2008-05-26 08:16 SQL Injection: 入門書帶來的惡夢
我想一定有很多入門書的作者看到這篇會氣到跳腳吧。
但就套一句在老電影[五億探長雷洛傳-父子情仇]中雷洛的名言:"It's real",說明了最近一個星期內,台灣各大網站資料庫被寫入許多異常資料的嚴重問題。而且這個問題,在坊間的入門書中幾乎是隻字未提,那這不能導因於寫入門書作者的不用心嗎?
況且,這可是已經出現數年的重大漏洞,而且是直接歸責於程式設計師的問題,入門書沒有提這件事,當然就不會刻意去防範這件事,最直接的反應,就是把入門書的寫法寫到應用程式中,間接造成了這次台灣許多網站被 SQL Injection 攻擊的重大安全問題。
這個被稱為資料隱碼的攻擊手法,在五月份經常出現在台灣各大網站,就連部份大型社群網站都無法倖免,甚至造成資料完全損毀的重大傷害,試想,如果再沒有人要把這種問題在入門書籍中就告訴入門者的話,未來會不會還會繼續危害更多的網站或是企業系統?
隱碼攻擊,入侵企業資料庫:
http://udn.com/NEWS/SOCIETY/SOC1/4356315.shtml
就算它是使用 Mass SQL Injection,它還是原本的那種 SQL Injection 漏洞,沒有被補,不管它是哪種類型的 SQL Injection,都是一樣會被攻擊。

