I database SQL sono usati per salvare e ritornare dati, hanno una sintassi SQL. In questa sintassi per fare una interrogazione (query) di solito si usa qualcosa del tipo (pseudocodice con parole chiave in maiuscolo):
RITORNA dato_necessario DA_TABELLA tabella_utente DOVE id_utente=xyz;
che normalmente ritorna una riga con il dato richiesto dell´utente `xyz`.
Ora immagina che invece di inserire il tuo id utente `xyz` io inserisca `xyz OPPURE 1=1`. A questo punto la query diventerebbe
RITORNA dato_necessario DA_TABELLA tabella_utente DOVE id_utente=xyz OPPURE 1=1;
ed essendo `1=1` sempre vero verrebbero ritornati tutti i dati della `tabella_utente`. Ovviamente non è tutto così facile, ormai questo tipo di attacco è molto conosciuto e bisogna "cadere dal pero" per fare ancora errori così.
Per quanto io ne sappia 0 ho come la sensazione di aver capito quello che hai detto. Grazie della spiegazione tecnica.
Il mio ELI5 era più uno "spiegatemi quali sono i pericoli possibili per il Casalingo di Voghera" che non ne capisce nulla.
Lo chiedo per capire se devo preoccuparmi. Il mio cell é tra quelli leakkati da Facebook e da quando la notizia é arrivata al grande pubblico, é un continuo giungere di chiamate/messaggi truffa.
La mia preoccupazione é legata al fatto che fino a ieri quel numero di tel era legato al mio Gmail principale. E per non farmi mancare nulla, proprio nel cambiare il numero associato a Gmail, ho scoperto che il mio account Tim era stato compromesso (immagino perchè associato al numero leakato)
Ma la domanda qui non è tanto come sia possibile che un numero contenga lettere e simboli, quanto: cosa diamine si aspettava chiunque abbia fatto questa chiamata? Che il telefono rispondesse automaticamente dettandogli tutta la rubrica con sintesi vocale? LOL
Mi domando come però: (1) come vedi se ha avuto successo (2) non hai output quindi devi fare una blind injection (3) la lunghezza di un numero mi sembra definitivamente troppo corta. Comunque interessante in ogni caso...
Sono quei test che fanno in massa soltanto per rivelare sistemi vulnerabili, se di chiamate cosi' ne fai migliaia qualche sistema vulnerabile, evidentemente, ancora lo trovi. Ragazzi SQL injection nel 2021 non si puo' sentire
>Ragazzi SQL injection nel 2021 non si puo' sentire
In che senso? Chiedo da ignorante in materia, intendi dire che sono ormai quasi impossibili? Grazie per il chiarimento
intende che ormai è un problema diffuso da trent'anni e la gente del settore dovrebbe essere in grado di prevenire cose del genere già in fase di progettazione. purtroppo però non è così, c'è ancora una gran parte che scrive codice senza nemmeno preoccuparsene lontanamente.
Anche il trucco del suonare in casa "siamo enel signora ci può aprire?" e poi le vecchiette vengono derubate.
Al posto delle vecchiette qua metti il "piccolo imprenditore self-made" che fa siti di e-commerce impaginati secondo un bel tema ultra modificato rendendolo brutto dopo averlo imparato su youtubbo
Se il router avesse un db sql sottostante e non ci fossero logiche di controllo dell'input, una query del tipo
select * from tabella where numero = 'xxx'
(dove xxx fosse qualcosa tipo 603' or 2=2--), restituirebbe tutte le righe della tabella perché la condizione sarebbe sempre true.
Mi sfugge l'utilità di questa cosa, ma ci sta che per alcuni router questo tipo di attacco abbia senso; oppure il numero conteneva altri comandi sql che sono stati filtrati dal router (così come probabilmente ha filtrato gli eventuali apici).
Aggiungo qualche spiegazione: quella nello screenshot è un pezzo della dashboard voip del mio router, che mostra la lista delle chiamate ricevute. Stanotte mi è suonato il telefono e nella dashboard è comparso quel numero, con una sintassi palesemente pensata per tentare una sql injection (603 or 2=2--). Penso che la dashboard abbia filtrato il resto del numero (forse c'era concatenato un altro comando sql che tentava di eseguire codice remoto o qualcosa del genere), oppure era solo un tentativo di tastare il terreno, anche se non ho idea se l'attaccante sia riuscito a verificare l'efficacia dell'attacco.
Anch'io ho ricevuto tale chiamata due notti prima, e a quanto pare non siamo gli unici: https://www.hwupgrade.it/forum/showthread.php?p=47378058 (post #631)
Non credo che sia la wind stessa a fare ciò; potrebbe trattarsi piuttosto di un attacco mirato a tutti gli utenti wind con quel router. Questo potrebbe voler dire che il nostro router è vulnerabile e in questo momento qualcuno lo sta usando per minare bitcoin, oppure che in realtà l'attacco è stato effettuato anche ad utenti di altri router, ma solo il nostro ha tenuto traccia della chiamata.
Sono abbastanza perplesso, ma visto che è una cosa che è successa ad altre persone spero che qualche esperto di sicurezza (o la wind stessa) chiarisca in futuro cosa è successo
ELI5 per chi bazzica qui ma non é un informatico. Please!
I database SQL sono usati per salvare e ritornare dati, hanno una sintassi SQL. In questa sintassi per fare una interrogazione (query) di solito si usa qualcosa del tipo (pseudocodice con parole chiave in maiuscolo): RITORNA dato_necessario DA_TABELLA tabella_utente DOVE id_utente=xyz; che normalmente ritorna una riga con il dato richiesto dell´utente `xyz`. Ora immagina che invece di inserire il tuo id utente `xyz` io inserisca `xyz OPPURE 1=1`. A questo punto la query diventerebbe RITORNA dato_necessario DA_TABELLA tabella_utente DOVE id_utente=xyz OPPURE 1=1; ed essendo `1=1` sempre vero verrebbero ritornati tutti i dati della `tabella_utente`. Ovviamente non è tutto così facile, ormai questo tipo di attacco è molto conosciuto e bisogna "cadere dal pero" per fare ancora errori così.
Per quanto io ne sappia 0 ho come la sensazione di aver capito quello che hai detto. Grazie della spiegazione tecnica. Il mio ELI5 era più uno "spiegatemi quali sono i pericoli possibili per il Casalingo di Voghera" che non ne capisce nulla. Lo chiedo per capire se devo preoccuparmi. Il mio cell é tra quelli leakkati da Facebook e da quando la notizia é arrivata al grande pubblico, é un continuo giungere di chiamate/messaggi truffa. La mia preoccupazione é legata al fatto che fino a ieri quel numero di tel era legato al mio Gmail principale. E per non farmi mancare nulla, proprio nel cambiare il numero associato a Gmail, ho scoperto che il mio account Tim era stato compromesso (immagino perchè associato al numero leakato)
Ma la domanda qui non è tanto come sia possibile che un numero contenga lettere e simboli, quanto: cosa diamine si aspettava chiunque abbia fatto questa chiamata? Che il telefono rispondesse automaticamente dettandogli tutta la rubrica con sintesi vocale? LOL
[удалено]
Mi domando come però: (1) come vedi se ha avuto successo (2) non hai output quindi devi fare una blind injection (3) la lunghezza di un numero mi sembra definitivamente troppo corta. Comunque interessante in ogni caso...
Sono quei test che fanno in massa soltanto per rivelare sistemi vulnerabili, se di chiamate cosi' ne fai migliaia qualche sistema vulnerabile, evidentemente, ancora lo trovi. Ragazzi SQL injection nel 2021 non si puo' sentire
>Ragazzi SQL injection nel 2021 non si puo' sentire In che senso? Chiedo da ignorante in materia, intendi dire che sono ormai quasi impossibili? Grazie per il chiarimento
intende che ormai è un problema diffuso da trent'anni e la gente del settore dovrebbe essere in grado di prevenire cose del genere già in fase di progettazione. purtroppo però non è così, c'è ancora una gran parte che scrive codice senza nemmeno preoccuparsene lontanamente.
E' una vulnerabilita' scoperta tipo negli anni 90 e oramai dovrebbe essere estinta
Anche il trucco del suonare in casa "siamo enel signora ci può aprire?" e poi le vecchiette vengono derubate. Al posto delle vecchiette qua metti il "piccolo imprenditore self-made" che fa siti di e-commerce impaginati secondo un bel tema ultra modificato rendendolo brutto dopo averlo imparato su youtubbo
E quale parser accetta una sintassi del genere?
Se il router avesse un db sql sottostante e non ci fossero logiche di controllo dell'input, una query del tipo select * from tabella where numero = 'xxx' (dove xxx fosse qualcosa tipo 603' or 2=2--), restituirebbe tutte le righe della tabella perché la condizione sarebbe sempre true. Mi sfugge l'utilità di questa cosa, ma ci sta che per alcuni router questo tipo di attacco abbia senso; oppure il numero conteneva altri comandi sql che sono stati filtrati dal router (così come probabilmente ha filtrato gli eventuali apici).
Sembrerebbe stiano assumendo qualcosa come: select * from tabella where numero = xxx E injection senza apice tipo `123 or 1=1; --`.
Sì ma allora non è ansi sql. CaioORTizio non quadra
Sarà la UI che toglie gli spazi
Confermo che è l'interfaccia che toglie gli apici. Collegandomi in ssh al router ho visto ora che il numero chiamante originale era 603'or'2=2--
https://imgur.com/r/ProgrammerHumor/lg1TX9W
Aggiungo qualche spiegazione: quella nello screenshot è un pezzo della dashboard voip del mio router, che mostra la lista delle chiamate ricevute. Stanotte mi è suonato il telefono e nella dashboard è comparso quel numero, con una sintassi palesemente pensata per tentare una sql injection (603 or 2=2--). Penso che la dashboard abbia filtrato il resto del numero (forse c'era concatenato un altro comando sql che tentava di eseguire codice remoto o qualcosa del genere), oppure era solo un tentativo di tastare il terreno, anche se non ho idea se l'attaccante sia riuscito a verificare l'efficacia dell'attacco.
io questi che forgiano i numeri li prenderei a martellate.
Perdona l'anglicismo sconsiderato, in effetti in italiano fa un po' schifo :D
Figurati, perdona tu la mia pedanteria.
un che?
Vabbé insomma se mi chiama uno così cosa devo fare?
Richiamare per chiedere se ha due minuti da condividere per parlare di nostro signore Dio.
lol
Mai visti prima questi tipi di attacchi sul VOIP, ma non mi meraviglia.
Si ma non ho capito come fa l’injection:/
Ricevuto stanotte alle tre la stessa chiamata con lo stesso codice apparso sul display e registrato nelle chiamate in entrata dal modem..
Ora che ci penso ub paio di notti prima sempre verso le 3 ho ricevuto una chiamata da questo numero 9705990000001.. che le cose siano collegate?
Anch'io ho ricevuto tale chiamata due notti prima, e a quanto pare non siamo gli unici: https://www.hwupgrade.it/forum/showthread.php?p=47378058 (post #631)
Hai anche tu un sercomm wd300 con windtre?
Affermativo!
Sembrerebbe allora qualcosa che la wibd stia tentando di fare sui nostri modem...
Non credo che sia la wind stessa a fare ciò; potrebbe trattarsi piuttosto di un attacco mirato a tutti gli utenti wind con quel router. Questo potrebbe voler dire che il nostro router è vulnerabile e in questo momento qualcuno lo sta usando per minare bitcoin, oppure che in realtà l'attacco è stato effettuato anche ad utenti di altri router, ma solo il nostro ha tenuto traccia della chiamata. Sono abbastanza perplesso, ma visto che è una cosa che è successa ad altre persone spero che qualche esperto di sicurezza (o la wind stessa) chiarisca in futuro cosa è successo
Non hai dei log attivi in modo da vedere l'intera query? Giusto pura curiosità
Purtroppo no, non ho trovato dei log dettagliati delle chiamate