Vulnerabilidades e exploits : técnicas, detecção e prevenção

Abstract

A importância do software em nossa sociedade aumenta a cada dia. Entretanto, ele ainda sofre com vários problemas de segurança - a maioria deles relacionados ao seu desenvolvimento. Para auxiliar os desenvolvedores no entendimento dessa matéria, esse trabalho trata de pontos chave na segurança do software: vulnerabilidades e exploits. Dois temas principais relacionados a vulnerabilidades são apresentados: métodos de classificação e detecção através da técnica fuzzing. Ambos objetivando fornecer ao leitor conceitos básicos para o alcance de um desenvolvimento mais seguro e consciente do software. Dado o enorme valor da técnica fuzzing na descoberta de vulnerabilidades, ela é proposta como nova ferramenta aos desenvolvedores para que eles a apliquem antes dos atacantes. Considerando que o conhecimento de técnicas de exploits é indispensável na busca por software mais seguro, esse trabalho também tenta oferecer ao leitor uma visão a partir da perspectiva dos atacantes. Para isso, uma visão geral dos exploits é apresentada. Após uma ideia mais ampla nos métodos dos atacantes, um deles é detalhado: o NULL pointer exploit.

Software becomes more important in our society everyday . However, it still suffers from many security problems - most of them related to its development. To help developers in understanding the subject, this paper addresses key points in software security: vulnerabilities and exploits. Two main issues related to vulnerabilities are presented: classification methods and detection through fuzzing technique. Both aim at offering the reader basic concepts to achieve safer and more conscious software development. Given the great value of fuzzing technique in vulnerabilities discovery, it is proposed as a new tool to developers so that they can apply it before the attackers. Considering the knowledge of exploit techniques indispensable in the pursuit of building safer software, this paper also tries to offer a view from the attackers perspective. To achieve it, an overview of exploits is presented. After giving a broad idea on the attackers methods, one of them is detailed: the NULL pointer exploit.