SQLMap in action, tools berbasis python untuk automated SQL Injection

Perhatian:

Demonstrasi berikut hanya untuk pembelajaran semata, tidak ada maksud untuk merusak ataupun merugikan pihak lain. Ini sebagai peringatan untuk web developer di luar sana termasuk saya sendiri betapa bahayanya ancaman jenis SQL Injection, terlebih lagi dengan adanya SQLMap serangan ini menjadi lebih mudah dilakukkan, bahkan oleh orang yang tidak mengerti programming.

Target yang saya coba adalah target/situs live nyata, jadi ini bukan hanya sekedar mainan belaka. Pengelola situs sudah diinformasikan.

Saya hanya bisa terheran-heran ketika mengetahui bahwa di Indonesia ini banyak sekali website yang vulnerable terhadap serangan SQL Injection. Dan sedikit merinding mengetahui faktanya seperti itu. Dan tidak bisa di bendung lagi hasrat lama tentang bagian lain dunia maya ini saya coba sentuh juga.

Keingintahuan ini semakin besar ketika saya banyak menerima laporan dari mantan-mantan klien dulu yang bilang website nya di Hack/deface, namun dari sebagian besar kasus yang saya lihat sebagian besar mereka hanya melakukkan defacing (tapi itu cukup merepotkan juga).

Saya baru tahu belakangan terdapat sebuah tool khusus yang populer di kalangan Hacker, Cracker, ScriptKiddies dll yang mana fungsingya adalah untuk melakukkan serangan SQLInjection secara lebih cepat dan mudah, dan tool itu dibuat dengan bahasa Python.

Dan disini saya akan mencoba mendemonstrasikannya.

Mencari Target

Suka atau tidak, mencari target untuk melakkukkan SQLInjection terbilang susah-susah gampang, sebagian besar ciri-ciri yang kemungkinan bisa ter-inject adalah website dengan url-url seperti ini:

http://www.example.com/produk.php?id=15
http://www.example.com/news.php?newsid=15

Saya tidak akan menjelaskan secara detail bagaimana konsep SQLInjection, anda bisa Googling dan mendapatkan banyak tutorial untuk itu. Dsini saya hanya akan demokan serangan itu dengan SQLMap.

Serangan Dimulai

Setelah calon target di dapat maka serangan bisa dimulai, namun sebelumnya saya ingatkan SQLinjection terhadap website tidak akan selalu berhasil meski pola url mirip diatas, ini kembali lagi kepada tingkat keamanan website yang diserang.

Ini biasanya akan cukup memakan waktu lama kalau kita lakukkan secara manual, oleh karena itu SQLMap ada untuk mempercepat proses tersebut.

#1. Mendapatkan nama database

1

Kalau suatu website memiliki peluang untuk di inject maka perintah diatas akan memberikan anda daftar nama database yang dipakai web itu, kalau tidak maka prompt untuk membatalkan aksi akan muncul. Dan kalau berhasil maka nama database bisa kita dapatkan seperti di bawah ini:

2

#2. Mendapatkan Tabel-tabel yang ada di database

Ketika langkah 1 diatas sukses, biasanya tahap berikutnya ini akan berjalan lancar. Terus kita ganti perintah untuk mendapatkan daftar nama tabel di database target.

3

Ketika sukses maka kita akan dapat seperti ini:

4

Seperti dilihat diatas, perhatian utama kita pasti akan tertuju pada nama tabel yang berhubungan dengan user, yang biasanya akan menyimpan Username dan Password.

#3. Cek nama kolom apa saja yang ada di tabel user

5

Hasilnya, tadaaa…

6

#4. Dapatkan daftar Username

7

dan hasilnya… jantung semakin berdebar kencang… 😀

8

#5. Tinggal dapatkan passwordnya

Pada bagian ini biasanya yang paling menarik dan ditunggu-tunggu, sebab di sebagian besar website modern password tidak lagi disimpan sebagai Plain password melainkan sudah berupa hash baik itu MD5, SHA-1 dll, bahkan ditambahkan Salt (bukan garam) untuk meningkatkan keamanan password.

Namun pada target ini apakah seperti itu?

9

10

Hmmm.. ini yang sangat memprihatinkan, saya menemukan passwordnya masih dalam bentuk teks aslinya. Di jaman sekarang sudah seharusnya cara seperti ini tidak dilakukkan lagi dan NEVER FOREVER.

Tapi kalau saya perhatikan ini merupakan situs lama dan juga sudah lama tidak di update.

Saya akan berusaha mengubungi pemiliknya dan semoga saja yang punya segera memperbaiki lubang keamanan ini sehingga terhindar dari sasaran cracker-craker yang menjamur sekarang ini.

Kesimpulan

Jadi apa kesimpulan yang saya dapat setelah aksi diatas? Yang paling penting adalah tool ini (SQLMap) sangat berbahaya di tangan orang yang salah, bahkan bagi yang baru belajar pun ini sangat mudah digunakan dan bisa memberikan efek kecanduan kalau sekali berhasil :D.

Tapi itulah dunia maya, akan selalu ada pihak yang pro dan kontra terhadap aktifitas seperti ini, tidak ada system yang 100% sempurna keamanannya. Yang bisa kita lakukkan hanyalah berbuat sebaik mungkin untuk memastikan aplikasi kita aman dari serangan seperti ini ataupun jenis lainnya.

Untuk referensi SQLMap silahkan dicari sendiri ya, saya tidak mau mengekspose terlalu banyak, semuanya ada di Internet, Just explore, keep learning, secure and responsible.

Leave a Reply

Your email address will not be published. Required fields are marked *