SQLi будет жить, пока безопасность на стадии разработки не станет нормой

SQLi будет жить, пока безопасность на стадии разработки не станет нормой

SQLi будет жить, пока безопасность на стадии разработки не станет нормой

Возможность внедрения SQL-кода (SQL injection, SQLi) была впервые признана уязвимостью более 20 лет назад, однако она до сих пор зачастую всплывает в веб-приложениях. Матиас Маду (Matias Madou), технический директор и соучредитель компании Secure Code Warrior, уверен, что этот тривиальный баг будет и впредь составлять угрозу для пользователей, пока разработчики не научатся привносить безопасность в программные коды.

Баг SQLi, по мнению эксперта, легко устранить. Учитывая почтенный возраст проблемы, она должна присутствовать только в унаследованном софте и непропатченных системах. Тем не менее, создатели веб-приложений повторяют эту ошибку вновь и вновь.

Атака внедрением SQL-кода не требует специальных знаний и навыков, а последствия могут быть весьма неприятными — SQLi до сих пор занимает первое место в рейтинге рисков OWASP Top 10. Так, в минувшем августе поставщик графического контента Freepik сообщил о компрометации учетных данных 8,3 млн пользователей в результате SQLi-атаки. За три месяца до этого в США был открыт процесс по делу украинца Виталия Антоненко, которого обвинили в краже сотен тысяч номеров кредитных карт и персональных данных посредством массовых взломов через SQLi.

К сожалению, многие дипломированные программисты, по словам Маду, имеют слабое представление о защитном кодировании. Для проведения специальных тренингов у бизнес-структур не хватает квалифицированных кадров и возможностей, а подчас и желания. Новые языки программирования вроде Rust помогают избавиться от некоторых типовых багов, однако использование устаревших систем и библиотек сводит на нет все усилия по обеспечению безопасности корпоративной инфраструктуры.

Эксперт призывает интернет-сообщество повысить культуру создания программных продуктов, стимулировать разработчиков к освоению приемов безопасного программирования и не жалеть времени на подготовку качественных, защищенных кодов.

Мошенники в MAX убедили студентку отправить 3,6 млн рублей

Мошенники продолжают активно осваивать MAX, на этот раз история закончилась совсем не смешно. В Тюменской области студентка одного из колледжей лишилась 3,6 млн рублей после общения с аферистом в мессенджере. Об этом сообщили в региональной прокуратуре.

По данным ведомства, всё началось с переписки, в которой неизвестный пообещал девушке прибыль от инвестиций.

Дальше схема пошла по уже знакомому сценарию: собеседник убедил её перевести деньги на указанные счета, после чего средства, разумеется, исчезли вместе с красивыми обещаниями.

По факту произошедшего уже возбуждено уголовное дело. Прокуратура Исетского района взяла расследование на контроль и будет следить за его ходом и результатами.

Вообще, MAX всё чаще появляется в новостях о мошеннических схемах. Ранее мы писали, что аферисты добрались даже до министра Камчатки Сергея Лебедева.

Правда, там сценарий быстро рассыпался: министр слишком хорошо знал такие уловки и почти сразу понял, с кем разговаривает. В случае со студенткой всё закончилось куда тяжелее — потерей огромной суммы.

Важно помнить как только в переписке всплывают «инвестиции», гарантированная прибыль, срочные переводы или просьбы отправить деньги на чужие счета, это почти всегда сигнал немедленно остановиться. Потому что в таких историях быстрый доход почему-то стабильно получает только мошенник.

RSS: Новости на портале Anti-Malware.ru