ドメイン登録業者「NetNames」がSQLインジェクションを用いてハッキングされる

トルコの攻撃グループが英ドメイン名業者に侵入、顧客サイトをリダイレクト

英国のドメイン名登録業者NetNamesは5日、同社のシステムが不正に書き換えられ、
NetNamesを通じてドメイン名を取得した顧客のウェブサイトが
別のサイトにリダイレクトされていたことを明らかにした。

また、改ざんサイトの情報を収集しているサイト「Zone-H」のレポートを引用し、
攻撃者はSQLインジェクションを使用してNetNamesのシステムに侵入したようだと説明。

米SANS Internet Storm Centerは、この攻撃により「ups.com」「theregister.co.uk」
「acer.com」「telegraph.co.uk」「betfair.com」「vodafone.com」「nationalgeographic.com」など
多数のサイトが影響を受けたと説明。

英Registerでは、英国時間4日夜に自社のサイトがトルコのハッカーグループのサイトに
リダイレクトされたが、3時間ほどで正常に復元され、
自社のサイトが改ざんや侵入を受けたわけではないとしている。

NetNamesでは、「こうした継続的かつ集中的な悪意のある攻撃を完全に防ぐことは
誰にもできない」としながらも、堅牢で保護されたサービスを提供するため
システムの再検討を行うとしている。

http://internet.watch.impress.co.jp/docs/news/20110906_475535.html

unko.com

おちんぽみるく

日本語ドメインとは何だったのか

ｶｯｹｰ

なるほどSQLインジェクションとはなぁ
SQLインジェクション使われたらどうしようもないわ

2年ぐらいのコカコーラのハッキングの時から変わってないのか

またSQLインジェクションか

Q.　ハッカーはどのように侵入してきたのか？
A.　高度な技術を使って侵入してきた

Q.　具体的にどうやったのか？
A.　既知の脆弱性を突かれた

NetNamesはSQLインジェクションという初歩的な攻撃への対策すらしていなかった
その結果、自社のサービスを利用している顧客に被害を与えた
反省するどころか「完全に防ぐことは誰にもできない」などと開き直った
クズだな

SQLインジェクションなんて5年以上前から知られてるし、対策も難しくないのに何で未だにこんな問題が起こるんだろうな

SQLとか前世紀の遺物だから、さっさと駆逐して欲しいわ。

select * from dns where id = '@x';

@xが変数とする

@xに 「1' OR '1' = '1」を代入すると

select * from dns where id = '1' OR '1' = '1';
あら、不思議ｗｗｗｗｗｗｗｗ

OR 条件によって'1' = '1'は常に真な為、全件が表示されるというSQLインジェクション

全然わかんないけど、htmlspecialchars()関数で囲わなきゃならなかったのに
囲ってなかったとかそういうレベルの話ですか？

思い出した。サニタイジングだ。
それすらもやってなかったのか？このサイトは。