KEAMANAN KOMPUTER APLIKASI HAVIJ KELOMPOK : BAGUS WAHYU SANTOSO KHAIRUL RAHMAN RENDY ZULIANSYAH
APA ITU HAVIJ?... HAVIJ ADA SQL INJECTION OTOMATIS ALAT YANG MEMBANTU PENGUJI PENETRASI UNTUK MENEMUKAN DAN MENGEKSPLOITASI KERENTANAN SQL INJECTION DI HALAMAN WEB HAL INI DAPAT MENGAMBIL KEUNTUNGAN DARI SEBUAH APLIKASI WEB YANG RENTAN. DENGAN MENGGUNAKAN SOFTWARE INI PENGGUNA DAPAT MELAKUKAN SIDIK JARI BACK END DATABASE,MENGAMBIL PENGGUNA DBMS DAN HASH PASSWORD,DUMP TABEL DAN KOLOM,MENGAMBIL DATA DARI DATABASE,MENJALANKAN PERNYATAAN SQL BAHKAN MENGAKSES SISTEM FILE YANG MENDASARI DAN MENGEKSEKUSI PERINTAH PADA SISTEM OPERASI.
HAL APA SAJA SIH YANG BISA DIDAPATKAN DENGAN MENGGUNAKAN TOOLS INI? ANDA BISA MELAKUKAN DEFACE WEBSITE DENGAN HAVIJ ANDA BISA MELAKUKAN COPY / SAVE DATABASE DENGAN HAVIJ ANDA BISA MENEMUKAN ADMIN LOGIN DENGAN HAVIJ ANDA BISA MENJADI ADMINISTRATOR WEBSITE DENGAN HAVIJ
Pada gambar diatas adalah celah dari website tersebut yang dapat kita inject dengan menggunakan Havij, perhatikan pada bagian Vulnerability terdapat kata "URL SQL INJECTION"yang artinya website tersebut Vuln terhadap Havij, klik kanan pada bagian seperti diatas tadi kemudian klik "Copy URL To ClipBoard" Pertama downoad Webcruiser dan Havij Pro.Kemudian terlebih dahulu kita buka software WebCruiser
Nah kita sudah dapatkan celah dari website tersebut, sekarang tinggal kita inject dengan menggunakan havij, buka havij pro yang sudah kalian download tadi kemudian pastekan celah website target yang sudah kalian copy tadi ke Havij pada bagian "Target" seperti berikut : Setelah kalian pastekan di bagian "Target" sekarang klik "Analyze", maka Havij akan memproses apakah web tersebut dapat di Inject atau tidak seperti berikut : Bila terdapat status seperti diatas yang hampir mirip2 seperti ini : Selected Column Count is 5 Valid String Column is 4 Current DB : db_bcoostende Berarti web tersebut sudah berhasil diinject.
Sekarang saatnya kita cari username+password admin website tersebut, pada Havij klik menu "Table" kemudian klik "Get Table", maka akan muncul beberapa table seperti berikut :
Kita cari dimana username+password admin berada, tandai pada table yang ada kata2 "user", "login" ataupun yang sejenisnya. Kemudian klik "Get Columns", seperti berikut :
SELANJUTNYA AKAN MUNCUL "COLUMNS2" DARI TABLE YANG SUDAH KITA PILIH TADI, DAN DI COLUMNS TERSEBUT SALAH SATUNYA YAITU COLUMNS "LOGIN" DAN "PASSWORD", SEKARANG KITA TANDAI KEDUA COLUMNS TADI KEMUDIAN KLIK "GET DATA".
PADA GAMBAR DIATAS SUDAH TERLIHAT USERNAME+PASSWORD ADMIN WEB TERSEBUT, TAPI PASSWORD PADA WEB TERSEBUT MASIH DI ENCRYPSY DAN UNTUK MENJADIKANNYA SEBAGAI PASSWORD ASLINYA DAPAT KALIAN COPY PASSWORD TERSEBUT DAN PASTEKAN PADA MENU MD5 DI HAVIJ.. Setelah kita dapatkan username+password website tersebut, sekarang kita cari halaman login admin. Pada havij klik "Find Admin" kemudian klik "start" seperti berikut Nah halaman login admin juga sudah kita temukan seperti diatas, dengan halaman admin http://www.bcoostende.be/admin / Username+Password serta halaman login sudah kalian temukan, terakhir tinggal kalian login dan masuk sesuka kalian sebagai admin website tersebut.
CARA PENCEGAHAN SQL INJECTION 1) BATASI PANJANG INPUT BOX DENGAN CARA MEMBATASINYA DI KODE PROGRAM, JADI SI INPUT BOX NYA GAK BISA DIINJECT DENGAN PERINTAH YANG PANJANG. 2) FILTER INPUT YANG DIMASUKKAN OLEH USER, TERUTAMA PENGGUNAAN TANDA KUTIP TUNGGAL (INPUT VALIDATION). 3) MATIKAN ATAU SEMBUNYIKAN PESAN-PESAN ERROR YANG KELUAR DARI SQL SERVER YANG BERJALAN. 4) MATIKAN FASILITAS2 STANDAR SEPERTI STORED PROCEDURES, EXTENDED STORED PROCEDURES JIKA MEMUNGKINKAN 5) UBAH STARTUP AND RUN SQL SERVER MENGGUNAKAN LOW PRIVILEGE USER DI SQL SERVER SECURITY TAB. CRACKER PEMULA AKAN BINGUNG SEJENAK MELIHAT