Tips Menghalau Serangan Hacker(Patching)

Beranda

...

Website, Webmaster, Webdeveloper
Tips Menghalau Serangan Hacker(Patching)

pr0ph0z.newbie

24-06-2013 14:00

Tips Menghalau Serangan Hacker(Patching)

Maaf nih kalo ane bikin thread yang emoticon-Salah Kamar

. Kalo

buat mimin/momod di delete/di pindahin ke yg semestinya aja emoticon-Big Grin

. Oh iya buat scriptnya maaf kalo ada yg salah mungkin ane salah ketik

Semua situs yang hadir di internet setiap harinya bisa di-hack. Walau dengan cara apapun, hacker pastilah mempunyai daya pikir yang tinggi untuk menemukan celah-celah tersebut. Yang bisa Anda lakukan adalah menambal lubang-lubang yang ada. Berikutnya akan saya sajikan tips mencegah serangan hacker.
MENCEGAH SQL INJECTION
Pada contoh kasus error sql yang banyak terjadi dikarenakan penggunaan perintah $GET atau $POST method. Contoh script di bawah untuk mencegah parameter dari query injection

Quote:

<?php
$id = abs((int)$_GET['id']);
?>

Script di atas akan menghasilkan nilai positif untuk mem-filter nilai negatif yang dimanfaatkan sql injection
MENCEGAH SQL INJECTION DENGAN MD5
Jika cara di atas menggunakan fungsi pada data minus, sekarang adalah dengan menambah variable secara acak. Contoh url target:

Quote:

http://situstarget.com/berita.php?id=1

Contoh hasil yang didapat setelah variable ditambah dengan nilai acak:

Quote:

http://situstarget.com/berita.php?id=1&token=456cgfrtyhDFgdgfgkl6y564

Arti dari variabel token di contoh hasil, ketika di awal anda memberikan link untuk menampilkan berita lain, maka id dari berita tersebut kita enkripsi seperti contoh script di bawah ini:

Quote:

<?php
$token = md5(md5($id_berita).md5('kata acak')):
//baris di bawah adalah utl berita
<a href="berita.php?id=$id_berita&token;=$token">Judul Berita</a>
?>

Selanjutnya adalah script untuk melakukan pengecekan terhadap inject:
<?php
$id_berita=$_GET['id_berita'];
$token=$GET['token'];
$cek=md5(md5($id_berita).md5('kata acak'));
if($token==$cek){
//baris di bawah untuk memasukan syntax agar menampilkan berita
}
else{
echo"Pesan terdeteksi SQL-an!!!";
}
?>

Contoh di atas bila anda coba gunakan di CMS Anda
MENCEGAH BLIND SQL INJECTION
Biasanya pada form login melakukan pengecekan ketika user login yaitu dengan melakukan query database secara langsung. Contoh dasarnya sebagai berikut:

Quote:

<?php
$username = $_POST[username];
$password = $_POST[password];
$r=mysql_query("SELECT*FROM tbl_user WHERE username='$username' and password '$password''');
$jml_row=mysql_num_rows($r);
if($jml_row > 0){
echo "Login Sukses";
}
else{
echo "Login Gagal;
}
?>

Otorisasi login sepert di atas sangat rentan terhadap peneterasi SQL Injection. Solusi pertama adalah dengan melakukan enkripsi pada password yaitu dengan mengganti script berikut:

Quote:

<?php
$password=md5($_POST[password]);
?>

Solusi kedua yaitu dengan merubah algoritma menjadi:

Quote:

$d=mysql_fetch_array($r)
if($jml_row >0 && ($d[password]==$password))

Dilihat dari script di atas bahwa Anda dapat menambah pengecekan inputan password terhadap password yang ada di database.
Berikut adalah hasil dari script yang telah kita ubah tadi:

Quote:

<?php
$username = $_POST[username];
$password=md5($_POST[password]);

$r=mysql_query("SELECT*FROM tbl_user WHERE username='$username' and password '$password''');

$jml_row=mysql_num_rows($r);

if($jml_row >0 && ($d[password]==$password)){

echo "Login Sukses";
}
else{
echo "Login Gagal;
}
?>

Dari buku:1 Hari menjadi Hacker
Karya:Andrea adelheid
Buat yang mau nanya nanya ke dia ane kasih kontaknya:
Email: andrea.adelheid@yahoo.com,official.andrea@gmail.com,adelphia.andrea@yahoo.com,
iMessage: official.andrea@gmail.com, andrea.adelheid@icould.com
Twitter: @andreaadelheid
Pin BB: 32E162B5
Line, WhatsApp, KakaoTalk, WeChat, eBuddy,:S E N S O R366566777

Diubah oleh pr0ph0z.newbie 24-06-2013 14:00

2.4K

Kutip

Balasan

Guest

Tulis komentar menarik atau mention replykgpt untuk ngobrol seru

Mari bergabung, dapatkan informasi dan teman baru!

Website, Webmaster, Webdeveloper

23.3KThread•4.3KAnggota

Terlama

Guest

Tulis komentar menarik atau mention replykgpt untuk ngobrol seru