SQLインジェクション＠セキュリティ板
■ このスレッドは過去ログ倉庫に格納されています
0001名無しさん＠お腹いっぱい。
2008/07/03(木) 20:58:460002名無しさん＠お腹いっぱい。
2008/07/03(木) 20:59:26http://mamono.2ch.net/test/read.cgi/newsplus/1215043341/
0003名無しさん＠お腹いっぱい。
2008/07/03(木) 21:37:120004名無しさん＠お腹いっぱい。
2008/07/03(木) 21:42:560005名無しさん＠お腹いっぱい。
2008/07/09(水) 22:08:14http://news24.2ch.net/test/read.cgi/bizplus/1215587635/
0006名無しさん＠お腹いっぱい。
2008/07/09(水) 22:08:47米国の情報セキュリティー調査機関ＳＡＮＳインスティテュート（本部：ワシントンＤＣ）
の調べで分かった。
アンケートや認証画面などの入力フォームから侵入し、企業内のアプリを改ざんしたり、
データベースから顧客情報を抜き取るといった手法。これまではＯＳ（基本ソフト）や
文書作成ソフトなどが攻撃対象とされてきたが、企業が社内で使うアプリケーションソフト
にも、サイバー犯罪の魔の手が伸びているといえそうだ。
ＳＡＮＳインスティテュートは７月１日と２日、技術者らを対象に東京都内で講演会を
開催。アラン・パーラー代表らが、記者説明会で、同機関が運営する警告システム
「インターネット・ストーム・センター」により、データのバックアップソフトや、
企業向けにカスタマイズされたアプリケーションなど、企業が社内で使うソフトを狙った
新しいタイプの攻撃が見つかったことを明らかにした。
５月に起きたのは「ＳＱＬインジェクション」と言われる攻撃。
ＳＱＬはウェブアプリケーションが使うコンピューター言語で、ウェブの入力画面と
内部データとの間でＩＤ、パスワードや顧客情報などをやり取りしている。
「ＳＱＬインジェクション」は、通常はＩＤなどを入力するフォームからコマンド
（コンピューターへの命令）を入力してＳＱＬを使った内部のやり取りを細工する。
利用者のクレジットカード情報を持っているショッピングサイトなどが狙われやすい
という。このとき被害にあったサイトでは、データが盗まれただけでなく、サイト訪問者の
パソコンにキー入力監視ソフトを仕掛けるプログラムを仕込まれた。
当初は「オンラインゲームのパスワードが盗まれるだけ」だったため、企業関係者は
ほとんど心配していなかったという。しかし６月中旬、利用者のキー入力情報が盗まれて
おり、銀行口座にアクセスすると口座情報が流出することが分かった。
なぜ、これほど多数のサイトが被害にあったのか。同機関が約３万サイトをランダムに
抽出して分析したところ、４分の１以上で「ＳＱＬインジェクション」の
脆弱（ぜいじゃく）性が見つかった。
0007名無しさん＠お腹いっぱい。
2008/07/09(水) 22:09:19は５月、注意喚起を発表。オンライン楽器販売店で４月、計約１０万人の顧客情報流出が
分かったほか、ＩＰＡ自体への攻撃回数も、３月の４件から、４月は２９件と増えた。
６月はさらに多いという。さらに、脆弱性があるかもしれないとＩＰＡに通報された
ウェブサイトとソフトウエア累計２０００件のうち、約３割がＳＱＬインジェクションの
脆弱性を持っていた。ＩＰＡでは急増について、簡単なツールが開発されたのではないか
と推測する。
一方、バックアップソフトが狙われるケースについて、パーラー代表は、企業内システムに
無線で侵入して金銭を詐取した事例を挙げ、「社内で使っているソフトでもネットワークに
つながっていればポート越しに情報を盗むことはできる」と説明した。
パーラー代表によると、「攻撃者がウェブサイトを勝手に書き換えられることを示して
企業を恐喝する事件も起きている。米国では特にオンラインカジノが狙われるケースが
多く、要求に応じてしまう」状況だ。
ソースは
http://mainichi.jp/select/wadai/news/20080709mog00m040015000c.html
■ このスレッドは過去ログ倉庫に格納されています