Ironia: Site oficial do MySQL é invadido com SQL Injection. O_O

O momento ironia de hoje é com o MySQL e reproduz bem o ditado popular "em casa de ferreiro, o espeto é de pau.". Para quem não faz idéia do que é MySQL e SQL Injection, eu vou explicar de uma forma bem simples. SQL é uma linguagem usada para a criação e o gerenciamento de bancos de dados simples ou complexos. Uma lista de clientes de um estabelecimento, por exemplo, é um banco de dados. Pois bem, o MySQL é um sistema de gerenciamento de banco de dados que possui código aberto (Open Source).

É muito comum crackers (hackers são os caras bonzinhos e não os maus) invadirem sites e roubarem informações, e foi justamente isso que aconteceu com o site do MySQL; várias informações cruciais foram roubadas dele. Até aí tudo bem porque nem sempre os sistemas de segurança conseguem acompanhar o aumento do conhecimento dos crackers, mas o problema é que ele foi invadido com um dos artifícios mais BOBOS/BESTAS e que são velhos conhecidos do SQL: o SQL Injection. Ataques com SQL Injection são feitos a sites amadores onde o desenvolvedor não pensou em bloquear o banco de dados para não executar códigos extras.

O site Tecnoblog deu um exemplo de SQL Injection que é extremamente simples e deveras TOSCO para causar problemas a sites de grandes empresas ou projetos. O exemplo seria alterar a linha de código "SELECT * FROM 'clientes' WHERE 'id'=1;" por "SELECT * FROM 'clientes' WHERE 'id'=1;DROP TABLE 'usuarios';", o que ocasionaria um efeito catastrófico pois apagaria toda a tabela referente ao registro de usuários (apenas com a adição de DROP TABLE 'usuarios';). Por incrível que pareça, foi justamente essa a falha explorada no site. WTF? O_O

A partir desse ataque, foram obtidas as listas completas de usuários e seus respectivos emails e senhas criptografadas. Para surpresa maior, essas listas foram divulgadas ao longo da internet e algumas das senhas já foram descriptografadas. Agora vem a melhor parte da matéria; a senha de um dos diretores do MySQL foi descoberta e ela só possui QUATRO (4) caracteres. Na boa, QUATRO? Pelo menos não é pior que as senhas dos cartões de crédito que agora possuem ridículos quatro NÚMEROS e não caracteres.

Os responsáveis pelo site recomendaram que os usuários os quais tiverem contas no domínio mysql.com (mysql.fr, mysql.de e mysql.it), devem alterar suas senhas atuais o quanto antes.

Momento divagação:
Já pensaram como é fácil descobrir a senha de um cartão de crédito, com um pouco (pouco mesmo) de conhecimento em probabilidade e análise combinatória? As senhas são compostas de quatro números onde todos podem se repetir; como o sistema de numeração decimal possui dez números (é lógico), temos que o número de combinações possíveis é igual a dez elevado à quarta potência (10^4), totalizando 10.000 combinações. Esse é o número total de senhas possíveis para TODAS as pessoas do mundo que possuem cartões de crédito com senha de quatro dígitos. E aí, você acha muito? o_O


[Fonte: Tecnoblog]