浅谈漏洞及其分类

浅谈漏洞及其分类

一、漏洞概念

漏洞是指一个系统上硬件、软件、协议等具体实现或系统安全策略上存在的弱点或缺陷，系统对特定威胁攻击或危险事件的敏感性，或进行攻击的威胁作用的可能性。这些缺陷、错误或不合理之处可能被有意或无意地利用，可以使攻击者能够在未授权的情况下访问或破坏系统，从而对一个组织的资产或运行造成不利影响，如信息系统被攻击或控制，重要资料被窃取，用户数据被篡改，系统被作为入侵其他主机系统的跳板。从目前发现的漏洞来看，应用软件中的漏洞远远多于操作系统中的漏洞。

世界上没有绝对安全的系统，也没有人敢说自己的系统或软件绝对安全。齐向东在他的首部著作《漏洞》中指出，漏洞是利用的网络缺陷，逐利、好奇是人的天性，发现缺陷并利用它，漏洞就产生了。因此，缺陷是天生的，漏洞是不可避免的，网络攻击是必然的。

二、漏洞的危害及防范

漏洞的存在，很容易导致黑客的侵入及病毒的驻留，会导致数据丢失和篡改、隐私泄露乃至金钱上的损失，如：网站因漏洞被入侵，网站用户数据将会泄露、网站功能可能遭到破坏而中止乃至服务器本身被入侵者控制。目前数码产品发展，漏洞从过去以电脑为载体延伸至数码平台，如手机二维码漏洞，安卓应用程序漏洞等等…。正所谓苍蝇不盯无缝的蛋，入侵者只要找到复杂的计算机网络中的一个缝，就能轻而易举地闯入系统。所以了解这些缝都有可能在哪里，对于修补它们至关重要。通常裂缝主要表现在软件编写存在bug、系统配置不当、口令失窃、明文通讯信息被监听以及初始设计存在缺陷等方面。

三、漏洞的分类

从大类上分为硬件漏洞和软件漏洞这两类。

（一）硬件漏洞

硬件漏洞，也可称固件漏洞。
通常信息安全可分为软件安全和硬件安全。工业界和学术界对操作系统及运行在其上的软件安全的研究已经持续了数十年时间，但对硬件安全特别是信息系统核心部件CPU芯片硬件安全的研究工作近几年才刚起步，这主要是由两个原因造成的。

原因一是绝大部分用户只与操作系统及运行在其上的软件进行交互，对于软件漏洞及病毒等造成的问题感受强烈，因此这类问题更容易得到工业界和学术界的重视；
原因二是硬件木马、漏洞利用难度较大，偶尔出现的漏洞也会很快以补丁等形式修复，导致人们忽视了硬件安全问题。

事实上，硬件安全（特别是CPU芯片的硬件安全）是计算机系统的安全根基，无法确保硬件的安全，其上运行的软件安全便无从谈起，且由于硬件漏洞更难被发现，一旦被恶意利用，其造成的影响将会更加广泛和严重。
2018 年 1 月，名为熔断和幽灵的两个新型处理器漏洞令整个计算机行业严阵以待——这两个漏洞可使攻击者跨越操作系统隔离内核和用户空间内存的基本安全防线。现代 CPU 用以提升性能的预测执行功能是这两个漏洞诞生的温床，漏洞缓解需要计算机史上最大型的协同修复工作，需 CPU 制造商、设备制造商和操作系统供应商通力合作。

什么是Meltdown和Spectre？
Meltdown（熔断）和Spectre（幽灵）是漏洞发现者对本次漏洞的两种攻击形式的命名
Melt