exploit
Ige
exploit (alapjelen, egyes szám harmadik személy exploits, folyamatos melléknévi igenév exploiting, második és harmadik alakja exploited)
- exploit - Szótár.net (en-hu)
- exploit - Sztaki (en-hu)
- exploit - Merriam–Webster
- exploit - Cambridge
- exploit - WordNet
- exploit - Яндекс (en-ru)
- exploit - Google (en-hu)
- exploit - Wikidata
- exploit - Wikipédia (angol)
Főnév
exploit (tsz. exploits)
- (informatika) Az exploit olyan módszer vagy kódrészlet, amely kihasználja a szoftverek, alkalmazások, hálózatok , operációs rendszerek vagy hardverek sebezhetőségeit , jellemzően rosszindulatú célokra . Az "exploit" kifejezés az angol "to exploit" igéből származik, ami azt jelenti, hogy "valamit a saját javára használ fel". A kihasználások célja a hibák azonosítása, a biztonsági intézkedések megkerülése, a rendszerekhez való jogosulatlan hozzáférés, a rendszerek irányításának átvétele, rosszindulatú programok telepítése vagy bizalmas adatok ellopása . Bár a kizsákmányolás önmagában nem lehet rosszindulatú program , a biztonsági ellenőrzések megsértésével rosszindulatú szoftverek továbbításának eszközeként szolgál . [ 1 ] [ 2 ] [ 3 ] [ 4 ]
A kutatók becslése szerint a rosszindulatú kizsákmányolások évente több mint 450 milliárd dollárba kerülnek a világgazdaságnak . Válaszul erre a fenyegetésre, a szervezetek egyre gyakrabban használják a kiberfenyegetésekkel kapcsolatos intelligenciát a sebezhetőségek azonosítására és a feltörések megelőzésére. [ 5 ]
Leírás Kihasználja a megcélzott sebezhetőségeket, amelyek lényegében a rendszer védelmének hibái vagy gyengeségei. A kizsákmányolások gyakori célpontjai az operációs rendszerek , webböngészők és különféle alkalmazások , ahol a rejtett sebezhetőségek veszélyeztethetik a számítógépes rendszerek integritását és biztonságát . A kihasználások nem szándékos vagy nem várt viselkedést idézhetnek elő a rendszerekben, ami súlyos biztonsági résekhez vezethet . [ 6 ] [ 7 ]
Számos exploit célja, hogy szuperfelhasználói szintű hozzáférést biztosítson a számítógépes rendszerekhez. A támadók egymás után több kizsákmányolást is használhatnak, hogy először alacsony szintű hozzáférést szerezzenek, majd ismételten kiterjesszék a jogosultságokat , amíg el nem érik a legmagasabb adminisztrációs szintet, amelyet gyakran "root"-nak neveznek. Ezt a technikát, amelyben több kizsákmányolást összeláncolnak egyetlen támadás végrehajtása érdekében, kihasználási láncnak nevezik.
Azokat a kizsákmányolásokat, amelyek mindenki számára ismeretlenek maradnak, kivéve azokat az egyéneket, akik felfedezték és kifejlesztették őket, nulladik napos vagy „0 napos” kizsákmányolásnak nevezzük. Miután a kizsákmányolást felfedték az érintett szoftver szerzőivel, a kapcsolódó sérülékenységet gyakran egy javítással javítják , ami használhatatlanná teszi a kizsákmányolást. Ez az oka annak, hogy egyes feketekalapos hackerek , valamint a katonai vagy hírszerző ügynökségek hackerei nem teszik közzé támadásaikat, hanem titokban tartják azokat. Az egyik séma, amely nulladik napi kihasználásokat kínál , az exploit as a service néven ismert . [ 8 ]
Osztályozás Számos módszer létezik a kihasználások osztályozására. A leggyakoribb az, hogy a kihasználás hogyan kommunikál a sebezhető szoftverrel.
Kommunikációs módszer szerint: [ 9 ]
Távoli kihasználások : Hálózaton keresztül működik, és kihasználja a biztonsági rést anélkül, hogy előzetesen hozzáférne a sérülékeny rendszerhez. Helyi kihasználások: Előzetes hozzáférést vagy fizikai hozzáférést igényel a sérülékeny rendszerhez, és általában megnöveli a kizsákmányolást futtató személy jogosultságait a rendszeradminisztrátor által biztosítottaknál. Célzott komponens szerint: [ 9 ]
Szerveroldali kizsákmányolások : A kiszolgálóalkalmazások, például webszerverek vagy adatbázis-kiszolgálók sebezhetőségeinek megcélzása gyakran rosszindulatú kérések küldésével a biztonsági hibák kihasználása érdekében. Kliensoldali kizsákmányolások : Célozza meg az ügyfélalkalmazások, például a webböngészők ( böngészőkizsákmányok ) vagy a médialejátszók sebezhetőségeit. Ezek a kihasználások gyakran felhasználói beavatkozást igényelnek, például egy rosszindulatú webhely felkeresését vagy egy feltört fájl megnyitását. A kliensalkalmazások elleni kizsákmányolások is igényelhetnek némi interakciót a felhasználóval, és így a social engineering módszerrel kombinálva is használhatók . Az exploitok [ 10 ] [ 11 ] szerinti osztályozása az általuk kihasznált sebezhetőség típusa és az exploit futtatásának eredménye (pl. Elevation of Privilege ( EoP ), szolgáltatásmegtagadás ( DoS ), hamisítás ) alapján bevett gyakorlat a kiberbiztonság területén. Ez a megközelítés segít a biztonsági fenyegetések szisztematikus azonosításában és kezelésében. A STRIDE fenyegetésmodell például hat típusba sorolja a fenyegetéseket, ideértve a hamisítást, a manipulációt, a visszautasítást, az információ nyilvánosságra hozatalát, a szolgáltatásmegtagadást és a jogosultságok kiterjesztését. [ 12 ] Hasonlóan, a Nemzeti Sebezhetőségi Adatbázis (NVD) a sérülékenységeket típusok szerint kategorizálja, mint például a Hamisítással történő hitelesítés megkerülése és az Authorization Bypass. [ 13 ]
Típus szerint Sebezhetőség [ pontosítás szükséges ] :
Kódvégrehajtási kizsákmányolások: Lehetővé teszi a támadók számára, hogy tetszőleges kódot hajtsanak végre a célrendszeren, ami a rendszer teljes kompromittálásához vezethet. Szolgáltatásmegtagadási (DoS) kihasználások : Célja, hogy megzavarja egy rendszer vagy szolgáltatás normál működését, elérhetetlenné téve azt a jogos felhasználók számára. Jogosultság-kiterjesztés : Lehetővé teszi a támadók számára, hogy az eredetileg biztosítottnál magasabb jogosultságokat szerezzenek a rendszeren, ami jogosulatlan műveletekhez vezethet. Információk nyilvánosságra hozatalának kizsákmányolása: A rendszer biztonsági rései miatt érzékeny információkhoz való jogosulatlan hozzáféréshez vezet. Egy másik besorolás a sérülékeny rendszer elleni fellépés; Ilyen például a jogosulatlan adathozzáférés, az önkényes kódvégrehajtás és a szolgáltatásmegtagadás.
Kihasználási technikák A támadók különféle technikákat alkalmaznak a sebezhetőségek kihasználására és céljaik elérésére. Néhány általános módszer: [ 9 ]
Puffer túlcsordulás : A támadók több adatot küldenek a pufferbe, mint amennyit az kezelni tud, ami túlcsordulást okoz, és felülírja a szomszédos memóriát, ami tetszőleges kódfuttatást tesz lehetővé. SQL-befecskendezés: A rosszindulatú SQL- kódot a webalkalmazások beviteli mezőibe szúrják be, lehetővé téve a támadók számára az adatbázisok elérését vagy azok kezelését. Cross-Site Scripting (XSS): A támadók rosszindulatú szkripteket fecskendeznek be más felhasználók által megtekintett weboldalakra, ami munkamenet-eltérítéshez vagy adatlopáshoz vezethet. Cross-Site Request Forgery (CSRF): A támadók a felhasználó hitelesített munkamenetének kihasználásával ráveszik a felhasználókat nem szándékolt műveletekre, például a fiókbeállítások megváltoztatására.