TUTORIAL SQL INJECTION
Pengertian SQL Injection
1) SQL injection adalah sebuah aksi hacking yang dilakukan di aplikasi client dengan cara memodifikasi perintah SQL yang ada di memori aplikasi client.
2) SQL Injection merupakan teknik mengeksploitasi web aplikasi yang didalamnya menggunakan database untuk penyimpanan data.
Sebab terjadinya SQL Injection
1) Tidak adanya penanganan terhadap karakter – karakter tanda petik satu ’ dan juga karakter double minus -- yang menyebabkan suatu aplikasi dapat disisipi dengan perintah SQL.
2) Sehingga seorang Hacker menyisipkan perintah SQL kedalam suatu parameter maupun suatu form.
Bug SQL Injection berbahaya ?
1) Teknik ini memungkinkan seseorang dapat login kedalam sistem tanpa harus memiliki account.
2) Selain itu SQL injection juga memungkinkan seseorang merubah, menghapus, maupun menambahkan data–data yang berada didalam database.
3) Bahkan yang lebih berbahaya lagi yaitu mematikan database itu sendiri, sehingga tidak bisa memberi layanan kepada web server.
Apa saja yang diperlukan untuk melakukan SQL Injection ?
1) Internet Exploler / Browser
2) PC yang terhubung internet
3) Program atau software seperti softice
Contoh sintaks SQL Injection
Contoh sintak SQL dalam PHP
1) $SQL = “select * from login where username =’$username’ and password = ‘$password’”; , {dari GET atau POST variable }
2) isikan password dengan string ’ or ’’ = ’
3) hasilnya maka SQL akan seperti ini = “select * from login where username = ’$username’ and password=’pass’ or ‘=′”; , { dengan SQL ini hasil selection akan selalu TRUE }
4) maka kita bisa inject sintax SQL (dalam hal ini OR) kedalam SQL
Gambar contoh SQL Injection
Contoh sintaks SQL Injection
1) Sintaks SQL string ‘-- setelah nama username
2) Query database awal :
Berubah menjadi :
Contoh sintaks SQL Injection
SQL Injection melalui URL, contohnya :
Penanganan SQL Injection
1) Merubah script php
2) Menggunakan MySQL_escape_string
3) Pemfilteran karakter ‘ dengan memodifikasi php.ini
1. Merubah script php
Contoh script php semula :
$query = "select id,name,email,password,type,block from user " .
"where email = '$Email' and password = '$Password&";
$hasil = mySQL_query($query, $id_mySQL);
while($row = mySQL_fetch_row($hasil))
{
$Id = $row[0];
$name = $row[1];
$email = $row[2];
$password = $row[3];
$type = $row[4];
$block = $row[5];
}
if(strcmp($block, 'yes') == 0)
{
echo "<script>alert('Your account has been blocked');
document.location.href='index.php';</script>\n";
exit();
}
else if(!empty($Id) && !empty($name) && !empty($email) && !empty($password));
Script diatas memungkinkan seseorang dapat login dengan menyisipkan perintah SQL kedal`m form login. Ketika hacker menyisipkan karakter ’ or ’’ = ’ kedalam form email dan password maka akan terbentuk query sebagai berikut :
Maka dilakukan perubahan script menjadi :
$query = "select id,name,email,password,type,block from user".
"where email = '$Email'";
$hasil = mySQL_query($query, $id_mySQL);
while($row = mySQL_fetch_row($hasil))
{
$Id = $row[0];
$name = $row[1];
$email = $row[2];
$password = $row[3];
$type = $row[4];
$block = $row[5];
}
if(strcmp($block, 'yes') == 0)
{
echo "<script>alert('Your account has been blocked');
document.location.href='index.php';</script>\n";
exit();
}
$pass = md5($Password);
else if((strcmp($Email,$email) == 0) && strcmp($pass,$password) == 0));
2. Menggunakan MySQL_escape_string
Merubah string yang mengandung karakter ‘ menjadi \’ misal SQL injec’tion menjadi SQL injec\’tion
Contoh : $kar = “SQL injec’tion”;
$filter = mySQL_escape_string($kar);
echo”Hasil filter : $filter”;
Hasilnya :
3. Pemfilteran karakter ‘ dengan memodifikasi php.ini
Modifikasi dilakukan dengan mengenablekan variabel magic_quotes pada php.ini sehingga menyebabkan string maupun karakter ‘ diubah menjadi \’ secara otomatis oleh php
Contoh :
Contoh script yang membatasi karakter yang bisa masukkan :
function validatepassword( input )
good_password_chars =
"abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ"
validatepassword = true
for i = 1 to len( input )
c = mid( input, i, 1 )
if ( InStr( good_password_chars, c ) = 0 ) then
validatepassword = false
exit function
end if
next
end function
Implementasi SQL Injection
1) Masuk ke google atau browse yg lain
2) Masukkan salah satu keyword berikut
"/admin.asp"
"/login.asp"
"/logon.asp"
"/adminlogin.asp"
"/adminlogon.asp"
"/admin_login.asp"
"/admin_logon.asp"
"/admin/admin.asp"
"/admin/login.asp"
"/admin/logon.asp"
{anda bisa menambahi sendiri sesuai keinginan anda}
3) Bukalah salah satu link yang ditemukan oleh google, kemungkinan Anda akan menjumpai sebuah halaman login (user name danpassword).
4) Masukkan kode berikut :
User name : ` or `a'='a
Password : ` or `a'='a (termasuk tanda petiknya)
5) Jika berhasil, kemungkinan Anda akan masuk ke admin panel, di mana Anda bisa menambahkan berita, mengedit user yang lain, merubah about,
dan lain-lain. Jika beruntung Anda bisa mendapatkan daftar kredit card yang banyak.
6) Jika tidak berhasil, cobalah mencari link yang lain yang ditemukan oleh google.
7) Banyak variasi kode yang mungkin, antara lain :
User name : admin
Password : ` or `a'='a
atau bisa dimasukkan ke dua–duanya misal :
‘ or 0=0 -- ; “ or 0=0 -- ; or 0=0 -- ; ‘ or 0=0 # ;
“ or 0=0 # ; ‘ or’x’=’x ; “ or “x”=”x ; ‘) or (‘x’=’x
Cobalah sampai berhasil hingga anda bisa masuk ke admin panel
Cara pencegahan SQL INJECTION
1) Batasi panjang input box (jika memungkinkan), dengan
cara membatasinya di kode program, jadi si cracker pemula akan bingung sejenak melihat input box nya gak bisa diinject dengan perintah yang panjang.
2) Filter input yang dimasukkan oleh user, terutama penggunaan tanda kutip tunggal (Input Validation).
3) Matikan atau sembunyikan pesan-pesan error yang keluar dari SQL Server yang berjalan.
4) Matikan fasilitas-fasilitas standar seperti Stored Procedures, Extended Stored Procedures jika memungkinkan.
5) Ubah "Startup and run SQL Server" menggunakan low privilege user di SQL Server Security tab.
Senin, 02 April 2012
Pengertian SQL Injection
1) SQL injection adalah sebuah aksi hacking yang dilakukan di aplikasi client dengan cara memodifikasi perintah SQL yang ada di memori aplikasi client.
2) SQL Injection merupakan teknik mengeksploitasi web aplikasi yang didalamnya menggunakan database untuk penyimpanan data.
Sebab terjadinya SQL Injection
1) Tidak adanya penanganan terhadap karakter – karakter tanda petik satu ’ dan juga karakter double minus -- yang menyebabkan suatu aplikasi dapat disisipi dengan perintah SQL.
2) Sehingga seorang Hacker menyisipkan perintah SQL kedalam suatu parameter maupun suatu form.
Bug SQL Injection berbahaya ?
1) Teknik ini memungkinkan seseorang dapat login kedalam sistem tanpa harus memiliki account.
2) Selain itu SQL injection juga memungkinkan seseorang merubah, menghapus, maupun menambahkan data–data yang berada didalam database.
3) Bahkan yang lebih berbahaya lagi yaitu mematikan database itu sendiri, sehingga tidak bisa memberi layanan kepada web server.
Apa saja yang diperlukan untuk melakukan SQL Injection ?
1) Internet Exploler / Browser
2) PC yang terhubung internet
3) Program atau software seperti softice
Contoh sintaks SQL Injection
Contoh sintak SQL dalam PHP
1) $SQL = “select * from login where username =’$username’ and password = ‘$password’”; , {dari GET atau POST variable }
2) isikan password dengan string ’ or ’’ = ’
3) hasilnya maka SQL akan seperti ini = “select * from login where username = ’$username’ and password=’pass’ or ‘=′”; , { dengan SQL ini hasil selection akan selalu TRUE }
4) maka kita bisa inject sintax SQL (dalam hal ini OR) kedalam SQL
Gambar contoh SQL Injection
Contoh sintaks SQL Injection
1) Sintaks SQL string ‘-- setelah nama username
2) Query database awal :
Berubah menjadi :
Contoh sintaks SQL Injection
SQL Injection melalui URL, contohnya :
Penanganan SQL Injection
1) Merubah script php
2) Menggunakan MySQL_escape_string
3) Pemfilteran karakter ‘ dengan memodifikasi php.ini
1. Merubah script php
Contoh script php semula :
$query = "select id,name,email,password,type,block from user " .
"where email = '$Email' and password = '$Password'";
$hasil = mySQL_query($query, $id_mySQL);
while($row = mySQL_fetch_row($hasil))
{
$Id = $row[0];
$name = $row[1];
$email = $row[2];
$password = $row[3];
$type = $row[4];
$block = $row[5];
}
if(strcmp($block, 'yes') == 0)
{
echo "<script>alert('Your account has been blocked');
document.location.href='index.php';</script>\n";
exit();
}
else if(!empty($Id) && !empty($name) && !empty($email) && !empty($password));
Script diatas memungkinkan seseorang dapat login dengan menyisipkan perintah SQL kedalam form login. Ketika hacker menyisipkan karakter ’ or ’’ = ’ kedalam form email dan password maka akan terbentuk query sebagai berikut :
Maka dilakukan perubahan script menjadi :
$query = "select id,name,email,password,type,block from user".
"where email = '$Email'";
$hasil = mySQL_query($query, $id_mySQL);
while($row = mySQL_fetch_row($hasil))
{
$Id = $row[0];
$name = $row[1];
$email = $row[2];
$password = $row[3];
$type = $row[4];
$block = $row[5];
}
if(strcmp($block, 'yes') == 0)
{
echo "<script>alert('Your account has been blocked');
document.location.href='index.php';</script>\n";
exit();
}
$pass = md5($Password);
else if((strcmp($Email,$email) == 0) && strcmp($pass,$password) == 0));
2. Menggunakan MySQL_escape_string
Merubah string yang mengandung karakter ‘ menjadi \’ misal SQL injec’tion menjadi SQL injec\’tion
Contoh : $kar = “SQL injec’tion”;
$filter = mySQL_escape_string($kar);
echo”Hasil filter : $filter”;
Hasilnya :
3. Pemfilteran karakter ‘ dengan memodifikasi php.ini
Modifikasi dilakukan dengan mengenablekan variabel magic_quotes pada php.ini sehingga menyebabkan string maupun karakter ‘ diubah menjadi \’ secara otomatis oleh php
Contoh :
Contoh script yang membatasi karakter yang bisa masukkan :
function validatepassword( input )
good_password_chars =
"abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ"
validatepassword = true
for i = 1 to len( input )
c = mid( input, i, 1 )
if ( InStr( good_password_chars, c ) = 0 ) then
validatepassword = false
exit function
end if
next
end function
Implementasi SQL Injection
1) Masuk ke google atau browse yg lain
2) Masukkan salah satu keyword berikut
"/admin.asp"
"/login.asp"
".logon.asp"
"/adminlogin.asp"
"/adminlogon.asp"
"/admin_login.asp"
"/admin_logon.asp"
"/admin/admin.asp"
"/admin/login.asp"
"/admin/logon.asp"
{anda bisa menambahi sendiri sesuai keinginan anda}
3) Bukalah salah satu link yang ditemukan oleh google, kemungkinan Anda akan menjumpai sebuah halaman login (user name danpassword).
4) Masukkan kode berikut :
User name : ` or `a'='a
Password : ` or `a'='a (termasuk tanda petiknya)
5) Jika berhasil, kemungkinan Anda akan masuk ke admin panel, di mana Anda bisa menambahkan berita, mengedit user yang lain, merubah about,
dan lain-lain. Jika beruntung Anda bisa mendapatkan daftar kredit card yang banyak.
6) Jika tidak berhasil, cobalah mencari link yang lain yang ditemukan oleh google.
7) Banyak variasi kode yang mungkin, antara lain :
User name : admin
Password : ` or `a'='a
atau bisa dimasukkan ke dua–duanya misal :
‘ or 0=0 -- ; “ or 0=0 -- ; or 0=0 -- ; ‘ or 0=0 # ;
“ or 0=0 # ; ‘ or’x’=’x ; “ or “x”=”x ; ‘) or (‘x’=’x
Cobalah sampai berhasil hingga anda bisa masuk ke admin panelCara pencegahan SQL INJECTION
1) Batasi panjang input box (jika memungkinkan), dengan
cara membatasinya di kode program, jadi si cracker pemula akan bingung sejenak melihat input box nya gak bisa diinject dengan perintah yang panjang.
2) Filter input yang dimasukkan oleh user, terutama penggunaan tanda kutip tunggal (Input Validation).
3) Matikan atau sembunyikan pesan-pesan error yang keluar dari SQL Server yang berjalan.
4) Matikan fasilitas-fasilitas standar seperti Stored Procedures, Extended Stored Procedures jika memungkinkan.
5) Ubah "Startup and run SQL Server" menggunakan low privilege user di SQL Server Security tab.
Sabtu, 17 Desember 2011
dasar-dasar hacking
Sebelum melakukan hacking, diperlukan beberapa tool’s pendukung. http://ariesandy.tk/
1. Memilih Tools untuk Hack Website
* Acunetix Web Vulnerability Scanner (http://www.acunetix.com/ ) Tools ini memiliki fitur yang cukup lengkap untuk security test, termasuk port scanner, HTTP sniffer, dan tools untuk melakukan SQL injection secara otomatis.
* Firefox Web Developer (http://chrispederick.com/work/web-developer) Tools ini adalah addon untuk browser Firefox untuk analisis dan manipulasi halaman web secara manual.
* HTTrack Website Copier (http://www.httrack.com/ ) Tools ini berfungsi untuk mirroring website agar dapat kita analisis secara offline. Mirroring adalah metode mengecek tiap-tiap halaman pada website dan mendownload halaman yang bisa diakses ke hard disk.
* N-Stalker Web Application Security Scanner (www.nstalker.com/eng/products/nstealth) Tools ini juga cukup lengkap untuk melakukan security testing, termasuk pemecah password, dan tools untuk mentest loading dari web server.
* WebInspect (www.spidynamics.com/products/webinspect/index.html) Tools ini cukup lengkap untuk melakukan security testing. Di dalamnya termasuk proxy HTTP, editor HTTP, dan tools SQL injection otomatis.
Selain tools di atas, kita juga bisa bisa menggunakan QualysGuard, LANguard, atau Metasploit untuk mengetest server dan aplikasi web. Tools ini dapat digunakan untuk menemukan kelemahan web server yang mungkin tidak dapat ditemukan oleh tools web scanning dan analisis standar. Kita juga dapat menggunakan Google untuk mencari informasi sensitif yang mungkin terdapat pada website.
2. Teknik Hack Website
Menyerang website yang tidak aman melalui Hypertext Transfer Protocol (HTTP) merupakan hal yang paling sering dilakukan. Banyak serangan terhadap website hanyalah gangguan kecil dan tidak terlalu berpengaruh pada informasi sensitif atau availability dari sistem. Namun, beberapa serangan juga dapat berakibat serius seperti pencurian atau modifikasi informasi berharga.
2.1 Penelusuran Direktori
Penelusuran direktori adalah teknik menelusuri setiap direktori yang terdapat pada web server. Dengan menelusuri direktori server terkadang dapat ditemukan file yang berisi informasi sensitif. Untuk melakukan penelusuran direktori bisa dengan cara-cara berikut inh:
2.1.1 Crawler
Crawl adalah mengumpulkan informasi mengenai apa yang ada di halaman-halaman web yang bersifat public (dapat diakses). Dengan menggunakan software HTTrack Website Copier, kita bisa melakukan crawl untuk melihat semua file yang bersifat publik dan mendownloadnya ke hard disk kita sehingga dapat dibuka secara offline. Untuk menggunakan HTTrack, caranya pertama klik New Project, lalu ketikkan nama project, jika sudah tekan next dan ketikkan alamat website yang ingin didownload. File hasil download tersimpan di direktori c:\My Web Sites. Lama proses download tergantung dari seberapa besar dan banyak file pada server dan koneksi internet yang kita gunakan. Selanjutnya kita dapat membuka folder website yang sudah didownload tadi untuk mengecek apakah terdapat file-file yang berisi informasi berharga. Jika menemukan file zip namun diproteksi dengan password, kita bisa gunakan software Advanced Archive Password Recovery (http://www.elcomsoft.com/archpr.html ) untuk mendapatkan password file tersebut.
2.1.2 Google
Dengan menggunakan mesin pencari google, kita juga dapat mendapatkan informasi yang kita inginkan dari internet atau dari website tertentu. Dengan query tertentu, Google dapat digunakan untuk menampilkan file atau informasi yang mungkin berharga dari sebuah website. Google juga menggunakan sistem crawl dalam mengakses file-file yang bersifat publik. Berikut ini beberapa query yang dapat digunakan untuk mencari informasi tertentu melalui google:
* site:hostname keywords Query ini akan mencari informasi dari suatu website berdasarkan keyword.
* filetype:file-extension hostname Query ini akan menampilkan file bertipe spesifik (sesuai dengan yang dimasukkan, misal .doc, .pdf, .db, .dbf, .zip) dari suatu website yang mungkin berisi informasi berharga.
Untuk query lainnya bisa dilihat di http://www.google.com/intl/en/help/operators.html dan jika ingin mengetahui lebih lanjut tentang Google Hacking bisa dibuka di alamat http://johnny.ihackstuff.com/ghdb atau di http://artkast.yak.net/81. Salah satu hostname yang layak dimasukkan dalam tempat pencarian adalah Google Group (http://groups.google.com/). Seringkali pengguna grup Google dari perusahaan tertentu mempost informasi internal perusahaan tanpa ia tahu bahwa post dia tersebut dapat dilihat oleh semua orang.
2.2 Input filtering attacks
Website dan aplikasi seringkali terdapat form untuk memasukkan data dari pengguna yang selanjutnya diolah oleh script di server. Kesalahan dalam proses validasi data adalah kesalahan umum yang sering dibuat oleh developer web. Beberapa serangan dapat dilakukan dengan mengakali data masukan agar dapat memproses data yang bukan seharusnya dimasukkan sehingga dapat membingungkan atau membuat server menjadi crash. Kekurangtelitian dalam memvalidasi data juga dapat membuat attacker mendapatkan informasi tertentu mengenai server website.
2.2.1 Buffer overflows
Salah satu serangan paling serius yang memanfaatkan metode input adalah buffer overflow yang targetnya adalah memanipulasi kolom input pada aplikasi web. Sebagai contoh, field name halaman pendaftaran situs elearning gunadarma secara default di set hanya menerima inputan sepanjang 50 karakter. Panjang karakter maksimum ini dapat diakali dengan menggunakan Addon Firefox Web Developer agar panjang karakter menjadi tidak terbatas. Pada beberapa kasus, hal ini dapat mengakibatkan crash pada server.
2.2.2 URL manipulation
Dengan manipulasi URL, kita dapat memerintahkan server untuk melakukan berbagai hal, misalnya mengarahkan ke alamat website tertentu, mengakses file sensitif dari server, dll. Salah satu contohnya jika terdapat aplikasi yang menerima input url dari user (biasanya melalui CGI), pada beberapa kasus kita dapat memerintahkan server untuk menampilkan informasi password server (Linux). Misalnya dengan perintah berikut : https://www.target.com/onlineserv/Checkout.cgi?state=detail&language=english&imageSet=%2F..%2F..%2F%2F..%2F..%2F%2F..%2F..%2F%2F..%2F..%2F%2F%2Fetc%2Fpasswd
2.2.3 Hidden field manipulation
Beberapa aplikasi web mengandung field tersembunyi yang berisi nilai default untuk diakses bersama dengan input field lain yang tidak tersembunyi. Hidden field direpresentasikan dalam webform dengan code <input type=”hidden”>. Jika pembuat web ceroboh, terkadang hidden field disikan dengan nilai penting (misalnya harga barang pada situs e-commerre) yang seharusnya disimpan pada database. Secara kasat mata, user tidak dapat melihat field yang tersembunyi ini. Namun, jika jeli maka kita bisa mengakalinya dengan cara-cara berikut:
1. Melihat kode sumber HTML. Pada Internet Explorer, pilih menu Page?View Source. Sedangkan pada Firefox, pilih menu View?Page Source.
2. Merubah informasi pada field tersebut. Sebagai contoh, harga barang yang seharusnya 1 juta kita rubah menjadi 1000 rupiah.
3. Mengirimkan data yang sudah dimanipulasi ke server.
Dengan aplikasi WebInspect, kita dapat menemukan sekaligus memanipulasi hidden fields dengan mudah.
2.2.4 Code injection and SQL injection
Mirip dengan manipulasi URL, serangan dengan code injection dapat memanipulasi variable-variabel yang dikirimkan melalui URL. Contoh: http://www.target.com/script.php?info_variable=X Kita dapat mencoba memanipulasi info_variable dengan mengubah nilai X menjadi nilai tertentu, misalnya : http://www.your_Web_app.com/script.php?info_variable=ilmiaji Dari respon yang diterima, kita dapat menganalisa langkah berikutnya yang dapat dilakukan. Misal jika perintah di atas memberikan detail eror atau malah membuka halaman yang seharusnya tidak berhak diakses user tersebut. Code injection juga dapat dilakukan untuk menyerang database SQL pada server, atau lebih dikenal dengan istilah SQL Injection. Dengan SQL injection, kita dapat melakukan statement SQL seperti CONNECT, SELECT, UNION, dll kedalam URL untuk memperoleh koneksi database, mengambil data, atau menambah data dari database SQL tersebut. SQL injection seringkali dapat dilakukan karena script tidak sempurna atau terdapat kesalahan dan pesan eror dari database tersebut ditampilkan pada browser sehingga attacker dapat mengetahui informasi database yang digunakan. Terdapat dua teknik umum dari SQL Injection, yaitu standar (atau juga dikenal dengan error-based) dan blind. Error-based SQL injection dilakukan berdasarkan pesan eror dari aplikasi ketika data tidak valid dimasukkan ke sistem. Sedangkan blind SQL injection dilakukan jika pesan eror tidak diaktifkan, sehingga membutuhkan tools tambahan untuk menebak informasi apa yang database kembalikan dan bagaimana server merespon percobaan injection. Cara cepat untuk mengecek apakah sebuah website memiliki celah untuk SQL injection adalah dengan menambahkan karakter kutip satu (‘) di form web atau di akhir URL. Jika terdapat pesan kesalahan dari SQL, maka kita akan mudah untuk melakukan SQL injection. Dalam melakukan SQL injection, kita dapat menggunakan tools WebInspect atau Acunetix Web Vulnerability Scanner untuk memudahkan dalam pengecekan SQL injection. Ketika WebInspect menemukan celah untuk SQL Injection, pilih menu SQL injector dan kita akan terhubung dengan database di server tersebut. Lalu kita dapat mengklik tombol Get Data untuk mengambil data dari database tersebut.
2.2.5 Cross-site scripting
Cross-site scripting(XSS) mungkin adalah celah paling umum dari sebuah website yang terjadi ketika halaman web menampilkan input dari user – melalui JavaScript dan VBScript – dan script tidak atau salah dalam memvalidasi input tersebut, biasanya karena tidak terdapatnya filter input. Kita dapat mengambil keuntungan dari ketiadaan filter input ini dengan melakukan XSS yang dapat menyebabkan halaman web mengeksekusi kode-kode tertentu ketika user mengakses halaman tersebut. Sebagai contoh, dengan XSS attack hacker dapat menampilkan halaman login palsu. Jika user tidak menyadari atau ceroboh lalu mengisi username dan password di halaman tersebut, maka username dan password tersebut akan tercatat dalam log di server hacker. Hacker lalu dapat menggunakan username dan password yang tercatat di log untuk login dan melakukan tindakan yang dia inginkan terhadap user tersebut. Cara mudah untuk mengetes apakah sebuah website terdapat celah untuk XSS adalah dengan mencari form inputan dari user pada website (misal halaman login atau pencarian) dan ketikkan javascript sederhana berikut ini: <script>alert(‘nyoba XSS gan!!’)</script> Jika muncul jendela pop-up dan menampilkan alert “Nyoba XSS gan!!”, berarti pada halaman tersebut dapat kita lakukan XSS Attack. Selain dengan cara manual di atas, tools WebInspect dan Acunetix Web Vulnerability Scanner juga dapat digunakan untuk mencari celah XSS attack.
Mungkin cuma itu sedikit cara hacking yang gw ketahui sampe saat ini. Sebenarnya masih banyak cara hacking lainnya yang g gw jelasin disini. Tujuannya untuk kita bisa sama-sama belajar, mencari tahu,,^^
terima kasih atas waktunya,,
sumber dan ucapan terima kasih : http://www.facebook.com/topic.php?uid=134524709917927&topic=360
1. Memilih Tools untuk Hack Website
* Acunetix Web Vulnerability Scanner (http://www.acunetix.com/ ) Tools ini memiliki fitur yang cukup lengkap untuk security test, termasuk port scanner, HTTP sniffer, dan tools untuk melakukan SQL injection secara otomatis.
* Firefox Web Developer (http://chrispederick.com/work/web-developer) Tools ini adalah addon untuk browser Firefox untuk analisis dan manipulasi halaman web secara manual.
* HTTrack Website Copier (http://www.httrack.com/ ) Tools ini berfungsi untuk mirroring website agar dapat kita analisis secara offline. Mirroring adalah metode mengecek tiap-tiap halaman pada website dan mendownload halaman yang bisa diakses ke hard disk.
* N-Stalker Web Application Security Scanner (www.nstalker.com/eng/products/nstealth) Tools ini juga cukup lengkap untuk melakukan security testing, termasuk pemecah password, dan tools untuk mentest loading dari web server.
* WebInspect (www.spidynamics.com/products/webinspect/index.html) Tools ini cukup lengkap untuk melakukan security testing. Di dalamnya termasuk proxy HTTP, editor HTTP, dan tools SQL injection otomatis.
Selain tools di atas, kita juga bisa bisa menggunakan QualysGuard, LANguard, atau Metasploit untuk mengetest server dan aplikasi web. Tools ini dapat digunakan untuk menemukan kelemahan web server yang mungkin tidak dapat ditemukan oleh tools web scanning dan analisis standar. Kita juga dapat menggunakan Google untuk mencari informasi sensitif yang mungkin terdapat pada website.
2. Teknik Hack Website
Menyerang website yang tidak aman melalui Hypertext Transfer Protocol (HTTP) merupakan hal yang paling sering dilakukan. Banyak serangan terhadap website hanyalah gangguan kecil dan tidak terlalu berpengaruh pada informasi sensitif atau availability dari sistem. Namun, beberapa serangan juga dapat berakibat serius seperti pencurian atau modifikasi informasi berharga.
2.1 Penelusuran Direktori
Penelusuran direktori adalah teknik menelusuri setiap direktori yang terdapat pada web server. Dengan menelusuri direktori server terkadang dapat ditemukan file yang berisi informasi sensitif. Untuk melakukan penelusuran direktori bisa dengan cara-cara berikut inh:
2.1.1 Crawler
Crawl adalah mengumpulkan informasi mengenai apa yang ada di halaman-halaman web yang bersifat public (dapat diakses). Dengan menggunakan software HTTrack Website Copier, kita bisa melakukan crawl untuk melihat semua file yang bersifat publik dan mendownloadnya ke hard disk kita sehingga dapat dibuka secara offline. Untuk menggunakan HTTrack, caranya pertama klik New Project, lalu ketikkan nama project, jika sudah tekan next dan ketikkan alamat website yang ingin didownload. File hasil download tersimpan di direktori c:\My Web Sites. Lama proses download tergantung dari seberapa besar dan banyak file pada server dan koneksi internet yang kita gunakan. Selanjutnya kita dapat membuka folder website yang sudah didownload tadi untuk mengecek apakah terdapat file-file yang berisi informasi berharga. Jika menemukan file zip namun diproteksi dengan password, kita bisa gunakan software Advanced Archive Password Recovery (http://www.elcomsoft.com/archpr.html ) untuk mendapatkan password file tersebut.
2.1.2 Google
Dengan menggunakan mesin pencari google, kita juga dapat mendapatkan informasi yang kita inginkan dari internet atau dari website tertentu. Dengan query tertentu, Google dapat digunakan untuk menampilkan file atau informasi yang mungkin berharga dari sebuah website. Google juga menggunakan sistem crawl dalam mengakses file-file yang bersifat publik. Berikut ini beberapa query yang dapat digunakan untuk mencari informasi tertentu melalui google:
* site:hostname keywords Query ini akan mencari informasi dari suatu website berdasarkan keyword.
* filetype:file-extension hostname Query ini akan menampilkan file bertipe spesifik (sesuai dengan yang dimasukkan, misal .doc, .pdf, .db, .dbf, .zip) dari suatu website yang mungkin berisi informasi berharga.
Untuk query lainnya bisa dilihat di http://www.google.com/intl/en/help/operators.html dan jika ingin mengetahui lebih lanjut tentang Google Hacking bisa dibuka di alamat http://johnny.ihackstuff.com/ghdb atau di http://artkast.yak.net/81. Salah satu hostname yang layak dimasukkan dalam tempat pencarian adalah Google Group (http://groups.google.com/). Seringkali pengguna grup Google dari perusahaan tertentu mempost informasi internal perusahaan tanpa ia tahu bahwa post dia tersebut dapat dilihat oleh semua orang.
2.2 Input filtering attacks
Website dan aplikasi seringkali terdapat form untuk memasukkan data dari pengguna yang selanjutnya diolah oleh script di server. Kesalahan dalam proses validasi data adalah kesalahan umum yang sering dibuat oleh developer web. Beberapa serangan dapat dilakukan dengan mengakali data masukan agar dapat memproses data yang bukan seharusnya dimasukkan sehingga dapat membingungkan atau membuat server menjadi crash. Kekurangtelitian dalam memvalidasi data juga dapat membuat attacker mendapatkan informasi tertentu mengenai server website.
2.2.1 Buffer overflows
Salah satu serangan paling serius yang memanfaatkan metode input adalah buffer overflow yang targetnya adalah memanipulasi kolom input pada aplikasi web. Sebagai contoh, field name halaman pendaftaran situs elearning gunadarma secara default di set hanya menerima inputan sepanjang 50 karakter. Panjang karakter maksimum ini dapat diakali dengan menggunakan Addon Firefox Web Developer agar panjang karakter menjadi tidak terbatas. Pada beberapa kasus, hal ini dapat mengakibatkan crash pada server.
2.2.2 URL manipulation
Dengan manipulasi URL, kita dapat memerintahkan server untuk melakukan berbagai hal, misalnya mengarahkan ke alamat website tertentu, mengakses file sensitif dari server, dll. Salah satu contohnya jika terdapat aplikasi yang menerima input url dari user (biasanya melalui CGI), pada beberapa kasus kita dapat memerintahkan server untuk menampilkan informasi password server (Linux). Misalnya dengan perintah berikut : https://www.target.com/onlineserv/Checkout.cgi?state=detail&language=english&imageSet=%2F..%2F..%2F%2F..%2F..%2F%2F..%2F..%2F%2F..%2F..%2F%2F%2Fetc%2Fpasswd
2.2.3 Hidden field manipulation
Beberapa aplikasi web mengandung field tersembunyi yang berisi nilai default untuk diakses bersama dengan input field lain yang tidak tersembunyi. Hidden field direpresentasikan dalam webform dengan code <input type=”hidden”>. Jika pembuat web ceroboh, terkadang hidden field disikan dengan nilai penting (misalnya harga barang pada situs e-commerre) yang seharusnya disimpan pada database. Secara kasat mata, user tidak dapat melihat field yang tersembunyi ini. Namun, jika jeli maka kita bisa mengakalinya dengan cara-cara berikut:
1. Melihat kode sumber HTML. Pada Internet Explorer, pilih menu Page?View Source. Sedangkan pada Firefox, pilih menu View?Page Source.
2. Merubah informasi pada field tersebut. Sebagai contoh, harga barang yang seharusnya 1 juta kita rubah menjadi 1000 rupiah.
3. Mengirimkan data yang sudah dimanipulasi ke server.
Dengan aplikasi WebInspect, kita dapat menemukan sekaligus memanipulasi hidden fields dengan mudah.
2.2.4 Code injection and SQL injection
Mirip dengan manipulasi URL, serangan dengan code injection dapat memanipulasi variable-variabel yang dikirimkan melalui URL. Contoh: http://www.target.com/script.php?info_variable=X Kita dapat mencoba memanipulasi info_variable dengan mengubah nilai X menjadi nilai tertentu, misalnya : http://www.your_Web_app.com/script.php?info_variable=ilmiaji Dari respon yang diterima, kita dapat menganalisa langkah berikutnya yang dapat dilakukan. Misal jika perintah di atas memberikan detail eror atau malah membuka halaman yang seharusnya tidak berhak diakses user tersebut. Code injection juga dapat dilakukan untuk menyerang database SQL pada server, atau lebih dikenal dengan istilah SQL Injection. Dengan SQL injection, kita dapat melakukan statement SQL seperti CONNECT, SELECT, UNION, dll kedalam URL untuk memperoleh koneksi database, mengambil data, atau menambah data dari database SQL tersebut. SQL injection seringkali dapat dilakukan karena script tidak sempurna atau terdapat kesalahan dan pesan eror dari database tersebut ditampilkan pada browser sehingga attacker dapat mengetahui informasi database yang digunakan. Terdapat dua teknik umum dari SQL Injection, yaitu standar (atau juga dikenal dengan error-based) dan blind. Error-based SQL injection dilakukan berdasarkan pesan eror dari aplikasi ketika data tidak valid dimasukkan ke sistem. Sedangkan blind SQL injection dilakukan jika pesan eror tidak diaktifkan, sehingga membutuhkan tools tambahan untuk menebak informasi apa yang database kembalikan dan bagaimana server merespon percobaan injection. Cara cepat untuk mengecek apakah sebuah website memiliki celah untuk SQL injection adalah dengan menambahkan karakter kutip satu (‘) di form web atau di akhir URL. Jika terdapat pesan kesalahan dari SQL, maka kita akan mudah untuk melakukan SQL injection. Dalam melakukan SQL injection, kita dapat menggunakan tools WebInspect atau Acunetix Web Vulnerability Scanner untuk memudahkan dalam pengecekan SQL injection. Ketika WebInspect menemukan celah untuk SQL Injection, pilih menu SQL injector dan kita akan terhubung dengan database di server tersebut. Lalu kita dapat mengklik tombol Get Data untuk mengambil data dari database tersebut.
2.2.5 Cross-site scripting
Cross-site scripting(XSS) mungkin adalah celah paling umum dari sebuah website yang terjadi ketika halaman web menampilkan input dari user – melalui JavaScript dan VBScript – dan script tidak atau salah dalam memvalidasi input tersebut, biasanya karena tidak terdapatnya filter input. Kita dapat mengambil keuntungan dari ketiadaan filter input ini dengan melakukan XSS yang dapat menyebabkan halaman web mengeksekusi kode-kode tertentu ketika user mengakses halaman tersebut. Sebagai contoh, dengan XSS attack hacker dapat menampilkan halaman login palsu. Jika user tidak menyadari atau ceroboh lalu mengisi username dan password di halaman tersebut, maka username dan password tersebut akan tercatat dalam log di server hacker. Hacker lalu dapat menggunakan username dan password yang tercatat di log untuk login dan melakukan tindakan yang dia inginkan terhadap user tersebut. Cara mudah untuk mengetes apakah sebuah website terdapat celah untuk XSS adalah dengan mencari form inputan dari user pada website (misal halaman login atau pencarian) dan ketikkan javascript sederhana berikut ini: <script>alert(‘nyoba XSS gan!!’)</script> Jika muncul jendela pop-up dan menampilkan alert “Nyoba XSS gan!!”, berarti pada halaman tersebut dapat kita lakukan XSS Attack. Selain dengan cara manual di atas, tools WebInspect dan Acunetix Web Vulnerability Scanner juga dapat digunakan untuk mencari celah XSS attack.
Mungkin cuma itu sedikit cara hacking yang gw ketahui sampe saat ini. Sebenarnya masih banyak cara hacking lainnya yang g gw jelasin disini. Tujuannya untuk kita bisa sama-sama belajar, mencari tahu,,^^
terima kasih atas waktunya,,
sumber dan ucapan terima kasih : http://www.facebook.com/topic.php?uid=134524709917927&topic=360
cara memasang search engine google di blog kita
Berikut beberapa panduan dan langkah memasang Gooole Search Engine pada blog atau website yang menggunakan CMS WordPress.
1. Download atau Buka script kode Google Search Engine disini !!
2. Masukan script tersebut pada widget text pada blog anda, dengan cara copy dan paste pada text widget. Maka Google search engine sudah tampil di Blog anda. selamat mencoba ^_^
1. Download atau Buka script kode Google Search Engine disini !!
2. Masukan script tersebut pada widget text pada blog anda, dengan cara copy dan paste pada text widget. Maka Google search engine sudah tampil di Blog anda. selamat mencoba ^_^
Minggu, 03 Oktober 2010
saya punya koleksi software
trik wat teman-teman yang mau pasang facebook comment box di blognya:
1. buat application dolo di http://www.facebook.com masuk di developers/ pengembang ( bawah sendiri linknya)
2. klik aplikasi lalu klik create new application > nama sama bawahnya isi sesukamu misal : seperti blog saya ariesandy.tk centang bagian I agree to the Facebook Platform Policies.
3. klik lanjutkan > masukin tuh captchanya
4.di bagian wesite kamu tulis nama blog kamu misal: http://oariesandy.blogspot.com/ jangan lupa di kasih slash klo udah.
5.klik simpan
6.masuk ke blogger.com
7.silahkan login lalu klik rancangan>elemen laman lalu di tata letak anda pilih tambah gadget> pilih javascript/HTML
8.masuk di http://developers.facebook.com/docs/plugins/
9. pilih comments.
10. pada isikan nama blog anda misal http://oariesandy.blogspot.com/ lalu klik get code
11.anda copy semua scriptnya (script yang atas dulu) lalu pastekan di window java script/HTML tadi.
12.lalu klik simpan
12.untuk script yang bawah lakukan juga seperti script sebelumnya.
lalu anda klik save dan klik lihat blog.. selamat mencoba ^_^
9. pilih comments.
10. pada isikan nama blog anda misal http://oariesandy.blogspot.com/ lalu klik get code
11.anda copy semua scriptnya (script yang atas dulu) lalu pastekan di window java script/HTML tadi.
12.lalu klik simpan
12.untuk script yang bawah lakukan juga seperti script sebelumnya.
lalu anda klik save dan klik lihat blog.. selamat mencoba ^_^
Langganan:
Postingan (Atom)
