【社会】中国国内から「SQLインジェクション」…カード番号など流出した可能性 - サウンドハウス

>>608


そしてここも案の定、Windows鯖なのであった・・・。

http://uptime.netcraft.com/up/graph?site=carview.co.jp

>>699
>今更とか書いてる人こそ、なんちゃってなのでは？

いや、MSの火消しだよ。

Yahoo! BB顧客情報流出の損害賠償訴訟、1人5,500円の賠償が確定
ttp://internet.watch.impress.co.jp/cda/news/2007/12/17/17899.html

とりあえず不便極まりない迷惑をこうむっている被害者の皆さん
集団損害賠償訴訟でしょ普通に

どうせ制作費ケチったに決まってる。

>>715
マイクロソフトは製品の信頼性上げないでそんなことばっかやってるよな。

>>707
434 名前：名無しさん＠八周年[sage] 投稿日：2008/04/07(月) 23:20:16 ID:7jMzikMv0
>>400
時間　　　　 　提交者　頁面　　　　　　　　　　　　　　　　　　　　　　　　看快照
2008-02-18　電脳迷　http://www.soundhouse.co.jp/jslib/asp1.asp　快照

見つけた

Mirror saved on 2008-02-18 18:15:13
Reason:僅作安全検測

IP&Port:210.143.133.210:80
Domain:www.soundhouse.co.jp
Url:http://www.soundhouse.co.jp/jslib/asp1.asp
System:未知系統/其他系統
WebServer:Microsoft-IIS
Hacker@Team:電脳迷

つうかそもそもＳＱＬインジェクションってなんだよ
そこを説明してくれんとわけわからんだろ、この記事

つ >>400

RE: 個人情報の流出について サウン
差出人: [email protected]
送信日時: 2008年4月9日 1:38:17
宛先: ＠＠＠＠＠＠＠＠＠@hotmail.com)

＠＠＠＠＠＠＠＠様

この度、お客様には多大なるご迷惑、ご心配をおかけすることに至りましたことを改めて、お詫び申し上げます。
また、ご返事が遅くなり、誠に申し訳ございません。お客様からお問い合わせ頂いた件につきましては、既に配信
済みのメール内容と一部重複する可能性もあるかも知れませんが、回答させていただきます。 弊社におきまして
は、自社サーバーにおいて、早くからハッカーセーフを導入し、カード会社の推奨に従って３Ｄセキュア等のセキュ
リティー対策も施しておりましたが、既存のセキュリティーは看破され、情報流出に至っている次第となります。
現在はセキュリティ対策の専門会社からの提案に基づき、以下のシステム上のセキュリティ強化、及び対策に発覚
直後より取り組み、すべて完了しております。

　・弊社データベースから全てのカード情報を削除。
　・ファイヤーウォールの強化を行い不正侵入対策を強化。
　・不正侵入監視機器を導入し24時間体制で監視。
　・全てのウェブプログラムの見直しを行いセキュリティを強化。
　・ウェブサーバー上に存在した不審なプログラムの削除。
　・システム構成の見直し。
　・社内管理体制を見直し、セキュリティ管理・対策委員会を設置

ご迷惑をおかけし、誠に申し訳ございませんが、何卒ご理解の程、よろしくお願い致します。



だとさ。
これでいいと思っているのかな？

中国のNICに割り当てられてるIPのレンジ教えてほしいんだけど
マジでファイアウォールで弾くわ

公務員って一般常時ないんだね

ttp://www.imgup.org/iup589758.jpg

NIC?

>>722

Windows鯖なんかでサイト立ち上げたばっかりに大損害なことになったな。。。
客も他に流れてっちゃっただろうし。

>>722
何回かメール送ってみたけどコピペ文しか返ってこないよ
この会社に謝罪の気持ちがまったくないことがよくわかる

>>727
半分以上の人がメール来てないよ。

>>722
> ・全てのウェブプログラムの見直しを行いセキュリティを強化。

どの位強固になったのか、2年前に攻略されたtoolをもう一回かけてみるとかってのはどうだｗｗ
ttp://dvd.3800hk.com/dispbbs.asp?BoardID=61&replyID=228554&id=151131&skin=1



最新の注入工具はもっと凄いんだろうなorz

とりあえず不便極まりない迷惑をこうむっている被害者の皆さん
集団損害賠償訴訟でしょ普通に

今回のはカード情報まで流出されたのだから
↓の例より悪質で被害者は今後もリスク負わされている。

Yahoo! BB顧客情報流出の損害賠償訴訟、1人5,500円の賠償が確定
ttp://internet.watch.impress.co.jp/cda/news/2007/12/17/17899.html

情報盗んだ奴はちゃんと逮捕されて
どこへどこまで流れたのか吐かせられるの？

>>723
【韓国　中国】PeerGuardian 23【YBBを弾こう】
http://tmp7.2ch.net/test/read.cgi/download/1204348839/

>>400みたいにハックできたところがずらっと並んでると思われるサイト見つけちまった・・・・・
怖いから見れなかった
誰か勇者おねがい

危ないから部分的に変えるわ
c*ina*ing.o*g/hits.txt
↑　 ↑　　↑
h　　 k　　　r

>>728
酷いな。最低でも全利用者に封書で謝罪文送るべき
このままなら本当に集団訴訟しかないだろ

>>724
長野市の公務員が過度にバカなだけ

マジで、全部抜かれたのかな？

762 名前：名無しさん＠ご利用は計画的に[sage] 投稿日：2008/04/09(水) 03:23:21
> Mirror saved on 2008-02-18 18:15:13
> Reason:僅作安全検測

この｢僅作安全検測｣ってなんて訳すの？
ミラー作って安全に調べるって事かな

そりゃ、中身全部コピーしてlocalで解析するのは安全だわなｗ

今時SQLインジェクションって。。。

＞同社データベースから全てのカード情報を削除

アホですか？

この手の記事で沸いてでてくるのが「今時〜かよ」ってコメントなんだけども
サイトの規模に応じて穴ふさぐのは結構大変だったりするので
知ったかな物言いの方々というのは、何10万行ものコードでも一瞬で
把握して驚くほどスピーディーに対処してくれるプログラマだったり、
事細かに技術指導しなくても一通りの知識もってて
自発的に対策してくれたりするものなんですかね？　

私一応納品されてくるものチェックする立場の人間なんですが、
まともに対処済みコード納品してくる奴をあまり見たことが
ないので、ましてセキュリティ系Blogなどで講釈たれている人ってのは
ずいぶん人材に恵まれてるんだなあと思ったり。

>>739
＞知ったかな物言いの方々というのは、何10万行ものコードでも一瞬で
＞把握して驚くほどスピーディーに対処してくれるプログラマだったり、

とうぜん、相応のカネは出してくれるんですよね？
もちろん喜んでやらせていただきますよ:)

>もちろん喜んでやらせていただきますよ:)

そう言ってカネだけもらって、どこからかコピペしたような役に立たない
アドバイザリだけ納品して逃げた奴もたくさんいましたけど
あなたは違うということですね。（ｗ

>今回のは、単純なSQLインジェクションでは無いのだが…
>
>専用のクラッキングツール使って、IIS＋SQLサーバ＋ASP＋SJISの文字列が引き起こす穴をついてる。
>
>マルチバイト言語に対する、インジェクション対策の為の文字列チェック・エスケープ処理は難しいのに、
>今更とか書いてる人こそ、なんちゃってなのでは？
>
>mysqlのエスケープ関数のコードを追ってみるといいよ

>>740
こういう高をくくった知ったかぶりが、今回みたいな事故を起こすんだろうなｗ

>>550
アマゾンじゃオナホ売ってるけどなｗ

なんとなくバインドを知らない人が混じっているような気がする......

carviewサイトもやられましたよーｗ

>トレンドマイクロのWebサイトが改ざんされた被害も、
さりげにやばい事書いてない？
トレンドマイクロって、ありえんだろｗｗｗｗ
信用がああああああああ

>>747
社長は支那人だから。

>>739
中国のＩＰアドレスはじくだけで結構効果あるんじゃね？

あ〜 俺、ここでPEAVYのヘッド買ったわ。

ブレスオブファイア�XのＳＯＬはいいシステムだったわ

マルチバイトっていっても文字コード問題に悩まされてきた
perlなら大昔から当然のようにチェックするけどな
というか、どんな言語の文字コードが入ってこようが
汚染命令となる文字の表現バイト列は決まっているんだし。

PHPとかASPとか低能IT土方こそ一番触れさせてはいけない言語だな。

>>746


サウンドハウス：
http://uptime.netcraft.com/up/graph?site=http://www.soundhouse.co.jp

carview：
http://uptime.netcraft.com/up/graph?site=carview.co.jp

トレンドマイクロ：
http://uptime.netcraft.com/up/graph?site=http://www.trendmicro.co.jp


共通項はWindows鯖つかってること。

>>752
低脳土肩しか居ない件について
まともな奴はIT業界にいかないよ

プログラムの報酬って難しいよな。
どうせ派遣で適当にプログラマ募集して薄給で作らせるんだろうけど。

艇脳底脳ってほんとむかつく。だいたいSQLなんて使う方がどうかしてるぜ。ｗ

>マルチバイト言語に対する、インジェクション対策の為の文字列チェック・エスケープ処理は難しい

俺web系じゃないんだけど、
俺だったらSJISはまずとりあえずUTFに変換するわけだが

web系ってアホなの？

>>699あてね。

ソフトそのものが中国製という可能性はないのか
バックドアを仕掛けておきそこから侵入したとか

オンライン決済の現場なんてこんなもんだぞ
カード番号や有効期限もそのままＤＢ蓄積
必要ないデータも何かの為に取っておくとか意味不明な理由つけて全部保存
そのくせセキュリティについてはまったく一言も触れず、実質ＰＧ任せ。対策してて当たり前、のような空気だな。
でも俺からすればセキュリティ設計が仕様書に盛り込まれていないほうが悪いと思う。
書いてあっても『セキュリティに配慮した設計とする』とかの一言だけｗ
これが某大手の現場だよ

>>724
いっぱんじょうじ？

RE: 個人情報の流出について サウン
差出人: info＠soundhouse.co.jp
送信日時: 2008年4月9日 1:38:17
宛先: ＠＠＠＠＠＠＠＠＠@hotmail.com)

＠＠＠＠＠＠＠＠様

この度、お客様には多大なるご迷惑、ご心配をおかけすることに至りましたことを改めて、お詫び申し上げます。
また、ご返事が遅くなり、誠に申し訳ございません。お客様からお問い合わせ頂いた件につきましては、既に配信
済みのメール内容と一部重複する可能性もあるかも知れませんが、回答させていただきます。 弊社におきまして
は、自社サーバーにおいて、早くからハッカーセーフを導入し、カード会社の推奨に従って３Ｄセキュア等のセキュ
リティー対策も施しておりましたが、既存のセキュリティーは看破され、情報流出に至っている次第となります。
現在はセキュリティ対策の専門会社からの提案に基づき、以下のシステム上のセキュリティ強化、及び対策に発覚
直後より取り組み、すべて完了しております。

　・弊社データベースから全てのカード情報を削除。
　・ファイヤーウォールの強化を行い不正侵入対策を強化。
　・不正侵入監視機器を導入し24時間体制で監視。
　・全てのウェブプログラムの見直しを行いセキュリティを強化。
　・ウェブサーバー上に存在した不審なプログラムの削除。
　・システム構成の見直し。
　・社内管理体制を見直し、セキュリティ管理・対策委員会を設置

ご迷惑をおかけし、誠に申し訳ございませんが、何卒ご理解の程、よろしくお願い致します。



だとさ。
皆にこのコピペメール送ってるようだけど
これでいいの？

＞全てのウェブプログラムの見直しを行いセキュリティを強化
いくら設備や管理に金かけてもSQL文のエスケープミスでドカーンなんだし

優秀なプログラマを雇う

これ以外に対策無いと思うけど