Cara Mudah Hacking
CGI
1.1 Awas
1.2 Sedikit basa-basi
1.3 CGI-Scripts, apa
tuh?
1.4 Hacking
CGI-Scripts / menggunakan CGI-Scripts untuk hacking ?
1.5 Mengapa
(beberapa) CGI-Scripts sangat mudah di hack ?
1.6 Kelemahan scripts
dan bagaimana cara meng-hacknya ?
1.7 Bagaimana cara
mencari situs yang memiliki kelemahan ?
1.8 Salam
1.1 Awas
Sebelum saya mulai
tutorial hacking ini saya kembali mengingatkan bahwa semua ini saya paparkan
semata-mata sebagai pengetahuan bagi kita maupun peringatan bagi para web
administrator dalam menanggulangi segala bentuk serangan yang mungkin terjadi
oleh ulah iseng seseorang. Mudah2an artikel ini dapat bermanfaat bagi kita
semua dalam memahami kelemahan2 apa saja yang ada pada CGI dan bagaimana cara
penanggulangannya. Hacker bukanlah kriminal murahan yang kerjanya hanya
menteror orang dan merugikan banyak pihak, jadilah hacker sejati yang selalu
haus akan ilmu pengetahuan dan selalu belajar serta menolong orang lain (dalam
belajar)
1.2 Sedikit basa-basi
Beberapa waktu lalu
saat saya browsing di Internet kebetulan saya menemukan directory CGI-BIN dalam
sebuah website. Memang sebenarnya dulu saya sudah pernah melihat yang seperti
itu, namun waktu itu ketertarikan saya terhadap CGI masih kurang. Sampai pada
beberapa minggu yang lalu setelah saya memahami sedikit dari kelemahan2 CGI
yang saya dapatkan pada artikel2 di Internet, interest saya tentang topik ini
semakin tinggi, terlebih saat saya menjumpai file bernama password.txt atau
file2 lain yang berisi daftar username dan password pada sebuah site. Sampai2
terlintas dalam benak saya "Masa sih informasi penting seperti ini
tergeletak begitu saja di web?"
1.3 CGI-Scripts, apa
tuh?
Saya tahu bahwa saat
ini anda sudah tidak sabar untuk segera memulai mempelajari beberapa tehnik
dasar dalam hacking CGI-scripts, namun pertama-tama anda harus tahu sedikit
tentang CGI-scripts itu sendiri. CGI adalah kependekan dari Common Gateway
Interface. CGI-scripts adalah suatu perintah yang mengizinkan web browser
berkomunikasi bahkan berinteraksi dengan program2 executable di server. Sebagai
contoh ketika anda mendaftaftarkan diri (subscribe) pada suatu mailinglist
(newsletter) maka alamat email anda akan segera didaftarkan ke beberapa
mailinglist sehingga anda akan menerima email secara periodik. Proses ini
sepenuhnya otomatis. Maksud otomatis disini yaitu tidak ada webmaster yang
menunggu di depan komputer server untuk mendaftarkan email2 untuk dimasukkan ke
dalam daftar mailinglist. Sebuah command CGI-scriptlah yang melakukan pekerjaan
menjemukan itu. Contoh lainnya adalah Bulletin Board script. Ketika pengunjung
suatu site mengirimkan pesannya ke bulletin board, s!
ebuah CGI-script akan
merubah pesan tadi ke dalam suatu tampilan halaman html yang lebih menarik.
1.4 Hacking
CGI-Scripts / menggunakan CGI-Scripts untuk hacking?
Hacking CGI-script
atau menggunakan CGI-script untuk meng-hack? Ada perbedaan yang perlu anda
ketahui disini diantara dua statement diatas. Menggunakan CGI-scripts untuk
hacking disini adalah cara yang akan saya paparkan untuk mengeksploitasi
kelemahan CGI untuk mendapatkan akses di komputer server ataupun mendapatkan
informasi penting (seperti username dan password).
1.5 Mengapa
(beberapa) CGI-Scripts sangat mudah di hack?
Kebanyakan
script-script yang digunakan di internet adalah CGI-scripts yang didistribusikan
secara gratis yang dibuat oleh sekelompok orang yang memang memiliki kemampuan
dan meluangkan banyak waktu untuk
bereksperimen
dibidang itu. Script-script ini tersedia secara bebas untuk digunakan oleh
siapapun juga baik komersial maupun non komersial. Namun beberapa diantaranya
memiliki problem keamanan yang sangat besar, yang dapat dengan mudah di
exploitir oleh pihak ketiga yang bermaksud lain seperti memanfaatkan script
tadi sebagai bumerang yang dapat membahayakan server. Jadi, mengapa script itu
mudah sekali dihack? karena script-script tadi hanyalah script yang diciptakan
oleh sekelompok orang untuk sekedar menyalurkan hoby saja, mereka tidak ambil
pusing tentang keamanan script yang mereka ciptakan. Yah, namanya juga gratis,
tapi justru karena gratis itu maka banyak website yang menggunakannya, itu
artinya.. "Ada banyak korban yang berceceran di dunia cyber"
1.6 Kelemahan scripts
dan bagaimana cara meng-hacknya?
Calendar CGI Script
-------------------
Satu dari sekian
banyak kelemahan script yang telah ditemukan adalah calendar script. Seperti
namanya, script ini memungkinkan anda untuk memberi calendar pada suatu site.
Calendar script ini terletak pada directory cgi-bin dan kebanyakan pada
subdirectory calendar. Nama file configurasinya adalah "calendar.cfg"
berisi username dan password administrator dari webmaster yang berwewenang
untuk mengakses setingan script. Data username dan password ini terdapat pada
bagian bawah file calendar.cfg. Meskipun file ini dalam keadaan ter-encrypt,
anda dapat dengan mudah men-decrypt file tsb dengan menggunakan software
"Jhon the Ripper". Seringkali file calendar.cfg berlokasi di alamat
ini:
http://www.situs-target.com/cgi-bin/calendar/calendar.cfg
Setelah anda berhasil
mendapatkan password/username yang anda cari, anda dapat melakukan login di
alamat ini:
http://www.situs-target.com/cgi-bin/calendar/calendar_admin.pl?admin
WebBBS Script
-------------
WebBBS adalah adalah
Webbased Bulletin Board System. Directory WebBBS berisi profil dari pemakai Bulletin
Board yang tentunya masing-masing memiliki account member. Bila anda bertanya,
apakah password dari tiap2 anggota Bulletin Board terdapat disana? jawabnya
adalah Betul sekali, meskipun password ini juga dalam keadaan ter-encrypt namun
jangan khawatir, gunakanlah Jhon The Ripper untuk men-decryptnya.
Kemungkinan besar
file berisi password tadi berada di lokasi ini:
http://www.situs-target.com/cgi-bin/webBBS/profiles/
WebAdverts Script
oleh Darryl C. Burgdorf
WebAdverts Script
adalah sebuah script yang mengizinkan webmaster untuk menampilkan rotasi
banner/iklan di website mereka. Dengan menggunakan username dan password
webmaster yang berada di zona ini maka anda dapat mengganti banner yang telah
terpasang dengan banner anda sendiri, membuat banner baru, menghapus account
dll
Lokasi dari file
berisi password Webadverts adalah di:
http://www.situs-target.com/cgi-bin/advert/adpassword.txt
setelah anda
mendapatkannya, anda dapat melakukan login di alamat:
http://www.foobar.com/cgi-bin/advert/ads_admin.pl
WWWBoard Script
---------------
WWWBoard adalah
Bulletin Board yang kurang lebih hampir serupa dengan WebBBS yang telah saya
jelaskan diatas. Bedanya jika suatu site menggunakan WWWBoard maka file yang
anda cari adalah "password.txt" . Lakukan pencarian di:
../cgi-bin/wwwebboard
atau di ../webboard/password.txt
Mailmachine Script
------------------
Mailmachine.cgi
adalah web berbasis mailinglist. File yang dapat kita buru disini adalah
"address.txt" yang berisi listing dari seluruh email address orang
yang terdaftar (subscribed) pada mailinglist. Tidak mustahil anda dapat
mengeluarkan (unsubscribe) salah seorang anggota mailinglist yang telah
terdaftar disana bila anda telah login menjadi admin yang berwewenang di zona
ini.
Kebanyakan dari
beberapa CGI-Mailinglist yang ada memiliki kelemahan yang sama, yaitu
menampilkan daftar command unsubscribe pada daftar email tiap2 anggota
mailinglist. Hal ini tentu sangat riskan mengingat file berisi alamat email
tersebut sangat mudah di dapat. Anda dapat mulai melakukan pencarian diantara
beberapa alamat ini:
http://www.situs-target.com/cgi-bin/mailman/addresses.txt
http://www.situs-target.com/cgi-bin/maillist/addresses.txt
http://www.situs-target.com/cgi-bin/mail/addresses.txt
atau anda dapat pula
melakukan pencarian di alamat yang sama dengan file address.txt
Seperti biasa,
setelah anda mendapatkannya, lakukan login.. alamatnya:
http://www.situs-target.com/cgi-bin/maillist/subscribe.htm
Sebenarnya masih ada
banyak sekali kelemahan CGI yang telah ditemukan (yaitu sekita 67 saat saya
menulis artikel ini) namun tidak mungkin jika saya harus mengulasnya satu per
satu. Paling tidak anda telah mendapat garis besar tentang CGI-scripts,
selanjutnya anda dapat melakukan eksplorasi sendiri.
1.7 Bagaimana cara
mencari situs yang memiliki kelemahan?
Ada tool menarik yang
dapat anda gunakan untuk mendeteksi kelemahan dari CGI yaitu "CGI
Vulnerability Scan" oleh Wang Products. Anda bisa mendapatkannya di
alamat:
http://www.wangproducts.co.uk/
yang perlu anda
lakukan dalam mencari security hole disini adalah menyiapkan daftar situs yang
akan anda searching dg menggunakan tool tadi.
0 komentar:
Posting Komentar