मनमाना कोड निष्पादन

"Remote code execution" redirects here. For the science fiction novel, see RCE - Remote Code Execution.

कंप्यूटर सुरक्षा में, मनमाना कोड निष्पादन (एसीई) एक हमलावर की लक्ष्य मशीन पर या लक्ष्य प्रक्रिया (कंप्यूटिंग) में हमलावर की पसंद के किसी भी आदेश या कोड को चलाने की क्षमता है। एक मनमाना कोड निष्पादन भेद्यता (कंप्यूटिंग) सॉफ़्टवेयर या हार्डवेयर में एक सुरक्षा दोष है जो मनमाना कोड निष्पादन की अनुमति देता है। एक प्रोग्राम जिसे ऐसी भेद्यता का फायदा उठाने के लिए डिज़ाइन किया गया है, उसे मनमाना कोड निष्पादन एक्सप्लॉइट (कंप्यूटर सुरक्षा) कहा जाता है। किसी नेटवर्क (विशेष रूप से इंटरनेट जैसे विस्तृत क्षेत्र नेटवर्क के माध्यम से) पर मनमाने कोड निष्पादन को ट्रिगर करने की क्षमता को अक्सर रिमोट कोड निष्पादन (आरसीई) के रूप में जाना जाता है।

भेद्यता प्रकार

भेद्यता के कई वर्ग हैं जो हमलावर की मनमाने आदेशों या कोड को निष्पादित करने की क्षमता को जन्म दे सकते हैं। उदाहरण के लिए:

• मेमोरी सुरक्षा कमजोरियाँ जैसे बफ़र अधिकता या बफ़र ओवर-रीड|ओवर-रीड।
• डिसेरिएलाइज़ेशन कमजोरियाँ
• भ्रम की कमजोरियाँ टाइप करें
• जीएनयू एलडीडी मनमाना कोड निष्पादन

तरीके

मनमाना कोड निष्पादन आमतौर पर किसी चल रही प्रक्रिया (कंप्यूटिंग) के निर्देश सूचक (जैसे जंप या शाखा (कंप्यूटर विज्ञान)) पर नियंत्रण के माध्यम से प्राप्त किया जाता है। निर्देश सूचक उस प्रक्रिया में अगले निर्देश की ओर इशारा करता है जिसे निष्पादित किया जाएगा। इसलिए निर्देश सूचक के मूल्य पर नियंत्रण इस बात पर नियंत्रण देता है कि आगे कौन सा निर्देश निष्पादित किया जाएगा। मनमाने कोड को निष्पादित करने के लिए, कई लोग प्रक्रिया में कोड इंजेक्शन का उपयोग करते हैं (उदाहरण के लिए इसमें इनपुट भेजकर जो रैंडम एक्सेस मेमोरी में डेटा बफ़र में संग्रहीत हो जाता है) और इसे इंगित करने के लिए निर्देश सूचक को बदलने के लिए एक भेद्यता का उपयोग करते हैं। इंजेक्ट किया गया कोड. इसके बाद इंजेक्ट किया गया कोड स्वचालित रूप से निष्पादित हो जाएगा। इस प्रकार का हमला इस तथ्य का फायदा उठाता है कि अधिकांश कंप्यूटर (जो वॉन न्यूमैन वास्तुकला का उपयोग करते हैं) संग्रहित प्रोग्राम कंप्यूटर के बीच सामान्य अंतर नहीं करते हैं, ताकि दुर्भावनापूर्ण कोड को हानिरहित इनपुट डेटा के रूप में छुपाया जा सके। कई नए सीपीयू में इसे कठिन बनाने के लिए तंत्र हैं, जैसे नो-एक्ज़ीक्यूट बिट।

विशेषाधिकार वृद्धि के साथ संयोजन

Main article: Privilege escalation

अपने आप में, एक मनमाना कोड निष्पादन शोषण हमलावर को लक्ष्य प्रक्रिया के समान विशेषाधिकार (कंप्यूटिंग) देगा जो असुरक्षित है। उदाहरण के लिए, यदि किसी वेब ब्राउज़र में किसी दोष का फायदा उठाया जाए, तो एक हमलावर उपयोगकर्ता के रूप में कार्य कर सकता है, व्यक्तिगत कंप्यूटर फ़ाइलों को संशोधित करने या बैंकिंग जानकारी तक पहुंचने जैसे कार्य कर सकता है, लेकिन सिस्टम-स्तरीय कार्य करने में सक्षम नहीं होगा (जब तक कि संबंधित उपयोगकर्ता न हो) भी वह पहुंच थी)।

इसके आसपास काम करने के लिए, एक बार जब कोई हमलावर किसी लक्ष्य पर मनमाना कोड निष्पादित कर सकता है, तो अतिरिक्त नियंत्रण हासिल करने के लिए अक्सर विशेषाधिकार वृद्धि का प्रयास किया जाता है। इसमें स्वयं कर्नेल (ऑपरेटिंग सिस्टम) या व्यवस्थापक, सिस्टम या रूट जैसे खाते शामिल हो सकते हैं। इस उन्नत नियंत्रण के साथ या इसके बिना, कारनामे में गंभीर क्षति करने या कंप्यूटर को ज़ोंबी (कंप्यूटिंग) में बदलने की क्षमता होती है - लेकिन विशेषाधिकार वृद्धि सिस्टम के वैध प्रशासक से हमले को छिपाने में मदद करती है।

उदाहरण

रेट्रोगेमिंग के शौकीनों ने क्लासिक वीडियो गेम में कमजोरियों को खोजने में कामयाबी हासिल की है जो उन्हें मनमाना कोड निष्पादित करने की अनुमति देती है, आमतौर पर [[टूल-असिस्टेड तेज़ दौड़ना]] | टूल-असिस्टेड सुपरप्ले में बटन इनपुट के सटीक अनुक्रम का उपयोग करके बफर ओवरफ्लो का कारण बनता है, जिससे उन्हें संरक्षित करने की अनुमति मिलती है। याद। खेल शीघ्रता से संपन्न हुए में, तेज गति से दौड़ने वाले उत्साही लोगों का एक समूह सुपर मारियो वर्ल्ड की एक प्रति में पांग और स्नेक (वीडियो गेम शैली) गेम के संस्करणों को कोड करने और चलाने में कामयाब रहा। रैंडम-एक्सेस मेमोरी में मनमाना कोड लिखने के लिए बफर ओवरफ़्लो का उपयोग करके।

12 जून, 2018 को, mozilla के सुरक्षा शोधकर्ता जीन-यवेस एवेनार्ड ने विंडोज 10 में एसीई भेद्यता की खोज की। 1 मई, 2018 को, एक सुरक्षा शोधकर्ता ने 7-ज़िप फ़ाइल संग्रहकर्ता में ACE भेद्यता की खोज की। PHP कई ACE कमजोरियों का विषय रहा है। 9 दिसंबर, 2021 को, लोकप्रिय लॉगिंग (कंप्यूटिंग) फ्रेमवर्क Log4j में Log4Shell नामक एक RCE भेद्यता की खोज की गई, जिसने iCloud, Minecraft: Java संस्करण और Steam (सेवा) सहित कई सेवाओं को प्रभावित किया, और इसे सबसे बड़ी, सबसे महत्वपूर्ण भेद्यता के रूप में जाना गया। पिछला दशक ।

यह भी देखें

• नीला रखें
• फ़ोलिना (सुरक्षा भेद्यता)