「サウンドハウス、情報流出について詳細な経緯を公開」記事へのコメント

長ったらしい弁明文だけど，気持ちも分からないでもない

[Anonymous Coward]

まあ，教訓としては，
SQLインジェクションに対する脆弱性が判明して，
それを修正した際は，
一からサーバの再構築をしたほうがよい，ってことね。
一応，2006年末にSQLインジェクション対策はしてるみたいだし。
でも，それ以前にバックドアが仕込まれてるので意味がない，と。

個人的には，本当に「2007年以降のデータだけで済んでる？」とは言いたいが，
まあ，完璧なレベルを求めてもしかたないしね・・・

Re:

[Anonymous Coward]

> 一応，2006年末にSQLインジェクション対策はしてるみたいだし。

それ、どこに書いてありました？
今全文読みましたが、そんなこと書いてなかったですよ？

Re:長ったらしい弁明文だけど，気持ちも分からないでもない

[muSHIMaru (29600)]

p.13

2006年12月にデータベースサーバーをアップグレードした為、不用意なコマンドをSQLインジェクションでは実行できないようになりましたが、この時点ではすでに悪性プログラムはサーバー内に存在していたと考えられます。

ここの事かと。

Re:長ったらしい弁明文だけど，気持ちも分からないでもない

[keita (844)]

その部分の「不用意なコマンド」は多分シェルコマンドを指しているのであって、SQLインジェクション対策を行なった、という意味ではないのだろうと思います。データベースサーバーをアップグレードしただけなのであれば、任意のシェルコマンドの実行が出来なくなっただけで、SQLインジェクションの問題は残っていたのではないでしょうか。

Re:

[Anonymous Coward]

2006年12月にデータベースサーバーをアップグレードした為、不用意なコマンドをSQLインジェクションでは実行できないようになりましたが、

SQLインジェクション脆弱性は、サーバをアップグレードすることで解消するような部類の脆弱性ではありません。サウンドハウス自身が自社開発したというプログラム部分を修正しない限り脆弱であり続けるものです。通常。

この期に及んでこんなことを言っているようでは、今現在もサウンドハウスはWebアプリの脆弱性というものを理解していないと思わざるを得ません。

Re:長ったらしい弁明文だけど，気持ちも分からないでもない

[Anonymous Coward]

2006年12月にデータベースサーバーをアップグレードした為、不用意なコマンドをSQLインジェクションでは実行できないようになりましたが、

SQLインジェクション脆弱性は、サーバをアップグレードすることで解消するような部類の脆弱性ではありません。サウンドハウス自身が自社開発したというプログラム部分を修正しない限り脆弱であり続けるものです。

SQL Serverには任意のコマンドが実行できるxp_cmdshellという魔の拡張ストアドプロシージャが標準で用意されています。昔のバージョンではそれはデフォルトで使用可能な状態になっていたので、SQL ServerではSQLインジェクションができるともれなくOSコマンドインジェクションもついてくる状態でした。SQLインジェクションでなぜかサイトが改竄できるというものの原因はおおむねこれです。で、確かSQL Server 2005からはデフォルトが使用できない状態に変わりました。

なのでその部分はサイト改竄があるならxp_cmdshellが実行できなくなる前だろうということが言いたいだけで、SQLインジェクション脆弱性を修正したということではないと思われます。