Exploit (Mã khai thác) là gì?
Exploit là đoạn mã, script, dữ liệu hoặc chuỗi lệnh được thiết kế để khai thác một lỗ hổng (vulnerability) trong phần mềm, hệ điều hành, ứng dụng hoặc giao thức mạng. Mục đích: thực thi mã tùy ý, leo thang đặc quyền, đánh cắp dữ liệu, cài malware, hoặc gây từ chối dịch vụ (DoS).
Ví dụ đơn giản: Một hacker gửi gói tin đặc biệt đến server web khai thác lỗ hổng buffer overflow → server thực thi mã shell của hacker → hacker chiếm quyền điều khiển server.
Phân loại Exploit
| Loại | Đặc điểm |
|---|---|
| Remote Exploit (Từ xa) | Khai thác qua mạng mà không cần truy cập trước hệ thống mục tiêu. Nguy hiểm nhất. |
| Local Exploit (Cục bộ) | Yêu cầu đã có quyền truy cập cục bộ (user thường) → leo thang lên root/admin. |
| Client-side Exploit | Khai thác qua ứng dụng client (trình duyệt, Office, PDF reader...) khi user mở file/web độc hại. |
| Zero-day Exploit | Khai thác lỗ hổng chưa được công bố/modun vá. Giá trị cực cao trên thị trường đen. |
| Known Exploit (Đã biết) | Lỗ hổng đã có CVE, đã có bản vá. Vẫn nguy hiểm đối với hệ thống chưa cập nhật. |
Exploit vs Vulnerability vs Attack - Phân biệt rõ ràng
- Vulnerability (Lỗ hổng): Khuyết tật trong code/cấu hình (ví dụ: CVE-2021-44228 - Log4Shell).
- Exploit (Mã khai thác): Công cụ/mã tận dụng lỗ hổng đó để tấn công.
- Attack (Tấn công): Hành động sử dụng exploit để xâm hại hệ thống.
Mối quan hệ: Vulnerability → (có Exploit) → Attack thành công.
Exploit có phải Virus/Malware không?
KHÔNG. Exploit là phương tiện/đường dẫn để cài đặt Malware. Malware (virus, ransomware, spyware...) là mã độc thực sự gây hại. Exploit mở cửa, Malware bước vào.
Ví dụ Exploit nổi tiếng
- EternalBlue (CVE-2017-0144): Exploit SMBv1 của NSA, rò rỉ bởi Shadow Brokers → dùng trong WannaCry, NotPetya.
- Log4Shell (CVE-2021-44228): RCE trong thư viện Log4j Java, ảnh hưởng hàng triệu server.
- BlueKeep (CVE-2019-0708): RCE trong RDP Windows, wormable.
- PrintNightmare (CVE-2021-34527): Lỗ hổng Windows Print Spooler.
Exploit Kit (Bộ công cụ khai thác)
Gói phần mềm tự động hóa quá trình khai thác: giao diện quản trị, nhiều exploit cho các lỗ hổng khác nhau (Flash, IE, Java, Office...), plugin nạp payload. Dùng để lan truyền malware quy mô lớn (Angler, Rig, Magnitude...).
Phòng chống Exploit hiệu quả
- Vá lỗ hổng kịp thời (Patch Management): Ưu tiên Critical/High CVSS, tự động hóa WSUS/SCCM/Intune.
- EDR/XDR: Phát hiện hành vi khai thác (exploit behavior) chứ không chỉ signature.
- Application Control / Whitelisting: Chỉ cho phép chạy ứng dụng được duyệt.
- Disable macros, Java, Flash, ActiveX không cần thiết.
- Network Segmentation: Giới hạn lan truyền ngang (lateral movement).
- Web Application Firewall (WAF): Chặn exploit ứng dụng web (SQLi, XSS, RCE...).
- Threat Intelligence: Theo dõi IOC, CVE mới, exploit đang hoạt động (Wild).
Attack Vector vs Exploit vs Vulnerability
- Attack Vector: Đường dẫn tấn công (Email, Web, USB, Network, Supply Chain...).
- Vulnerability: Lỗ hổng trong code/config.
- Exploit: Mã tận dụng lỗ hổng qua vector đó.