「サウンドハウス、情報流出について詳細な経緯を公開」記事へのコメント

長ったらしい弁明文だけど，気持ちも分からないでもない

[Anonymous Coward]

まあ，教訓としては，
SQLインジェクションに対する脆弱性が判明して，
それを修正した際は，
一からサーバの再構築をしたほうがよい，ってことね。
一応，2006年末にSQLインジェクション対策はしてるみたいだし。
でも，それ以前にバックドアが仕込まれてるので意味がない，と。

個人的には，本当に「2007年以降のデータだけで済んでる？」とは言いたいが，
まあ，完璧なレベルを求めてもしかたないしね・・・

Re:

[Anonymous Coward]

> 一応，2006年末にSQLインジェクション対策はしてるみたいだし。

それ、どこに書いてありました？
今全文読みましたが、そんなこと書いてなかったですよ？

Re:

[muSHIMaru (29600)]

p.13

2006年12月にデータベースサーバーをアップグレードした為、不用意なコマンドをSQLインジェクションでは実行できないようになりましたが、この時点ではすでに悪性プログラムはサーバー内に存在していたと考えられます。

ここの事かと。

Re:長ったらしい弁明文だけど，気持ちも分からないでもない

[keita (844)]

その部分の「不用意なコマンド」は多分シェルコマンドを指しているのであって、SQLインジェクション対策を行なった、という意味ではないのだろうと思います。データベースサーバーをアップグレードしただけなのであれば、任意のシェルコマンドの実行が出来なくなっただけで、SQLインジェクションの問題は残っていたのではないでしょうか。