Что такое эксплойт: как уязвимость становится реальной угрозой

Определение эксплойта в простых словах

Эксплойтом называют специально разработанный код, набор команд или последовательность операций, которые трансформируют программную ошибку из теоретической проблемы в конкретное нарушение безопасности. Термин пришёл из английского языка (exploit — использовать в своих целях). В официальных российских документах этот процесс описывается как "эксплуатация уязвимости".

Три ключевых компонента

Уязвимость — это программный дефект. Это может быть недостаточная проверка размера входящих данных, оставленная тестовая учётная запись администратора, или неправильно настроенные сетевые разрешения. Дефект существует независимо и может оставаться невыявленным годами.

Эксплойт — это инструмент, подобранный специально под конкретный дефект. Он содержит точную информацию о том, какой объём данных отправить, в какое поле, с какими параметрами смещения, чтобы программа выполнила нежелательные действия.

Полезная нагрузка (payload) — это то, ради чего производится атака. Это может быть программа для получения удалённого доступа, шифровщик файлов, майнер криптовалюты или средство для автоматического запуска при включении. Эксплойт открывает путь, а полезная нагрузка проникает внутрь.

Происхождение программных уязвимостей

Уязвимости возникают в результате человеческой ошибки. Программное обеспечение создаётся людьми, которые спешат выпустить новую версию, и любой крупный проект — это накопление компромиссов. Ядро операционной системы Linux содержит более 40 миллионов строк кода. Найти участок, где разработчик не предусмотрел нестандартный сценарий, — обычное дело.

Основные категории уязвимостей

Ошибки управления памятью. Характерны для языков программирования C и C++. Это переполнение буфера, доступ к освобождённой памяти, путаница типов, одновременный доступ к одним данным несколькими потоками. Компилятор позволяет писать за границы массива, и процессор беспрепятственно использует подставленные атакующим значения.

Инъекции. Приложение получает строку от пользователя и помещает её в контекст, где эта строка интерпретируется как команда. Это может быть SQL-запрос, шаблон, системный вызов или JNDI-подстановка. Это одна проблема, но проявляется по-разному.

Логические ошибки. Память управляется правильно, инъекций нет, но алгоритм работает неправильно. Возможность заказать товар с отрицательным количеством, изменить пароль другого пользователя через подстановку идентификатора, пройти авторизацию с пустым криптографическим вектором.

Проблемы конфигурации и цепочки поставки. Интерфейс управления открыт в интернет, стандартный пароль администратора не изменён, резервная копия выложена в открытое хранилище. Технически это не ошибка кода, но такие брешь часто становятся причиной взломов.

Внутреннее устройство эксплойтов

История начинается 2 ноября 1988 года. Студент Корнелловского университета Роберт Моррис создал программу, которая, используя ошибку в сетевом сервисе fingerd, перезаписывала стек вызовов и распространялась на соседние компьютеры. Червь Морриса вывел из строя приблизительно 6 тысяч узлов — примерно десятую часть всего интернета того времени. Уязвимость была в функции gets(), которая вообще не проверяла размер входных данных.

Техника переполнения буфера

В 1996 году в журнале Phrack была опубликована статья «Smashing the Stack for Fun and Profit», которая стала классической. Основной принцип: программа выделяет в памяти буфер фиксированного размера (например, 64 байта). Рядом лежит адрес, куда процессор вернётся после завершения текущей функции. Если отправить 200 байтов, лишние данные перезапишут адрес возврата. Если правильно подобрать содержимое, то адрес будет указывать на код атакующего, и процессор сам выполнит его.

Современные техники обхода защиты

Разработчики внедрили множество защитных механизмов, и атакующие эволюционировали вместе с ними. Один из примеров — возвратно-ориентированное программирование (ROP). Поскольку свой новый код запустить нельзя, атакующий собирает программу из существующих фрагментов кода, которые уже находятся в памяти. Каждый фрагмент выполняет несколько инструкций и заканчивается возвратом. Выстраивая цепочку адресов в памяти, атакующий может выполнить произвольные операции, не написав ни единой новой строки кода.

Современная эксплуатация веб-браузера — это уже не одна простая ошибка, а сложный инженерный проект. Он включает подготовку структуры данных, обход рандомизации адресов через утечку информации, перезапись внутренних указателей объектов, получение примитивов чтения и записи памяти, и только после этого выход из защищённой среды браузера. Каждый новый механизм защиты усложняет атаку, но не прерывает её полностью.

Классификация эксплойтов

По способу доставки

Удалённый эксплойт (RCE) работает через сеть и не требует предварительного доступа к системе. Позволяет атакующему выполнять команды на чужом компьютере.

Локальный эксплойт (LPE) используется пользователем, который уже находится внутри системы, для повышения привилегий — превращения обычного пользователя в администратора или root.

Обход аутентификации позволяет вводу в систему без знания пароля.

Выход из изолированной среды (SBX) позволяет процессу браузера или виртуальной машины выйти за установленные границы.

Раскрытие конфиденциальной информации позволяет прочитать чужую память или файлы.

Отказ в обслуживании приводит к краху сервиса без кражи данных.

Нулевой день против известных уязвимостей

Эксплойт нулевого дня работает на неизвестной уязвимости, для которой никакого исправления ещё не выпущено. Ноль указывает на количество дней, которые разработчик имел для исправления ошибки. Такие эксплойты редкие, дорогие и тщательно охраняются.

N-day эксплойт использует уже известную и исправленную уязвимость. Проблема в том, что обновления устанавливают не все пользователи, и анализ исправления часто показывает, где искать ошибку. Большинство масштабных взломов происходит именно через n-day эксплойты, потому что незакрытые уязвимости встречаются намного чаще, чем совершенно новые.

Proof-of-Concept против боевого инструмента

Proof-of-Concept (PoC) — это демонстрация того, что уязвимость действительно существует. Часто он просто вызывает ошибку или выводит текст в консоль. От PoC до стабильного инструмента, работающего на разных версиях ОС и конфигурациях, — огромная дистанция. Первый пишется за вечер, второй требует недель работы.

Цепочки эксплойтов

Современные устройства практически никогда не взламываются одной ошибкой. Требуется комбинация. Первый эксплойт может дать выполнение кода внутри приложения, второй позволяет выйти из защищённого окружения браузера, третий повышает привилегии, четвёртый закрепляет присутствие в системе. По оценкам Google, примерно 90 процентов комбинаций используют несколько неизвестных ошибок одновременно и направлены на мобильные устройства.

Веб-эксплойты как самый частый вектор атак

Ошибки управления памятью впечатляют, но финансовые потери обычно наносят веб-уязвимости. SQL-инъекция была обнаружена в 1998 году и до сих пор остаётся актуальной. Небезопасная десериализация, когда приложение восстанавливает объект из присланных пользователем байтов. Обход пути к файлам, подделка серверного запроса (SSRF), загрузка произвольных файлов.

В 2023 году группа Clop использовала SQL-инъекцию для проникновения в систему MOVEit Transfer. Это была одна из самых древних категорий ошибок, а не какой-нибудь продвинутый нулевой день. Пострадали более 2700 организаций, и данные утекли у примерно 90 миллионов человек.

Рыночная стоимость эксплойтов

Рынок разделён на три сегмента, и ценовые различия значительны.

Официальные программы поиска ошибок. Google, Microsoft и Apple предлагают вознаграждение от нескольких тысяч до миллионов долларов. Apple платит до двух миллионов за серьёзные находки.

Серый рынок брокеров. Специальные компании скупают эксплойты и продают их государственным учреждениям. Crowdfense предлагала от 5 до 7 миллионов долларов за полные цепочки для iOS. Zerodium держала ценник в 2,5 миллиона долларов за Android без взаимодействия пользователя. Российская Operation Zero в 2023 году поднялась до 20 миллионов долларов.

Криминальные площадки. Торговля ведётся в основном готовыми доступами и инструментами для известных ошибок, а не новыми открытиями. Ценники здесь на порядки ниже.

Защитные механизмы

Стековые канарейки (stack canaries) — специальное значение перед адресом возврата, которое изменяется при переполнении буфера. Программа проверяет целостность этого значения и падает, если оно поменялось.

Запрет исполнения данных (DEP, NX) появился в Windows XP Service Pack 2. Области памяти, содержащие данные, помечаются как неисполняемые, что предотвращает запуск кода со стека.

Рандомизация адресного пространства (ASLR) появилась в Windows Vista. Адреса загружаемых модулей меняются при каждой загрузке, поэтому предварительно подобранные адреса становятся неправильными.

Контроль целостности кода (CFG, CFI) и аппаратные механизмы в современных процессорах проверяют подписи указателей и отмечают участки памяти, предотвращая их неправомерное использование.

Изолированные окружения (sandboxes) ограничивают права процесса вкладки браузера так, чтобы для полного контроля требовался ещё один эксплойт.

Самый эффективный метод — переход на безопасные языки программирования. Google перевёл новый код Android на Rust и Java, и процент уязвимостей, связанных с ошибками управления памятью, упал с 76 процентов в 2019 году до 24 процентов в 2022-м. Ядро Linux начало принимать новые драйверы на Rust.

Практические меры защиты

Совет «устанавливайте обновления» правильный в теории, но бесполезен, когда на управление приходится 4000 машин и окно для обслуживания один раз в три месяца. Нужен разумный порядок.

Определите приоритеты по подтверждённой эксплуатации. Каталог KEV американского агентства CISA содержит список уязвимостей, которые реально использовались в атаках. Россия ведёт подобный банк данных угроз через ФСТЭК. Рейтинг EPSS предусматривает вероятность того, что уязвимость начнут активно использовать в ближайшие 30 дней.

Не полагайтесь только на оценку CVSS. Балл 9,8 не означает срочность, а 6,5 не означает незначительность. Оценка CVSS показывает теоретическую опасность, но не принимает во внимание доступность сервиса из интернета и наличие публичного эксплойта.

Сокращайте поверхность атаки. Убирайте из интернета системы, для которых сетевой доступ не требуется. Используйте виртуальные заплатки через WAF, когда немедленное обновление невозможно. Разделяйте сеть на сегменты, чтобы одна пробитая машина не привела к взлому всей инфраструктуры.

Мониторьте поведение. Сигнатуры не поймают эксплуатацию совершенно новой ошибки, но они отловят процесс cmd.exe, неожиданно запущенный веб-сервером.

Ведите инвентаризацию. Большинство компаний потратили месяцы в 2021 году на поиск библиотеки Log4j в своих системах, не зная, где она стоит.

Юридические аспекты

В России положение с исследованием безопасности остаётся неопределённым. Статья 273 Уголовного кодекса предусматривает ответственность за создание и распространение программ для несанкционированного доступа, уничтожения или модификации информации. Формулировка достаточно широкая, чтобы под неё можно было подвести даже исследовательский PoC.

Законопроект о легализации исследований безопасности прошёл первое чтение в 2024 году, но в июле 2025 года был отклонен, отчасти из-за пункта о праве уведомлять иностранных разработчиков. Новые правила обсуждаются, но окончательного решения пока нет.

Единственная надёжная защита — письменное разрешение от владельца системы или участие в официальной программе поиска ошибок. Во всех остальных случаях следует проконсультироваться с юристом.

Заключение

От червя Морриса в 1988 году, который вывел из строя интернет из-за функции без проверки размера строки, до Log4Shell в 2021 году, когда проблема была в слишком рьяной подстановке переменных, прошло 33 года. За этот период появились десятки защитных механизмов, вложены миллиарды долларов, создана целая индустрия. Но фундаментальная проблема остаётся неизменной: разница между тем, как должна работать программа, и тем, как она работает в реальности.

Эта разница никогда не исчезнет. Пока код пишут люди, кто-нибудь обязательно забудет проверить что-нибудь важное.