👆主要区别：
-- | 普通漏洞 | 零日漏洞 |
|---|---|---|
知晓状态 | 已知，已被 CVE/NVD 收录 | 完全未知，厂商毫无察觉 |
补丁状态 | 有官方补丁 | 完全无补丁 |
检测难度 | 低（有特征规则） | 极高（无特征可匹配） |
利用成本 | 低 | 极高（$10万~$数百万） |
威胁窗口 | 已知，可计算 | 0 天——厂商完全无防备 |
核心区别一句话：普通漏洞是"已知的敌人"，零日漏洞是"未知的刺客"。
零日漏洞挖掘方法：
模糊测试（Fuzzing）、代码审计、漏洞模式挖掘、差异分析（Patch Diffing）、硬件 / 固件逆向等
防御体系：
- 减少攻击面（最小权限、网络分段）
- 行为检测（EDR/XDR，不依赖特征）
- 入侵阻止（应用白名单、沙箱、微隔离）
- 影响限制（零信任、数据加密）
- 快速响应（PDCERF 流程）
- 威胁情报监控
