安全基础研究0 day漏洞

这篇文章主要利用阿里巴巴的FastJSon这一工具来向大家介绍Zero-day（0-day）漏洞的基础概念。

Zero-day

Zero-day漏洞也被认为是0-day漏洞的一种形式，在技术术语中指出了软件 vendor 在发现并修复特定漏洞所需的时间窗口。通常情况下是黑客或非官方渠道首先发现这些零日漏洞。尽管如此，在某些情况下这些缺陷可能早在 vendor 有意识地采取补救措施之前就被利用起来进行攻击。这种现象往往导致 vendor 在意识到问题时已经处于被动局面从而增大了遭受攻击的风险。由于这种内在的时间差零日攻击者往往能够在 vendor 完成修复工作之前就完成攻击过程这种缺陷无疑给系统安全带来重大威胁就像门禁系统中的隐藏入口一旦被泄露将导致难以防范的安全风险

示例：FastJson

阿里巴巴的FastJson是一个功能强大且应用广泛的JSON处理库，在Java平台上拥有庞大的用户基础。然而，近期频繁出现安全漏洞。

于2019年6月22日，在阿里云云盾应急响应中心检测到FastJSON存在一个零日缺陷，并且攻击者能够通过规避黑名单策略来实施远程