1-day 还是 0-day：为什么安全研究人员应优先关注刚修补的漏洞？

快速答案：

• 0-day 是指在被利用时还没有补丁的漏洞；1-day 是指刚刚公开或刚刚发布补丁、但许多系统尚未更新的漏洞。
• 据 CyberJutsu Academy 的观点，如今许多组织的真实风险在于 1-day，而非 0-day：已知却未及时修补的漏洞。
• 在 AI 时代，攻击者发现并利用漏洞的速度越来越快，漏洞从公开到被利用的时间窗口被大幅压缩。
• 1-day 分析与复现能力（包括补丁对比、根因分析、基于真实 CVE 的验证）实用价值高，同时是通往 0-day 猎寻的直接台阶。
• 1-day 的复现成果还能帮助蓝队与 CTI 评估影响、建立检测并排列修补优先级。

什么是 0-day？什么是 1-day？

0-day 是指在被利用时还没有补丁的安全漏洞。软件厂商通常尚不知情，或尚未发布修复，因此这类漏洞最危险，也最受追捧。

1-day 是指刚刚公开或刚刚发布补丁的漏洞。它的危险在于时间差：补丁已经存在、漏洞信息已经公开，但并非每个系统都能及时更新——而这段延迟恰恰是攻击者的窗口。

0-day 与 1-day 有何区别？

对比项	0-day	1-day
补丁状态	尚无补丁	补丁已发布，或漏洞刚公开
公开程度	保密，鲜为人知	已公开（CVE、厂商公告）
风险窗口	直至厂商发布修复	从公开到系统全部更新完成
利用成本	极高，极少数人能做到	低得多——可从补丁逆向复现
主要防御	检测异常行为	快速修补 + 正确排定优先级

为什么 AI 让 1-day 比以往更危险？

过去，漏洞公开后，攻击者需要时间阅读补丁、复现缺陷并编写利用代码——这一过程可能需要数天到数周，足以让组织完成修补。如今 AI 能以快得多的速度协助补丁分析与漏洞复现，公开日之后的"安全缓冲期"随之缩短。晚几天修补的组织，可能已经身处危险区。

这也是 CyberJutsu Academy 认为竞争格局已经改变的原因：不只是谁先发现漏洞，而是谁能更快地理解并验证它——无论对攻击方还是防御方都是如此。

为什么安全研究人员应优先 1-day 而非 0-day？

1. 安全工作的优先级正在改变

渗透测试/红队的一个重要目标，是证明攻击者确实能够入侵系统。但当已知漏洞都还没处理完时，是否还需要再多一个 0-day 来证明风险？现实中的答案是否定的——风险早已存在于那些已公开却无人修补的漏洞之中。

2. 实用价值更高

猎寻 0-day 可能耗时数月且不保证有成果。相反，快速复现并验证 1-day 的能力能帮助工程师识别具体系统上的真实风险，从而把修复资源优先投入到最关键的地方，而不是平均用力。

3. 1-day 是通往 0-day 的台阶

研究 1-day 练就的正是猎寻 0-day 的核心技能：阅读并对比补丁、追溯根本原因、理解漏洞机制。从补丁中的一处改动出发，研究人员可以发现尚未修补的变体——从 1-day 逆向走进 0-day 的领地。对于仍热衷于猎寻 0-day 的人来说，研究 1-day 并不是偏离方向，而是直接的基础。

4. AI 扩展了研究能力

CVE 的公布数量不断增长，早已超出纯手工处理的规模。工程师可以构建工作流或 SKILL.md 文件，让 AI 协助分析补丁、复现与验证漏洞。但可靠自动化的前提是：人必须先理解技术本质。AI 能为懂行的人提速，却无法替代理解本身。

5. 价值超越红队范围

1-day 的复现成果不只服务于模拟攻击。它还能帮助与蓝队以及 CTI（网络威胁情报）团队协作，评估影响范围、建立检测方案并排列修补优先级。这类漏洞研究直接贡献于组织的整体防御能力。

什么是补丁对比（Patch Diffing）？

补丁对比是指比较程序在打补丁前后的版本（源代码或二进制文件），以精确定位修复所改动的代码。研究人员从这一改动出发，逆向追溯漏洞的根本原因，理解缺陷机制，并据此复现利用方法。它是 1-day 分析的核心技能，也是通往 0-day 研究的桥梁。

组织应如何降低 1-day 风险？

• 按真实可利用性修补，而不仅仅看 CVSS 分数：优先处理已有公开利用代码或正在被实际利用的漏洞。
• 缩短面向互联网系统（VPN、邮件、Web 应用）的更新周期——这是 1-day 窗口被滥用最多的地方。
• 每日跟踪 CVE/CTI 情报，及时了解新公开的漏洞是否影响自己在用的软件。
• 修补后验证：确认修复已在所有系统上成功应用，避免"已排期修补"但机器仍运行旧版本的状态。

常见问题

有了补丁，1-day 就安全了吗？

不是。补丁只能保护已经安装它的系统。对于未更新的系统，1-day 仍可像普通漏洞一样被利用——甚至更容易，因为漏洞细节已经公开。

为什么叫"1-day"？

这个名称源于漏洞/补丁公开与攻击者能从补丁中复现利用之间极短的时间——大约一天。在 AI 时代，这个间隔可能更短。

渗透测试/红队需要 0-day 来证明风险吗？

通常不需要。如果系统还存在已知未修补的漏洞，成功利用这些漏洞本身就足以证明风险——而且能更准确地反映组织真实的攻击面。

学习 1-day 分析需要哪些技能？

基础包括：阅读源代码与二进制文件、补丁对比、根因分析，以及基于真实 CVE 的复现与验证。这也是 CyberJutsu Academy 在其 CVE Analysis 课程中强调的重点。

AI 能取代研究人员做 1-day 分析吗？

还不能。AI 能加速补丁分析、改动摘要与复现辅助等步骤，但只有当操作者理解技术本质、能够核验结果时，自动化才值得信赖。先理解，再自动化。

结语

0-day 依然是安全研究领域令人向往的高峰，但对大多数组织而言，真正的风险在于那些已知却未处理的漏洞——即 1-day。投入 1-day 分析与复现能力，能把这一认识转化为切实的防御力量，同时为日后猎寻 0-day 打开道路。

本文根据 CyberJutsu Academy 于 2026 年 11 月 2 日在 Facebook 上的分享整理，该分享与其 CVE Analysis 课程相关。