Microsoft lança kit para corrigir ataques de injeção SQL

Por Fabio Assolini

A Microsoft lançou na última terça-feira (24/06) um kit de ferramentas que pretende auxiliar desenvolvedores e administradores de websites a bloquear e erradicar a recente onda de ataques de SQL Injection (Injeção SQL).

Andrew Cushman, da Microsoft, publicou o anúncio das ferramentas, juntamente com uma curta descrição de cada uma, no blog do Centro de Resposta de Segurança da Microsoft (Microsoft Security Response Center — MSRC). As ferramentas, que são voltadas para desenvolvedores web e administradores de TI, buscam auxiliar a identificação de pontos frágeis em scripts ASP que poderiam ser explorados em um ataque de injeção SQL.

As ferramentas são:

• Scrawlr — Examina os arquivos do site e simultaneamente analisa os parâmetros usados em cada página buscando por vulnerabilidades do injeção SQL. A ferramenta usa a tecnologia criada pela HP WebInspect, porém foi modificada focando somente vulnerabilidades no SQL. Isto irá permitir que webmasters encontrem facilmente vulnerabilidades similares as que foram exploradas nos ataques. Basta abrir a ferramenta de indicar a URL da página a ser verificada.
• Microsoft Source Code Analyzer for SQL Injection — Chamada de MSCASI, esta é uma ferramenta de análise estática para análise dos códigos em ASP. Para executá-la é necessário ter acesso ao código fonte da página.
• URLScan 3.0 — Esta ferramenta restringe os tipos de solicitações HTTP que o IIS (Internet Information Services, servidor web da Microsoft) irá processar. Ao bloquear alguns tipos específicos de solicitações, a ferramenta pode prevenir certos ataques.

As ferramentas são gratuitas e podem ser obtidas na página da Microsoft. No blog do MSRC, é possível obter links para outros blogs da Microsoft, como o SVRD, que estão divulgando mais informações a respeito dos ataques.

Ataques automatizados de injeção SQL têm atingido milhares de sites em todo o mundo recentemente. Originalmente, partiam da China e atacavam somente sites chineses, porém depois começaram a diversificar seus alvos, atingindo inclusive vários sites brasileiros, conforme noticiado pela Linha Defensiva. Ainda há pouca informação e muita confusão sobre como se proteger desse tipo de ataque entre os responsáveis pela manutenção dos sites afetados.

O ARIS-LD, grupo de Análise e Resposta a Incidentes de Segurança da Linha Defensiva, enviou notificações a alguns sites brasileiros que foram comprometidos, porém, se medidas de segurança não forem implementadas na estrutura dos sites infectados, estes podem ser novamente atacados. As ferramentas desenvolvidas pela Microsoft podem ajudar mantenedores de websites a fazerem as alterações necessárias para se proteger.