Todos os posts tagados sql injection

Detalhes do ataque SQL Injection ao MySQL.com

por David Sopas em 20 de Abril de 2011 em Artigos, Curtas com 0 comentários Tweet

A empresa Acunetix publicou um género de passo-a-passo do ataque blind SQL Injection do Tinkode ao MySQL.com.
Definitivamente, uma leitura interessante para os que querem entender um pouco mais sobre este técnica.

Site da ESA - ‘European Space Agency’ - foi comprometido

por David Sopas em 17 de Abril de 2011 em Notícias com 0 comentários Tweet

O mesmo grupo que descobriu e divulgou informação confidencial do MySQL.com, publicou hoje detalhes do ataque ao site da ESA.

O tipo de falha não foi divulgado pelo autor, mas é de facto preocupante o tipo de informação confidencial que o TinKode teve acesso (exemplo: contas de administração, FTP, emails, etc.).
Curioso a existência de passwords demasiado simples e fáceis de quebrar. Seria de esperar uma maior preocupação na segurança neste tipo de entidades.

TinKode, grupo de origem Romena, é conhecido no meio por encontrar falhas SQL Injection e publicar muita da informação sensível.

A informação foi divulgada no blogue oficial dos autores deste ataque e no TheHackersNews. Também em alguns canais de IRC foi comentado a facilidade com que foi obtido o acesso a relatórios de satélites e o posicionamento destes.

Actualização:

A ESA já confirmou o ataque e afirmou que já foram tomadas as medidas necessárias para prevenir que este tipo de situações voltem acontecer.

Identificada nova ameaça que afecta centenas de milhares de sites

por David Sopas em 4 de Abril de 2011 em Curtas, Notícias com 0 comentários Tweet

No Sol:

Centenas de milhares de sites estão a ser afectados por um novo ataque informático, que recorre a uma falha de segurança para introduzir um código malicioso na página vulnerável.O alerta para o ataque Lizamoon está a ser feito pela empresa de segurança informática Websense.

De acordo com a empresa, quando um cibernauta entra numa das páginas afectadas é redireccionado para um suposto site de segurança, denominado Windows Stability Center.

Depois de a vítima entrar neste site fraudulento surge uma mensagem que refere que o computador está infectado e o utilizador é aconselhado a introduzir os seus dados pessoais para descarregar um antivírus.

A Websense refere que o ataque é baseado numa técnica de SQL injection e acredita que «mais de 500 mil URLs estão ligadas ao lizamoon.com», o primeiro site onde foi identificada a ameaça.

Para evitar problemas aos cibernautas, a empresa de segurança aconselha as vítimas a não divulgarem os seus dados pessoais que lhe sejam pedidos através destes sites.

Para completar esta noticia, verifiquei que existem cerca de 3.220 websites em português (maioritariamente no Brasil) com conteúdo malicioso relacionado com o lizamoon.com.

Podem consultar mais informação na Websense.

MySQL.com comprometido

por David Sopas em 27 de Março de 2011 em Notícias com 2 Comentários Tweet

Acabei de ler uma entrada na mailing list Full Disclosure que o site oficial do MySQL foi comprometido via (adivinhem?) blind SQL Injection.

O autor desta descoberta é referido na FD como Jackh4xor mas segundo informações baseadas noutros fórums, esta falha já tinha sido encontrada, em Janeiro deste ano, por TinKode e Ne0h (mas mantida como informação privada).

Várias passwords já foram quebradas e, algumas delas, com permissões administrativas de vários sites do MySQL.com

Até a data do artigo ainda não foi publicado um press release oficial… aguardo com expectativa mais informação.

Netsparker Community Edition v1.7.2.13

por David Sopas em 14 de Janeiro de 2011 em Curtas, Ferramentas com 0 comentários Tweet

Netsparker Community Edition partilha muitas semelhanças com a versão profissional do Netsparker, principalmente o módulo de filtro de falsos positivos.
Este programa de pesquisa de vulnerabilidades também detecta falhas SQL Injection e XSS e, segundo a fonte oficial, é muito mais eficaz que qualquer outro software do género.
O mais importante é referir que é gratuito :-)

Que tal dar uma olhada?