小心SQL Injection機器人 - SQL Injection , 資料隱碼

網頁設計,網頁設計公司,網頁程式設計,網站程式設計,台北網頁設計,無障礙網頁設計,3d互動網頁設計, 720度環場,網站建置,主機代管,電子商務,政府機關網頁設計,公家機關網頁設計,網站製作公司,網站設計公司,網站架設

網頁設計∣程式設計∣網站規劃∣虛擬主機與主機代管∣關於網繹∣我們的服務∣我們的客戶∣無障礙網頁設計∣網站優化SEO∣聯絡我們

::: ∣回首頁∣網站地圖∣ENGLISH∣日本語∣簡體中文∣

∣

:::

透過網繹將您的網站輕鬆的通過無障礙網頁檢測標準，達到轉換網頁無障礙，擴充單元無障礙，新增內容無障礙的功能。

> 新莊市公所開新視窗

:::	回首頁 >> 資訊與知識庫

標題	小心SQL Injection機器人
主題分類	系統與程式設計
原文章出處	iThome

SQL Injection（資料隱碼）一直是令人頭痛的問題，這個利用SQL指令語法注入隱藏程式碼的攻擊手法，在2001年就開始出現，但今日SQL Injection仍是網站的一大威脅。

即使教導防禦SQL Injection的資訊唾手可得，但許多網站至今仍存在SQL Injection漏洞。在上個禮拜發生的一波大量Mass SQL Injection攻擊之中，臺灣有許多網站就遭受攻擊，被植入惡意程式的連結。

這種短時間內造成大量攻擊的手法，可說是SQL Injection攻擊的進化版，改變了以往我們對於這類攻擊的認知。

資安專家的追蹤分析發現，駭客是先利用自動程式，以Google搜尋引擎，快速地找尋有SQL Injection漏洞的網站伺服器，一旦找到攻擊標的，就利用SQL指令語法，把惡意連結寫入資料庫欄位中，這個連結則指向惡意網站的Java Script。

駭客直接在資料庫欄位中植入惡意連結的作法，是比起以往在網頁中植入惡意連結的方法，來得更快更有效率；以前的攻擊效率不夠高，只能在特定的網頁中植入惡意連結，像是網站的首頁，但現在直接把惡意連結寫入資料庫欄位中，幾乎可說受害網站中的多數網頁都會含有惡意連結。

在這次Mass SQL Injection攻擊中，駭客第一波攻擊網站伺服器的目的，是要先建立一批毒窟網站，藉由這些網站去感染更多的電腦，為下一波的攻擊布椿。因為個人電腦一旦瀏覽了這些受害網站的網頁，隱藏在網頁中的Script就會在背地裏連結惡意網站的Java Script，執行自動下載且安裝能夠控制電腦的惡意程式，像是木馬程式、後門程式之類。

然而，這些惡意程式要怎麼鑽進電腦裏呢？駭客的第二波攻擊所利用的手法，也是以往較為罕見的。以前駭客常利用作業系統的漏洞來攻擊，但近來像是Windows作業系統的漏洞修補，都已經透過Windows Update做到更為即時的修補，駭客要鑽作業系統漏洞，成功的機會越來越低，因而駭客這次瞄準絕大多數電腦都會安裝的Adobe Flash播放器的漏洞。這麼做就是看準大家忽略一般應用程式的漏洞修補，以及這些應用程式目前仍缺乏像Windows Update這樣即時的程式更新機制。

一旦個人電腦被駭客利用Flash漏洞而入侵成功，成為駭客的囊中物，就是駭客日後可以用來發動其他攻擊的傀儡電腦之一。駭客可以利用這些傀儡電腦來謀利，像是竊取電腦裏的個人資料與機密資料，或是利用這些電腦來攻擊特定對象，造成大規模的DDoS攻擊，以癱瘓特定的網站或網路。

從這次的攻擊事件來看，SQL Injection已經發展為自動化的機器人攻擊模式了，然而目前仍只是看到雛型，資安專家預期下一波攻擊的出現後，駭客的自動化攻擊機制就會更為明確。

對於SQL Injection機器人的來襲，企業需要注意的是，SQL Injection的攻擊已經不再是以往我們所認知的手工攻擊手法，在自動化的SQL Injection機器人攻擊之下，不是只有知名網站才會被攻擊，而一旦被入侵成功，後續造成的衝擊也會比以往更大。該怎麼有效防禦SQL Injection攻擊呢？就如數聯資安研發處副總經理張裕敏所言，以ASP.NET平臺的防禦來說，微軟早就公布了很完整的作法，只是大家不太願意仔細研讀近9百多頁的手冊，請見本期的新聞深度報導。

文章整理：
關鍵字：	SQL Injection , 資料隱碼

網繹數位科技網頁設計公司　地址：台北市復興南路一段321號3樓　Tel： (02)2704-1758(代表號) 　Fax： (02)2704-0372　Email：e-service@eki.com.tw

(a) 跨國企業為Sony 新力、Du Pont 台灣杜邦、Syngenta 台灣先正達、Xerox 全錄、TUV 德國萊因、Imation 美商怡敏信、DHL 洋基通運、日商丸紅等跨國企業、國際大型公司網站設計、程式設計、網頁設計、資料庫規劃及系統整合之設計廠商。 (b) 知名企業為流行風尚精品之公司網站設計、程式設計、網頁設計、諸如居禮名店、長榮桂冠酒店、三井日本料理、天仁集團、菲夢絲、歌林公司、八王子集團、牡丹園餐廳、華固建設、等製作高質感之精緻網站。 (c) 金融機構為金融單位或公司網站設計、程式設計、網頁設計、如兆豐金控、新光產物保險、中央再保、第一期貨、慶豐銀行、KGI中信期貨、台灣銀行等諸銀行，南山人壽、金融聯合徵信中心等金融公司及單位之網站建置及資料庫設計協力廠商。 (d) 政府機關及民間機構為政府機構及民間團體網站設計、程式設計、網頁設計、如台北世界貿易中心、台北國際會議中心、中研院、十三行博物館、黃金博物園區、鶯歌陶瓷博物館、臺北縣政府文化局、石門水庫、北區水資源局等政府機關以及法鼓山、中華電信工會、國科會、靈鷲山佛教基金會、財團法人保險事業發展中心等民間團體建置氣勢磅礡、兼具人文、藝術、歷史的網站或電子報。