漏洞是一個(gè)永遠(yuǎn)的童話。實(shí)現(xiàn)劫富濟(jì)貧的英雄夢(mèng)想，實(shí)現(xiàn)打破技術(shù)壟斷的自由藍(lán)圖，發(fā)現(xiàn)漏洞的人，利用漏洞的人，修補(bǔ)漏洞的人，喜歡漏洞的人，害怕漏洞的人就象這個(gè)多彩的世界一樣，他們構(gòu)成了計(jì)算機(jī)網(wǎng)絡(luò)安全世界永遠(yuǎn)的角色!
現(xiàn)在很多口必稱漏洞，把漏洞的利用當(dāng)自己的絕招和寶貝，其實(shí)漏洞是什么，我們或許存在著很多誤解。下面結(jié)合相關(guān)資料和我個(gè)人的理解，我們今天就講講什么是漏洞，這個(gè)十分基本的問(wèn)題。
1、什么是漏洞
專業(yè)上講漏洞是在硬件、軟件、協(xié)議的具體實(shí)現(xiàn)或系統(tǒng)安全策略上(主要是人為)存在的缺陷，從而可以使攻擊者能夠在未授權(quán)的情況下訪問(wèn)或破壞系統(tǒng)。但是，其實(shí)這是一個(gè)綱目，很多書上定義都不同，這里算是比較全面的。怎么理解呢，還是有例子來(lái)說(shuō)吧，這幾十年來(lái)，漏洞太多了，不能一一說(shuō)。
2、漏洞的狹義范圍
漏洞會(huì)影響到很大范圍的軟硬件設(shè)備，包括作系統(tǒng)本身及其支撐軟件，網(wǎng)絡(luò)客戶和軟件，網(wǎng)絡(luò)和安全等。怎么理解呢，就是在這些不同的軟硬件設(shè)備中都可能存在不同的安全漏洞問(wèn)題。
3、漏洞的廣義范圍
這里的漏洞是指所有威脅到計(jì)算機(jī)的事物。包括人員、硬件、軟件、程序、數(shù)據(jù)。
4、漏洞的長(zhǎng)久性
漏洞問(wèn)題是與時(shí)間緊密相關(guān)的。一個(gè)系統(tǒng)從發(fā)布的那一天起，隨著用戶的深入使用，系統(tǒng)中存在的漏洞會(huì)被不斷暴露出來(lái)，這些早先被發(fā)現(xiàn)的漏洞也會(huì)不斷被系統(tǒng)供應(yīng)商發(fā)布的補(bǔ)丁軟件修補(bǔ)，或在以后發(fā)布的新版系統(tǒng)中得以糾正。而在新版系統(tǒng)糾正了舊版本中具有漏洞的同時(shí)，也會(huì)引入一些新的漏洞和錯(cuò)誤。因而隨著時(shí)間的推移，舊的漏洞會(huì)不斷消失，新的漏洞會(huì)不斷出現(xiàn)。漏洞問(wèn)題也會(huì)長(zhǎng)期存在。
5、漏洞的隱蔽性
系統(tǒng)安全漏洞是指可以用來(lái)對(duì)系統(tǒng)安全造成危害，系統(tǒng)本身具有的，或設(shè)置上存在的缺陷?？傊┒词窍到y(tǒng)在具體實(shí)現(xiàn)中的錯(cuò)誤。比如在建立安全機(jī)制中規(guī)劃考慮上的缺陷，作系統(tǒng)和其他軟件編程中的錯(cuò)誤，以及在使用該系統(tǒng)提供的安全機(jī)制時(shí)人為的配置錯(cuò)誤等。
系統(tǒng)安全漏洞是在系統(tǒng)具體實(shí)現(xiàn)和具體使用中產(chǎn)生的錯(cuò)誤，但并不是系統(tǒng)中存在的錯(cuò)誤都是安全漏洞。只有能威脅到系統(tǒng)安全的錯(cuò)誤才是漏洞。許多錯(cuò)誤在通常情況下并不會(huì)對(duì)系統(tǒng)安全造成危害，只有被人在某些條件下故意使用時(shí)才會(huì)影響系統(tǒng)安全。
6、漏洞的必然被發(fā)現(xiàn)性
漏洞雖然可能最初就存在于系統(tǒng)當(dāng)中，但一個(gè)漏洞并不是自己出現(xiàn)的，必須要有人發(fā)現(xiàn)。在實(shí)際使用中，用戶會(huì)發(fā)現(xiàn)系統(tǒng)中存在錯(cuò)誤，而者會(huì)有意利用其中的某些錯(cuò)誤并使其成為威脅系統(tǒng)安全的工具，這時(shí)人們會(huì)認(rèn)識(shí)到這個(gè)錯(cuò)誤是一個(gè)系統(tǒng)安全漏洞。系統(tǒng)供應(yīng)商會(huì)盡快發(fā)布針對(duì)這個(gè)漏洞的補(bǔ)丁程序，糾正這個(gè)錯(cuò)誤。這就是系統(tǒng)安全漏洞從被發(fā)現(xiàn)到被糾正的一般過(guò)程。
系統(tǒng)攻擊者往往是安全漏洞的發(fā)現(xiàn)者和使用者，要對(duì)于一個(gè)系統(tǒng)進(jìn)行攻擊，如果不能發(fā)現(xiàn)和使用系統(tǒng)中存在的安全漏洞是不可能成功的。對(duì)于安全級(jí)別較高的系統(tǒng)尤其如此。
系統(tǒng)安全漏洞與系統(tǒng)攻擊活動(dòng)之間有緊密的關(guān)系。因而不該脫離系統(tǒng)攻擊活動(dòng)來(lái)談?wù)摪踩┒磫?wèn)題。廣泛的攻擊存在，才使漏洞存在必然被發(fā)現(xiàn)性。
7、為什么要緊跟最新的計(jì)算機(jī)系統(tǒng)及其安全問(wèn)題的最新發(fā)展動(dòng)態(tài)
脫離具體的時(shí)間和具體的系統(tǒng)環(huán)境來(lái)討論漏洞問(wèn)題是毫無(wú)意義的。只能針對(duì)目標(biāo)系統(tǒng)的作系統(tǒng)版本、其上運(yùn)行的軟件版本以及服務(wù)運(yùn)行設(shè)置等實(shí)際環(huán)境來(lái)具體談?wù)撈渲锌赡艽嬖诘穆┒醇捌淇尚械慕鉀Q辦法。
同時(shí)應(yīng)該看到，對(duì)漏洞問(wèn)題的研究必須要跟蹤當(dāng)前最新的計(jì)算機(jī)系統(tǒng)及其安全問(wèn)題的最新發(fā)展動(dòng)態(tài)。這一點(diǎn)如同對(duì)計(jì)算機(jī)發(fā)展問(wèn)題的研究相似。如果在工作中不能保持對(duì)新技術(shù)的跟蹤，就沒(méi)有談?wù)撓到y(tǒng)安全漏洞問(wèn)題的發(fā)言權(quán)，既使是以前所作的工作也會(huì)逐漸失去價(jià)值。
你喜歡漏洞，你討厭也好。它永遠(yuǎn)存在，做到了"不以物喜，不以己悲"，實(shí)現(xiàn)了"愛(ài)她就愛(ài)她的靈魂----自由，平等，共享，創(chuàng)新"。 同時(shí)它也證明了這個(gè)世界沒(méi)有絕對(duì)的安全，如果世界上永遠(yuǎn)存在計(jì)算機(jī)存在軟件，那么它又將證明什么叫永恒。童話里有永恒的虛假的美， 而漏洞是永恒的真實(shí)的童話。