保密园地

在信息安全得到广泛关注的今天，漏洞问题也逐渐引起了广大计算机用户的重视。操作系统漏洞、应用软件漏洞、硬件漏洞甚至是用户不良操作习惯所造成的人为漏洞等，其实都是隐藏在病毒爆发、黑客攻击、网络钓鱼、网页挂马等安全现象背后的技术性根源。据国际权威机构统计，Windows操作系统的漏洞数量从2000年突破1000大关之后增长非常迅猛，2004年之后的增长幅度虽然不大，但是每年漏洞的绝对数量仍然处在快速增长的过程中，2006年总数接近10000，数量激增的漏洞已经成了互联网的“牛皮癣”。尽管微软等软件开发商及安全厂商采取了积极措施，但短时间内仍然很难根治。所以，认识和了解计算机漏洞的基本知识，掌握漏洞修补的常用方法，是目前解决由漏洞引起的一系列信息安全问题的关键，也是实施信息安全防范的基础性工作。　　
　　漏洞从何而来
　　由于软件设计的复杂性，尽管包括操作系统在内的每一款商业软件在发布前，都要经过大量严格的各种测试，但仍难免或多或少地存在着一些设计缺陷。这些设计缺陷包括三类，一是软件开发者出于某种目的人为地在软件中留下的后门。例如，为隐秘地收集用户信息，有的软件会留有不公开的后门。二是软件开发者由于能力和经验所限，在软件中难免会有一些设计上的逻辑错误。三是软件开发者无法弥补硬件的漏洞，从而使硬件的问题通过软件表现出来。以上这些设计缺陷都是产生漏洞的温床。只要不存在完美无缺的软件，漏洞就不可避免。当然，并不是所有的设计缺陷都会成为漏洞，只有在软件实际使用过程中，被人发现后刻意进行利用，并威胁到系统安全的设计缺陷才是漏洞。黑客要对一个系统进行攻击，如果不能发现和利用系统中存在的安全漏洞是很难成功的，对于安全级别较高的系统尤其如此。
　　我们可根据漏洞对系统造成的潜在威胁程度(破坏性、危害性、严重性)以及被利用的可能性为依据对其进行分级。漏洞一般被分为紧急、重要、警告、注意四级。对于被评为“紧急”或“重要”的漏洞必须要打上相应补丁，尤其是对于“紧急”漏洞应立即安装补丁，越快越好。对于“警告”或“注意”级别的漏洞，则应该在阅读有关说明以后，搞清这些漏洞对系统究竟产生何种影响，然后再决定是否采用并安装相应补丁。　　
　　漏洞的危害　　
　　作为应用最为广泛的桌面操作系统，Windows操作系统暴露的漏洞时间最早，数量最多，影响最大，利用其漏洞进行传播的蠕虫病毒造成的损失极其惊人。1988年，“莫里斯”蠕虫病毒的蔓延造成了数千台计算机停机，蠕虫病毒开始现身网络；2000年以来，先后出现了“尼姆达”、“红色代码”、“求职信”、“爱情后门”等一大批蠕虫病毒，尤其是以“冲击波”、“震荡波”和“狙击波”为代表的蠕虫病毒将操作系统漏洞的危害性放大到了极致；2003年1月26日，一种名为“2003蠕虫王”的病毒迅速传播并袭击了全球，致使互联网严重堵塞，造成网页浏览和邮件收发速度大幅减缓，在全球范围内，很多银行自动提款机停止工作，机票等网络预订系统运作中断，信用卡等收付款系统出现故障。专家估计，此病毒造成的直接经济损失至少在12亿美元以上。更为可怕的是，由于蠕虫病毒制造者水平的提高，从一个漏洞发现到攻击代码实现，再到蠕虫病毒产生这一漏洞利用过程，几年前可能需要几个月甚至半年多的时间，而现在几周甚至一天之内就可以完成。例如，在微软发布MS04－011漏洞信息后，一些黑客在8分钟后就写出了攻击代码。漏洞利用速度越快，留给用户更新补丁抵御病毒攻击的时间就越短，蠕虫病毒进行大规模、大范围传播的机会就越大。
　　2007年以后，由于用户对操作系统漏洞的日益重视，操作系统漏洞造成的危害得到了一定程度的控制，黑客和病毒制造者又逐渐将目光瞄向了常用应用软件的漏洞。这些软件安装数量多，使用范围广，安全性能又赶不上大厂商开发的操作系统，稍加研究和挖掘，就会漏洞百出。网络浏览器、影音播放软件、下载软件、输入法软件、电子阅读软件等常用软件相继暴露出许多高危漏洞，并被大肆利用，造成极大的破坏。例如，2008年4月8日，Flash Player 9.0.115及更早版本被发现存在高危漏洞，5月下旬就出现了利用此漏洞传播的大量病毒，攻击者可以通过精心设计的特殊flash文件实施攻击。据不完全统计，访问那些被利用此漏洞植入恶意木马网站的用户，中招率超过60％。由于Flash Player用户十分广泛，且该漏洞涉及日常使用的IE浏览器，因此危险指数直线上升。
　　 漏洞的修补
　　补丁是软件开发商用来修补漏洞的程序，打补丁是预防漏洞危害最直接的办法。据美国软件工程研究所估算，如果系统能及时安装合适的软件补丁，可以避免95%以上的网络入侵。漏洞的发现和修补过程通常按照以下步骤进行：专业安全研究人员组织研究并发现一个漏洞；该漏洞被提交给相关厂商，等待确认并为开发补丁争取时间；厂商对漏洞进行确认并发布有关补丁程序；通过安全厂商或者软件厂商向用户通告和公布该漏洞情况；用户下载并且安装相关补丁；该漏洞被补丁修补。
　　对于操作系统漏洞的修复，通常有以下几种方法。一是利用Windows系统自带的Update功能自动安装最新补丁，这也是微软推荐的方法。二是对于不能直接升级的用户，可通过各个正规软件下载站点下载补丁，拷贝到本机后运行安装。三是通过安全软件打补丁。目前瑞星、江民、金山毒霸、诺顿等杀毒软件，以及360安全卫士、雅虎助手等安全辅助软件都提供了漏洞扫描功能，并能自动下载补丁进行修补。
　　对于应用软件漏洞的修复，通常有以下几种方法：一是安装应用软件补丁。现在不仅操作系统有补丁发布，发现有重大漏洞的应用软件也会推出相应的补丁，用户同样需要及时安装。二是安装应用软件的最新版本。新版本修补了已发现的漏洞，且新漏洞还未暴露出来，因而相对比较安全，因此用户应及时将常用软件升级到最新版本。三是寻找替代软件。对普通用户来说，操作系统的选择余地较小，但实现相同或相似功能的应用软件的选择余地却非常大，用户完全可以选择使用漏洞较少的应用软件。如火狐浏览器就比IE浏览器的漏洞要少得多。
　　当然，不是所有的补丁都要打上，有的补丁由于不完善，在修补原来漏洞的同时还会带来新的漏洞，甚至会影响系统的运行。例如，微软就承认其发布的MS04-011漏洞的补丁存在瑕疵，可引起某些Windows2000系统锁死或不能启动。有证据表明，由于推出仓促和测试不够充分，大概有18%的补丁，因为带来了新的缺陷或漏洞，稍后会进行重新发布，即出现了所谓“补丁的补丁”。有的补丁还会让用户惹上麻烦。例如，前不久闹得沸沸扬扬的微软“黑屏”事件，就是因为盗版用户打上了微软提供的具有正版增值功能的补丁而造成的。
　　警惕更大的漏洞
　　以上所说的漏洞只是狭义上的漏洞，即计算机中由于软件设计造成的漏洞。事实上，在对这些漏洞的处理问题上，还存在着包括操作上、管理上和观念上的更为广义的漏洞，主要表现在：一是缺少漏洞的常识。一些用户不知漏洞为何物，对其原理和危害更是不得而知，因而完全没有打补丁的意识，千疮百孔的系统成了病毒和黑客的活靶子。二是不及时打补丁。有的用户没有设置操作系统的自动升级功能，有的用户以为补丁打一次就够了，或者嫌打补丁太麻烦，没有养成及时打补丁的习惯。三是只打操作系统补丁，不打应用软件补丁。有的用户没有看到病毒黑客在漏洞利用方面转向应用软件的趋势，认为打好操作系统补丁就万事大吉，不及时更新应用软件补丁和升级版本，这样做同样非常危险。四是乱打补丁。有的用户“病急乱投医”，不看补丁说明，导致打上补丁后带来新的问题。有的用户从不正规站点下载补丁，在修补漏洞的同时又染上了病毒。
　　从以往很多由漏洞造成巨大损失的案例来看，软件漏洞虽然危险，但并非无药可治，真正可怕的是用户在操作上、管理上和观念上的漏洞。大多数的蠕虫病毒和黑客攻击都是针对已知的漏洞，如果能及时打上补丁，完全可以避免不必要的损失。2000年爆发的“尼姆达”蠕虫病毒，受害用户数量创造了当时的历史记录，而事实上修补该漏洞的补丁早在一年前就已经发布了。因此，我们要记住“苍蝇不叮无缝的蛋”，“千里之堤，溃于蚁穴”，在对漏洞的预防和修补这个问题上，首先要堵住的是思想、意识和观念上的漏洞，然后是管理、使用和操作上的漏洞，最后才是实际的软件漏洞。