Nova opasna tehnika SQL injection napada

Vesti, 21.06.2011, 02:34 AM

Kompanija Armorize upozorila je na novu vrstu masovnih SQL injection napada u kojima se koristi P2P umrežavanje što pokušaj gašenja tako kompromitovane mreže čini znatno težim. Masovni veb napadi funkcionišu na sledeći način: kod napisan u SQL poslat u krajnje odredište, bazu podataka, koristi ranjivost u kodu sajta; kada postoji propust u često korišćenom programu, napadom će biti kompromitovano hiljade veb sajtova u isto vreme.

U novoj verziji ovakvih napada, umesto ubacivanja jedne statične skripte u sajtove koja browser-e posetilaca usmerava ka različitim malicioznim sajtovima, napadači sada pišu dinamičke skripte koje šalju posetioce na prethodno kompromitovani veb server. Nova tehnika otežava sastavljanje takozvanih crnih lista sajtova, kažu u kompaniji Armorize.

“Otkrili smo da zaraženi veb sajtovi formiraju veliku mrežu, tako da je u svaki ubačena maliciozna skripta koja usmerava (posetioce) ka drugim (veb sajtovima),” kaže predsednik kompanije Armorize Vejn Huang. “Svaki zaraženi veb sajt služi kao preusmerivač ka drugom zaraženom sajtu. Ne možete da stavite na crnu listu nijedan, jer je svaki preusmerivač.”

Sastavljanje crne liste sajtova je problem jer je Armorize otkrio da je u uzorku od 700 sajtova koji pripadaju kompromitovanoj mreži, samo 20% sajtova na Google-ovoj crnoj listi zbog pokušaja da se korisnički kompjuteri zaraze opasnim kodom. Još 10% sajtova je prethodno kompromitovano u drugom napadu i zbog toga stavljeno na crnu listu, kažu u kompaniji.

Nova vrsta SQL napada ima i slabu tačku. Uklanjanje štetnog koda sa zaraženih sajtova otklanja i opasnost od preuzimanja koda. Ali ne zadugo jer peer-to-peer struktura omogućava da zaraženi sajtovi budu izvoršte štetnog koda preko drugih zaraženih sajtova čak i ako su jedan ili više sajtova sa štetnim kodom očišćeni.

Vlasnici sajtova bi zbog ovoga morali da obezbede bolju analizu bezbednosti za svoje sajtove. Međutim, mnogi od njih se neće uhvatiti u koštac sa ovim problemom jer to zahteva dodatna finansijska sredstva, procenjuju stručnjaci.