Attacco SQL injection al sito web della 'Royal Navy'

Il sito internet della Royal Navy britannica è stato momentaneamente chiuso dopo che alcuni hacker hanno effettuato un accesso non autorizzato. In un comunicato pubblicato oggi sull'home page si spiega che il sito è stato chiuso per la necessaria "manutenzione". La marina militare britannica ha fatto sapere che il sito è stato manomesso nel weekend ma non ha subito danni. Un hacker rumeno, che si è identificato come Tinkode, ha rivendicato un accesso al sito sensibile. In un nuovo post sul suo blog, TinKode ha affermato di aver compromesso il sito www.royalnavy.mod.uk il 5 novembre alle 22:55. 

Il fuso orario non è specificato. L'hacker afferma che il vettore di attacco è di tipo SQL injection, ma fortunatamente, non sono state pubblicate le URL vulnerabili. Lo fa, però, il collegamento a un file presente in pastebin.com, che contiene informazioni riservate raccolte dal server del database della Royal Navy Web. Ciò include una copia del file / etc / passwd, una lista di database MySQL, così come alcune tabelle.

Per il database "globalops", che si assume alla corrispondenza "Global Operations", sezione del sito, TinKode elenca il contenuto della tabella "admin_users". Questo include gli account amministrativi e gli hash corrispondenti alle loro password. L'hacker ha anche decifrato l'hash della password per l'utente chiamato "admin", che ha inserito nel testo. Basti dire che è ridicolmente semplice e in nessun modo adeguato ad un sito militare. Inoltre, ha anche pubblicato i nomi utente e password con hash per il sito di "Jack Speak" tratto dal blog, che sembra essere in esecuzione WordPress. Softpedia ha allertato il team del Royal Navy Web, ma non hanno ancora ricevuto una risposta. Nel frattempo, il sito rimane in linea. 

SQL injection è un tipo di vulnerabilità, che deriva da una mancata corretta sterilizzazione dell'input dell'utente. Esso consente agli aggressori di eseguire query di database canaglia, manipolando l'URL vulnerabili. TinKode ha  comunicato precedentemente vulnerabilità analoghe su siti della NASA e US Army. Alla fine di ottobre ha annunciato compromissioni sui siti web appartenenti all'Esercito MI 470a brigata statunitense, l'US Army Affari Civili e il Psychological Operations Command e il National Weather Service.