aing blog's: Oktober 2009

Teknik Login Sebagai Siapa Saja

Permainan dengan meracuni perintah SQL (suatu bahasa yang digunakan untuk mendapatkan atau merubah data di dalam rational database) ini tidak hanya memungkinkan Anda untuk login sebagai user yang terletak pada record pertama. Anda bahkan bisa login sebagai user manapun tanpa mengetahui password aslinya.

Sebagai contoh, jika terdapat user dengan nama Administrator yang tidak terletak pada record pertama, saya bisa saja login dengan user tersebut tanpa mengetahui paswordnya dengan memanfaatkan injeksi pada perintah SQL . Atau pada saat pertandingan ada yang ingin mengetahui nilai dari peserta Tejo, maka dia bisa saja login sebagai Tejo tanpa perlu mengetahui passwordnya.

Cara yang digunakan cukup sederhana, pada text box tempat memasukan “user name ”Tejo”--“ sedangkan pada text box pasword boleh diisi dengan apa saja atau dengan ‘or”=’.

Tanda “--“ (dua tanda minus) di SQL sever berarti akhir dari statement SQL sehingga perintah dibelakangnya tidak di eksekusi lagi yang berarti bagian password tidak akan di cek.

Jadi perintah tersebut akan menjadikan statement SQL beririkut :

SELECT * FROM tbl_User account WHERE

Field_Username=input_username AND

Field_password=input_password

Berubah menjadi :

SELECT * FROM tbl_User account WHERE

Field_Username=’Tejo’-‘ AND field_password=’’

OR ‘’=’’

Karena kondisi perbandingan yang hanya dilakukan pada field username sedangkan pada field password sudah tidak dibandingkan lagi, maka otomatis Anda bisa login tanpa perlu mengetahui password user yang dibajak.

Jika tenyata database yang digunakan bukanlah SQL server maka anda tetap bisa melakukan hal yang sama dengan menghilangkan tanda “—“ pada isian nama user.

Menarik bukan ? teknik manipulasi SQL ini masih sangat banyak tergantung dari kreasi anda bahkan memungkinkan anda membuat,menghapus merubah database.

Sampai saat inipun teknik SQL injection masih sangat ampuh untuk semua situs. Situs pemilu KPU yang telah di hack oleh xnuxer aliass Dani juga menggunakan teknik ini. Walaupun masih belum jelas benar, apa saja dengan resiko yang tidak bisa dibayangkan. Hati-hatilah sebelum anda menjadi korban dari aktifitas hacking yang semakin marak dan canggih belakangan ini.

Tidak ada yang bisa menjamin teknik ini akan berhasil, tapi juga tidak akan ada yang bisa mengatakan bahwa cara ini pasti tidak akan berhasil. Jadi, hanya dengan mencobalah jawabannya akan diketahui.cwit....cwit....cwitttt

“JANGAN DISALAH GUNAKAN”

Referensi : Seni internet hacking,jasakom.