| โดยทั่วไปแล้ว วิธี SQL injection ผู้จู่โจมจะสร้างการเขียนคำสั่งแทรกเข้าไปใน SQL ที่ไปสั่งงานฐานข้อมูล ซึ่งก่อนหน้านี้ ผู้เชี่ยวชาญด้านความปลอดภัย คิดว่าวิธี SQL injection ได้ผลเมื่อผู้จู่โจมใส่ character บางตัวเข้าไปในฐานข้อมูลเท่านั้น (ดูรายละเอียด SQL injection และ วิธีป้องกัน ที่นี่ ) แต่นาย David Litchfield แสดงให้เห็นว่าการจู่โจมชนิดใหม่นี้ได้ผลกับ datatype ชนิด date (วันที่) และ number (ตัวเลข) ด้วย
สำหรับเป้าหมายการโจมตีนี้ คือ โปรแกรมที่เขียนด้วยภาษา Procedural Language/SQL programming language (PL/SQL) ซึ่งใช้กันในหมู่นักพัฒนาโปรแกรมออราเคิล
David Litchfield ไม่แน่ใจว่า มีการโจมตีจุดอ่อน lateral SQL injection แพร่หลายแค่ไหน แต่เขามั่นใจว่า การโจมตีแบบนี้ในบางสถานการณ์ จะทำให้เกิดความเสียหายอย่างใหญ่หลวงได้
"ถ้าคุณเขียนแอพพลิเคชั่นของตัวเองบนออราเคิล ..แน่นอน..คุณอาจกำลังเขียนโค้ดโปรแกรมที่เป็นช่องโหว่ได้" Litchfield กล่าว
ผู้เขียนโปรแกรมฐานข้อมูล ควรจะย้อนไปตรวจดูโค้ดที่ตัวเองเขียน เพื่อให้แน่ใจว่า ข้อมูลถูกโปรเซสอย่างถูกต้อง และ ไม่สามารถถูกแทรกคำสั่ง SQL injection ได้
สำหรับทาง บริษัท ออราเคิล (สำนักงานใหญ่) ยังไม่มีการออกความเห็นเกี่ยวกับเรื่องนี้แต่อย่างใด
(เนื่องจาก ยังไม่มีการแถลงวิธีการแก้ไขช่องโหว่นี้ จากทางผู้เชี่ยวชาญด้านความปลอดภัย หรือ จากทางออราเคิล เอง ทางเวบ oracleskill.com จึงขออภัยที่จะยังไม่เผยแพร่ รายละเอียดทางเทคนิคการโจมตีแบบใหม่นี้ ภายในเวบไซต์ )
|
