To środek uruchomienia słabości, a nie sama słabość. Exploit może być kontrolowanym dowodem koncepcji (proof of concept), narzędziem oceny lub częścią złośliwej aktywności.
Skuteczne wykorzystanie zależy od kontekstu. Wersja, konfiguracja, osiągalność, uprawnienia, interakcja użytkownika, środki łagodzące i niezawodność wpływają na rezultat. Exploit może zademonstrować awarię, ujawnienie informacji, obejście uwierzytelniania, wykonanie kodu lub inny skutek; nie zawsze instaluje złośliwe oprogramowanie ani zapewnia trwały dostęp.
Najważniejsze punkty
FormyExploity mogą być oprogramowaniem, spreparowanymi danymi wejściowymi, wymianami protokołu, złośliwymi dokumentami lub działaniami wieloetapowymi. Jeden exploit może łączyć kilka słabości.
DowodyTraktuj publiczny kod, demonstracje, wyniki skanera, raporty o zagrożeniach i zaobserwowane wykorzystanie jako różne typy dowodów. Rejestruj pochodzenie, dotknięte warunki i to, jaki rezultat faktycznie zweryfikowano.
Użycie obronneAutoryzowani testerzy mogą używać kontrolowanych exploitów do walidacji ekspozycji i wpływu w ramach zasad zaangażowania. Testowanie produkcyjne wymaga jawnego właścicielstwa, kontroli bezpieczeństwa, warunków przerwania i postępowania z dowodami.
Istotne ograniczenieIstnienie kodu exploita nie potwierdza, że każdy nominalnie dotknięty system jest osiągalny lub wykorzystywalny. Brak publicznego kodu exploita nie potwierdza bezpieczeństwa, a nieudane próby nie dowodzą, że słabość jest nieszkodliwa.