De seneste måneder har en række legitime websteder spredt skadelig software.
Det sker ved, at der på websiderne står script-kommandoer, der henviser til en anden webside, hvorpå de skadelige programmer kører.
Disse programmer forsøger at udnytte velkendte browsersårbarheder til at installere software.
Den sidste del af angrebet er forholdsvis nem at forstå. Men hvordan går det til, at kendte og respekterede websteder som USA Today, ABC News og Packard Bell spreder skadelige programmer?
Forklaringen er, at de er ramt af SQL-indsætning.
En angriber har udnyttet en sårbarhed i web-applikationer på de pågældende websteder til at snige den skadelige script-kode ind på siderne.
I praksis foregår det ved, at angriberen i et inputfelt eller et argument i en URL-streng tilføjer nogle SQL-kommandoer.
Hvis web-applikationen ikke tjekker input, men bare sender hele tekststrengen videre til databasen, bliver SQL-kommandoerne udført.
Denne angrebsform er velkendt.
Det, der har undret os gennem de seneste måneder, er den store mængde af sider, der tydeligvis var blevet ofre for SQL-indsætning.
Det er så mange, at der må ligge en form for automatiseret angreb bag.
Asprox angriber
Sikkerhedsforsker Joe Stewart fra firmaet SecureWorks fandt for nylig en vigtig brik til puslespillet.
Han følger aktiviteten på botnet, altså netværk af pc'er, der uden deres ejers vidende bliver fjernstyret af nogle bagmænd.
Joe Stewart opdagede, at botnettet Asprox blev opdateret med ny software i begyndelsen af maj.
Den nye software var et værktøj til SQL-indsætning. Værktøjet søger via Google efter websteder, der indeholder .ASP-sider.
Herefter forsøger værktøjet at indsætte SQL-kommandoer på de sider, Google-søgningen har fundet frem til. Hvis det lykkes, bliver der tilføjet en tekststreng til en række felter i databasen.
Tekststrengen indeholder en kommando, der åbner et script i en såkaldt Iframe.
Denne kommando vil blive vist og eventuelt udført, når databasefelterne indgår i en webside, der vises i en browser.
Herefter føres man hen til en ny webside, der prøver at udnytte kendte sårbarheder til at installere programmer med. Hvilke programmer? Det kunne for eksempel være botnet-programmet, så gæsten også bliver indrulleret i det.
Fast flux
En særlig finesse ved dette angreb er, at det er koblet sammen med et såkaldt fast flux-netværk.
I et fast flux-net er et domænenavn koblet til en lang række IP-adresser, der skifter med korte mellemrum.
På ét tidspunkt fører et besøg på domænet til én IP-adresse, nogle minutter efter til en helt anden.
Koblingen er smart, fordi IP-adresserne alle tilhører pc'er i Asprox-botnettet.
Så SQL-angrebet indeholder et Iframe-link til et script på et bestemt domæne.
Dette domæne henviser igen til én ud af en række IP-adresser. Når en af pc'erne forsvinder fra nettet, fx fordi dens ejer scanner sin pc for virus, er der straks nye, som kan tage dens plads.
Problemet er udbredt. En Google-søgning foretaget i denne uge viser, at godt 119.000 websider har været ramt af angrebet fra Asprox-botnettet.
Hvad kan man gøre for at beskytte sig? Hvis man har ansvaret for en web-applikation, der kommunikerer med en database, er svaret: Skriv applikationen om.
Applikationen må ikke sende tekststrenge fra brugerinput direkte videre til databasen.
I stedet skal man enten rense input eller kalde stored procedures med parametre i stedet for direkte at udføre SQL-kald.
DK-CERT (www.cert.dk) er det danske Computer Emergency Response Team.
I samarbejde med tilsvarende CERT'er over hele verden indsamler DK-CERT information om internetsikkerhed. DK-CERT udsender advarsler og tager imod anmeldelser af sikkerhedsrelaterede hændelser på internettet.
DK-CERT's leder, Shehzad Ahmad, opdaterer den sidste fredag i hver måned Computerworlds læsere med de seneste tendenser inden for it-sikkerhed.
