Groźne hakerskie ataki XSS
Kilka dni temu strona IEAK Microsoft została zaatakowana!. Strona promuje i opisuje "Internet Explorer Administration Kit", narzędzie do zarządzania aplikacjami opartymi o WWW, uczy jak konstruować strony ...
Sprawcą ataku jest Cyber-Attacker (cyb3rt), pochodzi z Arabii Saudyjskiej i nie jest to jego pierwszy "wyczyn". Z pewnością "biedakowi" nudzi się wieczorami ...
BEZPIECZEŃSTWO DLA ADMINISTRATORÓW
Cyber-Attacker przeprowadził atak XSS
Tak sam opisał swój atak: strona zawierała lukę SQL w panelu logującym
do serwisu, którą wykorzystałem by wprowadzić kod html który zastąpił
oryginalną treść serwisu firmy Microsoft.
SQL Injections
Ataki typu SQL Injections są generalnie pospolite, a dzięki postępowi w
"technice" niezwykle trudne do przewidzenia i spędzające sen z powiek
administratorów. Powszechnie błędnie jest mniemanie, że na tego typu
zagrożenia podatne są tylko strony oparte na ASP. W praktyce w każdym
serwisie, nie istotne na jakim języku programowania go oparto można
zastosować podobne mechanizmy, wystarczy luka w zapytaniach SQL.
Jak się zabezpieczać?
Z pewnością dokładnie analizując kod.
Co nie zawsze jest "fizycznie" wykonalne. Można zaadoptować moduły
Apacha jak mod_security i .htaccess - tak by ograniczyć możliwość
wykonywania zapytań SQL przez URL, aktywując Magic_quotes w
konfiguracji PHP.
Na serwerach Windowsowych, administratorzy powinni używać filtrów na
stronach www, które mogą sprawdzać poczynania i zamiary użytkowników.
Na przykład można wyłączyć wiadomości ostrzeżeń, ponieważ stanowią one
często podpowiedź dla przestępcy o umiejscowieniu ważnych plików lub
danych.
Cyb3rt zaatakował długą listę witryn, włączając w to stronę Kaspersky Lab. Poniżej lista jego ofiar...
eak.microsoft.com/1.0/NewLicensee.asp
open-security.org
stealthsecurity.co.uk
prestigecooling.com
securisoft.co.uk
CyberSecurity.ru
kaspersky.com.br
atsdp.com
evolution-security.com
SecureServerTech.com
securitygurus.net
rosiello.org
forum.zone-h.net
blackhat-forums.com
secure-pak.org
hessamx.net
licf.org.uk
devizes-tc.gov.uk
isaca-london.org
securityfranchise.co.uk
chamberlainssecurity.com
oxguardsecurity.co.uk
proteasecurity.co.uk
security-protocols.com
security.ru
samsecurity.net
security-softs.com
sparse.gov.uk
cambourneparishcouncil.gov.uk/files
dvd-hacks.com
bankclarity.com
Warto jak najlepiej zabezpieczać swoje serwisy www, nasz "Dzień e-maila" padł już kilkakrotnie ofiarą hakerskich ataków! Nie były groźne, warto jednak dmuchać na zimne, a niniejszy materiał ma specjalnie uczulić administratorów www na sprawy bezpieczeństwa :-) Tak by ci pseudo hakerzy mogli pocałować nas w ...
---
|
