ปั่น Search Engine Ranking ด้วยการใช้ SQL Injection

Akamai ผู้ให้บริการะบบ CDN ขนาดใหญ่ที่สุดในโลก ออกมาเปิดเผยถึงแคมเปญการทำ SEO แบบใหม่ของแฮ็คเกอร์ที่ใช้ SQL Injection ในการโจมตีเว็บไซต์ ส่งผลให้เว็บไซต์ดังกล่าวถูกสอดแทรกด้วยลิงค์ HTML ที่ทำให้ Search Engine Bot สับสนและส่งผลกระทบต่อการจัดอันดับเว็บไซต์จากการค้นหา

เว็บไซต์ที่อยู่เบื้องหลังแคมเปญดังกล่าวคือ storyofcheating.com ซึ่งในขณะนี้ถ้าค้นหาคำว่า cheat และ story พร้อมกัน เว็บไซต์นี้จะแสดงผลเป็นอันดับแรกบนหน้า Search Engine ทันที นับว่าเป็นแคมเปญที่ประสบผลสำเร็จเป็นอย่างมาก

ไม่ได้ SQL Injection เพื่อโจมตีช่องโหว่ แต่เพื่อก่อกวน Search Engine Bot

Akamai ได้ทำการวิเคราะห์ข้อมูลและสังเกตการโจมตีพบว่ามีเว็บไซต์เกี่ยวข้องกว่า 3,800 เว็บไซต์ และหมายเลข IP 348 หมายเลข ที่ถูกโจมตีแบบ SQL Injection อย่างไรก็ตาม แฮ็คเกอร์กลับไม่ได้มีเป้าหมายเพื่อโจมตีช่องโหว่ของ MsSQL หรือ IIS แต่อย่างใด เพียงแค่ใช้ประโยชน์จากการเขียนโค้ดที่ไม่ดีในการทำ SEO เท่านั้น

การโจมตี SQL Injection อาศัยช่องโหว่ที่นักพัฒนาเว็บไซ์เขียนโค้ดตรวจสอบ User-supplied Input ไม่ดี ซึ่งช่วยให้แฮ็คเกอร์สามารถส่ง Content เช่น ลิงค์ HTML ที่นำไปสู่เว็บ storyofcheating.com ได้ แต่การโจมตีดังกล่าวไม่ได้ส่งผลกระทบอื่นใดแก่เว็บไซต์ เว็บไซต์ยังคงสามารถทำงานได้ตามปกติ เพียงแค่กระทบต่อ Search Engine Bot เท่านั้น

ปั่นอันดับจนขึ้นอันดับ 1 ได้ภายใน 2 เดือน

Content ส่วนใหญ่ที่ถูกส่งเข้าไปเป็นข้อความไร้สาระที่เกี่ยวข้องกับ Keyword และประโยคที่ไม่มีความหมาย แต่ก็เพียงพอที่จะทำให้ Search Engine Bot เข้าใจผิด ส่งผลให้เว็บ storyofcheating.com ที่จากเดิมเมื่อเดือนพฤศจิกายน 2015 ยังไม่มีการทำ SEO ที่เป็นชิ้นเป็นอันกลับมีอันดับพุ่งทะยานขึ้นราวกับติดจรวด จากนั้นก็ตกลงมาเล็กน้อยเมื่อกลางเดือนธันวาคม แล้วก็พุ่งนี้ ตกลงอีกอย่างละครั้งจนถึงปัจจุบัน

จนเมื่อสัปดาห์นี้เอง ก่อนที่ Akamai จะเปิดเผยรายงานฉบับนี้ ก็ได้รับการยืนยันเรียบร้อยแล้วว่า ถ้ามีการค้นหาคำว่า cheat และ story พร้อมกัน Search Engine จะแสดงผลเว็บ storyofcheating.com ที่ตำแหน่งบนสุดทันที ทั้งๆที่เว็บไซต์ที่ถูกโจมตีไม่ได้มีความเกี่ยวข้องใดกับ Keyword ดังกล่าวเลยแม้แต่น้อย เว็บไซต์เหล่านั้นส่วนใหญ่เป็นเว็บทางด้านซอฟต์แวร์ ฟุตบอล เทนนิส การเมือง และอื่นๆ

ป้องกันการตกเป็นเครื่องของการปั่นอันดับ

ผู้ดูแลเว็บไซต์สามารถป้องกันการตกเป็นเครื่องมือของแคมเปญดังกล่าวได้ดังนี้

• แจ้งนักพัฒนาเว็บให้ตรวจสอบ User-supplied Input ที่ถูกส่งไปยังฐานข้อมูลอย่างรอบคอบ
• ติดตั้งระบบ Web Application Firewall เพื่อตรวจจับและป้องกันการโจมตีแบบ SQL Injection
• คอยติดตาม HTML Response ว่ามีการเปลี่ยนแปลงที่ผิดปกติหรือไม่ เช่น มีจำนวนลิงค์เพิ่มขึ้นมาจากแต่ก่อน เป็นต้น

ที่มา: http://www.csoonline.com/article/3021119/security/black-hat-seo-campaign-powered-by-sql-injection.html