Android

แฮ็กเกอร์เรียกร้องข้อผิดพลาด SQL บน Symantec Site

A day with Scandale - Harmonie Collection - Spring / Summer 2013

A day with Scandale - Harmonie Collection - Spring / Summer 2013
Anonim

แฮ็กเกอร์ชาวโรมาเนียที่ใช้เวลาสองสามสัปดาห์ที่ผ่านมาเผยให้เห็นข้อผิดพลาดในการเขียนโปรแกรมบนเว็บที่ผู้ใช้ทั่วไปพบว่ามีข้อบกพร่องเกี่ยวกับการฉีด SQL ในเว็บไซต์ของไซแมนเทค แต่ไซแมนเทคกล่าวว่าไม่ใช่ปัญหาด้านความปลอดภัย

อย่างไรก็ตามไซแมนเทคถูกบังคับให้ต้องดึงส่วนหนึ่งส่วนใดของเว็บไซต์ของ บริษัท ขึ้นเมื่อวันพฤหัสบดีที่หลังจากแฮ็กเกอร์ชาวโรมันชื่อ Unu อ้างว่าเขาพบข้อบกพร่องในเอกสารของไซแมนเทค Download Center ซึ่งเป็นส่วนที่ได้รับการป้องกันด้วยรหัสผ่านของไซต์ของ บริษัท ซึ่งคู่ค้าสามารถดาวน์โหลดเอกสารการขายสำหรับผลิตภัณฑ์ของ บริษัท ได้

ไซต์นี้เป็นสื่อการตลาดและไซแมนเทคกล่าวว่า บริษัท หรือข้อมูลลูกค้าไม่ได้เปิดเผยข้อมูล

[อ่านเพิ่มเติม: วิธีลบมัลแวร์ออกจากเครื่องพีซีที่ใช้ Windows PC ของคุณ]

"ไซแมนเทคได้ดำเนินการตรวจสอบเว็บไซต์โดยทันทีและได้พิจารณาแล้วว่าปัญหานี้ไม่ใช่ความเสี่ยงด้านความปลอดภัย" บริษัท กล่าวในแถลงการณ์เมื่อวันพฤหัสบดี "ปรากฏว่าบุคคลที่รายงานว่ามีพื้นฐานจากรายงานข้อความแสดงข้อผิดพลาด"

ตัวแทนของ Symantec ไม่สามารถแสดงความคิดเห็นในเรื่องนี้ได้ แต่ที่แย่ที่สุดปัญหาคือความลำบากใจของไซแมนเทคซึ่งเป็นที่รู้จักกันดีที่สุดในโลก ผู้จำหน่ายระบบรักษาความปลอดภัยคอมพิวเตอร์ "ประชดของสถานการณ์ก็คือมันทำมาแล้ว … หน้าเว็บที่ส่งเสริมผลิตภัณฑ์รักษาความปลอดภัยเช่น Norton AntiVirus 2009 และ Norton Internet SECURITY" Unu เขียนในบันทึกย่อของเขาอธิบายปัญหา "สิ่งที่ฉันสามารถพูดได้: การโฆษณาที่ดี"

ในการโจมตีแบบ SQL injection แฮ็กเกอร์ใช้ประโยชน์จากข้อบกพร่องในโปรแกรมเว็บที่สืบค้นฐานข้อมูล SQL ประเด็นคือการหาวิธีเรียกใช้คำสั่งภายในฐานข้อมูลและเข้าถึงข้อมูลที่ได้รับการป้องกันตามปกติ

ข้อบกพร่องเหล่านี้ถูกนำมาใช้ในการโจมตีทางเว็บอย่างแพร่หลายซึ่งทำให้อาชญากรสามารถวางโค้ดที่เป็นอันตรายลงในเว็บไซต์หลายพันแห่งผ่านทาง ในปีที่ผ่านมา

ตามคำอธิบายของ Unu ในเรื่องนี้ไม่ชัดเจนว่าเขาพบข้อบกพร่องของ SQL injection ที่ถูกกฎหมายหรือไม่ Robert Hansen ซีอีโอของ SecTheory ซึ่งเป็นที่ปรึกษาด้านความปลอดภัยของเว็บกล่าว "เขาอาจจะถูกต้องนี่อาจเป็นเรื่องการฉีด SQL แต่อย่างนั้น" เขากล่าว บางทีอาจเป็นเพราะ [sales materials] เป็นประโยชน์กับผู้บุกรุก แต่ฉันสงสัย "

ไม่นานมานี้ Unu พบปัญหาที่คล้ายคลึงกันในเว็บไซต์ของ Kaspersky Lab รวมถึงเว็บไซต์คู่ค้าของ BitDefender, และในเว็บไซต์ F-Secure

การโจมตีได้เปิดเผยข้อมูลที่ผู้ขายต้องการปกป้องเช่นที่อยู่อีเมลของลูกค้ารหัสการเปิดใช้งานผลิตภัณฑ์และข้อมูลการวิจัย แต่ไม่ใช่ข้อมูลทางการเงิน

"ในขณะที่ การโจมตีเป็นสิ่งที่เราต้องเรียนรู้และชี้ให้เห็นถึงสิ่งที่เราต้องปรับปรุงไม่ใช่แค่จุดจบของโลก "F-Secure เขียนไว้ในบล็อกโพสต์แสดงความคิดเห็นในเรื่องนี้ ในการโจมตีด้วย F-Secure แฮ็กเกอร์สามารถเข้าถึงสถิติที่ บริษัท เก็บซอฟต์แวร์ที่เป็นอันตรายได้