Новые способы взлома сайтов

02 августа 2007 12:47


Специалисты компании Core Security Technologies нашли новый способ атаки коммерческих баз данных, при помощи которой злоумышленники смогли бы получить закрытую информацию, даже если в самой системе управления базами данных нет уязвимостей.

 

При этом специалисты использовали «атаку тайминга», способ взлома большинства криптографических систем. Новая атака эффективно работает против алгоритма Btree, используемого для создания индексов почти во всех популярных СУБД, например в MySQL или Oracle.

 

Новый тип атак полностью полагается на наследственные характеристики алгоритмов индексирования данных. Технология атаки анализирует время, затраченное программой на выполнение криптографического алгоритма. При помощи статистических данных о скорости работы выполняемых алгоритмов хакер и получает информацию о том, какой алгоритм используется. Затем злоумышленнику достаточно обнаружить готовые эксплоиты для связки алгоритм шифрования – программа шифрования.

 

В случае с базами данных подход тот же. Злоумышленник, желающий получить закрытые данные с какого-либо сайта, заходит на него, после чего производит тестовые замеры время выполнения команды Insert, отвечающей за добавление данных в БД. Сделать это можно массой способов, например, написав в форуме сайта сообщения различной длины. Далее сравниваются данные вставки малого и большого объема данных. В результате временных замеров (тайминга) у злоумышленника появляются данные об используемой СУБД и ее версии.





BuShaRt , Калининград 16 сентября 2007 14:00
Детский сад. Особенно понравилась уверенеия, что так можно взломать любую БД, в которой даже нет уязвимостей, а потом оказываеться, что надо самому еще найти эксплойт. Мля, о каких эксплойтах может идти речь, если в БД нет уязвимостей? Бред, полный, Core Security Technologies обеспечила себе серьезный антипиар для крупных фирм у которых есть нормальные сис-админы.
Termin@L 26 августа 2007 22:01
Ну скажем идея интересная и закрученная, тока вопрос в том как нам это поможет? Всё равно нужна уязвимость на сайте или сервере... А это поможет лишь при инвентаризации.

Обсудить материал (3)


Предыдущая статья

"Морда" Яндекса изменится?
Следующая статья

Google "обставил" Яндекс



Facebook продолжает борьбу за чистоту новостной ленты

Представители крупнейшей социальной сети сообщили об изменениях в формировании ленты новостей. Цель нововведений — улучшение качество материала, определение заголовков-приманок и удаление из ленты спама, фальшивых сенсаций. Программное обеспечение Facebook при отборе публикаций в новости будет анализировать материал и заголовок по двум дополнительным параметрам: если признаки того, что заголовок преувеличивает значимость информации или наоборот, скрывает ее. По словам инженеров соцсети. Они стремятся к точному определению спамных заголовков, нацеленных только на то, чтобы завлечь посетителя, заставить его кликнуть по сообщению.

 

Читать далее...

Интернет-провайдеры США устали бороться с пользователями-пиратами и сдались первыми

Шесть лет назад AT&T, Cablevision, Verizon, Time Warner и Comcast и другие интернет-провайдеры США совместно с MPAA, защищающей интересы кинокомпаний и RIAA, представляющей звукозаписывающие компании начали проект по борьбе распространением нелегального контента и пиратских копий музыки и видео посредством торрент-трекеров. Система предупреждения о нарушении авторских прав «Copyright Alert System» отслеживала факт загрузки пиратских копий определенным пользователем и отправляла ему предупреждение. Если абонент игнорировал эти сообщения, то после шестого предупреждения провайдер мог включить перенаправление некоторых запросов пользователя на специальный сайт или снизить скорость доступа в глобальную сеть.

 

Читать далее...

Уязвимость в старом веб-сервере от Microsoft создала угрозу множеству сайтов

Популярный, но уже не поддерживаемый разработчиками Microsoft Internet Information Services 6.0 по-прежнему широко используется для обеспечения работы миллионов сайтов. Хотя компания Microsoft прекратила поддерживать данный веб-сервер как и Windows Server 2003 еще два года назад, многие организации не стали обновляться и оставили свои веб-ресурсы работать на этом движке. Хотя можно понять нежелание переезжать на новый сервер (или покупать его) из-за отсутствия знаний или собственного администратора, теперь все это множество Интернет-ресурсов оказалось под угрозой взлома.

 

Читать далее...

Выпущена окончательная версия Microsoft Teams

После завершения тестирования Microsoft выпустила итоговую версию корпоративного интернет-мессенджера Microsoft Teams. В Нью-Йорке прошла презентация, на которой показано демонстрационное видео типичной ситуации использования нового продукта для организации эффективной работы. Это групповой чат для сотрудников и руководства с тесной интеграцией с офисными приложениями будет бесплатно включен в состав корпоративных версий Office 365. Все привыкли считать стандартом интернет-звонков и чатов Skype, но Slack был более подходящим для тех случаев, когда нужно проводить совещания, конференции с заказчиками и совместно решать деловые вопросы внутри компаний. Теперь софтверный гигант решил и в этой сфере обогнать конкурентов с помощью Microsoft Teams.

 

Читать далее...

CDN CloudFlare допустила утечку данных ее клиентов

Крупнейшая сеть доставки контента CloudFlare, специализирующаяся на ускорении загрузки сайтов и защите от DDoS атак объявила об обнаружении и устранении серьезной уязвимости в системе безопасности. Результатом этой дыры стала утечка данных клиентов, подключивших свои сайты к одной из услуг CloudFlare. Особенностью данной проблемы является то, что пострадали очень крупные сайты, так как небольшим ресурсам услуги CDN CloudFlare как правило недоступны. В список ресурсов, оказавшихся в опасности (но с неподтвержденной компрометацией данных) вошли такие сайты как uber.com, yelp.com, glassdoor.com, 1password.com, upwork.com, namecheap.com, 4pda.ru и еще более 1200 сайтов входящих в TOP 10000 Alexa.

 

Читать далее...

Теперь ФБР будет иметь доступ ко всей информации Google, даже по иностранцам

Крупнейшие компании в сфере ИТ  давно и активно сопротивляются попыткам американских и других властей получать доступ к любой, интересующей их приватной информации. На этот раз в столкновение Google и ФБР вмешался мировой судья Томас Райтер из Филадельфии. Своим решением судья обязал Google предавать по запросам ФБР содержимое электронной почты и другую информацию, даже если она хранится за пределами США. Данный спор возник в рамках расследования мошенничества, которое ведет ФБР. По мнению судьи, хотя данное решение и создает  возможность вмешательства в частную жизнь, нарушение прав владельца учётной записи  не является серьезным и раскрытие преступления важнее. 

 

Читать далее...

Защищенная почта PronotMail теперь открыла специализированный сайт в сети Tor

Почтовый сервис PronotMail, специализирующийся на предоставлении услуг защищенной от перехвата электронной почты, создал отдельный сайт для доступа через анонимную сеть Tor. «Луковичный» портал должен помочь пользователям ПротонМейл обходить блокировки, устанавливаемые в интернет провайдерами по указаниям властей и поможет защититься от цензуры. Швейцарская компания Proton Technologies создала сайт protonirockerxow.onion, который поможет двум миллионам пользователей почтового сервиса обходить государственную цензуру и ограничения. 

 

Читать далее...

Amazon намерена получить патент на склады-дирижабли

Американский лидер интернет-торговли, компания Amazon уже удивляла публику своими высокотехнологичными инициативами, например доставку посылок с помощью беспилотных летательных аппаратов. Однако интернет-гигант намерен и дальше совершенствовать логистику и методы быстрой доставки покупок своим пользователям. Подтверждением этому стала новая заявка на патент, поданная Amazon. Американская компания намерена создать AFC «воздухоплавательные центры исполнения заказов», то есть, огромные летающие склады, размещенные в дирижаблях. 

 

Читать далее...



Приглашаем все магазины цифровой и портативной техники разместить у нас свои прайс-листы.
Вы можете зарегистрироваться прямо сейчас, ознакомившись с правилами участия и заполнив предложенную форму.

Вход для магазинов