主題:
[新聞]
[轉貼]Kaspersky美國網站曝漏洞 機密資訊恐外泄
[打印本頁]
發表人:
poliu
時間:
2009-2-9 06:11 PM
主題:
[轉貼]Kaspersky美國網站曝漏洞 機密資訊恐外泄
據一位駭客在部落格中透露，卡巴斯基的一個安全過失暴露了大量的有關卡巴斯基產品和客戶的專有資訊。這個部落格發表了卡巴斯基網站的抓圖和其他細節以支援他的說法。
這個駭客在星期六(2月7日)
發表
的部落格中表示，一個簡單的SQL injection攻擊就能夠存取卡巴斯基的包含用戶、啟用碼、安全漏洞列表、管理員和購買等資訊的資料庫。這個駭客表示，對一個URL位址進行簡單地修改就能夠存取這個網站的整個資料庫。抓圖顯示這個攻擊主要集中在卡巴斯基美國公司的技術支援和知識庫，包含了超過150個Table的名稱。
安全廠商Matasano的研究員Thomas Ptacek在這個事件發生幾小時後的採訪中說，"我認為這看起來像是真實的。"他指出，抓圖中的URL欄顯示的usa.kaspersky.com和右邊的文字"concat_ws(0x3a,ver"是用於修改這個網頁背後的資料庫請求，其中之一能騙過資料庫並存取任意的資料。
防毒軟體公司AVG的首席研究官Roger Thompson也同意這個觀點。他說，我為卡巴斯基感到遺憾。"我不能說100%肯定，但這看起來是真實的。"
卡巴斯基發言人尚未對此發表回應。
倘若這個入侵事件屬實，將不是卡巴斯基網站首次遭到SQL injection攻擊。去年七月時，該公司馬來西亞網站就曾遭到土耳其駭客
入侵
，而根據Zone-h的紀錄，自2000年起，已經有36個卡巴斯基網站遭到入侵。
但相較之下，這次的事件顯得更為嚴重，安全專家指出，因為客戶的資料有可能外洩，同時也將使得卡巴斯基網站遭到其他型態的惡意利用。
IBM ISS的安全策略長Gunter Ollmann在部落格
表示
，"由於該公司擁有大量的使用者，我希望卡巴斯基的管理員能儘速修正這項漏洞。這個嚴重的漏洞可以被用來非法更新該公司的產品，甚至在網頁上更換惡意版本的軟體。"
新聞來源:
資安之眼
發表人:
dayi
時間:
2009-2-9 07:40 PM
如果是真的的話
SQL injection這種已經可以算是"落伍"的攻擊方式
竟然在這知名防毒軟體的網站上出現
對它的防毒軟體的信心馬上大降
發表人:
陽だまり
時間:
2009-2-9 07:47 PM
其實應該不用失望
畢竟網站不是用卡巴斯基架的 XD
發表人:
dayi
時間:
2009-2-9 07:56 PM
引用:
陽だまり
寫到:
其實應該不用失望
畢竟網站不是用卡巴斯基架的 XD
這樣說也對啦
但是被這麼舊的技術攻破...(如果是真的的話)
基本上只要寫個filter在query string的地方就行了
發表人:
ags
時間:
2009-2-10 03:02 PM
盜版的應該是不用擔心個資外泄吧
發表人:
innova
時間:
2009-2-11 11:51 AM
所以縮.....
卡巴死雞... 還是繼續用盜版～ 個人資料才不會被幹走!!?
歡迎光臨 TWed2k (http://twed2k.org/)
Powered by Discuz! 4.1.0
