Anatomija 'SQL injection' napada

Vesti, 09.03.2010, 12:48 PM

SQL injection postaje možda najrasprostranjeniji metod za nanošenje štete web aplikacijama, zahvaljujući relativnoj jednostavnosti i visokom stepenu efikasnosti. Ne dešava se tako često da laike interesuje kako ovakva vrsta napada funkcioniše, ali poznati stručnjaci baš ovu činjenicu i imaju u vidu.

Rafal Los, viši stručnjak za bezbednost u HP, pokazao je kako je jednostavno izvođenje ovakvih napada, osvrnuvši se u svom izlaganju i na psihologiju koja stoji iza njihove uspešnosti. Govoreći grupi rukovodilaca o problemima bezbednosti web aplikacija, Los je uočio njihov skepticizam u vezi obima ranjivosti njihovih kodova. Zbog toga je odlučio da im demonstrira problem.

„Često je iskustvo najbolji učitelj - priželjkivao sam da mi sumnjičavi Thomases zatraži da pokažem kako ovaj problem izgleda na njihovim sajtovima... i bez molbe ovo je bilo neophodno. Kolega iz zadnjeg reda vikao je: “Dobro, ako je ovaj problem tako rasprostranjen, da vidimo kako izgleda na našim sajtovima“. Ostavio sam auto-pilota i prešao u oprezni napadački mod,“ napisao je Los na svom blogu opisujući napad.

Posle letimičnog pogleda na izabrani sajt, Los je uočio grešku koja je bila dokaz da je neko drugi već napao sajt. Zato je on onda obeležio kraj URL-a, čime je izazvao SQL naredbu za neizvršenje i generisanje poruke o grešci tako da je postalo jasno u čemu je bio problem. I taj podatak je sasvim bio dovoljan Losu. Zatim je dodao " ' OR '1' = '1 " na kraj orginalnog URL-a.

SQL injection

„Najpre, očigledna je greška u bazi podataka, što znači da ja nisam prvi koji je hakovao sajt, neko je pre mene ovde napravio zbrku. Na sreću, oni koji su me pretekli pokvarili su ga pre nego su uspeli da ukradu sve podatke. Zatim, generisanje greške - nadam se da je to samo po sebi jasno... Ja sam jednostavno prouzrokovao da SQL naredba bude pogrešna i neizvršena, i SQL me je ljubazno obavestio o tome,“ piše Los. „I najzad, 'OR'1'='1 pridodata naredba je radila zato što nije izazivala grešku... zašto? Zato što je 1=1 tačan iskaz i baza podataka neće izbaciti grešku ako je rezultat tačan!“

Sa dozvolom vlasnika sajta, Los je iskoristio ranjivost i bio u mogućnosti da prekopira celokupan sadržaj baze podataka na svoj laptop. Pregledom tabela, ustanovio je da je baza podataka ustvari već bila prethodno kompromitovana i da je napadač ubacio nizove podataka koji će dostavljati štetni program sa sajta. Sajt sada pokušava da Zeus Trojanca dostavi posetiocima.


---------

Vest preuzeta sa:

Threat post


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Stručnjaci upozoravaju: papinu aplikaciju za pametnu brojanicu ''Klikom do molitve'' lako je hakovati

Stručnjaci upozoravaju: papinu aplikaciju za pametnu brojanicu  ''Klikom do molitve'' lako je hakovati

Tehnologija iza koje stoji katolička crkva, elektonska brojanica, je nebezbedna, tvrde istraživači britanske firme Fidus Information Security. Broj... Dalje

Kako su ruski hakeri iskoristili iranske hakere da bi prikrili svoju sajber špijunažu

Kako su ruski hakeri iskoristili iranske hakere da bi prikrili svoju sajber špijunažu

Ruska hakerska grupa Turla, poznata i pod nazivima Waterbug ili Venomous Bear, hakovala je iransku hakersku grupu OilRig i iskoristila njene alate i p... Dalje

Malver koristi pola miliona zaraženih računara za ''seks-ucenu''

Malver koristi pola miliona zaraženih računara za ''seks-ucenu''

Emailovi u kojima se tvrdi da je vaš računar hakovan i i da su web kamerom hakovanog računara napravljeni video snimci na kojima se vidi da radite ... Dalje

Instagram uvodi nove kontrole za podatke koje delite sa drugim aplikacijama i web sajtovima

Instagram uvodi nove kontrole za podatke koje delite sa drugim aplikacijama i web sajtovima

Instagram je dodao novu funkciju za kontrolu deljenja podataka sa aplikacijama drugih proizvođača. Da biste videli koje aplikacije imaju pristup va... Dalje

Kineske vlasti traže od građana da instaliraju aplikaciju preko koje ih mogu špijunirati

Kineske vlasti traže od građana da instaliraju aplikaciju preko koje ih mogu špijunirati

Komunistička partija Kine može da špijunira više od 100 miliona građana preko veoma reklamirane službene aplikacije "Studija velike nacije". Ana... Dalje