By Cyberlog
Published: October 3, 2008
Updated: October 4, 2008
Print
Email
Sorry artikel ini
sasarannya untuk level nyubie ndak di rekomendasikan untuk para master
– master, penulis akan memberikan sedikit salah satu tips sederhana
untuk mengetahui bagaimana seorang penyusup mendapatkan hak admin pada
target, oks pertama kali kita harus mendapatkan target terlebih dahulu, untuk permasalahan celah / bug dapat dilihat di www.milw0rm.com
( Salah satu situs favorit penulis ) atau bila ingin mendapatkan
celah/bug dapat dilakukan analisa sendiri terhadap script tersebut.
Disini penulis asumsikan bahwa kita telah berhasil masuk ke dalam
target web, seperti contoh dibawah ini ( penulis memasang backdoor
nstview di target )
 Setelah berhasil masuk ke dalam target, penulis mencari file config.php untuk coba masuk ke dalam database

Ups
file config telah kelihatan, saatnya kita liat di dalamnya disana
terdapat username, password, database, saatnya kita coba masuk ke dalam
database target.

masukan informasi username dan password, kemudian klik connect tunggu beberapa saat untuk terhubung ke dalam database tersebut penulis
berhasil masuk kedalam database dan mencoba liat kedalam table user
untuk mencari admin dan passwordnya, disana terdapat table asatchusers, penulis coba klik untuk masuk ke dalam table admin

Lihat
di dalam table ada username dan password, secara logika bahwa level
admin berada di group_id 1, sedangkan group client berada diluarnya.
Disana terdapat user admin dan victor yang berada di level admin, dan
terdapat juga password yang di encrypt (bingung kan bongkarnya make apa
) . Untuk kasus ini penulis coba decrypt lewat MD5 Cracker

Coba masukan password yang di encrypt ke dalam md5crack online , klik Crack that hash baby dan tunggu hasilnya  Ternyata
gagal, hm putus asa, coba penulis putar otak cek kembali di dalam table
adminnya nah disana terdapat email dari admin tersebut, hm penulis coba
edit table admin tersebut dan coba untuk sementara email admin tersebut
di rubah ke alamat email kita ( dengan catatan email admin jangan
sampai lupa, soalnya nanti dirubah ke email awal ). Setelah diganti
maka klik update maka otomatis email akan berubah ke alamat email kita


Nah semua uda disave coba cari link untuk halaman admin dan penulis coba masuk lewat sana.

Masukan
user dan password ( untuk hal ini user adalah admin, pass =
sembarangan, hanya untuk memastikan ) kemudian klik Login, liat
hasilnya, maka akan error alias ga bisa masuk hehehe, kemudian klik
forgot passwd, berhubung tadi alamat email sudah kita rubah maka
masukan saja email penulis :0

Ups , Brb buka email kita dan cek ke dalamnya 
Penulis berhasil lakukan reset passwd, kemudian ke halaman admin dan
masuk memakai user dan passwd dari email penulis, dana berhasil masuk Note : -
Ini semua hanya pembelajaran tidak ada maksud untuk merusak, setelah
admin dan passwd berhasil kita dapatkan maka penulis kembalikan email
ke awal settingan ( email target ). - Hacking tidak untuk merusak, jadikan hacking untuk pengetauanmu -
Tips Untuk pencegahan adalah dengan tidak mengizinkan file config
dibaca oleh penyusup untuk mencegah masuk kedalam table databse --------------- Referensi : - http://nst.void.ru/?q=releases&download=16 - http://www.milw0rm.com - http://google.com --------------- contact : adierni@sekuritionline.net YM : hernidasariii@yahoo.com Greetz : Allah,
My Family, All member SO, Crew Management SO, adhietslank, thesim,
Aican, a-technique, K1n9k0ng, Letjen, Jayoes, Fl3xu5, Ngarang, Ariee,
Sukam, Setiawan, BlindBoy, dll Special for my Wife : erni.Hasibuan #sekuritionline, #bajingan, #NyubiCrew, #solohackerlink, #mimid, #semprol, #Newhack Nitip Salam Buat Om Saleho ( Solohackerlink ) semoga pernikahannya langgeng ( me lom sempet ke SOLO ) No Credits : Para Koruptor & sebangsanya Jam 2 pagi waktu maling beraksi -------------- Dont Change MY tutorial
View Comments (1)
|
udah punya akses database kok masih muter2 mas? knapa gak add user selevel admin aja daripada sampe reset password si admin..kan jadi ketauan