Viiruse kuulsuste saal: SQL Slammeri viirus

Lugemisaeg: 3 protokoll

Igasugune meeldejäävate asjade nimekiri arvutiviirused peaks sisaldama SQL Slammeri viirust, mis vallandus 2003. aastal. Ma mäletan seda kindlasti. Töötasin sel ajal UPS IT-ga ja meil oli mitu serverit sellest välja lülitatud.

Viiruse nimi on veidi eksitav, kuna see ei hõlmanud andmebaasisüsteemide struktureeritud päringukeelt SQL-i. See kasutas ära Microsofti SQL Serveri andmebaasisüsteemi puhvri ületäitumise probleemi. See ei põhjusta mitte ainult andmebaasi, vaid mõnel juhul terveid võrke.

Viirus, tegelikult uss, oli märkimisväärselt lihtne. See genereeris juhuslikud IP-aadressid ja saatis seejärel end neile aadressidele. Kui SQL Serveri lahendusteenus, mida kasutatakse SQL Serveri mitme eksemplari toetamiseks ühes arvutis, nakatub host. Lahutusteenused kasutavad UDP-porti, mida kasutatakse Interneti-datagrammide, väikeste sõnumite saatmiseks, mida saab kiiresti saata. Väga kiiresti, nagu see viirus tõestab.

Viirust kasutati andmebaasiserveri tõrke tekitamiseks kahel viisil. See võib põhjustada süsteemimälu osade ülekirjutamist juhuslike andmetega, mis tarbivad kogu serveri vaba mälu. Samuti võib see käivitada koodi SQL Serveri teenuse turbekontekstis, mis võib serveri alla laadida.

Viiruse kolmas kasutusviis oli teenuse keelamise loomine. Ründaja võis luua aadressi, mis näis pärinevat ühest SQL Server 2000 süsteemist, ja seejärel saata selle naabersüsteemi SQL Server 2000. See lõi lõputu sõnumivahetuse jada, kulutades mõlema süsteemi ressursse ja aeglustades jõudlust.

Vähesed viirused on kunagi põhjustanud nii palju avalikkust nii kiiresti. Indiana ülikooli viiruse ja selle mõju uuringu kohaselt on usside peamine omadus selle erakordne levimiskiirus. Hinnanguliselt saavutas see ülemaailmse Interneti-nakkuse taseme kümne minuti jooksul pärast vabastamist. Maksimaalselt (saavutati pühapäeval, 26. jaanuaril) nakatus maailmas ligikaudu 120,000 1 arvutit ja need arvutid tekitasid nakkusliikluse kogusumma üle XNUMX terabiti sekundis.

Nad hindasid, et nakatumise tipphetkel oli viiruse tõttu kättesaamatu 15% Interneti-hostidest.

Lõuna-Koreas ei saanud enamik kasutajaid Internetti ligi 10 tunni jooksul. See tõi alla Bank of America sularahaautomaadid ja põhjustas Seattle'i 911 süsteemi katkestused. See tõi alla Akamai võrgustiku, kes haldas selliste kõrgetasemeliste ettevõtete, nagu Ticketmaster ja MSNBC, veebisaite. Continental Airlines pidi lennud tühistama oma piletimüügisüsteemi probleemide tõttu.

Hea uudis oli viiruse eemaldamine oli suhteliselt lihtne vastata. Seda oli lihtne mälust kustutada ja mõjutatud pordid tulemüüriga ära hoida. Tegelikult oli Microsoft välja lasknud plaastri ületäitumise haavatavuse jaoks aasta varem. Parandus oli juba allalaadimiseks saadaval.

Mis viib selle loo huvitava osani. Viiruse päritolu teadlane David Litchfield, kes tuvastas probleemi ja lõi kontseptsiooni tõestamise programmi. Litchfield esitles oma tulemusi Microsofti töötajatele, kes kahjuks olid temaga nõus neid ja kontseptsiooni tõestust kuulsal iga-aastasel Black Hat konverentsil esitlema. Eeldatakse, et koodi ja kontseptsiooni said loojad tema esitlusest.

Kuidas sai Microsoft tal seda lubada?

Ilmselt pidasid nad seda vanaks uudiseks. Neil oli plaaster väljas ja nad töötasid järgmise versiooni, SQL Server 2005, kallal.

Muidugi süttis juhtum Microsofti digitaalse tagaosa all, et keskenduda SQL Server 2005 turvalisusele. See toimis, sest pärast seda pole SQL Serveriga midagi sellist juhtunud.

ALUSTA TASUTA KATSET HANKIGE TASUTA OMA INSTANT TURVAKARTI