【セキュリティ】SQLインジェクション攻撃が再び爆発増、ラックが緊急注意喚起 [08/12/22]

>>264
いやMSも悪いだろ
ASPの仕様として無効な文字を勝手に消すとか、「検知回避してください」と言ってるようなもんだ。

>>264
Unix系DBみたいに明確にDB実行ユーザーを割り当てず、デフォで何でもカンでも同じ鯖管ユーザーに
やらせることになってるから、どっか破られたら即鯖全体がやられるんだろｗ

>>250
今はその URL に何も置かれてないみたいだけど。
置かれていても、踏んだってそのまま表示されるだけで何も起こらない。
データベースの画面表示に使われる項目が入ってるカラムを
外部の JavaScript のソースを読み込ませるタグを追加して書き換えようとしてるんだな。
表示側で html 等の意味のあるものをそのまま出力しないように（サニタイジング言うな）
なっていればこれが成功しても、問題は起きないわけではあるが。

>>259
対策のしようがある仕様になっているかどうかが問題かと思う。
バインドするにしてもO/Rマッピングするにしても、
それに使うモノを作った人がその仕様を把握しきれるかどうかが問題になる。
謎な仕様が多いものは避けるにこしたこたない。
不正アクセス検知の面から見ても、謎な仕様に対応した製品を必死で探すよりは
謎な仕様をなくしてもらうか、謎な仕様が少ない製品を採用した方がいい。

>>263
JavaScript の内容次第では Mac でも問題が起きない事はない。
ローカルに何か置かれて実行までされたような例は聞いた事がないが。

>>267
>ローカルに何か置かれて実行までされたような例は聞いた事がないが。

それはLinux/OS Xでは実現不可だから。JavaScriptといってもローカルのファイルまで操作
みたいな凶悪なことができるのは、MSが勝手に拡張したJScriptのみ。
これはWIndows（IE）環境でしかうごかない。

　　　　　　　 lヽ ﾉ l　　　　　　　　ｌ l　ｌ ヽ　　 ヽ
　 )'ｰーノ(　 |　|　 | ､　　　　　 / l｜ ｌ　ハヽ　　|ｰ‐''"ｌ
　/　S　　|　|　|／| ﾊ　　/ / ,/ /|ﾉ /l /　ｌ l ｌ|　ｌ　 S ヽ
　l 　 ･　　i´ |　ヽ､| |ｒ|| |　//--‐'" 　 ｀'メ､_ｌﾉ| /　 ・　 /
　|　 Q　　l　 トー-トヽ| |ノ　''"´｀　　　ｒｰ-/// |　 Q　｜
　|　 ･　　 |／　　 　 | l ||､　''"""　 j　""''/ | |ヽｌ 　・　｜
　|　 L 　 |　　 　 　 | l |　ヽ,　 　― 　 ／　| |　ｌ　 L　 |
　| 　 !!　 |　　 　 /　| | |　　 ` ｰ-‐ ' ´||　,ﾉ| |　|　　!!　｜
ノｰ‐---､,|　 　 /　│ｌ､l　　　　　　 　 |ﾚ' ,ﾉﾉ　ﾉハ､_ノヽ
　/ 　　 　 　 ／　ノ⌒ヾ､　 ヽ　　　 ノハ,　　　 　 |
,/ 　 　　　,イーｆ'´ /´　　＼　| ,／´ ｜ヽl　　　 　 |
　　　　 ／-ト、|　┼―- ､_ヽﾒr'　, -=ｌ''"ハ　　　　|　 ｌ
　　 ,／　 　|　ヽ 　＼　　_,ノｰｆ' ´　　ﾉノ　 ヽ　 　｜　|
､_　　　 _ ‐''ｌ　　`ー‐―''" ⌒'ｰ--‐'´｀ヽ､_ 　　_,ノ　ノ
　 ￣￣　　 |　　　　　　　　　　 ／　 　　　　

>>267
置かれてなくて良かった

>>266
さすがに企業で使うサーバで
デフォ設定で利用してたらSIが糞だろ
無知な個人じゃないんだから

>>265
まぁまったく非がないとは言わないが
対策は広く知れ渡ってるものなんだからってのはある

>>270
>無知な個人じゃないんだから

無知なバカに限ってWIN鯖を使いたがるワナ。
しかもちゃんと設定しようとすると、Unix系鯖の何倍も手間がかかるというオチｗ

w

で、ビパより高い攻撃力なのか？

だからWindows鯖はやめとけとあれほど。。。

大陸ではツール公開して島国でのテスト結果を曝して皆で日々共同研究してるじゃないか
しらない間にそのサイトにあなたの管理サイトの名前が載ってたりするよ

異論！
反論！
↓

>>3
wktk
呪ってくれｗ

AVGfreeは対応してる？

>>1
ＳＱＬインジェクションなどプロなら余裕で防げる。
日本のＳＩ屋の質がヘボイだけだろ。
俺を採用しない日本のバカＩＴ企業は自業自得。

プロ（笑）。

日本を襲う史上最悪のサイバー攻撃 : サイバー護身術 : セキュリティー : ネット＆デジタル : YOMIURI ONLINE（読売新聞）
http://www.yomiuri.co.jp/net/security/goshinjyutsu/20081226nt0b.htm?from=yoltop

素人の趣味をバカにしていながらそれ以下の技術力しかないプロが多いのが日本のＳＩ屋。
口八丁のコミュニケーション能力を重視し技術力を軽視ししてるからお粗末なことになっても自業自得。
ＩＴ企業はクライアントに多額の損害賠償払えばいい。

今回の攻撃は、一般ユーザーに感染したボットから行われているため、犯人を追跡することは難しい。
しかし状況証拠から、犯人は中国在住ではないかと思える節がある。
ラックによると「解析したところ、中国政府と中国の学校のドメインは攻撃しないように指定していた」とのこと。
中国政府のドメインである「ｇｏｖ．ｃｎ」と中国の学校関連のドメイン「ｅｄｕ．ｃｎ」だけは、
ＳＱＬインジェクション攻撃をしないようにプログラムされていたのだ。

MS06-014
これってザク�U？

なんか人を素人呼ばわりしたい自称プロがいっぱいいるスレですね。

>>282
素人しかいないのが問題なんだよｗ

オンラインゲームでＰ２Ｐじゃないものって無料ゲームとか？
有料でＰ２Ｐじゃないものも多いのか？

　　↑
Ｐ２Ｐの意味わかってるの？

釣り師だらけでふいた。

Ｐ２Ｐはパッケ購入するネトゲかね？
マッチングサーバだけ用意して、遊ぶときはＰ２Ｐ通信

クライアントが無料のネトゲだと、Ｐ２Ｐは珍しい気がする。
チートし放題になりそうだし

w

>>283

＞ 中国政府のドメインである「ｇｏｖ．ｃｎ」と中国の学校関連のドメイン「ｅｄｕ．ｃｎ」だけは、ＳＱＬインジェクション攻撃をしないようにプログラムされていたのだ。


この問題は・・・
ｇｏｖ．ｃｎとｅｄｕ．ｃｎだけを攻撃するように書き変えて感染したら解決するんじゃね？

うむ

>>292
www

>>1
ザク？

MSへの損害訴訟まだ〜？

>>1

意味わかんねえけど、すげえヤバイ気がするｗ
今まで見たスレタイの中で一番おどろおどろしいｗ

意味がわかんないけど、
フラッシュプレーヤー9.0.124.0から10にアップした方がいい？

Winしか使えない奴は、OSやSQLServerが悪いんじゃなくて管理者が悪いというのが定番になったな。
MSの製品が危険と認めたら失業だもんなｗｗｗ

↑
Winの使い方を知らないひと

>>299

win鯖がハッキングされるのはベンダーが悪い。
vistaが売れないのはPCメーカーが悪い。
Xboxのディスクに傷が吐くのはユーザーが悪い。

いや、　　　中国が悪いに決まってるだろｗ

「MicrosoftはXbox 360の欠陥を認識しながら修理を見送った」ことが裁判資料で判明

http://itpro.nikkeibp.co.jp/article/NEWS/20081219/321777/

>>298
無駄な行為
これはユーザーがどうあがいてもどうしようもない問題だ。

ラック（笑）

>>282
むしろ生粋の文系ほど採用されやすい罠

ITまったくわかってない文系の幹部がセールストークに騙されて
MS製品導入ってケースもあります。
イニシャルコストしか見てない。

>>307
イニシャルコストしか見なけりゃ
MS製品にならないんだがな
MS製品の良さはサポート

>>308
ちょｗ
MS製品のサポートは購入ベンダしかやらんだろ
MSの直サポートは絶対ないぞ

>>309
うちはMSのプレミアムサポート入ってるよ
MSのエンジニアに直にやってもらってる

>>310
金かかるじゃんｗ
MS製品の不具合調査するのに金かかるとかどうなの・・

技術力が無ければMSに頼らざるを得ないし、技術力がなければそもそも
Windows以外は無理なんだから金がかかるのはしょうがないでしょ。
お金を払うから技術は任せたってのがMSとの付き合い方。

>>311
オープンソースとかで自前でやるより
人件費を考えれば結局金掛からないよ
それにオープンソースとか使ってたら
責任取れないし
別に技術力ないわけじゃないけど

個人で使うならいいけどね

>>311
あっ言い忘れたけど
不具合やバグだった場合は
金掛からないよ

プレミアムサポートでは明らかな不具合を
仕様とか言ったりはしないから