Взломан сайт MySQL

Румынские хакеры, откликающиеся на имена TinKode и Ne0h, опубликовали данные, собранные ими в результате взлома сайтов mysql.com и sun.com.

🕛 28.03.2011, 20:07

Официальный ресурс MYSQL содержит по крайней мере 2 уязвимости: 1 типа SQL-инъекция, а II-ая - типа межсайтовый скриптинг (XSS). Благодаря I-ой из них взломщики смогли считать перечень баз данных, использующихся этим ресурсом, перечень таблиц некоторых таких баз, и содержимое таблиц с данными об их пользователях - логинами и паролями, хэшированными с помощью стандартной функции MYSQL password().

К тому же, удалось обнаружить email-адреса людей, тоже с хэшами паролей (MD5). Кое-какие из паролей того и иного типа удалось восстановить (метод не уточняется, однако наверное использовалась 1 из online-баз хэшей, коих в Интернете предостаточно).

Нельзя не подчеркнуть исключительную простоту некоторых из вскрытых паролей. К примеру, пользователи с вполне примечательными логинами "sys" и "sysadm" завели себе пароли "phorum5" и "qa" соответственно. А почта одного из руководителей высшего звена MYSQL запаролена последовательностью из 4-х цифр, 3 I-е из которых одинаковы. Эксперт компании Sophos Честер Вишневски (Chester Wisniewski) не без иронии предполагает, что эти же цифры являются пин-кодом пластиковой карты этого человека.

Хакеры отмечают, что обе уязвимости mysql.com (имеющие тоже место и на региональных сайтах компании) были обнаружены ими ещё в начале янв.. Результаты взлома они решили предать гласности затем, как их знакомый по имени Jackh4x0r воспользовался той же "дырой" и опубликовал всё, что лишь сумел ч/з неё вытащить.

К тому же TINKODE и Ne0h отыскали XSS-уязвимость в 2-х поддоменах sun.com (Sun Microsystems приобрела MYSQL в 2008 г., а ч/з 2 г. продалась вместе со всеми потрохами компании Oracle). Ч/з эту "дыру" удалось выкрасть меньше критичную информацию: во всяком случае, никаких логинов-паролей хакеры не публикуют, а наиболее существенным их достижением стал перечень корпоративных email-адресов.

В MYSQL и Sun пока не прокомментировали эти инциденты.