Segundo o site zone-h.org, que possui registros de sites vitimas de defacements, no ano passado (2010) foram registrados 1.419.203 ataques desse tipo, onde a maioria dos defacements foram realizados utilizando técnicas: file inclusion, SQL injection, webdav e erros de configuração.
É claro que no ano de 2010 esses skiddie (script kiddie) tiveram uma grande ajuda do Linux, estou me referindo ao grande número de exploits que foram publicados que exploravam falhas locais no Linux que permitiam elevar privilégios.
Infelizmente no Brasil são poucas empresas que realmente priorizam ou valorizam os responsáveis pela Segurança de TI, sem contar que muitas empresas não possuem uma equipe especifica responsável pela segurança da informação. No final do ano passado (2010) tentei ajudar algumas empresas e para a minha surpresa o termo “segurança” não vale muito quando se trata de sistemas, tentei avisar essas empresas sobre brechas de segurança em seus sistemas web, principalmente aquelas que eram exploradas usando SQLi, e nenhum email enviado foi retornado. Primeiramente imaginei que eles não teriam respondido o email por algum receio, mas no fundo acreditava que a equipe de segurança de TI da empresa tinha sido alertada sobre o problema e os responsáveis estariam trabalhando para corrigir essas brechas, como eu estava iludido. Só por curiosidade depois de 1 mês chequei os mesmos sistemas e todos ainda estavam vulneráveis. Alertei mais de 20 empresas de pequeno, médio e grande porte. Simplesmente inacreditável.
Vai um alerta para todos, tome muito cuidado onde você compra e expõe seu cartão de crédito, em algumas dessas empresas conseguir todas as informações de seus clientes incluindo o cartão de crédito.
Os desenvolvedores despreocupados com segurança estão sempre facilitando a vida dos skiddie, outro dia fiz um teste que realmente chamou minha atenção. Encontrei um site que tinha uma brecha que poderia ser explorada usando SQLi (minha técnica favorita, não que eu seja um expert de SQL injection) e no rodapé do site tinha informações da empresa que desenvolveu o site, fui até o meu melhor amigo (google) e fiz algumas pesquisas e achei outros sites que a mesma empresa tinha desenvolvido, você imagina o que achei??? Pois é, quase 90% dos outros sites desenvolvido pela empresa poderiam ser explorados usando SQLi, fiz os meus testes só com sqli ainda tem outras técnicas que não testei.
Vamos falar um pouco do governo no Brasil, sai “governo entra governo” com isso há uma mudança drástica das pessoas com cargo de confiança, pessoas que estão na frente de vários setores do órgão público, como o setor de desenvolvimento por exemplo. Analisando o relatório do site zone-h podemos ver que as duas principais técnicas utilizadas para explorar esses servidores foram brechas causadas pela equipe de desenvolvimento, a pergunta é:
“Quem estamos contratando para assumir posições de extrema importância na área de TI? Quem estamos contratando para desenvolver nossos sistemas Web?”.
Na minha pequena lista (essa é outra lista) o Estado de São Paulo no ano passado sofreu muitos defacements e neste ano (2011) já contabilizei uma boa quantia também, será que SP vai quebrar seu record do ano passado??
Quero deixar bem claro que os skiddie são extremamente necessários no dia de hoje, você esta se perguntando por quê? Peense um pouco.
