Exploit.

Ein Exploit ist die praktische Umsetzung einer Schwachstelle – das Rezept, das aus einem theoretischen Bug einen funktionierenden Angriff macht. Er kann ein kurzes Skript, ein präpariertes Dokument, ein speziell konstruiertes Netzwerkpaket oder eine komplexe mehrstufige Kette sein.

Aufbau und Klassifikation

Exploits werden nach Zweck (Remote Code Execution, lokale Privilegieneskalation, Denial of Service, Info-Leak), nach Ziel (Kernel, Browser, IoT-Firmware, Webanwendung) und nach Reife (Proof of Concept, funktional, weaponized, in the wild) klassifiziert. Ein Speicherkorruptions-Exploit kombiniert typischerweise eine Primitive, die den Kontrollfluss kapert, mit einer Nutzlast – oft Shellcode oder eine aus vorhandenem Code zusammengesetzte ROP-Kette (Return-Oriented Programming). Da zuverlässige Ausnutzung mit einem einzigen Bug auf gehärteten Zielen heute selten ist, bauen Angreifer Exploit-Ketten: etwa ein Bug im Browser-Renderer, der Speicher leakt, um ASLR zu besiegen, gefolgt von einem Sandbox-Ausbruch und einer Kernel-Privilegieneskalation.

Reale Beispiele

EternalBlue (CVE-2017-0144) nutzte eine SMBv1-Lücke und trieb 2017 die WannaCry- und NotPetya-Ausbrüche an. Log4Shell (CVE-2021-44228, CVSS 10.0), im Dezember 2021 offengelegt, erlaubte einem nicht authentifizierten Angreifer Remote Code Execution allein dadurch, dass eine verwundbare Log4j-Instanz eine vom Angreifer kontrollierte ${jndi:...}-Zeichenfolge protokollierte – einer der am weitesten ausgenutzten Bugs überhaupt.

Mitigationen und defensiver Nutzen

Exploit-Mitigationen – DEP/NX, ASLR, Stack-Canaries, CFG/CET und Pointer Authentication – erhöhen die Kosten, einen Bug in Codeausführung zu verwandeln. Verteidiger analysieren öffentliche Exploits und Datenbanken wie Exploit-DB und Metasploit, um Patches zu validieren, Angriffe per Pentest zu simulieren, Detektionssignaturen zu schreiben und Behebungen zu priorisieren (der KEV-Katalog der CISA markiert, was aktiv ausgenutzt wird).

flowchart LR
  A[Schwachstelle<br/>z. B. Buffer Overflow] --> B[Auslöser<br/>präparierte Eingabe]
  B --> C[Kontroll-Primitive<br/>Rücksprungadresse / Zeiger überschreiben]
  C --> D[Mitigationen besiegen<br/>Info-Leak schlägt ASLR]
  D --> E[Nutzlast ausführen<br/>Shellcode / ROP-Kette]
  E --> F[Ziel<br/>RCE · Eskalation · Datendiebstahl]
  D -.->|nächste Stufe| G[Sandbox-Ausbruch /<br/>Kernel-Exploit]
  G --> F