スラッシュドット・ジャパン

信頼性の低い証明書類や虚偽のIDを仕込むってことは、こういう事態を想定していたのでしょうが、
それにも関わらずMySQLのルートパスワードを設定しないとか、ちぐはぐすぎやしませんか？
ハニーポットだとしても、弱いパスワードでも設定しておけば、そのぶん罪に問えるでしょうし・・・
本当に取られても問題ない情報だったんでしょうか・・・

ごめん、ちょっと意味が分からない。スタンドアロンマシンにどうやってアクセスされたのだ？

• 月に一回パッチを当てて再起動しなけりゃいけない
• アンチウイルスソフトが無ければ無防備状態

な OS でサーバー立てるんだったら、よっぽど考えとかないといけないのですが、考え無しに立てるとこうなるという反面教師でしょう。

ところでパスワードがかかっていなかったなら、クラックしたというのでしょうか。ドアを開けっ放しにしていたら空き巣に入られたようなものですから、こういう人たちがサイバー犯罪捜査なんて確かに笑えますね。日本の京都府警がWinnyで個人情報流出 [impress.co.jp]の件を思い出しました。まあ、あれは交番勤務の巡査でしたが。

原文
http://www.theage.com.au/technology/security/hackers-break-into-police... [theage.com.au]

から引用すると、

"The attacker has discovered that the server didn't have a password for its database application and he has logged on ... and, using a technique called SQL injection, he created a PHP file on the disk and browsed through that PHP file to get complete control of that particular server," he said.

ということらしいので、警察の使ってるシステムのセキュリティの設定がダメだってことですな。このような操作が出来ると言うことは、

* アプリケーションが接続する際に利用するMySQLのアカウントがFILE権限を持っている。
* mysqldがWebサーバーの利用しているディレクトリに書き込めてしまう。

という条件が揃っている必要がある。（恐らく両者ともrootユーザーだったのではないだろうか。前者はMySQL上のrootで後者はUNIX上のroot）その上MySQLのrootパスワード無しとなると、「それ何てノーガード戦法？」と言わざるを得まい。

マイクロウェーブバスターウイルスを送り込みましょうｗ

近所に「裏道具屋」という農機具や大工道具などを扱っている店があります。
子供の頃は看板見るたびにドキドキしたもんですw

＃「裏」という名字の方が営んでいる道具屋