Exploit

Et exploit er broen mellem en sårbarhed, som er en egenskab ved koden eller konfigurationen, og en konkret evne hos angriberen, fx remote code execution, rettighedseskalering, omgåelse af autentificering eller udlevering af data. Sårbarhedsklassen bestemmer i høj grad teknikken. Injektionsfejl (SQL, OS-kommandoer, template injection, JNDI-opslag som i Log4Shell, CVE-2021-44228) udnyttes med særligt udformede inputstrenge. Hukommelsesfejl i C- og C++-kode, fx buffer overflows på stakken og heapen, use-after-free og type confusion, udnyttes ved at korrumpere hukommelsen, så programmets kontrolflow ender i kode, angriberen har valgt. Logiske fejl og fejlkonfigurationer kræver ofte slet ingen "payload", kun en bestemt rækkefølge af forespørgsler.

Udnyttelse af hukommelsesfejl er formet af et våbenkapløb med mitigeringer. Ikke-eksekverbar hukommelse (DEP/NX) stoppede indsprøjtning af shellcode på stakken, hvilket førte til return-oriented programming (ROP), hvor korte instruktionssekvenser ("gadgets"), der allerede findes i programmet, kædes sammen. Address space layout randomisation (ASLR) skjuler, hvor disse gadgets ligger, så moderne exploits som regel først kræver en separat fejl, der lækker adresser. Stack canaries, control-flow integrity og shadow stacks i hardware (Intel CET) hæver barren yderligere. Derfor er et virkende exploit mod en hærdet browser eller telefon typisk en kæde af flere fejl, fx en fejl i rendereren plus et sandbox escape plus en rettighedseskalering i kernen.

Modenheden betyder noget. Et proof of concept demonstrerer fejlen, ofte blot ved at få processen til at crashe; et våbengjort exploit virker pålideligt på tværs af versioner og leverer en payload som en web shell, en loader eller ransomware. En zero-day udnyttes, før leverandøren har en rettelse; en n-day rammer en offentliggjort og rettet sårbarhed på systemer, der stadig ikke er patchet, og det er langt størstedelen af den reelle udnyttelse. EternalBlue-exploitet til MS17-010 blev lukket med en patch i marts 2017, men WannaCry og NotPetya spredte sig alligevel bredt med det måneder senere.

Forsvarere bruger dette til at prioritere. Et CVE-nummer identificerer sårbarheden, og CVSS (i dag v4.0) vurderer dens tekniske alvor, men ingen af dem siger, om der findes et exploit. FIRST's EPSS estimerer sandsynligheden for udnyttelse inden for de næste 30 dage, og CISA's Known Exploited Vulnerabilities-katalog lister fejl, der beviseligt udnyttes aktivt. Patch management, virtuel patching i en WAF eller IPS, reduktion af angrebsfladen og exploit-mitigeringer i styresystemet er kontrollerne; en sårbarhedsscanner finder svagheden, mens exploitet er det, der gør den til en sikkerhedshændelse. Malware er den payload, et exploit ofte leverer, ikke selve exploitet.