银行系统0day漏洞挖掘与分析方法研究

漏洞是网络攻防的武器，是力量提升的重要战略资源，而0day漏洞更是“核武器”，谁掌握了0day漏洞，便可在网络攻防中拥有绝对力量。为指导银行金融科技人员系统化开展银行系统0day漏洞挖掘工作，工商银行安全攻防实验室在行业内首次提出基于“战术+交付+技术”的银行系统0day漏洞挖掘方法模型，并运用模型发现首个高危0day漏洞。

一、漏洞是网络攻防的武器

1.漏洞是网络攻防的核心竞争力

网络空间安全是国家安全的重要组成部分，越来越受到各国的高度重视，成为国家之间竞争的又一重要战场。漏洞库就是网络战、信息战的武器库，网络攻击的起点是发现漏洞，而网络安全防护的终点是消灭漏洞。因此，网络攻防的核心就是掌握漏洞能力的较量。

漏洞不仅存在于网络战，日常工作中也有不少漏洞的身影，比如PC和移动终端的操作系统漏洞、网站和App的Web安全漏洞等。对于银行系统，不安全的开发代码、错误的配置策略等都将导致安全漏洞，“蓝军”挖掘漏洞，“红军”修复漏洞，银行的信息安全工作与漏洞密不可分。

2.0day漏洞是网络攻防的“核武器”

网络安全漏洞在其生命周期演变的过程中将经历多个阶段，未知漏洞、0day漏洞、1day漏洞、Nday漏洞，不同阶段的漏洞有着不同的影响(如图1所示)。0day漏洞指已经被发现但未被公开同时官方还没有相关安全补丁的漏洞，由于0day漏洞信息公开的范围小，且没有安全补丁，利用0day漏洞攻击的成功率几乎为100%。因此，0day漏洞可以说是漏洞中的“核武器”。例如，前些年“方程式组织”(黑客组织)利用了防火墙、交换机等的0day漏洞组合攻破了EastNets(中东地区最大的SWIFT服务提供商)。

尽管0day漏洞威力较大，但成功挖掘0day漏洞绝非易事，不仅依赖较高技术水平的研究人员，还需要长期的人力和财力投入，而短期却难有效益回报。但为了争夺网络攻防的主动权,国内安全公司乃至大型互联网公司仍会设置专职团队长期进行0day漏洞挖掘。

3.研究0day漏洞挖掘，掌握网络攻防主动权

“未知攻，焉知防。”开展0day漏洞挖掘不仅可以充实蓝军的“武器库”，更能够提升安全防护体系的防御能力(如图2所示)。目前业界主流的防护体系主要依托于安全防护设备，如防火墙、入侵防御系统(IPS)、Web应用防火墙(WAF)、漏洞扫描等，安全防护设备的防护理念是通过已知漏洞的特征识别攻击进行防护，但对于未公开信息的0day漏洞却束手无策。只有掌握0day漏洞的特征向量并输入防护体系，才能提前预警风险，掌握网络攻防的主动权。

在网络空间安全形势日益复杂的今天，掌握0day漏洞挖掘技术能够促进攻防能力提升，保障金融科技快速发展，并向广大用户展现强大的信息安全实力。