Brute Force Attack

 Brute Force Attack is a popular cracking method with tapping Users & Password one by one in a short time using Machine or Tool, for now I going to show you how to hack website using Brute Force to Knowing What Users and Password which is suitable in Database that webapp using Machine or Tool BurpSuite

Step 1. Access website Bwapp which has been installed in your Lab, and now we try to input wrong user and password, to know what response provided by web, and now we already know the keyword response is Invalid 

Step 2. Now input again user and password with intercept is on in burpsuite, after the traffic already intercept right click and select Send to Intruder 

Step 3. The default will showing like this

Step 4. Now we change like the picture below
Attack Type    : Cluster Bomb
Login              : $admin$
Password        : $admin$

Step 5. Click tab payloads this is for users
Payload set        : 1 
Payload type      : Simple List 
Payload Options: (add all user or if you have wordlist upload to burpsuite) 

Step 6. Keep in the tab payload but this is for passwords

Payload set     : 2 

Payload Type     : Simple List 

Payload Options : (add all password or if you have wordlist upload to burpsuite) 

Step 8. Click tab Options, and look at Grep Match, add the response of the webapp, and then click Start Attack Example : Invalid

Step 9. The burpsuite will check one by one users and passwords, if ther is user and password match look at Invalid will showing uncheck, the webapp no response keyword invalid 

Step 10. Now we try to login to the webapp, and the result we can login using user : bee and password : bug

If you have Website and you want prevent from this attack you can using WAF or you can using Captcha, so if there are Traffic attack to your website using Brute Force, WAF or Captcha can identify that traffic is BruteForce in a way if there are User try to login 5 wrong times in a row within 1 minutes WAF and Captcha can identify and will block or appears the Captcha Authentication 

Thank You

Read More

Tutorial Hack Web Server Menggunakan Metode Cross Site Scripting Stored

Tutorial Hack Web Server Menggunakan Metode Cross Site Scripting Stored

by Aldi Pratama

Cross Site Scripting adalah salah satu jenis serangan injeksi kode ke dalam Web Server, Cross Site Scripting dilakukan oleh penyerang dengan cara memasukkan kode HTML atau client script code lainnya ke suatu situs. Serangan ini akan seolah-olah datang dari situs tersebut. Akibat serangan ini antara lain penyerang dapat mem-bypass keamanan di sisi klien, mendapatkan informasi sensitif, atau menyimpan aplikasi berbahaya.

Type Cross Site Scripting :

·         Reflected

·         Stored

Reflected :

Reflected XSS merupakan tipe XSS yang paling umum dan yang paling mudah dilakukan oleh penyerang. Penyerang menggunakan social engineering agar tautan dengan kode berbahaya ini diklik oleh pengguna. Dengan cara ini penyerang bisa mendapatkan cookie pengguna yang bisa digunakan selanjutnya untuk membajak session pengguna.

Mekanisme pertahanan menghadapi serangan ini adalah dengan melakukan validasi input sebelum menampilkan data apapun yang di-generate oleh pengguna. Jangan percayai apapun data yang dikirim oleh pengguna.

Stored :

Stored XSS lebih jarang ditemui dan dampak serangannya lebih besar. Sebuah serangan stored XSS dapat berakibat pada seluruh pengguna. Stored XSS terjadi saat pengguna diizinkan untuk memasukkan data yang akan ditampilkan kembali. Contohnya adalah pada message board, buku tamu, dll. Penyerang memasukkan kode HTML atau client script code lainnya pada posting mereka.

Serangan ini lebih menakutkan. Mekanisme pertahanannya sama dengan reflected XSS: jika pengguna diizinkan untuk memasukkan data, lakukan validasi sebelum disimpan pada aplikasi.

Nah untuk kesempatan kali ini saya akan memberikan caranya untuk melakukan Cross Site Scripting dengan menggunakan metode Stored, pertama kita siapkan Web Server yang saya gunakan untuk pantest ini saya menggunakan Web DVWA Vulnerability, langsung saja saya berikan contohnya di bawah ini :

1.    Setelah WebVulnerability telah siap untuk di akses kita akses menggunakan web browser dan ketikan Ip Address Web Server. Setelah itu klik tab XSS Stored, dan ada sebuah inputan untuk mengisi Name dan Massage

·         Name              :           Test 1

·         Massage         :           <sCrIpT>alert(“Test XSS”);</sCrIpT>

Setelah itu Klick Sign Guestbook untuk execute script tersebut

Dan efek dari Script tersebut akan seperti gambar di bawah ini

Setelah itu kita coba menggunakan Script Iframe untuk di inject di web tersebut dan akan menampilkan efek attack yang berbeda, metodenya sama seperti yang pertama hanya script-nya saja yang berbeda

·         Name              : test 2

·         Message         : <iframe src="https://alpratamanetwork.blogspot.co.id"></iframe>

     Dan efeknya akan muncul sebuah web lain yang telah di input links di dalam script iframe tersebut

1.    Berikut saya akan contohkan lagi script lain yang berbeda untuk script ini akan merubah keseluruhan tampilan web yang di attack

·         Name              : test3

·         Message         : <div style="position:fixed;top:0;left:0;width:100%;height:100%;background-color:green;z-index:9999;" onmouseover="prompt(document.domain)"/>

1.    Dan efeknya akan seperti gambar berikut, jika kalian seorang programer kalian bisa memodifikasi lagi script tersebut dengan script yang lain agar tampilannya bisa berbeda atau memasukan gambar menjadi gambar anonymous mungkin sekian tutorial dari saya untuk pantest menggunakan cross site scripting stored

Recomendasi untuk mengatasi masalah untuk serangan ini :

Hal ini diperlukan untuk meningkatkan validasi input pengguna dalam parameter rentan, dengan menolak karakter yang tidak diinginkan di bidang input (misalnya 5 karakter XML yang signifikan: <> & "'), atau menyandikannya sebelum mengembalikannya ke halaman. Ada beberapa skema encoding yang dapat digunakan tergantung di mana konten pengguna dimasukkan, tetapi skema pengodean keluaran entitas HTML paling dasar adalah:

<          →        & lt;

>          →        & gt;

&          →        & amp;

"           →        & # 034;

'           →        & # 039;

Sebagai contoh, dengan enkode yang diterapkan dengan benar, input pengguna <script> </ script> harus dikodekan sebelum rendering ke halaman sebagai & lt; script & gt; & lt; / script & gt; atau jika karakter khusus dihapus dari input pengguna, itu akan dikembalikan ke halaman sebagai skrip / skrip.

Diperlukan juga penggunaan strategi pemfilteran masukan yang positif ("penerimaan dikenal baik"), yaitu, gunakan daftar putih input yang dapat diterima yang benar-benar sesuai dengan spesifikasi yang ditentukan misalnya. panjang minimum dan maksimum, dan jenis parameter sintaks / data yang benar (misalnya hanya menerima nilai numerik dengan panjang dari 1 hingga 11 karakter) dan menolak masukan apa pun yang tidak benar-benar sesuai dengan spesifikasi, atau secara opsional mengubahnya menjadi sesuatu yang memiliki. Pengembang aplikasi harus dapat menentukan pola validasi yang sangat kuat - biasanya berdasarkan ekspresi reguler - untuk memvalidasi data masukan yang terstruktur dengan baik, seperti tanggal, nomor akun, kode pos, alamat email, dll.

Jangan hanya mengandalkan validasi masukan daftar hitam. Blacklist juga dapat berguna untuk mendeteksi serangan potensial atau menentukan masukan mana yang sangat salah sehingga mereka harus ditolak mentah-mentah, tetapi pencegahan XSS tidak boleh hanya mengandalkan mencari masukan jahat atau salah bentuk.

Referensi Links :

https://id.wikipedia.org/wiki/XSS

Read More