База данных Openhack взломана!

Тимоти Дик (Timothy Dyck), eWEEK Labs

18 июля 2000 г.

Жемчужина сайта электронной коммерции Openhack лаборатории eWEEK + база данных + взломана с использованием ранее неизвестной лазейки в защите операционной системы, на которой работают крупнейшие в мире веб-сайты: Solaris 8.

Взлом произвел не кто иной, как испанский консультант по информационной защите Луис Мора (Lluis Mora), заваливший предыдущий опытный сайт eWEEK Labs. 15 июля Мора, действовавший фомкой JFS, извлек защищенную информацию из сервера базы данных через установленный специализированной фирмой Guardent испытательный сайт Openhack. В ходе этой операции Мора хирургически рассек тестовый сайт. Мимоходом он обнаружил четыре ранее неизвестных пробела защиты: три в пакете электронного магазина MiniVend компании Akopia (который открывает путь во внутреннюю сеть) и одну в Solaris 8 от Sun Microsystems. Пробелы в MiniVend позволили атакующему выполнять команды на сервере MiniVend от имени зарегистрированного пользователя MiniVend.

Мора и eWEEK предупредили поставщиков пострадавших продуктов о наличии пробелов в их защите. Прежде чем опубликовать подробности, мы дадим им некоторое время на то, чтобы проанализировать и устранить эти проблемы, способные повлиять на большое число эксплуатируемых систем на базе MiniVend и Solaris.

Ненадежный пароль
Провозглашенная цель взлома базы данных состояла в получении доступа к таблице с именем secret, в которой содержалось сообщение: г75% всех пользователей выбирают ненадежные паролиё. Мы оказались частью этого большинства, так как именно ненадежный пароль стал одним из слабых мест сайта Openhack.

Преодолев несколько других преград, Мора обнаружил учетную запись пользователя Oracle MDSYS с привилегиями администратора, созданного инсталлятором Oracle для управления пакетом Oracle Spatial Data Option. Установив Oracle 8i 2.0 на сервер Sun Enterprise E4500 под Solaris 8, мы забыли изменить в этой учетной записи пароль по умолчанию. (Пароли для всех обычных учетных записей администратора Oracle мы заменили на случайные последовательности из 10 символов.) Воспользовавшись записью MDSYS, Мора получил доступ к БД и прочел наш secret.

Как уже сообщалось, 3 июля австрийский хакер Александр Лажич (Alexander Lazic) проник в наш магазин MiniVend через две неизвестные ранее лазейки в защите этого приложения. Тест Openhack продолжится до 21 июля. Пока устояли Active Directory, Exchange 2000 и сервер Apache Web. Все подробности о взломах Openhack, а также итоги всего испытания и сделанные нами выводы мы опубликуем в онлайне и в выпуске eWEEK за 31 июля.

Обсуждение статьи

ZDNET Russia