Una página de Microsoft modificada por defacers

¿Puede ser Microsoft atacada por un defacer? Sí, todos podemos, si los servidores no son correctamente administrados o los datos no son correctamente validados al ser ingresados, o...

Este último caso (de falta de validación) fue el utilizado para modificar una página de Microsoft. En la siguiente imágen puede verse una página normal de ingreso de datos.
En la misma, el atacante introdujo, mediante SQL Injection (supongo) datos especialmente manipulados. Al ser grabados en la base de datos esta información produce que la página sea mostrada con algunas pequeñas alteraciones.

Si se analiza el HTML puede encontrarse el siguiente código en el cuerpo:

Como puede verse, la seguridad es importante en todos los niveles. La gente de Microsoft, olvidó validar y hasta ahora han tenido "suerte" ya que la página sólo ha sido utilizada para mostrar una foto. Se imaginan si se utilizara para propagar malware mediante correos masivo.
¿Quién sospecharía de una URL de Microsoft?

También queda averiguar el método utilizado para insertar (vía SQL) ese "último registro" que permite ver la imagen, como si fuera parte del combo de las compañias.

Gracias a Cg por el aviso y el permiso de publicación.

Actualización 29-04-07: SANS y elladodelmal se hacen eco de la noticia.
SANS confirma que el equipo de desarrollo del código vulnerable de la página atacada era de una tercera empresa.

cfb