Как хакеры ломают софт на самом деле

Представьте, что вы написали идеальный код. Прогнали линтеры, покрыли всё тестами, даже провели аудит безопасности. А через неделю выясняется, что ваше приложение взломали, используя уязвимость, о которой не знал никто в мире — даже создатели языка программирования или операционной системы. Это и есть 0-day, «уязвимость нулевого дня».

Обычно такие вещи обсуждают в закрытых чатах или продают за миллионы долларов на теневых рынках. Но есть ребята из Google Project Zero, которые решили вытащить эти тайны на свет. Они ведут репозиторий 0days-in-the-wild, и это, пожалуй, самая отрезвляющая коллекция документов для любого, кто пишет код.

Зачем разработчику смотреть на чужие дыры

Когда мы читаем учебники по безопасности, нам подсовывают стерильные примеры: вот тут SQL-инъекция, тут XSS. В жизни всё сложнее и грязнее. Репозиторий 0days-in-the-wild — это не просто список багов. Это архив реальных случаев, когда хакеры уже «в поле» использовали неизвестные уязвимости против Chrome, Windows, iOS или Android.

Для нас с вами это возможность заглянуть в голову атакующего. Вместо того чтобы гадать, как могут взломать ваш сервис, вы видите конкретные цепочки эксплойтов. Это помогает понять, какие архитектурные решения на самом деле защищают, а какие — создают иллюзию безопасности.

Что внутри этого хранилища

Проект представляет собой базу данных всех обнаруженных 0-day уязвимостей, начиная с 2014 года. Но самое ценное здесь — Root Cause Analysis (RCA). Это подробные разборы первопричин каждой дыры.

В репозитории вы найдете:

Таблицу со всеми зафиксированными атаками.
Технические отчеты, где по полочкам разложено: какой компонент подвел, какой кусок кода был уязвим и как именно его эксплуатировали.
Ссылки на патчи, которыми эти дыры закрывали.

Интересно, что Google Project Zero не ограничивается только своими продуктами. Они анализируют всё, что попадает в их поле зрения. Если завтра найдут 0-day в ядре Linux или в Safari, скорее всего, детальный разбор появится именно здесь.

Чему учат эти отчеты

Я часто замечаю, что разработчики полагаются на «безопасные» абстракции. Читая RCA из этого репозитория, быстро понимаешь: ломается всё.

Например, можно увидеть, как ошибки управления памятью в C++ до сих пор остаются главным бичом системного софта. Или как логические ошибки в реализации сложных протоколов позволяют обходить песочницы браузеров.

Один из отчетов показывает, как злоумышленники использовали цепочку из нескольких «незначительных» багов, чтобы получить полный контроль над устройством. По отдельности эти ошибки могли бы висеть в бэклоге месяцами с низким приоритетом. Вместе они стали оружием.

Как использовать этот репозиторий на практике

Не обязательно быть экспертом по кибербезопасности, чтобы извлечь пользу из этого проекта. Вот пара идей, как применить эти знания:

Проведите «работу над чужими ошибками» на техлиде или внутреннем митапе. Возьмите один разбор (RCA) по вашему стеку и разберите его с командой. Спросите: «А у нас такое возможно?».
Используйте данные для аргументации рефакторинга. Если вы давно хотите переписать опасный кусок кода или обновить старую библиотеку, примеры реальных взломов из этой базы — отличный аргумент для бизнеса.
Изучайте паттерны. Вы заметите, что многие 0-day эксплуатируют одни и те же типы ошибок в разных продуктах. Это помогает выработать «чуйку» на опасные места при код-ревью.

Стоит ли туда заглядывать

Если вы занимаетесь веб-разработкой на высокоуровневых языках вроде Python или Go, многие отчеты покажутся вам слишком низкоуровневыми — там много про указатели, кучу (heap) и регистры процессора. Однако понимание того, как работают эксплойты на уровне ОС, меняет подход к проектированию систем в целом.

Репозиторий обновляется довольно часто. Это живой документ, который показывает, что гонка вооружений между разработчиками и хакерами не прекращается ни на минуту.

Кому точно стоит добавить это в закладки:

Системным программистам и тем, кто пишет на C/C++/Rust.
Разработчикам мобильных приложений.
Архитекторам, которые проектируют высоконагруженные и критически важные системы.
Всем, кто хочет понимать, как на самом деле выглядит современная киберпреступность, а не смотреть на зеленые строчки кода в кино.

Зайти и изучить базу можно прямо на GitHub Pages проекта, там навигация по таблице чуть удобнее, чем в сырых файлах репозитория. Скучно точно не будет, а вот паранойи после прочтения может прибавиться. Но в нашей профессии это иногда даже полезно.