Хакер #305. Многошаговые SQL-инъекции
Презентация на Black Hat продемонстрировала несколько простых способов,
которыми пользовались хакеры, чтобы разбогатеть (или умереть пытаясь).
Раздумываете над тем, как бы хакнуть Сеть на на пару (сотен тысяч) баксов?
Специалисты из WhiteHat вчера предложили несколько идей. В ходе лекции под
названием "Разбогатей, или умри, пытаясь – делаем деньги в Сети в стиле Black
Hat" технический директор и основатель WhiteHat Иеремия Гроссман, на пару с
директором по программным решениям одной из фирм Треем Фордом, представили
несколько забавных примеров взлома и получения денег.
"Мы надеемся, что этот брифинг развлечет вас, и, может быть, заставит
некоторых задуматься о своей морали", - съязвил Гроссман. Они начали с
демонстрации небольшого скрипта, позволяющего хакеру манипулировать результатами
опросов, затеваемых местными средствами массовой информации. Гроссман показал,
как знаменитый эксперт Роберт Хансен (a.k.a. RSnake) помог таким образом
чихуахуа выиграть звание лучшей собаки на проводимом местной газетой конкурсе, а
затем был посрамлен другим хакером, взломавшим этот же опрос и болевшим за
другую собаку.
Форд продемонстрировал способ, при помощи которого хакер может вызвать
"искусственную нехватку" билетов или еще чего-нибудь, заставляя сервер
отказывать в доступе к нужным местам или билетам всем, кроме хакера. Он отметил,
что способ весьма пригодится тем, кто хочет помочь перекупщикам взвинтить цены
на свои билеты. Гроссман также проиллюстрировал, как хакеры могут легко и быстро
решать проблемы капчи, путем покупки их по два доллара за тысячу.
Но простые методы взлома можно, по словам исследователей, использовать и для
того, чтобы заработать больше, чем пару баксов. Например, один хакер написал
скрипт, автоматизирующий приобретение различных товаров при помощи электронных
купонов. Таким образом он купил товаров на сумму около $50000, а затем отправил
их по почте на несуществующие адреса, где они и перехватывались его сообщниками.
Вспомнили и недавний случай с одним 22-летним молодым человеком, создавшим
58000 биржевых счетов при помощи фальшивых регистрационных данных, с целью
завладения небольшими бонусами, предлагаемыми при открытии счета для привлечения
клиентов. Во время разговора упомянули, к примеру, о том, как одна женщина
обнаружила, что если в середине процесса оплаты за товар в одном из
интернет-магазинов нажать кнопку отмены, можно получить этот товар бесплатно.
Она не растерялась и затем продала полученные таким образом вещи на eBay,
выручив при этом более 400000 долларов.
Все рассмотренные случаи действительно имели место, а некоторые из них не
были даже незаконными, что еще раз указывает на необходимость для владельцев
электронных бизнес-систем внимательнее относиться к возможным уязвимостям,
подытожили специалисты.
