web-dev-qa-db-ja.com

vuldb.comの「エクスプロイト価格」とはどういう意味ですか?

私は vuldb.com をチェックしており、ボックスの1つに次のように記載されています。

今月のエクスプロイト価格が最も高い上位の脆弱性。評価は1日に複数回行われます。

see quote above...

「現在のエクスプロイト価格」とはどういう意味ですか?

「闇市場」では、脆弱性がそのコストにつながる可能性があるということだと思いますよね?もしそうなら、彼らはそれをどのように測定しますか?

詳細はこちら: https://vuldb.com/?exploits.2016

8
lepe

はい、それはエクスプロイト市場でそのようなエクスプロイトがその範囲の何かのために売買されることができることを意味します(例えば$ 25k- $ 50k)。そのウェブサイトは闇市場について具体的に話していません:

エクスプロイト市場構造の継続的な観察は、現在の価格を収集するのに役立ちます。

しかし、脆弱性をバグ報奨金に報告しない場合、見つけられる市場はある程度grayですが、明確ではありませんblack、エクスプロイトをサードパーティに販売する合法性は疑わしいため。

この分野でよく知られている会社、Zerodiumは、さまざまな種類のエクスプロイトの支払い範囲を公開しています: https://zerodium.com/program.html 。このトピックには 有名な2012 Forbesの記事 もあります。

価格に関するより正確な情報を見つけるために、vuldb.comが闇市場のWebサイトをクロールする可能性も高くなります。ただし、3文字または4文字の代理店市場(つまり、 NSA などの世界中の諜報機関)など、簡単に見つけることができない市場領域がおそらくあります。これらの地域の価格は、「標準的な」闇市場の典型的な価格よりもはるかに高いと推測されています。

13
A. Darwin

まさにそれがどのように聞こえるか-それはこの種のエクスプロイトの推定価格です。通常、ゼロデイエクスプロイト(パッチを適用せず、購入者に限定するなど)ですが、常にそうとは限りません(パッチが適用されたバグの小さな市場があり、ターゲットが適時にパッチを適用しないことがわかっています)。

エクスプロイトを販売するさまざまな「闇市場」サイトがあるため、定期的に最新の価格を探してこれらをクロールするのは比較的簡単です。すべてのエクスプロイトがこのように販売されているわけではありません。少なくともハッキングされるまで、注文するエクスプロイトを開発している会社の例については、HackingTeamのメールをご覧ください。

2
Matthew