付俊，冯运波，杨光华，张峰，粟栗

（1 中国移动通信研究院，北京 100053；中国移动通信集团公司，北京 100032）

1 漏洞

漏洞，在维基百科中又称为计算机安全隐患，指计算机系统安全方面的缺陷，使得系统或其应用数据的保密性、完整性、可用性、访问控制、监测机制等面临威胁。

漏洞难以避免，一个系统自发布之日起，随着用户的深入使用，系统中存在的漏洞会被不断暴露出来，这些早先被发现的漏洞也会不断被系统供应商发布的补丁软件修补，或在以后发布的新版系统中得以纠正。而在新版系统纠正了旧版本中具有漏洞的同时，也可能会引入一些新的漏洞和错误。因而随着时间的推移，旧的漏洞会不断消失，新的漏洞会不断出现。漏洞问题也会长期存在。

所以关于漏洞的解决方案没有一劳永逸的方法，需要一套完整的漏洞分析、发现和管理的机制。本文以某省曾出现的网上营业厅重置任意用户密码漏洞为例，阐述了漏洞的生命周期管理体系。

2 漏洞的生命周期

漏洞从产生至消亡，在整个生命周期中，可分为如下几个阶段：漏洞产生，漏洞发现，漏洞公开，漏洞管理和漏洞消亡。几乎任何一个安全漏洞在其生命周期过程中都有被恶意用户利用的风险，但是在不同阶段，其风险类型也并不相同。用图形来表示安全漏洞整个生命周期阶段与风险的关系，如图 1所示。

图 1 漏洞生命周期风险图

以某网上营业厅重置任意用户密码漏洞为例，在编码阶段，没有对用户提交的数据进行有效校验，导致存在严重逻辑错误，攻击者可以重置任意用户网上营业厅登录密码。……