SANSら、SQLベースの大規模なウェブ攻撃を解読

　SANS Internet Storm Centerなど複数が米国時間1月9日、先週末に発生したSQLベースの大規模なウェブ攻撃についての詳細を発表した。SANSによるとこの攻撃は、2007年11月に発生したより規模の小さいSQLインジェクション攻撃によく似ているという。短期間に少なくとも7万サイトが攻撃の被害を受けたことで、これは自動化された攻撃だったという憶測も出ている。

　ログファイルから判断すると、攻撃に用いられたコードは、Microsoft SQLやMicrosoft IISを使用しているウェブサイトに存在するさまざまなSQLインジェクション関係の脆弱性を悪用しているようだ。脆弱性のあるサイトでは、SQLデータベースにあるすべての可変文字フィールドや可変テキストフィールドに悪質なJavaScriptが挿入された結果、そのサイトにアクセスしたユーザーのブラウザに脆弱性がある場合には他のドメイン、今回のケースではus8010.com、にリダイレクトされる。

　GrisoftのチーフリサーチオフィサーであるRoger Thompson氏は、こういった悪意あるサーバで使われているエクスプロイトの1つが、Microsoftによって2006年9月にパッチを当てられたMS06-014というMicrosoft Data Access Componentsの脆弱性を利用していることを突きとめた。同氏はまた、「uc8010（ドット）comというこのドメインは数日前（12月28日）に登録されたばかりだが、ある時点のGoogle検索では、このドメインを指しているスクリプトインジェクションは7万以上のドメインに広がっていた」と述べている。しかし、1月5日までには、こういったドメインの大半がクリーンなものになっていた。

　この攻撃で興味深いことは、自動化されているという点はさておき、SQLインジェクションのスクリプトが、データの型を変換するCAST関数を用いて難読化されているという点である。Ryan Barnett氏はこの攻撃を解読し、その内容を公開している。

　Barnett氏は、この攻撃からウェブサイトを守る方法として、Apacheをプロキシとしてフロントエンドに配置し、ISSやMS-SQLをバックエンドに配置することを示唆している。SANSによると、CAST関数をブロックするといった他の方法も有効だという。