什麼是網路安全中的 Exploit？

網路安全是一個新興領域，在這裡，即使是一次滑鼠點擊、一份 PDF 下載，或一個「回覆」按鈕，都可能造成致命後果。如今，組織每天遭受漏洞利用並被駭客竊取關鍵業務資料的案例正持續增加。讓我們將漏洞利用想像成一名擁有萬能鑰匙的小偷，這把鑰匙可以用來打開你家中的任何一道門，在這種情況下，就是你組織的機密資料。攻擊者幾乎不費吹灰之力，就能在無人察覺的情況下，從後門潛入，甚至透過半開的窗戶進入。由於這些後門尚未被發現，企業要確保安全就變得非常困難。那麼，企業該如何保護自己，防範這些心懷不軌、伺機而動並等待最佳時機下手竊取的駭客呢？

在本指南中，我們將探討安全領域中的 exploit 是什麼、它們如何運作、此類攻擊對使用者/組織造成的後果，以及如何確保這類竊賊不會再次進入您的家中。

什麼是安全中的 Exploit？

Exploit 是利用軟體或硬體中的系統缺陷與弱點來入侵系統並發動攻擊（例如 阻斷服務（DoS）、病毒，或勒索軟體、間諜軟體和蠕蟲等惡意軟體）的程式碼片段或程式。換句話說，exploit 就像遞送人員一樣，會將惡意軟體或病毒傳送到系統中以發動攻擊。

網路安全中利用攻擊的影響

Exploit 是網路安全中的主要關注事項之一，可能嚴重危害組織的營運。它們確實能在系統與基礎架構中掀起波瀾，有時甚至造成災難性後果，導致組織損失時間、金錢與客戶。

這些影響可能從相對輕微的情況（例如資料外洩、供應鏈攻擊，以及 零時差 exploit）到數十億美元的損失不等。它們也可能導致客戶與投資人信心流失，以及對組織造成負面公關影響。

組織必須了解利用攻擊的這些關鍵影響：

1. 資料外洩： Exploit 可能導致未經授權存取一般資訊、所有資料庫、機密資訊以及所有檔案系統。
2. 系統遭入侵： Exploit 可協助駭客取得系統控制權，進而安裝後門，以便在組織環境中反覆存取。
3. 網路入侵： 駭客 可以輕易滲透網路，並從一個主機移動到另一個主機、複製敏感檔案，並阻止使用者存取某些檔案。
4. 財務損失： 就成本影響而言，兩個可能具有長期財務影響的主要成本面向是直接成本與間接成本。例如，這些成本可能包括支付人員探查 exploit 的費用、支付勒索軟體攻擊的贖金，或投入系統復原與強化安全性的支出。
5. 隱私外洩： 某些 exploit 可能會轉送私人資料，因而導致隱私違規。
6. 服務中斷： Exploit 可能導致系統故障，例如效能變慢、凍結、資料毀損及其他異常活動，使組織難以營運或為客戶提供服務。

Exploit 的定義 

Exploit 的含義可能會因您所處的業務或安全情境而有所不同。exploit 的基本定義是，它是一種特定的弱點或漏洞。它是可被利用來造成非預期行為及其他災難性事件的事物。 

現在，請不要將 exploit 與 vulnerability 混淆。vulnerability 是系統或程式碼中預設存在或設計上的固有缺陷。exploit 則是用來利用系統中該缺陷的技術或工具。它就像是用來遞送 惡意軟體 的載具，就像用來爬到開啟窗戶的梯子一樣。

Exploit 的類型

組織應了解針對其系統各個層面的不同 exploit 類型。這些 exploit 的範圍涵蓋硬體、軟體到人員層面。

1. 硬體

硬體 exploit 分為三種類型：

• 韌體攻擊： 利用硬體裝置韌體中的漏洞。
• 旁通道攻擊： Exploit 會取得系統實體特性的資訊，包括耗電量或電磁洩漏，以獲取敏感資料。
• 硬體木馬： Exploit 會對硬體元件引入惡意變更。

2. 軟體

Exploit 會利用系統中的漏洞來執行未經授權的程式碼或入侵系統。網路犯罪分子可能會根據其目標使用不同類型的 exploit：

• 緩衝區溢位： 緩衝區溢位（也稱為 buffer overrun）發生於緩衝區中的資料量超過其儲存限制時。多出的資料會溢出到鄰近的記憶體區域，覆寫或毀損其中的資訊。
• SQL 注入： SQL 注入以常見的 Web 駭侵方法聞名，可能透過網頁輸入將惡意程式碼插入 SQL 陳述式中，進而清除組織的資料庫。
• 零時差 exploit 利用尚未被發現且未修補的漏洞。

3. 網路

網路漏洞利用聚焦於網路組態或通訊協定中的弱點。它可導致未經授權的存取、資料攔截或服務中斷。

• 中間人攻擊（MitM）： 干擾並竄改雙方之間的通訊。
• 阻斷服務（DoS）： 使網路服務超載而無法使用。
• 封包嗅探： 擷取並分析網路封包。

4. 人員

人員漏洞利用會操弄人類心理，以取得機密資訊的存取權。

• 網路釣魚： 網路犯罪分子試圖欺騙個人，以取得密碼、使用者名稱和信用卡資訊等機密資料。
• 社交工程： 攻擊者廣泛使用的一種手法，用來操弄或影響個人，迫使或誘騙他們交出敏感資料。
• 內部威脅： 由公司某些成員實施的漏洞利用。

5. 實體場域

攻擊者進入放置伺服器和其他硬體裝置的實體區域，意圖竄改硬體並危害安全。

攻擊者進入實體場域的一些方式包括：

• 尾隨進入： 跟隨具有存取權的人，以進入未經授權的場所。
• 翻找垃圾： 從已丟棄的材料中取得重要資訊。
• 竄改實體裝置： 操弄實體裝置或安全通訊協定。

漏洞利用如何運作？

漏洞利用會利用系統中的缺陷或弱點來執行惡意行為。這些系統可能是軟體、硬體或網路，而攻擊者會透過惡意軟體和病毒傳遞這些漏洞利用。

以下是漏洞利用運作方式的分解說明：

1. 找出弱點： 攻擊者會嘗試找出目標系統中的弱點（如果有的話）。這可能透過廣泛研究、掃描，甚至在暗網上購買機密資訊來進行。
2. 建立漏洞利用： 攻擊者開始建立或取得可讓他們利用該弱點的程式碼。他們通常會使用逆向工程等方法，或修改現有程式碼。
3. 部署漏洞利用： 一旦程式碼準備就緒，攻擊者就會透過 網路釣魚 電子郵件或網路攻擊，將程式碼部署到目標系統。
4. 觸發漏洞利用： 在漏洞利用成功執行後，攻擊者會以前所未有的方式操弄系統，藉此觸發該弱點。
5. 取得控制權： 成功觸發漏洞利用後將執行酬載。這些酬載可能是惡意軟體，也可能是操弄系統的命令。在某些惡意軟體案例中，攻擊者可能會嘗試將漏洞利用擴散到鄰近系統。
6. 維持存取權： 攻擊者接著會嘗試透過不同方式維持其存取權，例如建立新的使用者帳戶或安裝後門以便快速存取。
7. 掩蓋痕跡： 接著，攻擊者會試圖清除所有漏洞利用痕跡，以免輕易被發現。

漏洞利用的歷史 

讓我們來探索漏洞利用的歷史。以下是它的起源與發展歷程：

早期的惡作劇（1970 年代–1980 年代）

駭客行為始於好奇，而非犯罪。1971 年，Bob Thomas 撰寫了一個名為 Creeper 的程式。它是第一個電腦蠕蟲。它會在 ARPANET 上的電腦之間移動，並顯示一則簡單訊息：「I'M THE CREEPER: CATCH ME IF YOU CAN.」它不會竊取金錢或刪除檔案。它只是想證明自己可以傳播。

另一個早期手法與電話有關。John Draper，人稱「Captain Crunch」，發現一個來自麥片盒的玩具哨子能發出欺騙電話網路所需的精確音調。透過吹出這個 2600 赫茲的音調，他可以免費撥打長途電話。這就是「phreaking」，也是現代軟體漏洞利用的前身。

網際網路失控（1988–1999）

1988 年的 Morris Worm 讓情況變得嚴重起來。Cornell 的學生 Robert Morris 撰寫了一個用來測量網際網路規模的程式。他在程式碼中犯了一個錯誤。這個蠕蟲不是只在電腦上安裝一次，而是安裝了許多次。它讓早期的網際網路幾乎陷入停滯，並造成了實際損害。這起事件讓所有人警醒。安全性不再是可有可無的選項。

1996 年，一位名為 Aleph One 的駭客改變了局勢。他發表了一篇名為 "Smashing the Stack for Fun and Profit" 的論文。他解釋了緩衝區溢位如何運作。如果你把太多水倒進杯子裡，水就會溢出。如果你把太多資料放進程式的記憶體緩衝區中，資料就會溢出並覆寫其他命令。攻擊者可以利用這種溢位來執行自己的程式碼。這篇論文教會了一整個世代的駭客如何撰寫 exploit。

蠕蟲時代（2000 年代）

新千禧年帶來了快速傳播的蠕蟲。2000 年的 ILOVEYOU 病毒欺騙了數百萬人。它以看似情書的電子郵件附件形式出現。當你開啟它時，它會將自己傳送給你所有的聯絡人。

在此期間，SQL Injection 也開始變得普遍。資料庫使用 SQL 來管理資料。駭客意識到，他們可以在網站登入欄位中輸入命令，而不是名稱。如果網站沒有檢查這些文字，資料庫就會執行駭客的命令。這讓他們能夠傾印使用者密碼並竊取信用卡號碼。

網路武器（2010 年至今）

exploit 最終演變成武器。2010 年，Stuxnet 被發現。它不只是竊取資料。它鎖定了伊朗核設施中的實體機器。該程式碼讓離心機轉速過快並損壞，同時告訴監控系統一切正常。這是第一個造成實體破壞的數位武器。

之後，在 2017 年，WannaCry 勒索軟體攻擊 使用了一種名為 EternalBlue 的 exploit。駭客從 NSA 竊取了這個工具。它使惡意軟體能夠透過網路自動傳播。它癱瘓了全球的醫院、銀行和航運公司，要求付款以解鎖檔案。這顯示政府等級的工具也可能流入野外，並被當作 exploit 使用。

為什麼會發生 Exploit？

Exploit 會因為多種原因而發生。然而，主要是在組織存在錯誤或不安全的系統、使用過時的系統或不當組態時發生。此外，也可以合理地認為，個人所犯的錯誤，例如遭到網路釣魚或未遵循安全最佳實務，也應納入考量。

Exploit 可能因各種各樣的原因而發生：以下說明其方式與原因：

1. 軟體中的弱點： 編碼錯誤或未修補的軟體可能導致遭到利用，因為這會讓系統暴露於網路攻擊之下。
2. 複雜系統： 雖然新世代軟體比傳統軟體更有優勢，但它們通常會與其他系統整合。這種組態不但沒有讓識別與修正大多數常見錯誤和缺陷變得更容易，反而在這方面帶來真正的挑戰。
3. 人為錯誤： 當然，對攻擊者而言，最方便的攻擊形式就是透過人員與系統的互動。他們能夠誘使人們交出個人與敏感資訊。此外，負責管理系統的人員也可能未能採取軟體保證措施，從而讓利用得以發生。
4. 缺乏安全措施： 例如 encryption 標準不佳或密碼保護薄弱等問題，可能導致系統遭到利用。此外，缺乏安全功能，包括未更新的軟體或應用程式，也會使系統容易受到其他網路攻擊。
5. 測試與審查不足： 這表示軟體測試與程式碼審查不足或執行不當，可能導致忽略系統設計中的缺陷與特殊性。

如何識別 Exploit 攻擊？

如果你仔細留意組織內外發生的事情，就可以識別 exploit 攻擊。以下是你應該關注的幾個領域，以及如何識別即將到來的 exploit 攻擊：

1. 異常的系統行為： 遭利用的系統會變慢；它往往會凍結或出現一些技術故障，以及更頻繁地出現廣告或彈出式視窗。
2. 監控網路： 會出現異常的網路流量模式、通訊流量增加，以及與不熟悉的 IP 位址互動。
3. 日誌分析： 系統與應用程式日誌中會出現奇怪的訊息或程式碼。
4. 行為分析： 系統的行為不自然，或者系統內部結構出現突然變化。使用者可能抱怨的情況包括無法登入其帳戶、收到奇怪的電子郵件，或遭到詐騙。
5. 未經授權的嘗試： 尋找入侵跡象，例如使用錯誤密碼進行多次登入失敗，或異常交易。
6. 未知檔案與活動： 如果 exploit 已被執行，那麼你可能會發現系統中除了作業系統安裝的檔案與程式之外，還有其他檔案與程式。有些檔案也可能在未經管理員許可的情況下被建立、修改與刪除，甚至遭到損毀。

如何防止 Exploit 攻擊並降低 Exploit 風險？

為了防止 exploit 攻擊並降低其風險，組織應遵循以下最佳實務：

• 定期更新軟體： 確保所有作業系統、軟體和應用程式都已更新，並在可能的情況下啟用自動更新。
• 軟體與網路安全： 當在網路中偵測到可疑活動時，請使用 firewalls 來篩選網路流量，並另外安裝有效的防毒／反惡意軟體應用程式以阻止此類活動。同樣地，選擇防火牆設計並啟用入侵偵測與防禦系統（IDPS），以及建立網路區段，也有助於阻止不必要的活動。
• 定期備份： 當你定期備份資料並確保其安全儲存時，就能在短時間內輕鬆取回資料。
• 弱點掃描： 如前所述，定期進行弱點評估，並在無法立即完成實際修補時套用虛擬修補。
• 端點防護： 透過禁止其他不需要及未知的軟體與程式執行來強化管控，並定期更新防毒與反惡意軟體程式。
• 資料加密： 保護重要資訊，並對金鑰管理系統採取嚴格措施。
• 使用者與安全訓練： 為提高使用者的資安意識，請為所有員工每年舉辦安全研討會，並例如進行釣魚電子郵件的模擬演練或攻擊。

Enhance Your Threat Intelligence

See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.

Learn More

什麼是 Exploit Kit？

Exploit Kits 是網路犯罪分子在受害者上網時，用來秘密且自動利用其電腦弱點的工具套件。這些套件會尋找軟體中的弱點、滲透系統，然後投放惡意軟體。

如今，exploit kits 是犯罪集團大量散布惡意軟體或遠端存取木馬程式時最常使用的方法之一，這也降低了攻擊者的門檻。

以下說明其運作方式：

1. 遭駭網站： 此程序始於遭入侵的網站。造訪此網站的訪客將被重新導向至由攻擊者控制的登陸頁面或網站。
2. 登陸頁面： 登陸頁面會使用程式碼分析訪客裝置，以找出瀏覽器型程式中如錯誤設定與過時軟體版本等弱點。
3. 執行 exploit： 如果在此程序中發現弱點，exploit kit 將自動在目標使用者裝置上執行惡意程式碼。
4. 傳遞 exploit： 一旦 exploit 成功，該套件就會投放如勒索軟體或惡意軟體等酬載。

常見的 Exploit 範例

在資訊安全的歷史中，有許多廣為人知的網路攻擊案例可供追溯。

1. Heartbleed： 此 exploit 發生於 2014 年，影響超過五十萬個網站，使其暴露於資料外洩。原因是什麼？OpenSSL 密碼學軟體函式庫中的重大威脅。不過，Bodo Moeller 與 Adam Langley（來自 Google）透過適當驗證傳入 Heartbeat 訊息長度等措施所撰寫的程式碼修補了此 exploit。
2. Shellshock：同年（2014 年），還發生了另一個事件，其造成的混亂可能比 Heartbleed 更大。在 Unix Bash shell 中發現了一個稱為 Shellshock 的嚴重安全漏洞。這個弱點讓使用者感到恐懼，因為這意味著駭客有機會在直接連接到網際網路的裝置上進行非法活動，例如 Web 伺服器、電腦和各種裝置。值得慶幸的是，隨著新修補程式的推出，該漏洞利用立即受到控制。之後，Unix 和 Linux 針對 Bash shell 發布了涵蓋此弱點的更新。
3. Petya/NotPetya： Petya 後來於 2017 年 6 月被稱為 NotPetya，是全球市場中最嚴重的網路攻擊之一。這起網路攻擊始於烏克蘭，並很快升級到連世界各地政府與其他機構都成為目標的程度；受影響的企業包括 FedEx、Maersk 和 Saint-Gobain。起初，人們認為它是勒索軟體，但後來發現該惡意軟體其實是 wiper malware。

在不同層面上，隨著 Microsoft 針對 EternalBlue 發布更新，此 exploit 已被消除；其他人則確保其網路中具備強固防護，以防止惡意軟體擴散，並從備份重建其系統。

結論

總而言之，希望你現在已清楚了解攻擊者在劫持你的系統並散布惡意內容之前所發生的一切。必須注意的是，為了避免自己成為受害者或落入這些安全威脅，你必須採取正確的安全措施。 SentinelOne 可協助你完成這段旅程，並保護你的整體基礎架構。請聯絡我們的團隊以取得更多資訊。

你可以透過學習 exploit 並了解其運作方式來防範它們。我們已經帶你逐步了解 exploit 在控制你的系統之前會經歷的不同階段。你已了解不同類型的 exploit、exploit 在網路安全中的運作方式，以及 exploit 與弱點利用之間的差異。你也知道什麼是 zero-day exploit，而我們甚至也涵蓋了 exploit 的定義與各種含義。