Local exploit — hujumchi target tizimda avvaldan kod bajarish, shell yoki cheklangan account imkoniga ega bo‘lgan holda vulnerability’dan foydalanadigan usuldir. U ko‘pincha privilege escalation, sandbox escape, boshqa user ma’lumotiga kirish yoki kernel darajasida nazorat olish uchun ishlatiladi. “Local” xavfsiz degani emas: shared server, desktop va container hostda uning ta’siri katta bo‘lishi mumkin.
Dastlabki kirish
Local exploit odatda boshlang‘ich foothold talab qiladi. Bu qonuniy low-privilege account, zararli document orqali bajarilgan process, web application useri yoki container ichidagi shell bo‘lishi mumkin. Attacker keyingi bosqichda system konfiguratsiyasi, kernel version, permission va available service’larni enumeratsiya qiladi.
Multi-user tizimda mahalliy user boshqa account yoki root huquqiga o‘tishga urinadi. Mobil va browser sandboxida compromised process boshqa application data yoki OS resource’iga chiqishni maqsad qiladi. Container escape container rootini host rootiga tenglashtirishga urinishi mumkin.
Zaiflik turlari
Setuid dasturdagi command injection, noto‘g‘ri file permission, writable service configuration va insecure search path privilege escalationga olib keladi. Kernel use-after-free yoki out-of-bounds write ring 0’da code execution berishi mumkin. Race condition attackerga tekshiruv bilan foydalanish orasida symlink yoki faylni almashtirish imkonini beradi.
Credential file, socket yoki IPC endpointga ortiqcha ruxsat ham local attack surface’dir. Exploit har doim memory corruption emas; service account tokenini o‘qish yoki administrator ishga tushiradigan scriptni o‘zgartirish yetarli bo‘lishi mumkin.
Himoya qatlamlari
Patch va secure permission asosiy choradir. Least privilege user hamda service’larni alohida accountda ishlatadi. Mandatory access control, sandbox va namespace compromised process ko‘ra oladigan resursni cheklaydi. Kernel hardening, ASLR, stack protector va control-flow integrity memory exploit reliabilityni kamaytiradi.
Writable directory privileged process search pathiga kirmaydi. Temporary file xavfsiz API bilan unique yaratiladi va symlink kuzatilmaydi. Privilege ko‘tarishdan oldin environment variable, working directory va file descriptorlar sanitization qilinadi. Administrator tool inputni untrusted user yaratgan fayldan olsa format qat’iy tekshiriladi.
Tahlil va incident
Local PoC izolyatsiyalangan, mos kernel va snapshotli labda sinovdan o‘tadi. Exploit code ko‘pincha architecture, mitigations va race timingga bog‘liq. Crash bo‘lmasligi zaiflik yo‘qligini isbotlamaydi. Source va patch tahlili qaysi privilege boundary buzilganini ko‘rsatadi.
Monitoring unusual privilege change, setuid execution, sensitive file access, module load va security policy denial’larini korrelyatsiya qiladi. Local exploitation aniqlansa initial access ham qidiriladi; faqat escalated processni o‘chirish attacker kirgan yo‘lni yopmaydi. Host trusted image’dan tiklanib, token va credentiallar rotatsiya qilinadi.
Patch rollout
Kernel yoki privileged service patchi ko‘pincha reboot talab qiladi. Fleet maintenance window, workload drain va redundancy asosida bosqichma-bosqich yangilanadi. Package o‘rnatilgani bilan eski kernel memoryda ishlashda davom etishi mumkin; running version alohida tekshiriladi. Live patch ayrim xatolarni rebootsiz yopadi, ammo barcha data structure yoki semantic o‘zgarishni qoplay olmaydi. Exploit prevention holati boot ID va loaded module bilan inventoryga qaytariladi. Patchlab bo‘lmaydigan endpoint vaqtincha privilege’siz ishlash, feature’ni o‘chirish yoki hostdan ajratish bilan cheklanadi. Local user mavjudligi sabab “firewall ortida” yetarli mitigation emas.
Bog‘liq tushunchalar
Privilege escalation, Kernel exploit, Sandbox escape, Container escape, Setuid, Race condition, Least privilege