ร้านไมโครซอฟท์ออนไลน์สโตร์อินเดียถูกแฮกโดยกลุ่มแฮ็กเกอร์ชาวจีนชื่อ EvilShadow team – 7z1&Ancker หลังจากแฮกสำเร็จทางกลุ่มแฮ็กเกอร์ได้อ้างว่าสามารถเข้าถึงฐานข้อมูลของลูกค้า และได้ทำการเปิดเผยข้อมูลผู้ใช้และรหัสผ่าน รวมถึงข้อมูลการชำระเงินที่ได้มา
นอกจากนี้กลุ่มแฮ็กเกอร์ชาวจีนยังเปิดเผยอีกว่ารหัสผ่านที่ได้มานั้นไม่มีการเข้ารหัสใดๆ และเก็บไว้ด้วยรูปแบบ plain text อีกด้วย
จนถึงตอนนี้ไมโครซอฟท์ออนไลน์สโตร์อินเดียก็ยังอยู่ในสถานะออฟไลน์และยังไม่มีแถลงการณ์ใดๆ ออกมาจากทางไมโครซอฟท์เกี่ยวกับเรื่องนี้
ที่มา: Venturebeat, Hackteach
Comments
ช่วงนี้โดนกันถ้วนหน้าเลย ทำไม๊ถึงยอมเข้ารหัส password กันเลย
เพราะมั่นใจเกินไปว่าจะไม่โดน hack
แสดงว่าแฮกเกอร์ทะลุผ่าน Great Firewall ออกมาได้หรือครับ?
Life without (Fire)Wall ครับ :P
ถ้าทะลุออกมาได้จริงๆ แสดงว่ามันไม่ Great ... รึเปล่า?
หรือก็อยู่ข้างใน Great Firewall ซะเอง?
สิ้นหวังกับ Microsoft แล้ว
SHA1 + salt มันเขียนยากหรือไงนะ
เขียนไม่ยากครับ แต่ขี้เกียจ ถ้าต้องการจะดูข้อมูลของ member คนไหน ก็ query เอา username, password ไป login ตรงๆเลย
แต่ถ้า password ถูกเข้ารหัสไว้ มันจะลำบากตอนหา password ใช้ login นี่แหละ
แล้วทำไมต้องไปหา password ลูกค้าด้วยหรอครับ
อคติทำให้คนรับเหตุผลด้านเดียว
พึ่งรู้ว่าเค้าทำแบบนี้กันด้วย - -"
database design ขั้นแอดวานซ์สินะ :P
อย่างเช่นต้อง login ใช้ชื่อ member เพื่อดูว่าหน้าจอ member แสดงข้อมูลการซื้อขาย รายงานอะไรบ้าง
ดูแค่นี้ถึงกับต้อง log in เป็นลูกค้ากันเลยทีเดียว ดึงแค่รายการไหนลูกค้า id นี้ซื้อ ไม่น่าจะขนาดต้อง log in เป็นคนนั้นนะ
อคติทำให้คนรับเหตุผลด้านเดียว
เขียนโค้ดเพิ่มให้ admin switch เป็นคนอื่นได้ ใช้เวลาไม่เกิน 5 นาทีแน่นอนครับ
dev บ้านๆยังทำกันได้เลย ถ้าระดับ dev microsoft ทำไม่ได้ ผมไม่เชื่ออะ
ระดับไมโครซอฟท์แล้ว ผมว่าเขียนเป็นแอดมินจะล็อกอินเป็นใครก็ได้ น่าจะทำได้ไม่ยากนะครับ