Tema: 500.000 Microsoft Web servers hackeados

jajajaja

500k!?

Gracias... agregando al proxy.

Alguna pagina chilena conocida que este en las condiciones descritas??

me acuerdo de la cara de marcel y el letrero de microsoft al lado

Me acuerdo que la otra vez estaba haciendo un sistema, pero tomé especiales precauciones con la inyección SQL, quitando antes de hacer la consulta todos aquellos elementos típicos de una consulta SQL: la comilla simple, la doble, el ampersand y las palabras WHERE y AND. Claro, no podría haber un nombre de usuario que contuviera espacio-WHERE-espacio o espacio-AND-espacio, pero para un sistema que no iba a tener más de 25 usuarios no importaba, importaba más la seguridad... Otra medida que tomamos fue que en todos los campos no se podían poner más de 20 caracteres.

Saludos !!

Me parece pésimo por parte de la siute de servicios web de Microsoft esta vulnerabilidad/característica. Sin embargo, quiero destacar algo:

que les permite realizar el ataque sin conocer los nombres de las tablas o campos en las bases


El poder acceder a todas las tablas del sistema sin conocer sus nombres o campos no es una debilidad sino más bien una característica de MSSql, Oracle, MySql y probablemente todas las demás RDBMS. El problema, entonces, no es el poder llegar a todas las tablas y campos sin conocer sus nombres, sino más bien el poder ejecutar código malicioso en la RDBMS con un usuario muy poderoso (root para MySql, o System/Sys para Oracle).

Bueno, eso. Igual pésimo lo que pasó. O sea, uno, dos, cien o mil hackeos pueden atibuírse al desarrollador, pero 500 mil son por culpa del producto.

wuajajajja, que se cambien a linux !!!!

Iniciado por Zuljin

Me parece pésimo por parte de la siute de servicios web de Microsoft esta vulnerabilidad/característica. Sin embargo, quiero destacar algo:

que les permite realizar el ataque sin conocer los nombres de las tablas o campos en las bases


El poder acceder a todas las tablas del sistema sin conocer sus nombres o campos no es una debilidad sino más bien una característica de MSSql, Oracle, MySql y probablemente todas las demás RDBMS. El problema, entonces, no es el poder llegar a todas las tablas y campos sin conocer sus nombres, sino más bien el poder ejecutar código malicioso en la RDBMS con un usuario muy poderoso (root para MySql, o System/Sys para Oracle).

Bueno, eso. Igual pésimo lo que pasó. O sea, uno, dos, cien o mil hackeos pueden atibuírse al desarrollador, pero 500 mil son por culpa del producto.

Iniciado por apo

wuajajajja, que se cambien a linux !!!!

¿¿¿ Sabes leer ???
Fíjate bien . . .

apache >>>>>>>>>IIS

:fatality

lighty FTW

Mhhh... no he trabajado mucho con otros web servers, pero si pasa en el IIS debería pasar también en Apache y los demás o me equivoco ?

que increible, y pensar que aún así hay gente que cree que en este tipo de errores, la responsabilidad es del desarrollador web..

eso bien pdoria pasar el otros servers por lo que leo de zuljin no?

Microsoft

Iniciado por galansinchance

que increible, y pensar que aún así hay gente que cree que en este tipo de errores, la responsabilidad es del desarrollador web..

En realidad la primera responsabilidad es del arquitecto de la empresa o en su defecto del jefe del desarrollador, éste tema se debe abordar como normativa del equipo de desarrollo

Iniciado por ricm

eso bien pdoria pasar el otros servers por lo que leo de zuljin no?

Iniciado por DarkSpy2

Mhhh... no he trabajado mucho con otros web servers, pero si pasa en el IIS debería pasar también en Apache y los demás o me equivoco ?

no, pq esa inyección SQL que se hace, se hace aprovechando una vulnerabilidad de ASP, que corre exclusivamente sobre IIS, en su control para subir archivos (bueno, en este caso, una inyección SQL)

Saludos !!

Iniciado por ricm

eso bien pdoria pasar el otros servers por lo que leo de zuljin no?

No necesariamente. Estos hackeos estarían explotando pifias de ASP, IIS y corriendo un procedimiento de base de datos que probablemente esté hecho a le medida de MSSQL (ya que me imagino que MSSQL es el RDBMS más común entre los servicios web basados en Microsoft).

Iniciado por ricm

eso bien pdoria pasar el otros servers por lo que leo de zuljin no?

depende del nivel de seguridad del sitio y de las caracteristicas del DBMS, ahora lo que me pregunto es el como lograron mediante una inyeccion SQL obtener privilegios de root System/Sys/sysadmin para ejecutar el código malicioso..