Serangan injection dapat terjadi ketika sebuah website tidak melakukan penyaringan data terhadap input yang dimasukkan oleh pengguna. Ketika sebuah page tidak memiliki fungsi untuk melakukan penyaringan data maka seorang penyerang bisa dengan bebas memasukkan input termasuk kode SQL dalam sebuah page.
SQL Injection dapat bersifat fatal karena penyerang tidak hanya bisa menarik seluruh data yang ada di database sebuah website, akan tetapi penyerang juga dapat merubah data yang ada seperti no Rekening pembayaran dsb. Penyerang juga bisa melakukan upload file dan menaruh malware atau script miner bitcoin yang akan menggangu pengunjung website tersebut dan merusak nama baik pemilik website tersebut.
Kali ini kami akan mencoba menjelaskan kerentanan SQL Injection dengan sebuah website yang vulnerable dari tryhackme.com.
- DailyBugle Website -
The Daily Bugle adalah koran tabloid fiksi New York City yang muncul sebagai elemen plot dalam buku komik Amerika yang diterbitkan oleh Marvel Comics. Koran ini sering membuat cerita kontroversial tentang Spiderman dan menempatkan Spiderman sebagai penjahat.
Pada website DailyBugle ini ada berita tentang Spiderman yang tengah merampok sebuah bank. Agak aneh memang ketika gambar nya sendiri hanya memperlihatkan seseorang dengan kostum Spiderman dengan topi kupluk serta jaket masuk ke dalam sebuah minimarket. Seorang penyerang memutuskan untuk menolong Spiderman dengan mencoba masuk kedalam website tersebut.
Sebelum melakukan serangan penyerang akan melakukan analisa sebenarnya apa tipe website yang digunakan oleh DailyBugle. Cara mudah adalah dengan menggunakan plugin firefox / chrome yang bernama Wappalyzer.
Disini terlihat website ini memakai Joomla sebagai aplikasi website. Dari sini penyerang mencoba melihat lebih jauh, Joomla versi berapa yang terinstall dan apakah versi Joomla ini rentan terhadap exploitasi.
Dari hasil diatas diketahui bahwa website DailyBugle memakai Joomla versi 3.7.0. Joomla versi ini memiliki kerentanan SQL Injection pada component “custom field”.
Dari informasi yang didapat penyerang mencoba melakukan exploitasi dengan melakukan injeksi menggunakan SQLmap.
Dari serangan diatas penyerang berhasil mendapatkan nama database dari website DailyBugle.
Penyerang melanjutkan aksi nya mencari tabel user, tabel ini penting karena menyimpan username dan password yang diperlukan untuk bisa login kedalam website DailyBugle.
Ternyata serangan kali ini tidak membuahkan hasil. SQLmap tidak berhasil mendapatkan kolom apa saja yang ada pada table user, akan tetapi penyerang masih belum menyerah dan mencoba menebak nama kolom pada tabel tersebut.
Penyerang berhasil mendapatkan user untuk login ke website DailyBugle akan tetapi password nya tidak bisa dibaca. Disini penyerang mencoba melakukan cracking password dari user Jonah.
Disini penyerang berhasil mendapatkan password dari user Jonah yaitu “spiderman123”.
Demikian artikel tentang kerentanan SQL Injection dan seperti apa bentuk serangan nya. Semoga artikel ini bisa membantu untuk lebih mengerti tentang kerentanan SQL Injection.
Terimakasih telah membaca artikel ini.