Эксплойт

Эксплойт (англ. exploit, от англ. to exploit — «использовать, эксплуатировать») — в электронной обработке данных систематическая возможность использования уязвимостей, возникающих в процессе разработки программного обеспечения. С помощью программного кода эксплойты используют уязвимости и ошибки программ (или целых систем) — чаще всего для получения доступа к ресурсам, проникновения в компьютерную систему или её нарушения. Под Zero-Day-эксплойтом (англ. zero-day exploit) понимают эксплойт, использующий уязвимость, для которой ещё не выпущено исправления (патча) со стороны производителя.

Эксплойт может быть разработан и документирован с целью демонстрации уязвимости. Это позволяет производителям ПО быстрее выявлять и устранять уязвимости. Нередко саму текстовую или техническую публикацию эксплойта также называют эксплойтом.

Эксплойты нередко используют тот факт, что компьютеры с архитектурой фон Неймана — а это большинство персональных и офисных ПК — не отделяют программный код от пользовательских данных. Например, при переполнении буфера код злоумышленника записывается в специальную область памяти, что позволяет изменить ход выполнения приложения. Другой вариант — атака с использованием форматной строки, когда ввод пользователя без фильтрации попадает в функции форматирования, такие как printf(). Злоумышленник может выполнить собственный код, который, например, предоставляет оболочку с полномочиями атакованного приложения.

Локальные эксплойты могут активироваться при открытии на первый взгляд безвредных файлов (например, офисных документов), если связанная с этим типом файлов программа содержит уязвимость из-за ошибочной или некорректной обработки данных. Обычно эксплойт (например, в файле PDF^[1][2][3] или как макрос в файле Word или Excel) пытается использовать уязвимость приложения, с помощью которого файл открывается, чтобы повысить права доступа и выполнить вредоносный код в системы. Основное действие, выполняемое эксплойтом, называется payload (англ. — «полезная нагрузка»). Во многих фреймворках эксплойтов (например, Metasploit) payload можно задавать отдельно, хотя он может быть встроен непосредственно в эксплойт.

Активной формой эксплойтов являются атаки из Интернета с использованием специально сформированных пакетов или потоков данных против уязвимостей сетевого ПО. Такие эксплойты называют также удалёнными (remote exploits).

Часто первыми опубликованными для обнаружившейся уязвимости становятся так называемые DoS-эксплойты (Denial of Service), которые вызывают перегрузку уязвляемого приложения, но не дают возможности выполнения стороннего кода или повышения прав.

Эксплойты для выполнения команд (command execution exploits) стоят тем, что позволяют злоумышленнику управлять выполнением программного кода на целевой системе. Для успеха атаки автор эксплойта должен знать особенности организации памяти целевого приложения, что возможно благодаря открытым исходным кодам или экспериментам. Код размещается таким образом, чтобы гарантировать его выполнение. Такие эксплойты особенно опасны, так как использующиеся ими приложения часто обладают высокими системными правами, которые автоматически передаются коду злоумышленника.

Эксплойты, использующие SQL-инъекции, представляют собой особый класс эксплойтов и наиболее часто используются против веб-приложений, взаимодействующих с SQL-базами данных, поскольку такие приложения доступны через Интернет, но в целом угроза сохраняется для любого ПО с доступом к SQL-базам^[4]. Атаки строятся таким образом, что промежуточный слой приложения ошибочно возвращает или изменяет данные, к которым не должен был предоставлять доступ. Например, форма логина может обрабатывать специально созданный ввод, чтобы допустить неавторизованного пользователя или получить сведения вроде паролей/адресов электронной почты всех зарегистрированных пользователей^[5]. Если вводимые значения не проходят фильтрацию (например, не проверяется отсутствие SQL-команд), возникает уязвимость SQL-инъекции^[6].

• Через уязвимость типа SQL-инъекции в октябре 2014 года была получена возможность доступа к сети Playstation Network компании Sony и к данным её клиентов^[7].
• Известная блог-платформа и CMS WordPress была уязвима для SQL-инъекции через плагин Analytics Slimstat, как показал эксперт Марк-Александр Монпа в феврале 2015 года. Под угрозой оказалось свыше миллиона веб-сайтов, которые могли быть захвачены хакерами^[8].

Zero-Day-эксплойтом называют эксплойт, который применяется до выпуска патча к уязвимости. Разработчики в этом случае не имеют времени («ноль дней», англ. zero day), чтобы устранить уязвимость и защитить пользователей. Если обнаруживший уязвимость предпочитает не сообщать о ней производителю ПО, а разрабатывает эксплойт для её эксплуатации, уязвимость ПО может быть раскрыта лишь спустя долгое время после первых атак^[9]. Хакеры часто хранят такие эксплойты в тайне, чтобы эксплуатировать уязвимость дольше. За пределами публичного пространства Zero-Day-эксплойты торгуются среди хакеров и могут продаваться компаниям-производителям за крупные суммы^[10]. С 2012 по 2018 год цены на Zero-Day-эксплойты увеличились примерно в 10 раз^[11]. С ростом подготовки к наступательным кибервойнам и вовлечённости государства отдельные государственные и частные организации стремятся знать об эксплойтах заранее, чтобы либо своевременно закрывать уязвимости патчами, либо использовать эксплойты для атаки на враждебные системы^[12].

В качестве превентивной меры эксперты пытаются выявлять уязвимости заранее и информировать об этом производителей. Однако это иногда вызывает критику, поскольку такие проверки могут нарушать законы или лицензионные правила производителей^[13].

• С ростом сложности ПО и увеличением цен Zero-Day-эксплойты встречаются всё чаще. В августе 2012 года вышел эксплойт^[14], позволяющий отключить Security-Manager Java, что позволяло запускать любые программы^[15].
• Почти все версии Windows в октябре 2014 были затронуты Zero-Day-уязвимостью в Microsoft Office^[16].
• В ноябре 2014 года появились сведения, что BND закупает Zero-Day-эксплойты для перехвата SSL-шифрования. За рабочие Zero-Day-эксплойты для популярных продуктов (Internet Explorer, Flash, Android, iOS) предлагалось до 100 000 долларов. Предполагается, что по проекту Swop в 2015 году на закупку было выделено до 4,5 млн евро^[17].
• Рабочая группа «Защита данных и ИТ-безопасность» Общество по информатике критиковала, что BSI не обязано раскрывать собранные Zero-Day-эксплойты, что оставляет бизнес и частных лиц беззащитными перед атаками, создавая потенциальные убытки в миллиарды евро^[18].
• В 2019 году Google опубликовала общедоступный перечень всех известных с 2014 года публичных Zero-Day-эксплойтов (проект Zero)^[19].