$>
you're reading...
Netzwelt

Cracker bietet geknackte Webseiten zum Verkauf an


Forums and Minerals, the new Internet tools

Image via Wikipedia

Cracker haben wichtige Domain-Seiten (gov, mil, edu) geknackt und zum Verkauf angeboten. Die Experten des Sicherheitsunternehmens Imperva stießen offenbar auf ein verlockendes Angebot. Die Preise beliefen sich zwischen 33 und 249 Dollar. Besonders schwer war das knacken der Seiten nicht, da oft bei so etwas Tools zum Einsatz kommen die keinerlei Kenntnisse erfordern. Meistens werden solche Tools von den sogenannten „Script-Kiddies“ eingesetzt. Das sind Personen die in den meisten Fällen keinerlei Programmiererfahrung besitzen. Die Motivation solcher Menschen ist das Geld was sie dabei verdienen können.

Neben den US-Regierungsseiten wurden auch italienische Seiten zum Verkauf angeboten. Der Angriff fand durch das sog. SQL-Injection statt. Dabei werden Sicherheitslücken des Datenbankservers ausgenutzt um Zugriff auf das System zu erlangen.

Besonders peinlich war für die US Regierung das Cracker Vollzugriff auf das  Cecom (Communications-Electronics Command) der US Army erlangt hatten. Diese Abteilung wurde eingerichtet, um IT- und Kommunikationssysteme für den Gefechtsbereich zu entwickeln

 

Beispiele für SQL-Injektions:

–          Zugriff auf Root-Ebenen (volle Rechte also Admin-Rechte)

–          Zugriff auf Daten für die keine Berechtigung vorhanden ist

–          Daten in der Datenbank werden verändert

–          Einrichten einer Shell (Kommandozeile)

Arten von SQL Angriffen:

First Order Attack:

–          Eine bestehende Anweisung um eine zweite Anweisung auszuführen

–          Hinzufügen einer Anweisung als zweite Abfrage

–          Abfangen eine Anweisung um einen bestimmten Zustand zu erreich z.B. OR 1=1

Second Order Attack:

–          Nehmen wir mal an, du hast eine Web-Applikation die bei einer Sitzung den Benutzernamen und andere Informationen als Cookie zwischenspeichert. Diese Sitzungs-ID wird beim Aufrufen mit dem Cookie aufgerufen und kann wie folgt beim „refresh“ abgefangen werden:

–          execute immediate ‚SELECT username FROM sessiontable WHERE session
=“’||sessionid||““ into username;

execute immediate ‚SELECT ssn FROM users WHERE
username=“’||username||““ into ssn;

Lateral SQL Injektion:

–          Bei diesem Angriff werden keinerlei Benutzereingaben benötigt. Das geschieht mittels einer PL/SQL-Prozedur die eine SQL-Anweisung so verkettet, das die Funktion wie TO_CHAR (), mittels NLS_DATE_FORMAT oder NLS_NUMERIC_CHARACTERS manipuliert werden kann.

Diese Beispiele erfordern selbstverständlich Programmierkenntnisse im weiteren Sinne. Wie oben besprochen verwenden die meisten Cracker allerdings Hilfsprogramme die genau solche oder ähnliche Aufgaben erfüllen um ein System zu Testen und zu überwinden.

Um solche Angriffe zu verhindern oder zu reduzieren, muss der Quellcode „sauber“ programmiert sein und vor einem Einsatz ausgiebig getestet werden.

Quellen:

Spiegel Online

Imperva

-sem
Creative Commons Lizenzvertrag
Diese(s) Werk bzw. Inhalt von sem steht unter einer Creative Commons Namensnennung-Weitergabe unter gleichen Bedingungen 3.0 Unported Lizenz.

Schreibe einen Kommentar

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s

Member of The Internet Defense League

Kalender

Januar 2011
M D M D F S S
« Dez   Feb »
 12
3456789
10111213141516
17181920212223
24252627282930
31  

Kategorien

Archiv

Legal Guide For Bloggers

Bloggers' Rights at EFF

Interessantes

Link Anonymizer

Independent Tests of Antiv-Virus Software

BSD Aktuell

Hacker News

Blog Stats

  • 262,728 hits

Haftungsausschluss

disclaimer

%d Bloggern gefällt das: