SQL Injection

0 komentar

Masih tentang tugas mata kuliah keamanan informasi lanjut. Kali ini kami ditugaskan untuk mencari website yang memiliki celah keamanan dalam lapisan basis data sebuah aplikasi ( begitulah yang saya tangkap ).
Langsung menuju tujuan, langkah pertama tentu saja browsing dengan beberapa keyword yang mengarah pada target. Singkat cerita, ditemukanlah sebuah website yang dapat ditembus oleh perintah injeksi sql :
 
a' or 't'='t
 
Demi menjaga privasi pemilik website, rasanya saya tidak akan menampilkan alamatnya. 
Berikut penjelasan mengenai kode tersebut :
 
Jika kode ini akan digunakan dalam sebuah prosedur untuk melakukan otentikasi, maka contoh ini dapat dipakai untuk memaksakan pemilihan sebuah nama pengguna yang sah karena evaluasi 't'='t' akan selalu bernilai benar.
Secara teori, perintah SQL sah apapun bisa diinjeksi melalui metode ini, termasuk menjalankan banyak pernyataan. Nilai "namaPengguna" berikut ini pada pernyataan di atas akan menyebabkan dihapusnya tabel "pengguna" dan juga pengambilan semua data dari tabel "data".
 

Insiden IT Tahun 2011 di Indonesia

0 komentar

Judul diatas merupakan tugas mata kuliah keamanan informasi lanjut yang diberikan oleh dosen kami, yaitu bapak Budi Rahadjo, Phd. Hasil dari tugas tersebut memang harus ditulis di blog masing - masing mahasiswa, termasuk saya. Maka dari itulah saya menuliskan postingan ini sebagai latar belakangnya ( supaya ga keliatan aneh aja tiba-tiba ada postingan tentang berita kriminal ). Walaupun saya tipikal pemalas dalam menulis di blog, namun mudah-mudahan jadi semangat lagi mengisi blog ini dengan tulisan - tulisan, kata orang - orang yang penting nulis, penting ga pentingya tulisan jangan dipentingkan dulu, yang penting nulis..!!! katanya, ayo menulis..^_^..

Berikut insidennya :

1. Kenalan di FB, Istri Profesor Perancis Diculik
    Minggu, 4 September 2011 | 19:00 WIB

JAKARTA | SURYA Online - Satuan Reserse Mobil Direskrimum Polda Metro Jaya berhasil membekuk DS (31) pelaku tunggal penculikan sekaligus penganiayaan terhadap Rahma Suparwiro Lavigne (40), istri seorang Profesor Geografi Universitas Paris, Perancis, Minggu (4/9/2011).
“Pelaku ditangkap sedang bersama korban di sebuah hotel di Bandung, Jawa Barat,” kata Kabid Humas Polda Metro Jaya, Kombes Pol Baharudin Djafar didampingi Kasat Reserse Mobile Divisi Reserse dan Kriminal Umum, AKBP Herry Heriawan di Polda Metro Jaya, Minggu (4/9/2011) sore.
Terungkapnya kasus ini, setelah polisi berhasil menelusuri email yang dikirimkan korban kepada anaknya yang berumur 12 tahun. Sebelumnya, korban dengan pelaku berkenalan melalui situs jejaring sosial Facebook pada bulan Mei 2011. Mereka lalu berjanji untuk saling bertemu di Indonesia.
Pada tanggal 4 Juli 2011, Rahma bersama suaminya FL serta kedua anaknya ke Yogyakarta. Tanggal 27 Juli, Rahma dan DS bertemu bahkan sempat berfoto berdua. Suami korban bersama anaknya lalu pulang ke Perancis. Namun, Rahma tetap berada di Indonesia, dengan alasan ingin menemui kerabat lama.
Pada tanggal 29 Agustus, Rahma lalu ke Bandung untuk menemui DS. Korban menduga DS adalah orang baik-baik, karena DS bermaksud mencari pekerjaan melalui korban. Setelah bertemu, Rahma justru disekap DS di sebuah hotel selama enam hari. Pelaku lalu melakukan penganiayaan dengan memukul korban hingga lebam biru pada bagian mata sebelah kiri, bagian tangan serta sekujur badan korban.
Pelaku menyuruh Rahma berkomunikasi dengan keluarganya, melalui email yang diterima anak korban. Isi surat, pelaku meminta tiket ke Kuala Lumpur untuk penerbangan 8 September 2011.
Dari email itu, suami korban lalu menghubungi pihak kepolisian Perancis yang meneruskan ke Kedutaan Besar Perancis di Indonesia. “Kita lalu mendapatkan laporan tanggal 3 September 2011 dari Mabes Polri, setelah dilakukan pelacakan akhirnya kita tangkap pelaku di Bandung,” ujar AKBP Herry.
Pelaku dikenakan pasal 351 (2) penganiayaan, pasal 328 penculikan, pasal 406 perusakan dengan ancaman di atas lima tahun. Polisi juga menyita barang bukti, berupa uang tunai Rp 5.600.000, paspor dan sejumlah ponsel.

Sumber : http://www.surya.co.id/2011/09/04/kenalan-di-fb-istri-profesor-perancis-diculik


2. Miskin Pengamanan, Situs Milik Pemkab Tulungagung Dibobol Hacker
    Rabu, 16 Pebruari 2011 21:00 WIB


REPUBLIKA.CO.ID, TULUNGAGUNG - Situs resmi milik Pemerintah Kabupaten Tulungagung, Jawa Timur, yang beralamatkan www.tulungagung.go.id diserang peretas (hacker).
Situs berisi berita-berita pemerintahan yang dikelola Dinas Perhubungan dan Infokom Kabupaten Tulungagung itu tak lagi bisa diakses masyarakat.

"Kami baru tahu website kami diserang hacker Selasa (15/2) pagi," kata Kepala Dinas Perhubungan dan Infokom Tulungagung, Eko Asistono, Rabu. Tampilan website tertutup sepenuhnya oleh gambar kartun wanita seksi berambut pirang dalam pose menantang.

Sementara di atas kartun seksi itu terpampang tulisan  Happy Fucking Valentine's Day dan keterangan tambahan dalam bahasa Inggris yang menyatakan bahwa situs www.tulungagung.go.id telah dibajak oleh pelaku yang menamakan dirinya sebagai Independent Hacker.

Belum diketahui siapa pelaku pembajakan yang berhasil membobol kode pengamanan situs milik Pemda Tulungagung tersebut.

Menurut Eko, sejumlah staf ahli bidang teknologi informasi dan perancang web di dinasnya sejauh ini masih terus berupaya melakukan perbaikan agar laman mereka kembali normal dan bisa diakses seperti biasa.
"Semoga bisa pulih dalam satu atau dua hari ke depan," katanya berharap.

Meski baru sekali menjadi sasaran peretasan, Eko mengakui keamanan situs mereka sangat rentan dibobol pembajak internet. Hal itu bisa terjadi lantaran sistem perlindungan mereka dibangun terkesan ala kadarnya oleh operator lokal dan tidak melibatkan layanan pengamanan profesional seperti google atau joomla.
Redaktur: Siwi Tri Puji B
Sumber:http://www.republika.co.id/berita/trendtek/aplikasi/11/02/16/164423-miskin-pengaman-situs-milik-pemkab-tulungagung-dibobol-hacker

3. Polisi Ungkap Pembobolan Bank via Internet
    Selasa, 2 Februari 2010 | 13:18 WIB

NILAH.COM, Jakarta - Pencurian uang nasabah terus marak terjadi di Jakarta, dan kota-kota besar lainnya. Kali ini polisi mengungkap pencurian uang nasabah bank melalui layanan internet banking, yang disediakan pihak bank.

"Tersangka mengambil uang dengan membobol user ID atau data nasabah. Milik korban berinisial AS dan WRS," kata Kasat Cyber Crime Polda Metro Jaya, AKBP Winston Tommy Watuliu, dalam keterangan persnya di Polda Metro Jaya, Jakarta, Selasa (2/2).

Selanjutnya, kata Winston, pelaku melakukan pengacakan password nasabah dengan menggunakan data-data pribadi para korban. Setelah berhasil menemukan password, maka uang nasabah yang tercantum di-usser ID itu dipindahkan ke beberapa rekening penampung, dan selanjutnya uang yang berhasil dicuri digunakan untuk kepentingan pribadi.

"Pelaku melakukan konfigurasi pin ke pasword, dengan megunakan data-data lahir nasabah, yang dilakukan untuk menggunakan pembobolan," jelas Winston.

Dia menjelaskan, umumnya nasabah bank menggunakan tanggal lahir sebagai nomor pin atau password ID di layanan internet banking bank tersebut. Sehingga pelaku dapat dengan mudah menggasak uang nasabah, ketika pin yang dimasukan cocok dengan milik nasabah.

"Diupayakan data rahasia nasabah bank jangan menggunakan data yang diketahui orang lain, seperti tanggal lahir," imbuhnya.

Ditanya nama bank swasta yang dirugikan dalam kasus ini, Winston enggan membeberkan nama bank tersebut. Dia hanya mengatakan hanya 1 bank saja yang dirugikan dalam kasus ini. Lebih lanjut dia mengatakan, kasus ini terjadi pada 25 Januari 2009 sampai Agustus 2009, di kawasan Jakarta Selatan.

Dalam kasus polisi telah menetapkan seorang tersangka dan melakukan penahanan, terhadap pria berinisial EYN, usia sekitar 30 tahun. Sedangkan seorang tersangka lainnya berinisial HH masih dalam pencarian.

"EYN profesinya jobless (pengangguran), sebelumnya dia bekerja sebagai karyawan swasta," paparnya. Dia mengatakan, EYN berlatar pendidikan S1 perguruan tinggi di Jakarta, dan tidak memiliki riwayat bekerja pada perusahaan perbankan.

Tersangka terancam pasal 363 KUHP, UU No 25 Tahun 2003 tentang pencucian uang, dan UU No 11 Tahun 2008 tentang informasi dan transaksi elektronik. Dengan ancaman hukuman lebih dari 4 tahun penjara.

Ada pun barang bukti yang disita polisi antara lain, 1 buah lapotop, 1 buah modem internet, 1 buah flash disk, dan 1 buah telepon genggam. Dalam kejahatan ini, sedikitnya 2 orang menjadi korban pembobolan rekening via internet banking tersebut, yakni AS dengan kerugian RP 60 juta dan WRS dengan kerugian sebesar Rp 610 ribu. Keduanya merupakan karyawan swasta. [mut]

 http://www.inilah.com/read/detail/320891/polisi-ungkap-pembobolan-bank-via-internet/