Artykuły dotyczące tematu: sql injection

dodany: 08.04.2013 | tagi: , , ,

Szkodliwe aktualizacje OwnCloud

0

Developerzy OwnCloud, otwartoźródłowej chmury m.in. do przechowywania plików, wydali wersję 5.0.3 mającą naprawić problemy wynikające z dwóch poprzednich aktualizacji bezpieczeństwa. 5.0.1 ma załatać lukę umożliwiającą SQL Injection, natomiast 5.0.2 ma naprawić luki XSS – jak na razie autorzy nie opublikowali szczegółowych informacji na ich temat.

Niestety obie aktualizacje, chociaż poza błędami bezpieczeństwa naprawiają także szereg innych problemów, wprowadzają kolejny błąd, tym razem czyniącym instalacje bezużytecznymi. Użytkownicy powinni zaktualizować swoje serwery bezpośrednio do wersji 5.0.3.

Jak zgłaszają użytkownicy na forum projektu, 5.0.1 i 5.0.2 powodują włączenie trybu konserwacji bez możliwości wyłączenia go. Zaproponowano także dwa obejścia problemu, jedno bezpośrednio ingerujące w kod, drugie w bazę danych.

OwnCoud 5.0.3 jest trzecią aktualizacją gałęzi 5.0 w trakcie doby. Jak wynika z informacji na forum, tym razem aktualizacja jest bezpieczna i zalecana ze względu na wspomniane wcześniej problemy bezpieczeństwa.

dodany: 25.02.2013 | tagi: , ,

Nowy skaner bezpieczeństwa stron

0

Po skanerze Sucuri pojawiło się inne ciekawe narzędzie, jakim jest Punkspider. Nowość pozwala na wyszukiwanie błędów w zabezpieczeniach stron internetowych. Narzędzie pozwala wyszukiwać luki pozwalające na ataki XSS (cross-site scripting ), a także przebadać portal pod kątem podatności na wstrzyknięcia SQL.

Ideą serwisu Punkspider jest ciągłe przeszukiwanie stron internetowych, a następnie udostępnianie tych danych. Skanowanie odbywa się za pomocą klastrów Apache Hadoop. Właśnie te dane są udostępnione w wyszukiwarce, co jest zasadniczą różnicą  między skanerem Sucuri.

Punkspider

Na chwilę obecną serwis przetestował już trochę witryn – dla przykładu w Niemczech zbadano 50 tysięcy witryn, z czego 50 jest podatnych na atak XSS, a 16 z nich jest wrażliwych na wstrzyknięcia Blind SQL i 120 na SQL. Dla porównania w przypadku domeny co.uk przeskanowano prawie 33 tysiące stron z czego 30 jest podatnych na XSS, a tylko 2 mają problem z SQL, a w przypadku Blind SQL jest to już 60 witryn.

Zastosowana metoda w skanerze jest dość nietypowa, przez co ciężko stwierdzić na ile jest skuteczna. Mimo to, daje zwykłemu śmiertelnikowi obraz tego, czy strony, z których korzysta są bezpieczne. Niestety póki co, serwis nie przetestował ani jednej strony z domeny *.pl.

dodany: 12.02.2013 | tagi: , ,

Strona chińskiej prowincji Hunan zhakowana

0

Pamiętacie listę najgorszych haseł (zobacz newsa: Opublikowano listę 25 najgorszych haseł roku)? Po napisaniu tego newsa słyszałam od znajomych ale jak to jest możliwe? Jak można być tak bezmyślnym i głupim? Przecież konsekwencje mogą być przerażające! Takich haseł używają chyba tylko osobniki z ilorazem inteligencji porównywalnym do jeża (nie obrażając jeży)! Prosili o przykłady, ale te o domyślnym loginie i haśle routerów były mało przekonujące. I nadszedł ten dzień, dzień w którym mam dla Was bardzo dobry przykład. 

Strona chińskiej prowincji Hunan została zhakowana przez kogoś ukrywającego się pod nazwą QuisterTow. Osoba ta twierdzi, że zidentyfikowała tam lukę SQL injection.

Strona nosi nazwę enghunan.gov.cn i jest oficjalną stroną prowincji Hunan położonej w południowo-środkowej części Chińskiej Republiki Ludowej.

Haker podrzucił bazę danych na pastebinie.

hunan

Dane, które wyciekły zawierają nazwy tabeli, identyfikator użytkownika, login i zaszyfrowane hasło. Haker włożył trochę siły i czasu i odszyfrował hasła.

I tu nie jestem w stanie zrozumieć dlaczego ktokolwiek przy zdrowych zmysłach ustawia hasło do zarządzania stroną rządową  o treści, uwaga admin123. Drugie hasło nie jest lepsze, jest identyczne jak nazwa użytkownika!

Aż ciśnie się na usta słynne Why, admin, why?. Bo na pewno nie dla pieniędzy.

dodany: 31.01.2013 | tagi: , , ,

PayPal łata lukę, a bug-hunter zgarnia 3000$

0

PayPal załatało lukę bezpieczeństwa, która mogła pozwolić hakerom skompromitować bazę danych serwisu płatniczego przy pomocy ataku SQL injection.

3000$ nagrody poszło w ręce naukowców z Vulnerability Laboratory za odkrycie i zgłoszenie krytycznego błędu w systemie PayPal w sierpniu zeszłego roku. W zeszłym tygodniu zespół postanowił wysłać opis zakresu załatanej luki na listę mailingową Full Disclosure.

Usterka została znaleziona w kodzie, który potwierdza adres e-mail posiadacza rachunku. Pozwalała ona na ominięcie filtrów zabezpieczających PayPala przez napastnika,  skompromitowanie bazy danych i kradzież poufnych informacji.

Blind SQL injection zostało wykryte w oficjalnej aplikacji e-commerce PayPala. Luka pozwala atakującemu lub lokalnemu użytkownikowi z niskimi uprawnieniami do wstrzyknięcia poleceń SQL do wspomnianych baz danych aplikacji. Luka znajduje się w module potwierdzenia adresu e-mail. Gdy moduł ponownie wczyta stronę następuje pomyślne wykonanie polecenia SQL. Wykorzystanie tej luki wymaga od aplikacji użytkownika o niskich uprawnieniach dostępu do strefy internetowej i może być przetwarzane bez jego udziału.

Vulnerability Laboratory opublikowało także exploit  proof of concept w celu podkreślenia swoich obaw. Nie są znane dowody mówiące o wykorzystaniu luki przed jej załataniem.

PayPal odmówił jakiegokolwiek komentarza na temat przyznanej nagrody wydając jedynie oświadczenie, w którym mówi, że nie będzie żadnych rozmów na temat programu nagród za zidentyfikowane luki i zapewniając, że luka SQL injection została naprawiona.

Muszę stwierdzić, że jak na taką lukę to dość niska nagroda. Czyżby PayPal miał węża w kieszeni?

dodany: 13.01.2013 | tagi: ,

Francuska strona Sony narażona na luki SQL Injection

2

Francuska strona internetowa Sony okazała się podatną na ataki SQL Injection, które umożliwiają hakerom złamanie zabezpieczeń danych. Luka została zidentyfikowana przez hakerów z grupy xI3gi0n.

SONY_France

Luka została odkryta w Sony Computer Science Laboratory (csl.sony.fr).

Link z luką podany przez hakerów: www.csl.sony.fr/~pachet/markov_applet_style/get_lyrics.php?auth=10,000 Maniacs&id=1.

Hakerzy twierdzą, że Sony zostało poinformowane o luce, a oni sami zostali nagrodzeni za swoje znalezisko.

W czasie pisania artykułu nie byłam w stanie dotrzeć do strony Computer Science Laboratory. Wygląda na to, że została ona zdjęta.

dodany: 05.10.2012 | tagi: , ,

TinKode skazany

0

Niesławny haker, znany szerszej publiczności jako TinKode, został skazany przez rumuński sąd.

Cernăianu Manole Răzvan został aresztowany w styczniu 2012 roku po serii haków stron rządowych i wojskowych, narażając ich słabe zabezpieczenia i publikując później hasła oraz screeny jako dowody swoich działań.

Wcześniejszymi ofiarami stały się: Królewska Marynarka Wojenna, MySQL. com (który jak na ironię, padł pod atakiem SQL injection) i serwery NASA.

Ku uciesze wszystkich ofiar okazało się, że do działania TinKode’a napędza chęć zawstydzenia organizacji i zmuszenie do poprawy bezpieczeństwa internetowego, a nie zarabianie pieniędzy.

W wywiadzie dla Network World w 2011, TinKode porównał swoją działalność do darmowego audytu bezpieczeństwa. Jeśli zdarzy się, że coś zajdzie upublicznieniu, to wysyła wtedy e-mail do nieroztropnych ofiar aby załatali dziury.

Pomimo całego „wolontariatu” jego działania były nielegalne i doprowadziły do jego aresztowania przez władze Rumunii na początku tego roku. We wrześniu, w wyroku sąd nakazał Răzvanowi zapłacić ok. 93 000 euro (około 400 000 zł) w celu pokrycia kosztów poniesionych przez jego naruszenia i dodatkowo skazał na dwa lata więzienia w zawieszeniu.

Powstała nawet petycja ubiegająca się uwolnienie TinKode’a, jednak z przewidywanych 5000 podpisów znalazło się tylko 189 sympatyków.

Nie chcemy usprawiedliwiać czynów TinKode’a, ale jeśli strony byłyby prawidłowo zabezpieczone, to nie zaistniałaby sytuacja, w której jeden młody człowiek z Rumunii zawstydził takie organizacje.