My Friendster Hacked

sungguh aku kecewa
tak tahu bagaimana
haruskah kurelakan
yang pernah terjadi
tinggalkan dirimu
- Teman Apa Teman, Juliette

Hari ini sebenarnya break setelah seminggu berkutat dengan script php dan ajax. Bangun tidur, langsung buka laptop, tancepin spidy dan langsung berselancar. Biasanya untuk memulai hari yang cerah, saya membuka semua site yang ada pada SpeedDial firefox 3 yang berisi : Planet teraso, wordpress,udaramaya dan friendster. dan betapa kagetnya mas gembel_linux ketika beliau membuka FS nya ternyata langsung log out. Ada apa ini ?

Setelah sedikit tenang *hayah!!*, saya mulai menganalisa lagi. Buka fs lagi, lalu melihat dengan seksama tanda tanda keanehan yang terjadi. Kronologisnya seperti kurang lebih seperti dibawah.

1. Login FS
2. Liat halaman home, ada new comment
3. Buka halaman pending komen, ada komen dari cutedevil yang ternyata temen SD saya
4. terjadi redireksi ke halaman logout
   
5. Friendster Log out

Pada poin ke empat, redireksi terjadi ketika  masuk ke halaman pending comment. Asumsi saya hal ini terjadi karena javascript, matikan javascript di firefox lalu coba login dan masuk ke halaman komen.

komen provokatif dan mencurigakan ;

Ternyata ketika javascript dimatikan, redireksi tidak terjadi. Oke, dapet satu clue. Asumsi kedua saya, temen SD saya ini melakukan injeksi javascript dengan cara memasukkan ke dalam komen. Oke, mari kita buktikan asumsi saya ini. Highlight pada komen, lalu klik kanan view selection source.

Nah ini penjahatnya

Terdapat link untuk melakukan eksekusi javascript dari URL di luar fs. Oo kamu ketahuan! *matta mode*.

URL tersebut saya ketikkan di browser, dan java scriptnya muncul dengan sendirinya. Dibawah ini adalah javascript yang di eksekusi.

var myplace = document.location.href;
if (myplace == "http://profiles.friendster.com/user.php?uid="){
}
else if (myplace == "http://profiles.friendster.com/user.php?uid="){
}
else {
    location.href = "http://www.friendster.com/logout.php";
}

Cerdas juga, melakukan replace URL. Duh bro, kalo kamu emang pinter kayak gini digunakan bwat kebaikan orang banyak dong. Apa untungnya sih bikin sebel orang lain, untung mas gembel ini sabar hahahaha (padahal sempet misuh). Btw thanx ya bro, gara gara kamu ilmu saya jadi nambah. Its still better if you do  good things with your intelligence.

Pada saat dulu awal awal FS memperbolehkan injeksi script, temen saya ini juga melakukan hal yang tidak menyenangkan juga. Untung di fs masih bisa memoderasi komen heheheh. Duh bertobatlah nak. Apa yang saya lakukan setelah dihack oleh temen sendiri? simple aja saya injek ganti halaman komennya pake scriptnya dia. Biar adil, script diatas gak saya ganti sebaris pun :D. Klo emang dia komplain tiap kali ngeliat komen langsung log out, berarti scriptnya buka buatan sendiri wakakakak.

Sekian laporan kronologis kejadian. Moral dari cerita ini, kamu bakalan lebih dihargai jika menggunakan kepintaranmu untuk menjadikan orang lain pintar hhehehehe. Waspadalah bro, waspadalah.