BERBAGAI METODE HACKING WEBSITE

web application merupakan berbagai macam aplikasi yang dijalankan di web, dengan kata lain berjalan diatas port 80 dengan protokol http. Sering kita jumpai port 80 selalu open, karena jika port yang satu ini ditutup maka tidak akan bisa memberikan service http.

Berbagai macam aplikasi web didesain untuk memenuhi kebutuhan dari suatu organisasi/embaga, baik itu portal untuk internal karyawan atau pun portal informasi bagi konsumennya. Dan seiring berjalannya waktu, desain web application menjadi semakin menarik dan menjadi aplikasi yang memiliki banyak sekali fitur.

Terlalu lama bertele-tele, hehe oke langsung saja ke inti pembahasan yaitu cara apa saja sih sebenarnya yang bisa digunakan untuk menyerang web? Wuih, sok master banget yaa. Padahal nyubi inih, nanti kalo ada koreksi dari kawan-kawan langsung komen aja yaa biar segera diperbaiki 😀 langsung aja, jawaban dari judul :

Injection. Masih menempati tempat populer di OWASP ( The Open Web Application Security Project) . Salah satu yang sering muncul yaitu SQLInjection. SQL Injection merupakan teknik untuk menyerang database dari suatu aplikasi web. SQL injection dijalankan dengan menginputkan perintah-perintah berbahaya yang sebenarnya adalh query sql dengan tujuan agar aplikasi menampilkan data-data tertentu dari website tersebut. Hal yang menjadi horor adalah ketika si attacker menemukan data akun admin dan juga password dari hasil hunting dengan query tersebut. Sehingga dengan kata lain, attacker kemudian menjadi mempunyai kendali penuh atas web itu dan tau kan kalau sudah seperti itu bagaimana? Yaa mau di apa-apain lagi terserah si attackernya. Wassalam dah.

TOOLS: Sebenarnya untuk tools ini banyak sekali tools yang auto untuk mengoprek database dari sebuah website, misalnya SQLmap, SQLninja, SQL sus dan banyak sekali yang lain. Namun, untuk menginjeksi biar lebih hikmat biasanya attacker melakukan langsung perintahnya di address bar browser, dan manually, harus lebih tlaten dan juga sabar.

Mungkin sudah banyak sekali yang mendengar kata ini. Di forum-forum/ komunitas security engineer atau hacker pasti teknik yang satu ini juga sering mengapung. Brute force sendiri sebenarnya berprinsip dan berkekuatan paa wordlist. Wordlist merupakan kata-kata yang berjumlah banyak, dan dianggap atau dipercayai (bukan mistik yaa.. he 😀 ) dari sekian banyak itu ada salah satu yang tembus menjadi password dari yang di hack. Nah, untuk web application sendiri biasanya attacker harus mempunyai wordlist untuk password maupun untuk admin. Yang perlu diperhatikan dari teknik ini adalah, sebagian website sudah peka terhadap teknik ini. Dan biasanya jika attacker mencoba banyak sekali password, maka secara otomatis akan mengeblock dan tidak mau untuk login kembali untuk beberapa saat atau waktu yang lama. Nah, cara mengatasinya adalalah dengan mengatur tempo serangan kita. Misalnya setelah mencoba 3 kali akan berhenti dulu sebentar, baru dilanjut lagi. Atau mungkin ente punya trik yang lebih nyus? He 😀

Nih penampakannya:

Selain hydra masih banyak lagi yang lain kok. Tinggal mana yang pas buat kita pake aja 😀

Untuk file upload sendiri mungkin sudah banyak yang mengenal. maksudnya disini adalah kita mencari kerentanan/celah untuk kita dapat mengunggah file ke server. Mungkin kalau file yang kita unggah file biasa saja sekedar defaced, itu pun jika berhasil dibawa ke index, namun berbeda erita apabila file yang kita upload itu file-file yang sebenarnya merupakan mallware yang bisa merusak sistem/ dapat di run dan degunakan untuk kepentingan tertentu. Hal yang seperti ini menjadi pikiran buat para designer web untuk semakin jeli dalam menulis syntax.heehee

TOOLS: Bisa saja menggunakan skrip sendiri, banyak juga yang memanfaatkan exploit-db.com dan ngurek-nguprek file upload di search form nya 😀