Newsgroup: it.comp.sicurezza.varie
Titolo: bucato 187.it

Riporto da repubblica,con inquietudine, la notizia di un attacco al sito 
telecom 
187.it
. L'articolo riferisce che i cracker siano riusciti a mettere 
le mani sui dati personali degli abbonati (esclusi eventuali dati di 
coordinate bancarie e\o carte di credito) attraverso sql-injection.
Sql-injection?!!! Come diavolo hanno fatto a lasciare un bug del genere su 
un sistema critico come quello? Nell'articolo Telecom si giustifica 
parlando di falla temporanea dovuta alla transizione di sistema. Che vuol 
dire? Forse che hanno messo in produzione una vecchia versione del database 
senza patcharla contestualmente? Voglio ben sperare che non sia stato 
questo il problema. E allora?


Mi immagino che alla luce delle nuove leggi il malcapitato responsabile 
del CED telecom (non dovrebbe essere un pollastro) sia in manette ed in 
procinto di crocifissione, vero??
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 problema. E allora?
Il baco e' nel sito/applicativo client, non nel database.
Certo e' grave, ma penso una dose di rischio ci sia in tutti gli ambiti.
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*                         
http://www.google.com
                    *
*                                                                  *
*                           ET IN ARCADIA EGO                      *

 Certo e' grave, ma penso una dose di rischio ci sia in tutti gli ambiti.
Beh... all' sql injection si ovvia filtrando gli input utente. E' un 
MUST. Se non l'hanno fatto significa che sono webmaster un po' 
carenti...
-- 
As of next week, passwords will be entered in Morse code.
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com
Akapulce portal: 
http://www.akapulce.net

 dici che forse prima facevano i bidelli ?
rotfl! :) O magari gli elettricisti? :)
-- 
Ciao, Dmitry
FIAG - Free It-Alt Group  ~   
http://www.fiag.it
X-PLANET Community        ~   
http://www.x-planet.org

> dici che forse prima facevano i bidelli ?
Nah .. "budelli" sarebbe più appropriato :-)
Ciao

 problema. E allora?
Copio e incollo dall'articolo:
***********************************
La vulnerabilità che affliggeva il sistema di Telecom, tecnicamente nota
come "Sql Injection", è un tipo di falla molto comune. "Per chi è pratico di
problemi di sicurezza", spiegano quelli di Ants, "è facile trovarla e
testarla. Di solito, infatti, colpisce i siti minori". L'ex monopolista ha
spiegato che la vulnerabilità era un problema temporaneo, provocato da una
transizione del sistema.
*************************************
http://www.slimmit.com/go.asp?2FI
--
extrabyte

 dici che forse prima facevano i bidelli ?
No, credo facessero parte della congrega dei 'terribili 
virusbuster'...
-- 
State-of-the-practice: What we can do with the money you have.


 rapido controllo mi ha detto che quantomeno il sito non gira su Uindous
E che cavolaccio c'entrerebbe visto che sql injection non dipende dal
sistema operativo? Frescone.
-- 
If only women came with pull-down menus and online help.



http://www.slimmit.com/go.asp?2FI
Qualcuno mi potrebbe indicare dei link per studiare il problema visto
che devo sviluppare un sito con un database?
Come faccio dei test per verificare che l'sql injection sia sotto
controllo?
Quali sono gli altri aspetti da curare?
Ciao!

 che devo sviluppare un sito con un database?
Qui c'è una buona introduzione:
http://www.nextgenss.com/papers/advanced_sql_injection.pdf
 (e non è
troppo «Advanced», come viene presentata).
-- 
ale
http://www.sen.it
rara temporum felicitate, ubi sentire
quae velis, et quae sentias dicere, licet

 Ciao!
Tutto quello che prendi in input e che deve finire in una query SQL lo passi
con replace(" ' "," '' ") e tutto andrà bene :-) (attento ai cognomi...)

con replace(" ' "," '' ") e tutto andrà bene :-) (attento ai cognomi...)
Diciamo che quello e' il livello finale, dopo che ti sei accertato che il
resto vada bene e i campi contengano i valori previsti.
In alcuni sistemi operativi+webserver, potresti avere brutte sorprese con
le sequenze %0A--, certi Unicode, %2727, o &lsquo; (se ricordo bene).
Con alcuni server SQL, una sequenza \' e' innocua. Con la conversione che
suggerisci tu, un utente "\' or true--" potrebbe avere accesso all'intero
database 8-D
E poi ci sono gli apici doppi, e i valori illegali (-> information leak).
Personalmente preferisco un controllo via regexp: so cosa puo' arrivarmi,
valore per valore; se non corrisponde lo butto via - o lo sostituisco con
valori innocui. ' in un cognome ci puo' essere (D'Alema), \ no.
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 database 8-D
L'apice č meglio sostituirlo con l'omonimo `, io faccio cosě.
-- 
Supercomputer:  Turns CPU-bound problem into I/O-bound problem.  - Ken Batcher



:Provate a guardare gli ingredienti del famoso Labello che si usa per
:le labbra screpolate: Butirrospermum Parkii (sperma di maiale).

 fare il replace anche con i campi numerici :-)
Su tutto. E generalmente filtro via il pure il %  (pericoloso sulle 
query in asp), e visto che non guasta anche l'asterisco. ;-)
-- 
Computers are a more fun way to do the same work you'd have to do without them.


query in asp), e visto che non guasta anche l'asterisco. ;-)
E non faresti prima con una bella regexp?
Leonardo tentatore


 aggiornatissimo :(
Quel t00l e' introvabile.


 (D'Alema), \ no.
Infatti la programmazione difensiva, ovvero le buone maniere della
sicurezza, prevedano che si castri tutto quello che NON e'
esplicitamente permesso. diciamo che con s/~[a-zA-Z0-9\ ]//g ti salvi
la giornata.


 E non faresti prima con una bella regexp?
in ASP ?
-- 
IBM: Impersonal Bellicose Magnate


 dici che forse prima facevano i bidelli ?
'ulo. Quasi rischiavo il licenziamento per ROTFL scomposto
in presenza del *BIG BOSS*.
Un Paperino, ma che fine ha fatto Max che quando serve non c'è mai ?

 in ASP ?
Si .. 'azz ci vuole, c'č un'oggettino COM
che fa esattamente quello .. basta una
"server.createobject()" e poi giů a fare
il parse/check degli input ...
Ciaoooo

 > > E non faresti prima con una bella regexp?

Bello. Quale oggetto sarebbe? Spero sia standard perchč altrimenti 
non potrei usarlo... Aruba non perdona.
-- 
Don't diddle code to make it faster; find a better algorithm.
