読み方は「エクスプロイトコード」である。

「エクスプロイトコード」に関して過去問(H30SC春午前Ⅱ問4)では、「攻撃コードとも呼ばれ,脆弱性を悪用するソフトウェアのコードのことであるが,使い方によっては脆弱性の検証に役立つこともある」と述べられています。

Exploitという言葉の解釈は、多少分かれる。しかし、Exploitコードと、「コード」をつけた場合は、ハッキングツールと考えればいい。コードという言葉がついているように、攻撃するためのプログラム(スクリプト)だ。
たとえば、Land攻撃を行うためのExploitコードがland.cであり、広く公開された。
dcf52feb

じゃあ、
Exploitコード=ハッキングツール
と考えていいですか?


ちまたによく出回っているハッキングツールは、いろいろな攻撃ができたり、対象が限定されないものだ。一方、Exploitコードは、特定の脆弱性に対するスクリプトなので、若干ニュアンスが違う。
過去問を見てみよう。
この問題では、「Web販売システムで使用中のWebサーバプログラムに脆弱性が発見されたとの情報が提供された。このWebサーバプログラムの脆弱性情報を図3に示す」として、以下の情報が記載されている。
・HTTP POSTメソッドにおいて,HTTPヘッダ内にRFCで定義されていない“X-Sender"というヘッダフィールドを指定することで,任意のOS コマンドを実行させることが可能である。その際,  OSコマンドはWebサーバプログラムの動作権限で実行される。
・そのほかのメソッドでは,この脆弱性は報告されていない。
・Exploitコードが公開されている。 (H21SC春午後1問2)
929c854c
これは分かりやすいです。
Webサーバに脆弱性があり、それを攻撃する手法というかツールがExploitコードとして公開されているんですね。
脆弱性だけでなく攻撃手法まで公開されているのだから、危険です!


その通り。この問題は以下の設問がある。
設問1 〔脆弱性の評価〕について答えよ。
(2)Q課長が,攻撃が実際に行われる可能性が高いと考えた根拠は何か。25字以内で述べよ。
答えは何ともシンプルで、以下である。
「・攻撃手法が公開されている。」
「・Exploitコードを基にした攻撃が予想される。」
sef4
このExploitコードがサーバやPCに埋め込まれたら、ウイルスソフトで検知しないのですか?
検知するものも当然あるが、検知できないものが多いだろう。