MySQL.com和Sun.com到底是如何被黑的？
原創(chuàng)【51CTO 3月30日外電頭條】28日早上，甲骨文的許多人面紅耳赤，原因是甲骨文旗下的兩個(gè)網(wǎng)站：MySQL.com和Sun.com在上周末被經(jīng)驗(yàn)極其老道的亦正亦邪的羅馬尼亞黑客TinKode和搭檔Ne0h攻破了。（可參閱《MySQL.com被SQL注入攻擊 用戶密碼數(shù)據(jù)被公布》）這兩個(gè)網(wǎng)站是一種來源尚未明確的SQL盲注攻擊手法的受害者--你以為，MySQL的開發(fā)人員和管理員們完全知道如何防范這種類型的攻擊。很顯然，你想錯(cuò)了。
熱文推薦：對搜狐、網(wǎng)易和TOM三大門戶網(wǎng)站的SQL注入漏洞檢測
檢測在線數(shù)據(jù)庫SQL注入漏洞的利器：HP Scrawlr
下面是具體的經(jīng)過：星期天一大早，Jackh4xor安全組織向Full Disclosure（全面披露）郵件列表發(fā)去一封郵件，解釋MySQL.com"很容易遭到SQL盲注攻擊漏洞的襲擊。"該郵件將MySQL.com客戶瀏覽頁面列為是目標(biāo)網(wǎng)站。有人從MySQL.com網(wǎng)站竊取了一批數(shù)量驚人的數(shù)據(jù)庫、表和字段，還有一小部分的用戶名和密碼，它們有的采用加密形式，有的沒有加密。
此后不久，聲稱來自羅馬尼亞Slacker.Ro的TinKode和Ne0h的一份冗長的列表出現(xiàn)在了Pastebin網(wǎng)站上。TinKode（或者更準(zhǔn)確地說，是打著TinKode名號(hào)的那個(gè)人）曾先后闖入了美國陸軍網(wǎng)站、Eset、美國宇航局、英國國防部、路透社及其他知名機(jī)構(gòu)的網(wǎng)站。TinKode還稱Jackh4x0r是"我們的朋友"；他聲稱，他和Ne0h在今年1月發(fā)現(xiàn)了這個(gè)安全漏洞。
TinKode的列表包括幾個(gè)關(guān)鍵的用戶名，如"sys"和"sysadmin"，還包括它們被破解的相應(yīng)密碼--最可能是使用彩虹表（rainbow table），從加密的密碼中提取出來的。Sys（系統(tǒng)）的密碼是"phorum5"；sysadmin（系統(tǒng)管理員）的密碼是"qa."。顯然，一些網(wǎng)站管理員不想為使用復(fù)雜的密碼而操心。
MySQL.com網(wǎng)站包括幾個(gè)WordPress博客（WordPress在MySQL上運(yùn)行），TinKode和Ne0h都極其友善，把其中許多博客的ID和密碼告訴給了全世界。前任MySQL項(xiàng)目管理主管（他在2009年以后就沒有更新過其博客）的用戶名為"admin"，密碼是"6661"。前任社區(qū)關(guān)系副總裁（他在2010年1月以后就沒有寫過博文）同樣采用了"admin"的用戶名，相應(yīng)的密碼是"grankulla"。我覺得，公司頭頭們都不愿使用復(fù)雜的密碼。 （編者注：話說網(wǎng)站密碼的記憶的確是個(gè)大問題，如果不愿自己記密碼，借助一些工具也不錯(cuò)。參考文章《1Password密碼管理器使用指南》、《自己都不記得的密碼 才是惟一安全的密碼》）
值得一提的是，MySQL并不是因密碼被竊取或被猜出而中黑手的。TinKode和Ne0h采用SQL盲注攻擊手法，就攻破了該網(wǎng)站，他們針對的目標(biāo)是接口，而不是數(shù)據(jù)庫。TinKode還聲稱控制了MySQL.fr、MySQL.it、jp.MySQL.com和MySQL.de這四個(gè)網(wǎng)站。
TinKode對于黑掉Sun.com過程的描述似乎平淡無奇，只借助一份竊取來的表和字段，還有少數(shù)幾個(gè)電子郵件地址，但根本沒用到密碼。至于他們是沒有找到密碼、根本就是不要密碼，還是說將密碼藏著掖著準(zhǔn)備搞更邪惡的事，并不清楚。Sun.com是不是因MySQL.com遭到的同一種注入攻擊手法而被攻破也不清楚。
誰監(jiān)管監(jiān)管者？這年頭，還真不好說。
文章來源：http://www.infoworld.com/t/hacking/analysis-how-mysqlcom-and-suncom-got-hacked-909
【51CTO.com獨(dú)家譯稿，非經(jīng)授權(quán)謝絕轉(zhuǎn)載！合作媒體轉(zhuǎn)載請注明原文出處及出處！】
【編輯推薦】
