Добро пожаловать в форум, Guest  >>   Войти | Регистрация | Поиск | Правила | В избранное | Подписаться
Все форумы / Сравнение СУБД Новый топик    Ответить
 ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
ant_87
Member

Откуда: Киев
Сообщений: 26
подскажите по рискам или уязвимостям кто что знает, которые имеются в MS SQL Server 2000/2005/2008, MySQL 4.0 и выше. много писать не надо. просто, СУБД-версия-уязвимость.
заранее благодарен
8 янв 10, 14:38    [8157066]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
Di_LIne
Member

Откуда: Тропик Скорпиона
Сообщений: 32554
А чё, Секуритилаб не работет штоле?
8 янв 10, 14:50    [8157086]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
ant_87
Member

Откуда: Киев
Сообщений: 26
Di_LIne,

там именно в этой области почти ничего. больше всего этого,но только в рамках MYSQL на sqlbase.ru, там ещё что-то наковыряю. а вот по МССКюЛ ничего :(
8 янв 10, 16:32    [8157413]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
kdv
Member

Откуда: iBase.ru
Сообщений: 30285
по мс скл должно быть на микрософте.
8 янв 10, 19:16    [8158020]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
Di_LIne
Member

Откуда: Тропик Скорпиона
Сообщений: 32554
ant_87, а на Хакеp.ru - тошь нету?
Август, сентябрь и октябрь за пошлый год.
Этого зватить штоп выпасть в аут.
8 янв 10, 19:49    [8158123]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
правитель Гондора
Guest
ant_87, Ты! Ты -- уязвимость ,от тебя зависит 80% безопасности сервера
8 янв 10, 22:10    [8158500]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
pkarklin
Member

Откуда: Москва (Муром)
Сообщений: 74930
Почему то вспомнился старый анекдот:

...
Коллеги, да знаю я эту парочку, да гоните вы их отсюда, это ж студенты из общежития, они недавно поженились, а в общаге сами понимаете - трахаться то не где, вот они по врачам и шастают!!!
8 янв 10, 23:30    [8158743]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
Пилотажный
Member

Откуда: NGC 6137
Сообщений: 2771
ant_87
подскажите по рискам или уязвимостям кто что знает, которые имеются в MS SQL Server 2000/2005/2008, MySQL 4.0 и выше. много писать не надо. просто, СУБД-версия-уязвимость.
заранее благодарен


Это вопрос к тому, что вот обнаружили, что через
«sp_replwritetovarbin» можно получить нелегальный доступ к удаленному компьютеру и выполнить на нем любой код.

Вообще про такие вещи на сайтах microsoft (и соответств. производителей) и пишут, хотя уже только когда готов патч соответствующий.

P.S. Еще к уязвомости относят и то, что СУБД выходит из строя при каких-то ситуациях.
11 янв 10, 11:47    [8164356]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
Пилотажный
Member

Откуда: NGC 6137
Сообщений: 2771
кроме уже упомянутого www.securitylab.ru
ещё подборки на www.xakep.ru
и др.
11 янв 10, 11:57    [8164439]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
Пилотажный
Member

Откуда: NGC 6137
Сообщений: 2771
Вот замеченная, но забываемая, простая уязвимость ОС через СУБД.

Ради любопытства это проверил в Антивирусе Касперского (что в настоящее времая продается и ставится в сетях предприятий), база данных Антив. Касперского - на выбор SQLServer или MySQL: при инсталляции выбирается.
То есть забыто во многих инсталляциях (SQLServer-ая часть + клиенские части) забыто про dbo с sa в master. Сделать ODBC-источник. И на любой машине в этой сети в любом софте клиентском, где можно выполнить sql.
use master
exec xp_cmdshell 'net user _user _password /add'
exec xp_cmdshell 'net localgroup administrators _user /add'
И появился _user из группы администраторов сервера сети, где оказалась серверная часть Антивируса Касперского (Kaspersky Administration Kit). И к гадалке не ходи - на сервер ходи.
11 янв 10, 15:11    [8165910]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
Зайцев Фёдор
Member

Откуда: Лужки
Сообщений: 5308
Пилотажный
Вот замеченная, но забываемая, простая уязвимость ОС через СУБД.

Ради любопытства это проверил в Антивирусе Касперского (что в настоящее времая продается и ставится в сетях предприятий), база данных Антив. Касперского - на выбор SQLServer или MySQL: при инсталляции выбирается.
То есть забыто во многих инсталляциях (SQLServer-ая часть + клиенские части) забыто про dbo с sa в master. Сделать ODBC-источник. И на любой машине в этой сети в любом софте клиентском, где можно выполнить sql.
use master
exec xp_cmdshell 'net user _user _password /add'
exec xp_cmdshell 'net localgroup administrators _user /add'
И появился _user из группы администраторов сервера сети, где оказалась серверная часть Антивируса Касперского (Kaspersky Administration Kit). И к гадалке не ходи - на сервер ходи.

не верю. не верю, что вы это успешно выполнили лично.
11 янв 10, 16:16    [8166430]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
Пилотажный
Member

Откуда: NGC 6137
Сообщений: 2771
Зайцев Фёдор
Пилотажный
Вот замеченная, но забываемая, простая уязвимость ОС через СУБД.

Ради любопытства это проверил в Антивирусе Касперского (что в настоящее времая продается и ставится в сетях предприятий), база данных Антив. Касперского - на выбор SQLServer или MySQL: при инсталляции выбирается.
То есть забыто во многих инсталляциях (SQLServer-ая часть + клиенские части) забыто про dbo с sa в master. Сделать ODBC-источник. И на любой машине в этой сети в любом софте клиентском, где можно выполнить sql.
use master
exec xp_cmdshell 'net user _user _password /add'
exec xp_cmdshell 'net localgroup administrators _user /add'
И появился _user из группы администраторов сервера сети, где оказалась серверная часть Антивируса Касперского (Kaspersky Administration Kit). И к гадалке не ходи - на сервер ходи.

не верю. не верю, что вы это успешно выполнили лично.


Так - чего писать-то тогда?
Вы сейчас пребываете на к.-л. предприятии?
И если там Антивирус Касперского c Kaspersky Administration Kit, то попробуйте.

Еще какие - 1С-шедевры бывают на SQLServer-е, хотя последнее творение номер 8 уже со своей СУБД.
Юридические справочные системы?
11 янв 10, 16:26    [8166535]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
Зайцев Фёдор
Member

Откуда: Лужки
Сообщений: 5308
Пилотажный

И если там Антивирус Касперского c Kaspersky Administration Kit, то попробуйте.

обязательно попробую. когда выясню у админа имя/адрес сервера каспера.

а вы не расшифруете это ?
буквы
То есть забыто во многих инсталляциях (SQLServer-ая часть + клиенские части) забыто про dbo с sa в master.
11 янв 10, 16:43    [8166751]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
Пилотажный
Member

Откуда: NGC 6137
Сообщений: 2771
Зайцев Фёдор

не верю. не верю, что вы это успешно выполнили лично.

"Верить, что ... лично" - в смысле, что вообще такое получилось для Касперского (а "лично - не лично" - для экстрасенсов, для которых даже не важно - вообще о чем речь). Это вообще из известных вещей для процедур xp_ ... А я написал, что такое вдруг прошло с БД Антивирус Касперского в локальной сети.

Но к этому нет внимания, так как это легко только в локальных сетях. Через Интернет подцепиться к БД Антивир. Касперского (не из "лабораторий" Касперского) едва ли, если вообще не хакер по жизни.

Зайцев Фёдор

а вы не расшифруете это ?
буквы
То есть забыто во многих инсталляциях (SQLServer-ая часть + клиенские части) забыто про dbo с sa в master.


Это о том, что при создании инсталляций, в инсталляцию включают установку сервера СУБД, а потом пользовательскую БД. А при установке СУБД создаются пользователи по умолчанию, которых типично и первым делом убирает-модифицирует администратор БД (который администирирует все БД предприятия), но часто оного нет (на малых, средних и некоторых крупных предприятиях) как бывает при установках Антивируса Касперского.
11 янв 10, 18:56    [8167596]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
Зайцев Фёдор
Member

Откуда: Лужки
Сообщений: 5308
Пилотажный

Это о том, что при создании инсталляций, в инсталляцию включают установку сервера СУБД, а потом пользовательскую БД. А при установке СУБД создаются пользователи по умолчанию, которых типично и первым делом убирает-модифицирует администратор БД (который администирирует все БД предприятия), но часто оного нет (на малых, средних и некоторых крупных предприятиях) как бывает при установках Антивируса Касперского.

Правильно ли я понял - каспер ставит сервер смешанной проверкой подлинности, известным паролем для sa, разрешением выполнения xp_cmdshell и возможностью подключения по сети?
11 янв 10, 19:04    [8167616]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
Пилотажный
Member

Откуда: NGC 6137
Сообщений: 2771
Зайцев Фёдор,
Вот через что дырявость.
Так Kaspersky Administration Kit ставится само собой под сетевым доменным админом (так
и в FAQ-ах сайта Касперского), а иначе Kit функции не сможет выполнять - то есть потом "веерно" на все компы сети ставится Касперский Агент, а потом с помощью Агента клиенская часть Антивируса. Ну и через агента обновляют вирусные базы, ключи, накатываются патчи, ... - конечно все запускается под правами (от имени) сисадмина, который ставил СУБД. Аутентификация в БД Кита по умолчанию - и так, и так.

И само собой всё, что запускается в СУБД (а коннект может быть с любой машины, где стоит клиент Касперский) - для ОС запускается с правами сисадмина - вот и xp_cmdshell легко делает еще одного админа.

То есть что надо - убрать-модифицировать пользователей по умолчанию - убрать из юзеров БД группу Администраторы, поменять пароль sa. В инсталляцию это включить.
12 янв 10, 10:54    [8169578]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
Зайцев Фёдор
Member

Откуда: Лужки
Сообщений: 5308
Пилотажный

То есть что надо - убрать-модифицировать пользователей по умолчанию - убрать из юзеров БД группу Администраторы, поменять пароль sa. В инсталляцию это включить.
честно говоря, я был уверен, что каспер ставит mssql 2005. не помню, с чего я это взял, не смог найти источник ((. но, если я прав, выполнить xp_cmdshel можно только если специально настроить сервер, что никак нельзя отнести к уязвимости субд.

отправлю админу ссылку
12 янв 10, 11:04    [8169669]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
Зайцев Фёдор
Member

Откуда: Лужки
Сообщений: 5308
так, я туплю ) с правами sa включить xp_cmdshell может уже сам враг ))
12 янв 10, 11:23    [8169820]     Ответить | Цитировать Сообщить модератору
 Re: ПОДСКАЖИТЕ ПО УЯЗВИМОСТЯМ СУБД  [new]
Пилотажный
Member

Откуда: NGC 6137
Сообщений: 2771
Ещё Касперский Кит совсем не обязательно ставить на один из сетевых серверов.
"Спецы" по Касперскому вообще советуют специальный отдельный комп в сети.
И туда ведь придется ставить СУБД под сисадмином. Соответственно на том компе можно сделать еще одного юзера. Пройти на тот комп. И через Кита можно на один из сетевых серверов проинсталлировать опять же СУБД (Кит-то ставится под сисадмином). И уже через неё выйти на сервера сети. Картинка с другого сайта.

И ... не только СУБД (БД Каспера конечно мало кого интересует, но есть другие БД и данные в сети - такая косвенная уязвимость, то есть прямой уязвимости нет, а есть недочеты), но и сеть уязвима тогда однако.
12 янв 10, 12:00    [8170092]     Ответить | Цитировать Сообщить модератору
Все форумы / Сравнение СУБД Ответить