Belum lama berselang dari pendeface-an terakhir Microsoft (Microsoft Technet), ketika kemarin Cracker asal Arab Saudi dengan sukses membobol website lain Microsoft: Microsoft.Co.Uk pada halaman
http://www.microsoft.co.uk/events/net/eventdetail.aspx?eventid=8399.
Saat ini ditulis, halaman deface masih aktif dan bisa diakses walaupun tidak setiap browser mampu menampilkannya akibat terlalu banyak pengunjung sedang berusaha me-load CSS (Cascading Style Sheet) yang disuntikkan oleh hacker yang berlokasi di hosting eksternal (h.1asphhost.com) yang sekarang mulai lambat untuk diakses.
Dengan meneliti kode sumber halaman yang dideface kita dapat melihat beberapa kode HTML "tambahan":
"<link xhref=http://h.1asphost.com/remoter/css.css type=text/css rel=stylesheet>".
Teknik yang digunakan oleh penyerang untuk mendeface Halaman Microsoft mungkin didasarkan pada semacam kelemahan SQL (sql injection). Faktanya, setelah penyelidikan singkat kami menemukan bagaimana parameter V2 dilewatkan ke skrip Preregister.Aspx, mengijinkan untuk mengeksekusi baik XSS
(www.microsoft.co.uk/events/net/PreRegister.aspx?eventID=p8399&v2="><script>alert(/XSS/)</script>) maupun SQL Injection, seperti yang bisa Anda jabarkan dari pesan kesalahan yang dihasilkan oleh aplikasi.
Kemungkinan besar, penyerang mengeksploitasi situs atas pertolongan SQL Injection untuk menyisipkan kode HTML "<link xhref=http://h.1asphost.com/remoter/css.css type=text/css rel=stylesheet>" di dalam kolom tabel yang akan dibaca setiap kali halaman baru dihasilkan. Untuk menemukan nama tabel penyerang mungkin memaksakan query pada database untuk membaca tabel sistem "Sysobjects" atau bahkan menampilkan "INFORMATION_SCHEMA.TABLES". Kami hanya menebak-nebak karena DBMS yang paling mungkin yaitu MS SQL Server.
Hasil setelah pengrusakan:
– BERITA TERBARU –
Penyerang telah mengeluarkan
suatu video yang menunjukkan POC (Proof of Concept) berhubungan dengan kelemahan SQL Injection yang terdapat pada http://www.microsoft.co.uk/.
Di dalam video itu memungkinkan untuk melihat penyerang selagi berusaha memperoleh username dan password dari database Microsoft. Video tersedia di sini.
Nara sumber :
http://id.zone-h.org/index.php?option=com_content&task=view&id=92&Itemid=9