MCP 시험 바우쳐 10% 할인 쿠폰 - MCITP, MCTS, MCPD

Microsoft 인증 시험인, MCP 시험을 보기 위해서는 바우쳐라는 일종의 쿠폰이 필요 합니다. 물론 그것은 돈을 주고 사야 하는데요. 예전에는 교육센터가 많아서 시험센터도 많았는데, 요즘엔 시험을 볼수 있는 시험장(센터)가 몇개 안됩니다... -_-;;;

http://www.microsoft.com/korea/learning/mcp/default.mspx

이번에,. Microsoft 에서 2009년 3월 31일까지 10% 할인 온라인 쿠폰을 배포하고 있습니다. 기존 바우쳐 구매가격에 대해서 10% 할인 받을수 있는 쿠폰 입니다. ^^

할인 쿠폰 신청은 2009년 3월 31일까지 이고, 사용은 2009년 5월 31일까지 사용 하셔야 10% 할인 받으실수 있습니다. 또한 무제한 사용은 아니고, 1인 1매에 제한이 있습니다.

10% 할인쿠폰 신청은 http://www.learnandcertify.com/ 사이트에 접속 하셔서 오른쪽 녹색 버튼을 클릭하신후에, 입력 코드를 KR32BBD8 를 입력하시면 됩니다.

그이후, 본문 내용에 있는것 처럼 할인쿠폰, 시험, 일정 등을 확인해 주시면 됩니다.
할인을 위한 코드는 과정에서 입력했던 메일로 전송이 됩니다.

참고로,. 이 할인 쿠폰은 최근에 새로 추가된 시험 응시에만 사용이 가능 합니다. 물론 이러한 시험은 기존 시험을 대체하고 있으니깐 굳이 예전 버젼을 보실 필요는 없습니다.

MCTS 자격증: http://www.microsoft.com/learning/mcp/mcts/default.mspx
MCITP 자격증: http://www.microsoft.com/learning/mcp/mcitp/default.mspx
MCPD 자격증: http://www.microsoft.com/learning/mcp/mcpd/default.mspx

인증시험 안내 브로셔 다운로드:
http://www.wssplex.net/TipnTech.aspx?Seq=453

자동화된 SQL Injection 공격을 통한 악성코드 대량 삽입 수법 분석

Product: SQL Server
Download:
Language: Korean

한국정보보보진흥원에서 제작된 문서 입니다.
SQL Ijneciton 방법에 침해를 당한 경우, 레코드를 복구하는 방법에 관려된 내용입니다.



내용중 일부.

-- Mass SQL Injection 피해 DB 일괄 복구 스크립트, 한국마이크로소프트 제공
-- 사고의 특성 상 DB 자료값들이 varchar 또는 nvarchar 등으로 형변환 되거나 제한된 임시 공간에 저장되는 과정이 있어 자료의 유실이나 손상이 발생합니다.
-- 그러므로, 본 복구 스크립트는 이러한 전형적인 Mass SQL Injection 피해를 입은 DB의 복구에만 사용 하시기 바랍니다.
-- 본 복구 스크립트는 DB관리자와 충분히 검토하신 후 적용하셔야 하며, 이에 대한 책임은 전적으로 사용자에게 있습니다.
-- Mass SQL Injection에 대한 자료는 KrCERT/CC 홈페이지(www.KrCERT.or.kr) 보안공지 또는 기술문서를 참조하시기 바랍니다.   2008. 11 KrCERT/CC, webcheck@krcert.or.kr

declare @tab varchar(255), @col varchar(255), @owner varchar(255), @type int
declare table_cursor cursor for select so.name, sc.name, sc.xtype, su.name from sysobjects so inner join syscolumns sc on so.id = sc.id inner join sysusers su on so.uid = su.uid where so.xtype='u' and (sc.xtype=99 or sc.xtype=35 or sc.xtype=231 or sc.xtype=167)
open table_cursor

fetch next from table_cursor into @tab, @col, @type, @owner
while(@@fetch_status=0)
begin
-- varchar, text 또는 nvarchar, ntext 일 경우 MS-SQL 2005 이상의 환경이라면 varchar(max) 또는 nvarchar(max) 으로 변경하여 사용
-- 악성코드 부분을 실제 삭제하려는 악성코드로 수정 (악성코드 예:  <script src=hxxp://malcode.tld></script> )
if (@type = 35 or @type = 167) 
   exec('update ' + @owner + '.[' + @tab + '] set [' + @col + '] = replace(convert(varchar(8000), [' + @col + ']), ' <악성코드> ','''')')
else                       
     exec('update ' + @owner + '.[' + @tab + '] set [' + @col + '] = replace(convert(nvarchar(4000), [' + @col + ']), ' <악성코드> ','''')')
print '[' + @col + ']' + ' column of ' + @owner + '.' + @tab + ' has been updated.'
fetch next from table_cursor into @tab, @col, @type, @owner
end
close table_cursor
deallocate table_cursor

sp_replwritetovarbin 확장 저장 프로시저(Extended Stored Procedure) 취약점

SQL Server 의 기능중에 하나인 확장 저장 프로시져중 sp_replwritetovarbin 에서 오버플로우 취약점 으로 인한 원격 코드 실행 가능성이 있다고 합니다.

자세한 사항은, 다음 문서를 참고해 보시기 바랍니다.

http://www.microsoft.com/technet/security/advisory/961040.mspx
http://blogs.technet.com/swi/archive/2008/12/22/more-information-about-the-sql-stored-procedure-vulnerability.aspx

임시 해결책으로는, 해당 프로시져를 disable 하거나  권한을 변경 하라고 하는데요. 이러한 프로시져가 쉽게 실행이 가능한(직간접적으로 쉽게 접근이 가능한....) 상태로 서버가 운영되고 있다는 점이 더욱 큰 문제 인것 같습니다.

이를테면, SQL Injection 인데요. 물론 SQL Injection 을 당해서 해당 DB 만 레코드가 위변조 되면 코드 수준의 문제이지만, sa 계정 같은 권한 상태로 운영되는 경우 서버 전체가 침해사고가 발생하다는 점일것 입니다.

앞서 그런한 상태의 서버는,.
sa 나 그와 같은 권한을 너무나 쉽게 사용하고 공개? 한다는 점이겠지요.