Διαρροή κωδικών πρόσβασης της ιστοσελίδας του γνωστού ειδησεογραφικού portal star.gr κοινοποιήσε με μήνυμα του στο SecNews o hacker με το ψευδώνυμο “Mr.madd0x”.
Συγκεκριμένα ο επιτιθέμενος κατόρθωσε να πραγματοποιήσει SQL Injection επίθεση, με αποτέλεσμα να αποκτήσει πρόσβαση στην βάση δεδομένων της ιστοσελίδας και να αντλήσει κωδικούς διαχειριστή και...
χρηστών σε κρυπτογραφημένη μορφή. Η χρησιμοτητα των κωδικών αυτών δεν αποσαφηνίζεται στο μηνυμα που στάλθηκε προς το SecNews. Επίσης δεν επιβεβαιώνεται κατα πόσο οι συγκεκριμένοι κωδικοι έθεσαν σε κίνδυνο την ιστοσελίδα μιας και δεν διαπιστώθηκε χρήση τους για αλλοίωση του ιστοχώρου. Σύμφωνα με την ανακοίνωση του hacker η επίθεση έλαβε χώρα στις 16/8/2011.
Η συγκεκριμένη ανάρτηση στο pastebin απο τον εισβολέα φαίνεται παρακάτω:
Σε αυτό το σημείο πρέπει να αναφερθεί οτι η συγκεκριμένη επίθεση δεν οφειλόταν σε κάποιο λάθος των διαχειριστών της ιστοσελίδας του STAR ή κάποια λανθασμένη παραμετροποίηση απο μέρους τους. Ο hacker εκμεταλεύτηκε αδυναμίες του λογισμικού διαχείρισης της ιστοσελίδας (INCOM CMS) που χρησιμοποιείται απο σημαντικό αριθμό ιστοσελίδων. Στο συγκεκριμένο λογισμικό έχουν ανακαλυφθεί σημαντικές αδυναμίες που δίνουν την δυνατότητα σε hackers να αντλούν με την μέθοδο SQL Injection δεδομένα των εσωτερικών βάσεων. Οι συγκεκριμένες αδυναμίες έχουν χρησιμοποιηθεί και στο παρελθόν για αντίστοιχα χτυπήματα που μπορείτε να δείτε εδώ και εδώ και χρησιμοποιούσαν το συγκεκριμένο λογισμικό διαχείρισης.
Σε σύντομη δήλωση του προς το SecNews ο “Mr.madd0x” ,που ανέλαβε την επίθεση για την συγκεκριμένη διαρροή κωδικών, ανέφερε ότι “Για άλλη μια φορά αποδυκνείεται η αδυναμία των Ελληνών web developers να δημιουργήσουν ασφαλείς εφαρμογές. 100% ασφαλείς εφαρμογές δεν υπάρχουν φυσικά. Είναι αδιανόητο να μην λαμβάνονται τα απολύτως απαραίτητα μέτρα απο τις εταιρείες ανάπτυξης λογισμικού θέτοντας σε κίνδυνο και εκθέτοντας τα δεδομένα των πελατών τους.” καταδυκνείοντας την ευθύνη για την συγκεκριμένη επίθεση στους δημιουργούς του συγκεκριμένου λογισμικού διαχείρισης.
Η συντακτική ομάδα του SecNews ευχαριστεί τον αποστολέα της ανώνυμης πληροφορίας για την έγκαιρη και έγκυρη ενημέρωση.
Από secnews
0 σχόλια:
Δημοσίευση σχολίου