Innbrudd hos Microsoft

[abene]

Microsoft opplevde i forrige uke at nettsiden microsoft.co.uk ble manipulert med "SQL injection".

Les mer

[Squeegie]

http://lezr.com/videos/id/9 Endret 5. juli 2007 av Squeegie

[Bruktbilen]

Fint at Microsoft ikke sjekker de mest åpenbare svakhetene på websider, lurer på hva annet de har glemt i software... Oh det stemmer, det vet vi jo.

Endret 4. juli 2007 av Bruktbilen

[nilberg]

Har linken til videoen. Den ligger påyoutube, men er for dårlig kvalitet.

9001595[/snapback]

Og jeg har en link til en artikkel om det, men jeg syns den er for dårlig skrevet...

[Boralis]

Ser de fleste er snare med kritikk når det gjelder microsoft, men det er jo et utrykk som sier: "Den man elsker den tukter man" :!: :!:

[Langbein]

Ser de fleste er snare med kritikk når det gjelder microsoft, men det er jo et  utrykk som sier: "Den man elsker den tukter man"  :!:  :!:

9001848[/snapback]

Har du tatt på deg fanboy-brillene dine igjen nå, Snekker'n? Jeg kan bare se ett av flere innlegg som er kritiske til Microsoft, men med de paranoide brillene dine ser du kritikk overalt?

 

Ellers er det vel ikke så rart at Microsoft blir eid - de har jo skrytt av hvor smertefri overgangen til Windos Server 2008 var på webserverne sine

Endret 4. juli 2007 av Langbein

[Boralis]

Ser de fleste er snare med kritikk når det gjelder microsoft, men det er jo et  utrykk som sier: "Den man elsker den tukter man"  :!:  :!:

9001848[/snapback]

Har du tatt på deg fanboy-brillene dine igjen nå, Snekker'n? Jeg kan bare se ett av flere innlegg som er kritiske til Microsoft, men med de paranoide brillene dine ser du kritikk overalt?

 

Ellers er det vel ikke så rart at Microsoft blir eid - de har jo skrytt av hvor smertefri overgangen til Windos Server 2008 var på webserverne sine

9001882[/snapback]

 

Eller ca 25%

Synd at enkelte ikke tåler en fleip uten å måtte stemple andre som fanboy eller lignende

[QBab]

Ikke at jeg har så mye peiling på SQL, men jeg syns det er ganske utrolig at ikke alle store sider er sikret mot den slags angrep. SQL injections er jo en av de mest vanlige måtene og angripe på.

[robgar]

De er nok sikret, dog til ulik grad av sikkerhet. Samt at hackerne finner nye metoder for å bryte barierer (såkalte sikkerhets hull).

[Gjest Slettet+9871234]

ord delings feil er og så ein måte å bryte seg inn på eit nett verk. Trygg leik hol finns i alle programmar, er berre at Linus' lov funkar ganske godt. Eg trur det er ein grunn til at dei fleste kjøyrer apache tenarar.

[QBab]

haha :!:

torswin har tydeligvis fått orddelingsfeil langt opp over ørene.

Endret 4. juli 2007 av QBab

[Langbein]

haha  :!:

torswin har tydeligvis fått orddelingsfeil langt opp over ørene.

9003137[/snapback]

Now playing: "Bare Egil - Ved Rørende Norske Rett Skrivings Regler"

[YoYo]

Ikke at jeg har så mye peiling på SQL, men jeg syns det er ganske utrolig at ikke alle store sider er sikret mot den slags angrep.

9002478[/snapback]

 

Det er da en måte å si det på. Men det er sjelden størrelsen på en side som bestemmer sikkerheten. Det vel heller viktigheten av informasjonen som er der. microsoft.co.uk er i utgangspunktet veldig lite viktig, så det er strengt tatt ikke så farlig for sikkerheten. Men flaut er det jo

Spesielt når en av hoved artiklene på siden nå er "Protect customer information: Great tips on Data protection"

 

Anngående angrepsformen så er denne ganske vanlig ja. Injection angrep er det veldig mange systemer som er sårbare for, og ofte med god grunn. Det er rett og slett fryktelig enkelt å glemme å sikre input alle steder.

[Bolson]

At nettsider blir "hacket" med SQL-injection forteller enkelt og greit at det er gjort en fundamental feil sikkerhetsmessig i hvordan spørringer mot databasen er laget. Vanligvis fordi det er laget direkte spørringer uten gode nok sjekk, i stedet for å gå via ulike former for "stored procedures" og forhåndsdefinerte API med solid sjekking.

 

Nå er det vel ingen språk/løsninger og databaser som er helt sikre mot dette, så lenge utviklere tar snarveier og glemmer fundamentale regler.

 

Men jeg synes det er alvorlig at MS med så store utviklermiljø ramler i denne fella, som faktisk er relativt enkel å sikre seg mot.

[Langbein]

At nettsider blir "hacket" med SQL-injection forteller enkelt og greit at det er gjort en fundamental feil sikkerhetsmessig i hvordan spørringer mot databasen er laget. Vanligvis fordi det er laget direkte spørringer uten gode nok sjekk, i stedet for å gå via ulike former for "stored procedures" og forhåndsdefinerte API med solid sjekking.

Det sier kanskje noe om Microsofts bruk av ASP? (Tar et lite forbehold her, da ASP overhode ikke er mitt område)

[tjomi]

At nettsider blir "hacket" med SQL-injection forteller enkelt og greit at det er gjort en fundamental feil sikkerhetsmessig i hvordan spørringer mot databasen er laget. Vanligvis fordi det er laget direkte spørringer uten gode nok sjekk, i stedet for å gå via ulike former for "stored procedures" og forhåndsdefinerte API med solid sjekking.

Det sier kanskje noe om Microsofts bruk av ASP? (Tar et lite forbehold her, da ASP overhode ikke er mitt område)

9003394[/snapback]

 

Det sier noe om personene som lagde sia, ikke ASP

[Langbein]

Det sier noe om personene som lagde sia, ikke ASP

9003554[/snapback]

Det var jo det jeg skrev - det er vel Microsoft som har laget sida også?

[sven-o]

Toppen av selvmotsigelse:

 

Ellers er det vel ikke så rart at Microsoft blir eid - de har jo skrytt av hvor smertefri overgangen til Windos Server 2008 var på webserverne sine

Det sier kanskje noe om Microsofts bruk av ASP?

Lyst til å oppgradere fra Windows? Prøv Ubuntu, OpenSUSE eller Fedora.

Har du tatt på deg fanboy-brillene dine igjen nå, Snekker'n?

 

[asbjornu]

ord delings feil er og så ein måte å bryte seg inn på eit nett verk. Trygg leik hol finns i alle programmar, er berre at Linus' lov funkar ganske godt. Eg trur det er ein grunn til at dei fleste kjøyrer apache tenarar.

9003084[/snapback]

LOL! Ellers er det jo riktig som det er nevnt her allerede: dette har nok ingenting med sikkerhetshull i databasen å gjøre, men i applikasjonen som gjør spørringer mot databasen. Måten spørringene er bygget opp på (mest sannsynlig ved hjelp av enkle streng-sammenslutninger) er åpen som ei låvedør mot angrep. Måten man skal gjøre spørringer mot databasen på er ved hjelp av prepared statements. Da blir hvert parameter i spørringen sjekket og et parameter som da inneholder typiske SQL injection-teknikker vil ikke kunne passere glatt.

[1cubix1]

Regner med at MS bruker sin SQL Server database? Da sikrer man seg enklest mot SQL injection ved å bruke stored procedures. Tipper de har kodet sidene med sql-kode rett i web-skriptinga. Det er svakt

 

-Per