Estuve marcando vuldb.com , y se indican en una de las casillas:
Top vulnerabilidades con el precio de explotación actual más alto del mes actual. La evaluación se realiza varias veces al día.
¿Quéquierendecircon"precio de explotación actual"?
Creo que significa que en el "mercado negro" esa vulnerabilidad podría costar alrededor de eso, ¿verdad? Si es así, ¿cómo lo miden?
Más información aquí: enlace
Sí, significa que en el mercado de exploits ese tipo de exploit puede venderse y comprarse por algo en ese rango (por ejemplo, $ 25k- $ 50k). Ese sitio web no habla específicamente del mercado negro:
La observación en curso de la estructura del mercado de exploits ayuda a recolectar los precios actuales.
pero, si no informa las vulnerabilidades a las recompensas de fallos, el mercado que encontrará es un tanto gris , si no definitivamente negro , como la legalidad de la venta Las hazañas a un tercero son dudosas.
Una empresa muy conocida en este sector, Zerodium, ha publicado sus rangos de pago para diferentes tipos de explotaciones: enlace . También hay un famoso artículo de Forbes 2012 sobre el tema.
También es muy probable que vuldb.com rastree sitios web del mercado negro para encontrar información más precisa sobre los precios. Sin embargo, probablemente existen áreas de mercado que no se pueden encontrar fácilmente, como el mercado de agencias de tres / cuatro letras (es decir, agencias de inteligencia mundiales, como la NSA ). Se ha especulado que los precios en esas áreas son mucho más altos que los típicos del mercado negro "estándar".
Exactamente como suena: es el precio estimado para una explotación de este tipo. En general, un exploit de día cero (por ejemplo, sin parchear, e idealmente exclusivo para el comprador), pero no siempre (todavía hay un pequeño mercado para los parches, donde se sabe que el objetivo no se corrige de manera oportuna).
Hay varios sitios del "mercado negro" que ofrecen exploits para la venta, por lo que sería relativamente fácil rastrearlos en busca de los precios más recientes de manera regular. No todos los exploits se venden de esta manera: mire los correos electrónicos de HackingTeam para ver un ejemplo de una compañía que desarrolla exploits a pedido, hasta que fueron pirateados, al menos ...
Lea otras preguntas en las etiquetas vulnerability exploit vulnerability-markets