sql injection

Přímému zabezpečení databází se v současnosti věnuje jen málokterá společnost. Často lze totiž slýchat, že nás se ohrožení databáze netýká, neboť databáze je schovaná za hradbou zabezpečení perimetru a dalších bezpečnostních technologií. Realita je ale úplně jiná…

Přímému zabezpečení databází se v současnosti věnuje jen málokterá společnost. Často lze totiž slýchat, že nás se ohrožení databáze netýká, neboť databáze je schovaná za hradbou zabezpečení perimetru a dalších bezpečnostních technologií. Realita je ale úplně jiná…

Více než milion webových stránek, které běží na platformě WordPress, je vystavených potenciálním útokům hackerů, kteří zneužívají zranitelnost v doplňku zvaném WP-Slimstat.

Na bezpečnostní konferenci Black Hat Europe padla řada zajímavých postřehů mapujících nejnovější trendy v ochraně dat.

23letý student byl obviněn, že použil techniku označovanou jako SQL injection k proniknutí do databáze Sony Pictures.

Incidenty, při nich se obětí útoku stane přímo firma nabízející zabezpečení, jsou samozřejmě pro svou paradoxnost populární. Nedávno došlo k narušení u RSA/EMC a jednoho z prodejců SSL certifikátů firmy Comodo, útok na Barracuda Networks spadá do podobné kategorie.

Společnost WebSense uvádí, že řadu internetových serverů zasáhl masivní útok provedený metodou SQL injection. Postiženo má být už asi 380 000 webů, jejich počet ale stále roste, takže konečné číslo se může blížit i milionu.

Společnost McAfee vydala svoji pravidelnou analýzu Threats Report (Zpráva o hrozbách). Z dat pro 4. čtvrtletí roku 2010 vyplývá nárůst hrozeb pro mobilní platformy. Loni byl v meziročním srovnání zaznamenán 46% růst počtu nových vzorků mobilního malwaru.

Společnost McAfee uzpozorňuje na útok Nigh Dragon. Jedná se o koordinovanou a přesně cílenou akci, která směřuje proti globálním společnostem působícím v oblasti těžby ropy, petrochemického průmyslu a energetiky.

Bude sociální síť Diaspora z hlediska ochrany důvěrných informací ještě problematičtější než Facebook? Mohla by se osobní data postupně „rozpouštět“? Pozná teroristu s větší úspěšností člověk nebo software?

Od konce 90. let a po celou poslední dekádu se v oblasti internetové bezpečnosti lze setkávat s fenoménem SQL injection – SQL injektáž. Jedná se o útok na aplikaci cílený na databázovou vrstvu, jehož cílem je propašovat (injektovat) do aplikace fragment SQL příkazu.

Nově nainstalovaný firewall odhalil pokusy o vykrádání webu naší konkurencí. Kdo ví, jak dlouho to probíhalo...

Známý bezpečnostní výzkumník Dan Kaminski založil start-up Recursion Ventures. Firma by měla nabídnout především bezpečnostní nástroje určené pro webové vývojáře. První z produktů, Interpolique, má kontrolovat, zda aplikace není zranitelná přes útoky cross-site scripting nebo SQL injection.

Analýza společnosti Trustware ukazuje, že za velkou většinu narušení nemohou chyby zero day, ale staré, dobře známé zranitelnosti, které se však správci firemní infrastruktury neobtěžovali odstranit.

Podle průzkumu společnost Cenzic se 80 % z asi 3 000 softwarových zranitelností zjištěných v tomto roce nějak vztahuje k používání webu. Není tedy divu, že útoky z webu jsou dnes nejčastějším vektorem, jimž se do počítače dostává malware.

Podle společnosti WebSense se asi 40 000 webových serverů stalo obětí útoku SQL injection. Útočníkům se do jejich zdrojových kódů podařilo vložit JavaScript, který návštěvníky přesměruje na weby podvodníků.

Rumunský hacker používající jméno Unu tvrdí, že objevil chybu na webu Symantecu umožňující útok SQL injection, firma to ale popírá. Podle Symantecu o žádný bezpečnostní problém nešlo.

Společnost Kaspersky Labs potvrdila, že její databáze zákazníků byla přístupná pro eventuální útočníky.

Velkým problémem zabezpečení firemních webů je dnes skutečnost, že zabezpečení bývá do systému přidáváno až doddatečně. Ve fázi návrhu se mezi jednotlivými částmi webových aplikací nevytvářejí potřebné bariéry a mechanismy pro kontrolu přenášených dat.

Podle výsledků výroční zprávy IBM X-Force se společnosti nechtěně stávají hlavní bezpečnostní hrozbou pro své klienty. Zranitelnost webových aplikací je Achillovou patou zabezpečení podnikového IT.

Skupina expertů, v níž byli mj. zástupci ministerstva vnitra USA, americké bezpečnostní služby NSA či firem Microsoft a Symantec, zveřejnila studii, podle níž je většina útoků proti serverům umožněna existencí několika dobře známých a mnohokrát zdokumentovaných programátorských chyb.

Chyba se týká procedury sp_replwritetovarbin. Zneužití je možné i vzdáleně přes SQL injection.