اختراق موقع الأمم المتحدة بواسطة هاكرز أتراك رسالة ضد قتل الأطفال.. ولإيقاف الحروب

تعرض موقع الأمم المتحدة الأحد الماضي للاختراق من قبل قراصنة الإنترنت (الهاكرز)، حيث تم إغلاق بعض الأقسام، ومن جهة أخرى تم تشويه الصفحة الخاصة بالأمين العام الجديد (بان كي مون) وظهرت شعارات تتهم الولايات المتحدة واسرائيل بقتل الأطفال والناس العاديين، مع المطالبة بنشر السلام وإيقاف الحروب، المجموعة المخترقة يبدو أنها تركية، مكونة من ثلاثة أشخاص (kerem124 و GSY و M0sted) إذ سبق وهاجمت العديد من المواقع على الإنترنت، وقامت الأمم المتحدة بإصلاح صفحة الأمين العام في وقت لاحق، واضطرت لإغلاق بعض الصفحات لحين إصلاحها.
طريقة الاختراق وفقاً لموقع Hackedemix.net تمت بمايسمى SQL Injection وتعتبر نقطة ضعف مشهورة جداً ومن السهل تفاديها، واستغرب المطور الإيطالي جيورجيو ماوني صاحب الموقع، وجودها في موقع بارز مثل موقع الأمم المتحدة، وتم استخدام هذه الطريقة في إغلاق وتشويه العديد من المواقع الحكومية والتجارية حول العالم، ولعل أقربها تعرض موقع شركة مايكروسوفت بريطانيا في يونيو الماضي لهجوم SQL Injection اختراق .

lol!

موضوع: اضافة الإثنين مارس 31, 2008 1:14 pm

قرأت هذه المقالة التي كتبها الأخ جاكي و أحببت أن أشرح
ما هو الـ SQL Injection عليكم للإفادة :

يسعى الكثير من
مطوري مواقع الويب و تطبيقاتها الى بناء برامج آمنة الى حد كبير ، وذلك
بإستخدام العديد من الأساليب البرمجية المتبعة و التي تقدمها كل لغة
لحماية مستخدميها ، ولكن هل تلك الدوال المقدمة من لغات البرمجية كافية
فعلا لضمان حماية التطبيقات ضد أي إعتداء أو تشويه للبيانات المخزنة ؟

بالطبع لا ، فالاسلوب البرمجي بحد ذاته يعتبر عامل أساسي في تحديد مستوى
الأمان الذي يتحلى به التطبيق ، و لعل العديد من المبرمجين في الآونة
الأخيرة أحسوا بعظم المخاطر الأمنية التي بدأت تظهر نتيجة توفر المعلومات
التقنية لدى العديد من ضعفاء النفوس ، و بسبب إحتدام المنافسة التجارية
بين مطوري التطبيقات ، خاصة تطبيقات الويب التي تعبر عن مستقبل التطوير
بشكل كامل

سنتحدث في هذه المقالة المطولة بعض الشيء عن واحد من أشد الأخطار فتكاً في
تطبيقات الويب ، حيث يمكن لهذه النوعية من الهجمات أن تقوم بمسح قاعدة
بيانات كاملة ، او سرقة محتوياتها ، بتعديل بسيط في نماذج الإدخال ، أو
بتغيير بسيط جدا في عنوان الموقع !!

الـ SQL Injection أو إن صح لنا تعريبه بـ " حقن الـ SQL " ، هو نوع من
الهجمات يعتمد على إضافة شيفر SQL الى المتغيرات المررة للنظام ، بحيث يتم
تنفيذ هذه الجزئية من الشيفرة مع الشيفرة الأساسية الموجودة في النظام ،
لتوضيح الصورة ، سنطرح هذا المثال المكتوب بلغة PHP بإستخدام نظام قواعد
البيانات MySQL :

<?
$sql="SELECT * FROM users WHERE username=' " .$_POST['username'] . " ' AND password= ' " . $_POST['password'] . " ' " ;

echo ' Query : '. $sql . '
' ;
$result=mysql_query($sql) ;
$rows=mysql_num_rows($result) ;
if($rows > 0 )
{
echo " You are logged in ! " ; }
else
{
echo " you are not allowed to log in here ! " ;
}

?>

<form action="<?php echo
$_SERVER['PHP_SELF'] ; ?> " method="post"><br/><input
name="username"/><font color="#990000">
<br/><br/></font><input
name="password"/><font color="#990000">
<br/><br/></font><input type="submit"
value="Submit"/><br/></form>

هذه الشيفرة تقوم ببساطة بعرض مربعين
لإدخال إسم المستخدم و كلمة المرور ، ثم تقوم بفحص المدخلات ، فإذا وجدت
في قاعدة البيانات سجل أو أكثر يطابق المدخلات فستسمح للزائر بالدخول ، و
اذا لم تجد فلن تسمح له

الأن تخيل لو أن المخترق قام بإدخال التالي في حقل كلمة المرور :

' OR username LIKE '%

بذلك ستصبح جملة الإستعلام في أصل البرنامج بهذا الشكل :

SELECT * FROM users WHERE username=' ' AND password= ' ' OR username LIKE '%'

جملة الإستعلام ستكون نتيجتها أكثر من سجل واحد بكل تأكيد ، ببساطة ستكون
نتيجتها كافة السجلات ، لأن أي سجل في قاعدة البيانات سيطابق شروط هذا
الإستعلام ، بسبب وجود الشرط OR

هذا يعني أن المخترق سيتمكن من الوصول الى المنطقة التي لا يمكن الا للأعضاء أن يصلوا اليها !!

ما هي مخاطر الـ SQL Injection

مخاطر الـ SQL Injection تتنوع بحسب وظائف التطبيق نفسه ، فعلى سبيل
المثال لنفترض أن لدينا موقع لتسجيل الطلاب و الإستعلام عن درجاتهم و
مستوياتهم ، يمكن القيام بما يلي عن طريق الـ SQL Injection :

1- الإستعلام عن درجة طالب بدون معرفة كلمة المرور الخاصة به !!

2- حذف سجل طالب أو مجموعة من الطلاب

3- حذف جدول كامل من قاعدة البيانات

4- إدراج سجل جديد في قاعدة البيانات

5- إكتشاف مسميات الجداول و تركيب و بنية قاعدة البيانات عن طريق التجربة

6- التعديل بمحتوى سجل محدد و تغيير بياناته !!

هذه مجموعة بسيطة من الكوارث التي قد تسببها هذه النوعية من الهجمات ، و فيما يلي سنستعرض بعض الأمثلة

مثال على أمر يقوم بسحب البيانات عن طريق أمر SQL مدمج :

SELECT Id,Title,Abstract FROM News WHERE Category=1 UNION SELECT 1,UsrName,Passwd FROM Usr

الجزء الملون من الإستعلام هو المتغيير الممرر الى البرنامج ، حيث يقوم
المخترق في هذا المثال بتمرير أمر SQL آخر وظيفته جلب إسم المستخدم و كلمة
المرور من الجدول Usr ، الأن أصبح المخترق قادر على رؤية أسماء المستخدمين
و كلمات مرورهم جميعها ... هل لك أن تتخيل ذلك ؟؟؟

مثال على أمر يقوم بإدراج بيانات مستخدم جديد :

SELECT email, passwd, login_id, full_name
FROM members
WHERE email = 'x';
INSERT INTO members ('email','passwd','login_id','full_name')
VALUES ('btree@devhall.com','hello','Btree','Binary Tree');--';

الجزء الملون يوضح المتغير الذي مرره المخترق الى النظام كقيمة للحقل
email الذي من المفترض كقيمة نظامية أن يحتوي على بريد إلكتروني و ليس على
إستعلام SQL كما فعل هذا المخترق في المثال السابق ، هذه الشيفرة التي
أضافها المخترق تقوم بإضافة عضو جديد الى الموقع بالبيانات المذكورة !!!

مثال يقوم بحذف جدول كامل من قاعدة البيانات !!

SELECT fieldlist
FROM customers
WHERE name = 'Binary Tree';

الشيفرة السابقة تعمل بشكل سليم و نظامي ، حيث تم تمرير قيمة Binary Tree للمتغير في حقل name ، لكن تخيل لو قام المخترق بالتالي :

SELECT fieldlist
FROM customers
WHERE name = '\''; DROP TABLE users; --';

لو قام المستخدم بإدخال العبارة الملونة بالأحمر في حقل الإسم ، هذا يعني
أن جدولا بأكمله سيتم حذفه من قاعدة البيانات !! كارثة اليس كذلك ؟

أعتقد أن هذه الأمثلة كافية لإيقاظ المبرمجين الغافلين عن المخاطر الفعلية وراء مدخلات المستخدمين

مع تحيات
الزعيم