Anaconda

CARA MUDAH HACKING CGI


Jasakom -
1.1 Awas
1.2 Sedikit basa-basi
1.3 CGI-Scripts, apa tuh?
1.4 Hacking CGI-Scripts / menggunakan CGI-Scripts untuk hacking ?
1.5 Mengapa (beberapa) CGI-Scripts sangat mudah di hack ?
1.6 Kelemahan scripts dan bagaimana cara meng-hacknya ?
1.7 Bagaimana cara mencari situs yang memiliki kelemahan ?
1.8 Salam


1.1 Awas
Sebelum saya mulai tutorial hacking ini saya kembali mengingatkan bahwa semua ini saya paparkan semata-mata sebagai pengetahuan bagi kita maupun peringatan bagi para web administrator dalam menanggulangi segala bentuk serangan yang mungkin terjadi oleh ulah iseng seseorang. Mudah2an artikel ini dapat bermanfaat bagi kita semua dalam memahami kelemahan2 apa saja yang ada pada CGI dan bagaimana cara penanggulangannya. Hacker bukanlah kriminal murahan yang kerjanya hanya menteror orang dan merugikan banyak pihak, jadilah hacker sejati yang selalu haus akan ilmu pengetahuan dan selalu belajar serta menolong orang lain (dalam belajar)


1.2 Sedikit basa-basi
Beberapa waktu lalu saat saya browsing di Internet kebetulan saya menemukan directory CGI-BIN dalam sebuah website. Memang sebenarnya dulu saya sudah pernah melihat yang seperti itu, namun waktu itu ketertarikan saya terhadap CGI masih kurang. Sampai pada beberapa minggu yang lalu setelah saya memahami sedikit dari kelemahan2 CGI yang saya dapatkan pada artikel2 di Internet, interest saya tentang topik ini semakin tinggi, terlebih saat saya menjumpai file bernama password.txt atau file2 lain yang berisi daftar username dan password pada sebuah site. Sampai2 terlintas dalam benak saya "Masa sih informasi penting seperti ini tergeletak begitu saja di web?"


1.3 CGI-Scripts, apa tuh?
Saya tahu bahwa saat ini anda sudah tidak sabar untuk segera memulai mempelajari beberapa tehnik dasar dalam hacking CGI-scripts, namun pertama-tama anda harus tahu sedikit tentang CGI-scripts itu sendiri. CGI adalah kependekan dari Common Gateway Interface. CGI-scripts adalah suatu perintah yang mengizinkan web browser berkomunikasi bahkan berinteraksi dengan program2 executable di server. Sebagai contoh ketika anda mendaftaftarkan diri (subscribe) pada suatu mailinglist (newsletter) maka alamat email anda akan segera didaftarkan ke beberapa mailinglist sehingga anda akan menerima email secara periodik. Proses ini sepenuhnya otomatis. Maksud otomatis disini yaitu tidak ada webmaster yang menunggu di depan komputer server untuk mendaftarkan email2 untuk dimasukkan ke dalam daftar mailinglist. Sebuah command CGI-scriptlah yang melakukan pekerjaan menjemukan itu. Contoh lainnya adalah Bulletin Board script. Ketika pengunjung suatu site mengirimkan pesannya ke bulletin board, sebuah CGI-script akan merubah pesan tadi ke dalam suatu tampilan halaman html yang lebih menarik.

1.4 Hacking CGI-Scripts / menggunakan CGI-Scripts untuk hacking?
Hacking CGI-script atau menggunakan CGI-script untuk meng-hack? Ada perbedaan yang perlu anda ketahui disini diantara dua statement diatas. Menggunakan CGI-scripts untuk hacking disini adalah cara yang akan saya paparkan untuk mengeksploitasi kelemahan CGI untuk mendapatkan akses di komputer server ataupun mendapatkan informasi penting (seperti username dan password).

1.5 Mengapa (beberapa) CGI-Scripts sangat mudah di hack?
Kebanyakan script-script yang digunakan di internet adalah CGI-scripts yang didistribusikan secara gratis yang dibuat oleh sekelompok orang yang memang memiliki kemampuan dan meluangkan banyak waktu untuk bereksperimen dibidang itu. Script-script ini tersedia secara bebas untuk digunakan oleh siapapun juga baik komersial maupun non komersial. Namun beberapa diantaranya memiliki problem keamanan yang sangat besar, yang dapat dengan mudah di exploitir oleh pihak ketiga yang bermaksud lain seperti memanfaatkan script tadi sebagai bumerang yang dapat membahayakan server. Jadi, mengapa script itu mudah sekali dihack? karena script-script tadi hanyalah script yang diciptakan oleh sekelompok orang untuk sekedar menyalurkan hoby saja, mereka tidak ambil pusing tentang keamanan script yang mereka ciptakan. Yah, namanya juga gratis, tapi justru karena gratis itu maka banyak website yg menggunakannya, itu artinya.. "Ada banyak korban yg berceceran di dunia cyber"

1.6 Kelemahan scripts dan bagaimana cara meng-hacknya?
Calendar CGI Script
Satu dari sekian banyak kelemahan script yang telah ditemukan adalah calendar script. Seperti namanya, script ini memungkinkan anda untuk memberi calendar pada suatu site. Calendar script ini terletak pada directory cgi-bin dan kebanyakan pada subdirectory calendar. Nama file configurasinya adalah "calendar.cfg" berisi username dan password administrator dari webmaster yang berwewenang untuk mengakses setingan script. Data username dan password ini terdapat pada bagian bawah file calendar.cfg. Meskipun file ini dalam keadaan ter-encrypt, anda dapat dengan mudah men-decrypt file tsb dengan menggunakan software "Jhon the Ripper". Seringkali file calendar.cfg berlokasi di alamat ini:

http://www.situs-target.com/cgi-bin/calendar/calendar.cfg

Setelah anda berhasil mendapatkan password/username yang anda cari, anda dapat melakukan login di alamat ini:

http://www.situs-target.com/cgi-bin/calendar/calendar_admin.pl?admin

WebBBS Script
WebBBS adalah adalah Webbased Bulletin Board System. Directory WebBBS berisi profil dari pemakai Bulletin Board yang tentunya masing-masing memiliki account member. Bila anda bertanya, apakah password dari tiap2 anggota Bulletin Board terdapat disana? jawabnya adalah Betul sekali, meskipun password ini juga dalam keadaan ter-encrypt namun jangan khawatir, gunakanlah Jhon The Ripper untuk men-decryptnya.

Kemungkinan besar file berisi password tadi berada di lokasi ini:

http://www.situs-target.com/cgi-bin/webBBS/profiles/WebAdverts Script by Darryl C. Burgdorf

WebAdverts Script adalah sebuah script yang mengizinkan webmaster untuk menampilkan rotasi banner/iklan di website mereka. Dengan menggunakan username dan password webmaster yang berada di zona ini maka anda dapat mengganti banner yang telah terpasang dengan banner anda sendiri, membuat banner baru, menghapus account dll

Lokasi dari file berisi password Webadverts adalah di:

http://www.situs-target.com/cgi-bin/advert/adpassword.txt

setelah anda mendapatkannya, anda dapat melakukan login di alamat:
http://www.foobar.com/cgi-bin/advert/ads_admin.pl

WWWBoard Script
WWWBoard adalah Bulletin Board yang kurang lebih hampir serupa dengan WebBBS yang telah saya jelaskan diatas. Bedanya jika suatu site menggunakan WWWBoard maka file yang anda cari adalah "password.txt" . Lakukan pencarian di:

../cgi-bin/wwwebboard atau di ../webboard/password.txt

Mailmachine Script
Mailmachine.cgi adalah web berbasis mailinglist. File yang dapat kita buru disini adalah "address.txt" yang berisi listing dari seluruh email address orang yang terdaftar (subscribed) pada mailinglist. Tidak mustahil anda dapat mengeluarkan (unsubscribe) salah seorang anggota mailinglist yang telah terdaftar disana bila anda telah login menjadi admin yang berwewenang di zona ini.

Kebanyakan dari beberapa CGI-Mailinglist yang ada memiliki kelemahan yang sama, yaitu menampilkan daftar command unsubscribe pada daftar email tiap2 anggota mailinglist. Hal ini tentu sangat riskan mengingat file berisi alamat email tersebut sangat mudah di dapat. Anda dapat mulai melakukan pencarian diantara beberapa alamat ini:

http://www.situs-target.com/cgi-bin/mailman/addresses.txt
http://www.situs-target.com/cgi-bin/maillist/addresses.txt
http://www.situs-target.com/cgi-bin/mail/addresses.txt

atau anda dapat pula melakukan pencarian di alamat yang sama dengan file address.txt

Seperti biasa, setelah anda mendapatkannya, lakukan login.. alamatnya:

http://www.situs-target.com/cgi-bin/maillist/subscribe.htm

Sebenarnya masih ada banyak sekali kelemahan CGI yang telah ditemukan (yaitu sekita 67 saat saya menulis artikel ini) namun tidak mungkin jika saya harus mengulasnya satu per satu. Paling tidak anda telah mendapat garis besar tentang CGI-scripts, selanjutnya anda dapat melakukan eksplorasi sendiri.


1.7 Bagaimana cara mencari situs yang memiliki kelemahan?
Ada tool menarik yang dapat anda gunakan untuk mendeteksi kelemahan dari CGI yaitu "CGI Vulnerability Scan" oleh Wang Products. Anda bisa mendapatkannya di alamat:

http://www.wangproducts.co.uk/

yang perlu anda lakukan dalam mencari security hole disini adalah menyiapkan daftar situs yang akan anda searching dg menggunakan tool tadi.

1.8 Salam
Mudah2an artikel ini dapat bermanfaat, khususnya bagi anda para webmaster dalam mengamankan server anda, bila ada saran, kritik, pertanyaan, ejekan dll kirimkan saja ke nickestace@liquid2k.com. Thank for your attention.. -MadCraCker`s =)