Um exploit explora uma vulnerabilidade. A vulnerabilidade é a falha. O exploit é a ferramenta ou técnica que a utiliza. Um buffer overflow num servidor web é uma vulnerabilidade. Um pedido HTTP manipulado que aciona o overflow é o exploit. Os exploits variam desde algumas linhas de código Python até cadeias complexas que contornam múltiplas defesas. Alguns são vendidos em mercados clandestinos por milhões. Outros são publicados gratuitamente após o fornecedor corrigir a falha.

As explorações visam software, hardware e pessoas. As explorações de software são as mais comuns. Atingem sistemas sem patches, serviços mal configurados e vulnerabilidades zero-day desconhecidas. As explorações de hardware visam firmware e microprocessadores, como o Spectre e o Meltdown. As explorações sociais manipulam as pessoas para obter acesso. O ciclo de vida de uma exploração começa com a descoberta, passa pela sua utilização como arma e termina quando o fornecedor lança o patch. O período entre a descoberta e o lançamento do patch é perigoso. Os atacantes apressam-se a explorar a vulnerabilidade antes que os defensores possam atualizar os seus sistemas. As vulnerabilidades zero-day são as mais valiosas porque os defensores não têm qualquer aviso prévio. A maioria das violações não utiliza vulnerabilidades zero-day. Exploram vulnerabilidades conhecidas que nunca foram corrigidas. O exploit esteve disponível durante meses. Ninguém aplicou a correção.

Categorias de exploração

• Remoto — funciona através de uma rede sem interação do utilizador.
• Local — requer acesso à máquina de destino
• Lado do cliente — direcionado para browsers, clientes de e-mail e documentos.
• Zero-day — explora uma vulnerabilidade sem qualquer correção disponível.

Aplicar pensos é aborrecido. Mas é também a defesa mais eficaz contra exploits. A maioria dos atacantes utiliza o que já funciona.