了。于是，0Day有了市場。 　　國外兩年前就有了0Day的網上交易，黑客們通過網上報價出售手中未公開的漏洞信息，一個操作系統或數據庫的遠程溢出源碼可以賣到上千美元甚至更高；而國內的黑客同行，前不久也在網上建立了一個專門出售入侵程序號稱中國第一0Day的網站，盡管類似的提供黑客工具的網站很多，但此網站與其它網站的區別在于0Day的特性十分明顯：價格較高的攻擊程序的攻擊對象，還沒有相應的安全補丁，也就是說這樣的攻擊程序很可能具有一擊必中的效果。這個網站成立不久便在搜索引擎中消失了，也許已經關閉，也許轉入地下。但不管怎樣，0Day帶來的潛在經濟利益不可抹殺，而其將來對信息安全的影響以及危害也絕不能輕視。 　　軟件上的0Day幾乎不可避免，那硬件呢？硬件是否存在0Day？答案無疑是肯定的。近年來，思科路由器漏洞頻繁出現，今年2月，已被曝光的某知名網絡產品漏洞至今仍未被修復。對于那些基于IP協議連接網絡的路由、網關、交換機，哪個電信運營商敢百分之百地保證自己的網絡設備萬無一失？（2005年4月11日，全國超過二十個城市的互聯網出現群發性故障；同年7月12日，北京20萬ADSL用戶斷網）。 　　早在兩年前，英特爾的首席技術官就提出過互聯網不能承受與日俱增的使用者這一想法，當時，被很多人認為是無稽之談。今年6月，在美國的商業圓桌會議上，包括惠普公司、IBM公司、Sun公司、通用汽車公司、家得寶公司和可口可樂公司等在內的160個企業代表呼吁政府要對發生大規模網絡故障的可能性做好準備工作…… 　　當今的互聯網，病毒、蠕蟲、僵尸網絡、間諜軟件、DDoS猶如洪水般泛濫，所有的這一切都或多或少地從0Day走過，可以預測，在不遠的將來，互聯網癱瘓絕不遙遠。 　　那么政府管理者、電信運營商、安全廠商，還有全世界的互聯網用戶，面對0Day，我們準備好了嗎？