|
커피향이 나는 *NIX
커피닉스
시스템/네트웍/보안을 다루는 곳
|
|
|
|
| 이전 주제 보기 :: 다음 주제 보기 |
| 글쓴이 |
메시지 |
truefeel
카페 관리자
가입: 2003년 7월 24일
올린 글: 1277
위치: 대한민국
|
 올려짐: 2009.12.11 금, 1:20 pm 주제: 대량 SQL Injection 공격 주의 |
 |
|
최근 또 다시 대량 SQL Injection 공격(Mass SQL Injection)이 발생하고 있다. 이 공격은 11월부터 시작했고, 많은 사이트가 공격을 받은 것으로 의심이 된다. 현재 구글에서 검색했을 때 약 13만 사이트가 검색되어 나온다. 검색된 페이지가 .asp인걸로 봐서는 MS-SQL을 대상으로 한 공격으로 보인다.
공격을 당한 페이지는 iframe에 javascript로 318x.com/ 를 불러들이며, 이 페이지는 또다른 html 등을 불러들이는 과정을 반복한다. 그리고, 페이지들은 난독화(Obfuscation)되어 있어 쉽게 파악하기 어렵되어 있다.
페이지들 중에 사이트에 방문한 유저의 MDAC, OWC10, Adobe Flash 버전 등을 체크하고, 이 결과에 따라서 다양한 취약점을 사용한다. 취약점이 발견되면, 악성코드(Trojan.Generic.2823971(또 다른 이름 Trojan.Win32.Buzus.croo))를 심는 형태로 되어 있다.
이 때 다음과 같은 취약점을 이용한다.
| 인용: |
* Integer overflow vulnerability in Adobe Flash Player, described in CVE-2007-0071
* MDAC ADODB.Connection ActiveX vulnerability described in MS07-009
* Microsoft Office Web Components vulnerabilities described in MS09-043
* Microsoft video ActiveX vulnerability described in MS09-032
* Internet Explorer Uninitialized Memory Corruption Vulnerability -- MS09-002.
|
악성 스크립트가 들어있는 318x.com 도메인을 whois해봤다.
| 인용: |
Domain Name: 318X.COM
Name Server: No nameserver
Status: clientHold
Updated Date: 10-dec-2009
Creation Date: 02-nov-2009
Expiration Date: 02-nov-2010
|
도메인은 11월 2일 최근에 만들어진 것이다. 이번 일을 위해 도메인을 만든 것으로 추측할 수 있다.
그리고, 1) 네임서버는 없는 것으로 표시(Name Server: No nameserver)된다. 2) 또한 Status: clientHold 라고 나오는데, 이는 도메인 업체에서 이 도메인을 사용할 수 없도록 조치를 취한 것으로 보인다. Status: clientHold 에 대해서는 '도메인 정보의 숨겨진 비밀, 상태 코드(글 좋은진호, 2009.6)'의 '7) clientHold'부분을 보면 잘 나와 있다.
| 인용: |
7) clientHold
등록업체가 사용 유예를 설정한 상태다. ... 생략 ... 이 상태에서는 도메인을 사용할 수 없다. 즉, 홈페이지를 운영할 수 없다. |
현재는 도메인을 사용할 수 없도록 되어 있지만, 네임서버는 몇시간(하루보다 짧은 시간) 전까지만 해도 설정되어 있었고, 해당 도메인도 사용할 수 있었다. 'Updated Date: 10-dec-2009'에 표시된대로, 이 때 사용 불가 설정이 되었을 것이다.
malwareurl.com의 검색 결과이다.
318x.com 도메인이 아니더라도, 다른 도메인으로 악성코드를 심어 놓을 수도 있는 것이다. 따라서 이용자들은 보안 패치를 철저히 해야 한다.
* 관련 정보
- SQL injection attack claims 132,000+
- New wave of SQL Injection Attacks
* SQL Injection 관련 글
- Flash 0-day 취약점과 대량 SQL Injection 주의 ( 2010.6.16 )
- MySQL에서 보안위해 load_file() 경로 제한하기 ( 2010.5 )
- 12.22~23 커피닉스 이야기 (Intel사이트 SQL Injection등) ( 2009.12.24 ) |
|
| 위로 |
|
 |
|
|
새로운 주제를 올릴 수 있습니다
답글을 올릴 수 있습니다
주제를 수정할 수 없습니다
올린 글을 삭제할 수 없습니다
투표를 할 수 없습니다
|
Powered by phpBB © 2001, 2005 phpBB Group
|
FAQ
검색
멤버리스트
사용자 그룹
사용자 등록하기
개인 정보
비공개 메시지를 확인하려면 로그인하십시오
로그인
가입없이 누구나 글을 쓸 수 있습니다. 공지사항에 대한 댓글까지도..
BBS >>
설치, 운영 Q&A |
네트웍, 보안 Q&A |
일반 Q&A ||
정보마당 |
AWS ||
자유게시판 |
구인구직 ||
공지사항 |
의견제시
