Drzý hacker prodává na webu přístup k armádním a vládním serverům. Mezi weby, které jeho hackerskému umění údajně neodolaly, jsou nejen americké, ale také italské, albánské nebo tchajwanské oficiální stránky. Informaci přinesla bezpečnostní společnost Imperva. Ukázal tak, že mnoho společností a institucí má stále stránky jen velmi chatrně zabezpečeny.
Neznámý útočník nabízí přístup k stránkám amerických, italských nebo albánských institucí
Důležité stránky nabízí neznámý útočník za 500 dolarů (zhruba 9 000 Kč), méně důležité za stovku. Kromě toho prý slibuje, že za dva dolary vyzkouší standardní útok (pravděpodobně pomocí XSS, SQL injection, slovníkový útok apod.) na libovolný server. Za dvacet dolarů také nabízí tisíc řádků z hacknutých databází, které údajně obsahují citlivé osobní údaje.
Brian Krebs, odborník na bezpečnost, dříve blogující pro The Washington Post, se domnívá, že je to reálná nabídka: "V době, kdy se mluví o cyberválce a dalších velkých hrozbách, je jednoduché zapomenout na staré a malé hrozby. To ale nemůže omluvit správce amerických armádních serverů, kteří nezabezpečili své stránky proti primitivním útočným skriptům."
Jak se bránit SQL injekcím a XSS
Obrana proti standardním útokům není obtížná, jen musí být zcela důsledná. Obrazně řečeno, nestačí zabezpečit jen vstupní dveře, ale také všechna okna, světlík na záchodě a komín.
SQL injectionSQL injekce spočívají v podvržení SQL dotazu, který je vložen skrze běžný uživatelský vstup. Místo vyhledávání na webu tak pomocí speciálních znaků ("escape" znaků) spustíte téměř libovolný dotaz. Například přidáním a'; DROP TABLE "articles"; může dojít ke spuštění dotazu na databázi, který má za následek smazání celé tabulky "articles". |
Obrana spočívá v ujištění se, že žádný uživatelský vstup nebude nikdy vložen přímo do SQL dotazu, aniž by napřed neprošel kontrolou. V principu stejným způsobem je možné zabránit XSS (Cross-site scripting).
Většina hotových administračních systémů pro správu obsahu nebo frameworků nabízí dobrou ochranu proti těmto standardním útokům. Problém zřejmě nastává především s na míru vyvíjenými systémy, které zůstanou neudržované po svém uvedení do provozu.
