Mengamakan website dari serangan SQLi (Sql injection)

Beranda

...

Website, Webmaster, Webdeveloper
Mengamakan website dari serangan SQLi (Sql injection)

paysalkharis

04-01-2013 00:35

Mengamakan website dari serangan SQLi (Sql injection)

Pagi agan-agan emoticon-Smilie

cerah hari ini.Ane beberapa minggu ini rutin belajar hacking website.dari situ ane sudah menemukan celah bagaimana sql injection website.
Beberapa yang ane ketahui setelah ane merimba di dunia hacking khususnya SQLi emoticon-Smilie

1.Website anda aman?
Jangan pikir setelah anda membuat website dari seorang developer dengan harga mahal menjamin keamanan website anda,karena ane juga mendapati website pemerintahan kota yg kalo menurut ane membuat website pemerintahan gak cukup 1-2 juta.

2.Cara mengamankannya adalah

Quote:

a.Gunakan htaccess
Masih banyak website yang belum menggunakan htaccess.ane gak tau kenapa,karena htaccess kan mempercantik link url website agar mudah di temukan google juga.Selain itu mengamankan page php.
Ane menggunakan google dork. dengan format produk.php?id=*
atau macam lainnya.
masih banyak url seperti itu kita temukan di google.Bahkan mungkin website yang memiliki omset besar pun ada yang masih menggunakan url dinamis yg menggunakan filter id.

Intinya disini. SQLi itu mencari celah dari link diatas. misal Produk.php?id=1'
Dengan hanya menambahkan titik atas kecil saja kita sudah bisa mendapati error mysql in line (kalo ane nyebutnya emoticon-Ngakak

) dan besar kemungkinan website itu bisa di hack/deface.

Maka sekarang untuk para web builder/developer harus/wajib menggunakan htaccess untuk menjaga website anda emoticon-Smilie

Quote:

b.Nama aneh untuk admin page juga penting
Nama aneh untuk halaman admin itu penting? sangat penting..Karena banyak kasus hacker yang gagal menjebol website lantaran halaman admin nya tidak ditemukan.Dengan berbekal admin/pass administrator yang sudah di dapat.kalau tidak menemukan halaman adminnya.Sama saja percuma emoticon-Ngakak

.ane belum pelajari kalo untuk tingkat advance hacker emoticon-Ngakak

.

jangan menggunakan nama halaman admin yang mudah seperti. www.domain.com/admin emoticon-Cape d... (S)

cobalah www.domain.com/aduhadminnyakemanayah emoticon-Ngakak

Quote:

c.Tabel admin di database jangan itu-itu aja
Maksudnya kalo kita biasa membuat database admin hanya beruba
-Username
-pass
-nama
-level

itu akan membuat para hacker mudah mendapatkan username/pass kita.coba seperti ini

Quote:

-Username
-aa
-bb
-55
-ksksk
-pass
-838
-cc
-nama
-level

kenapa ditulis seperti itu? tujuannya memisahkan kolom username,pass,nama,level dengan jarak yang jauh dengan kolom sampah tadi.Cukup ampuh untuk mengecoh pencarian password dan username.

Ane sekarang sedang mempelajari beberapa teknik security web lagi nanti kalau sudah menemukan lagi mungkin ane share lagi.
Untuk yang sudah mengetahui security website ini silahkan menambahkan.

Bagi para mastah silahkan menambahkan.
Untuk yang baru nubie belajar website bisa di terapkan cara-cara ini agar website kalian menjadi website yang aman emoticon-Smilie

Sekedar berbagi saja emoticon-Big Grin

Quote:

Update :Terima kasih buat agan2 yang sudah memberikan masukan lagi emoticon-Big Grin

Quote:

Original Posted By kimak.kw1►ini ada script anti sql injection yg gw dpt dr web mana gitu.

untuk aplikasinya tinggal pake fungsi include.

jadi ntar kaya gini

ud ditest pke havij. & its work!

Lihat Lengkap

Quote:

Original Posted By pedox►pakek mysql_real_escape_string buat cegah string nakal seperti ' " '"' " '

untuk mysql_real_escape_string bisa di pakai/disisipkan saat cek login php nya
Contoh :

Quote:

include"koneksi.php";
function anti_injection($data){
$filter=mysql_real_escape_string(stripslashes(strip_tags(htmlspecialchars($data,ENT_QUOTES))));
return $filter;
}
$user = anti_injection($_POST['user']);
$pass = anti_injection(md5($_POST['pass']));

if (!ctype_alnum($user) OR !ctype_alnum($pass)){
echo "<secript lang=javascript>;window.alert('$user Anda Bukan Administrator'); history.back()<secript>";

}

Quote:

Original Posted By kimak.kw1►ini ada script anti sql injection yg gw dpt dr web mana gitu.

untuk aplikasinya tinggal pake fungsi include.

jadi ntar kaya gini

ud ditest pke havij. & its work!

Quote:

Original Posted By hafico►ane setuju gan emoticon-Salaman