エクスプロイトコードとは？

エクスプロイトコードの意味

特定の脆弱性を突いて意図しない動作を引き起こすプログラム。攻撃に使われる一方、脆弱性が実際に悪用可能かを検証する目的でも作成・公開される。

エクスプロイトコードの具体例

CVSS 9.8の脆弱性が公表された数日後、実証コードが公開リポジトリへ掲載された。実証コードの存在は悪用の急増を意味するため、社内の適用期限を「重大は30日以内」から「実証コード公開後72時間以内」へ引き上げる基準を定めた。

エクスプロイトコードは試験でどう引っ掛けられる？

PoC（実証コード）と実運用の攻撃コードは目的が違い、PoCは「悪用可能であること」を示すだけで完全な侵害には至らないことが多い。またCVSSの基本評価基準は実証コードの有無を反映しない（反映するのは現状評価基準のE：攻撃コード成熟度）ため、「基本値が変わっていないから緊急度も同じ」という判断は誤り。

エクスプロイトコードと関連する用語

• Exploit Kit
• ペネトレーションテスト
• CVSS

エクスプロイトコードが出た過去問

• エクスプロイトコードの説明はどれか。

  正解：攻撃コードとも呼ばれ、ソフトウェアの脆弱性を悪用するコードのことであり、使い方によっては脆弱性の検証に役立つこともある。

  要点：エクスプロイトコードは脆弱性を突く攻撃・実証コード

  エクスプロイトコードは、ソフトウェアの脆弱性を突いて意図しない動作を起こさせる実証用・攻撃用のコードである。攻撃に使われる一方で、脆弱性が本当に悪用可能かを検証したり対策の効果を確かめたりする目的にも用いられる。よってアが正しい。

  出典：令和2年度 10月 データベーススペシャリスト試験 am2 問19（IPA）

• 情報セキュリティにおけるエクスプロイトコードに該当するものはどれか。

  正解：ソフトウェアやハードウェアの脆弱性を検査又は攻撃するために作成されたプログラム

  要点：エクスプロイトコードは脆弱性を突く検査・攻撃用プログラム

  エクスプロイトコードは、ソフトウェアやハードウェアの脆弱性を突いて意図しない動作を起こさせるために作られたプログラムである。攻撃に使われる一方で、脆弱性が実際に悪用可能かを検査する目的でも用いられる。よってエが該当する。

  出典：令和5年度 秋期 データベーススペシャリスト試験 am2 問21（IPA）