'kaserpsky'에 해당되는 글 1건

  1. 2009.12.10 카스퍼스키 포르투칼 홈페이지, SQLi 취약점으로 해킹돼!
최근 유명한 회사 또는 보안에 관련된 기업에 대한 해킹이 만연해 있으며, 이를 둘러 싸고 다양한 해커들이 인터넷 상에 해킹한 내용을 경쟁적으로 공개하고 있습니다.

Unu라는 루마니아 해커는 UN, 카스퍼스키, 잉카 인터넷 등 이름만 대면 알 수 있는 사이트들을 해킹한 바가 있습니다.


이와 함께 c0de.breaker라는 해커는 지난 번에 NASA(미항공우주국)의 일부 웹사이트를 해킹하여 관리자의 권한을 획득한 내용을 공개한 바가 있습니다.


지난 12월 초에 c0de.breaker는 실수로 카스퍼스키 포르투칼 홈페이지에 방문하여 카스퍼스키를 Unu라는 해커가 해킹한 사실을 떠올리며서 혹시 다른 취약점이 있는가 분석하여 5분만에 SQLi(SQL Injection) 취약점을 찾아 냈다고 합니다.

Warning: pg_exec() [function.pg-exec]: Query failed: ERROR: syntax error at or near "\" at character 306 in /home1/_sites/wwwkasperskycompt/kaspersky/PHP/IfDBRevendedoresKaspersky.phpclass on line 121
ERRO na execucao da query getRevendedors
ERROR: syntax error at or near "\" at character 306


웹사이트는 PHP언어로 개발되어 있으며, pg_exec() 함수가 포함되어 있으므로 이는 PostgreSQL 데이터베이스로 구성되었음을 확인할 수 있었다고 합니다.

SQLi 취약점을 알고 있다면 이를 통해 손쉽게 데이터베이스의 이름, 테이블, 필드 등의 정보를 손쉽게 빼낼 수 있습니다. 아래 화면은 URL의 매개변수 부분에 '1=1' 코드를 삽입하여 취약점을 제대로 찾아 냈는지 확인하는 과정입니다.


아래 화면은 매개변수의 값을 검사(Sanitization)하지 않아 데이터베이스 이름과 같은 중요한 정보를 노출하는 화면입니다.

카스퍼스키 포르투칼 홈페이즈는 SQLi 취약점을 통해 데이터베이스 이름과 사용자 이름, 라이선스 테이블 등의 정보를 노출된 것으로 보이며 자세한 사항은 아래 링크를 참고하십시오.

한편, c0de.breaker는 라이선스 정보와 같이 세부적인 정보까지 확인하지 않았다고 주장했습니다. 앞에서 언급한 바와 같이 시스템 정보, 데이터베이스, 테이블, 컬럼 이름만 공개했습니다.

하지만, 중요한 사실은 이러한 취약점을 해결하기 위한 업계의 노력이 매우 부족하다는 점입니다. 너무나도 쉽게 뚫리고, 또한 쉽게 해결할 수 있는 문제점을 그대로 둔다는 것은 보안으로 먹고 사는 회사의 올바른 모습이 아니라고 보입니다.

감사합니다.


 

reTweet
Posted by 문스랩닷컴
blog comments powered by Disqus


    Web Analytics Blogs Directory