February 9th, 2009

Касперского взломали

Некто, называющий себя unu, позавчера опубликовал на hackersblog.org рассказ о том, как он воспользовался уязвимостью на сайте http://usa.kaspersky.com и с помощью SQL-инъекции получил полный доступ ко всему содержимому всех баз данных в атакованной веб-системе. Впрочем, доказательств полного доступа он не предоставил.

В принципе, для компании нет ничего позорного в том, что на ее сайте обнаружена единичная SQL-инъекция. В веб-системах, работающих с базами данных, SQL-инъекция подобна переполнению буфера в обычной программе - такую ошибку очень легко допустить и очень трудно выявить. Даже крутейший и аккуратнейший программист в минутном помрачении рассудка легко может допустить подобный ляп.

Но беглый просмотр пострадавшего сайта показывает, что обнаруженная ошибка - вряд ли последняя в данной веб-системе. Вот, например, пара рабочих ссылок в недра интернет-магазина, расположенного на этом сайте:

https://secure.element5.com/esales/../esales/checkout.html?productid=300300793
https://secure.element5.com/esales/checkout.html?productid=300300793&%00fuck_fuck_fuck_epic_fail_насрать_в_руки_программистам_этого_сайта

Приведенные фокусы в данном контексте абсолютно безобидны, но от дальнейших медитаций на тему того, что и как фильтруется на этом чудесном сайте, я воздержусь.