5]. Password Cracking
'Hacking while sleeping.' itulah
ungkapan yang biasa dipakai
oleh orang-orang yang
melakukan password cracking.
Mengapa? Karena pada
umumnya dibuthkan waktu yang
lama untuk melakukan pasword
cracking. Bisa berjam-jam,
bahkan berhari– hari! Semua itu
tergantung dari target, apakah
sang target menggunakan
password yang umum, password
memiliki panjang karakter yang
tidak biasa, atau password
memiliki kombinasi dengan
karakter-karakter special.
Salah satu software yang biasa
digunakan untuk melakukan hal
ini ialah dengan mengunakan
Brutus, salah satu jenis software
remote password cracker yang
cukup terkenal. Brutus bekerja
dengan teknik dictionary attack
atau bruce-force attack terhadap
port-port http, POP3,ftp, telnet,
dan NetBIOS.
Dictionary Attack bekerja dengan
mencobakan kata-kata yang ada
dalam kamus password.
Sedangkan brute– force attack
bekerja dengan mencobakan
semua kombinasi huruf, angka,
atau karakter.
Brute Force Atack bekerja sangat
lambat dan membutuhkan waktu
yang lama tergantung dari jenis
spesifikasi komputernya dan
panjang karakter passwordnya.
Saat ini telah banyak situs yang
menutup akses terhadap akses
terhadap usaha login yang
secara terus-menerus tidak
berhasil.
[6]. Session Hjacking
Session hijacking dewasa ini
semakin marak dikalangan para
attacker. Session Hijacking biasa
dilakukan dengan melakukan
peniruan cookies. Jadi pada
intinya, kita harus bisa meniru
cookies sang korban untuk
mendapatkan sesi loginnya.
Lalu bagaimana cara
mendapatkan cookies sang
korban?
1. Dengan analisa Cookies.
Cara ini relatif sulit dilakukan.
2. Mencuri Cokies.
Misalnya Sang Attacker ingin
mendapatkan account si A. Sang
Attacker bisa dengan mudah
membuat semacam script Java
Script yang disisipkan dalam
email untuk dikirim ke
korban.Saat korban membuka
email itu, tanpa sadar cookiesnya
akan dicuri dan direkam ke suatu
webserver dengan
memanfaatkan suatu script PHP.
Belakangan ini yang paling
sering menjadi incaran adalah
account Friendster. Ada yang
menyisipkan suatu scipt lewat
testimonial, ada yang
menyisipkannya di profilnya
sendiri untuk mencuri cookies
sang korban dan lain sebagainya.
Saya memiliki tips untuk ini:
1. Jangan menggunakan
browser Internet Explorer
Saat ingin membuka profil orang
lain, jangan menggunakan
Internet Explorer. Catat alamat
profil yang ingi anda lihat,logout
terlebih dahulu dari account
anda dan bersihkan semua
cookies, baru kemudian bukalah
profil Friendster tujuan.
2. Periksa Source CODEnya
Ketika menerima testimonial,
periksa terlebih dahulu source
codenya. Apakah disana terdapat
script asing atau kata-kata yang
identik dengan pembajakan
seperti :
'HACKED', 'DEFACED', 'OWNED'.. dll..
Jika ragu-ragu……. reject ajah..
3. LogOUT tiba-tiba.
Waspada ketika tanpa suatu
alasan yang jelas tiba-tiba anda
logout dengan sendirinya dari
account anda. Saat anda diminta
memasukkan username dan
password, lihat dulu addressbar
anda! apakan anda sedang
berada di situs yang semestinya
atau tidak. Periksa source code
halaman tersebut.Lihat pada
form action, kemana informasi
anda nantinya akan dikirim.
Sebenarnya session hijacking
bisa dicegah jika saja sang
penyedia layanan
memperhatikan hal-hal berikut:
1. Menetapkan session identifier
yang unik
2. Menetapkan sistem identifier
berpola acak
3. Session identifier yang
independen
4. Session identifier yang bisa
dipetakan dengan koneksi
client side.
Fenomena lain adalah, hingga
saat artikel ini diterbitkan,
ternyata masih banyak dijumpai
para user yang tidak melakukan
sign out setelah membuka
accountnya. Dengan demikian,
orang lain yang mengunakan
komputer itu dan membuka
website yang sama dengan yang
telah dibuka oleh orang pertama
akan otomatis login ke account
sang korban.
[7]. Menjadi Proxy Server
Kita bisa mengumpulkan
informasi dengan menjadi proxy
server bagi korban untuk dapat
berselancar. Dengan menjadi
proxy server, seluruh identitas
sang peselancar bisa menjadi
milik kita.
[8]. Memanfaatkan Kelalaian user
dalam penggunaan fiturbrowser
Setiap browser tentunya memiliki
fitur yang ditujukan untuk
kemudahan dan kenyamanan
penggunanya dalam berselancar.
Diantaranya ialah dengan adanya
cache dan Password Manager.
Di Internet tentunya banyak
suatu website yang isinya tidak
berubah dalam beberapa hari
(Contohnya spyrozone.tk nich..
hehehe Nah, untuk situs yang
seperti ini cache menjadi hal
yang sangat berguna. Cache akan
menyimpan file-file hasil
browsing sehinga nantinya jika
anda berkunjung lagi ke situs
tersebut browser tidak perlu lagi
melakukan download untuk
kedua kalinya dari server
sehingga setiap halaman situs
yang telah anda buka
sebelumnya akan terbuka
dengan lebih cepat. Semua itu
biasanya diatur oleh header time
to live.
Lho, bagaimana dengan situs-
situs penyedia berita yang selalu
up to date? Untuk site yang
seperti itu, time to live-nya akan
di set=0 sehinga nantinya anda
akan terus melakukan download
setiap kali berkunjung.
Cukup nyaman bukan? Ya, tapi
ancaman mulai timbul. Cobalah
kini anda jelajahi opsi-opsi yang
berkaitan dengan cache pada
browser anda. Tentu anda bisa
menemui bahwa ada fasilitas
untuk menentukan berapa
besarnya file temporary yang
bisa disimpan di harddisk. Cari
juga lokasi dimana file-file
tersebut akan disimpan.
Coba anda buka folder tersebut,
anda akan menemui file-file html
& file-file gambar dari site-site
yang sudah anda kunjungi. Pada
Browser IE, anda bisa melihat
lokasi file cache dengan
menjelajahi menu Tools —
Internet options — Settings
Lalu apa yang bisa didapatkan??
toh cuma file-file 'sampah'??
Hmm… sekarang coba anda copy
semua file yang ada di sana ke
suatu folder. Lalu bukalah salah-
satu file htmlnya. Jika itu
komputer publik,anda bisa
mengetahui situs apa saja yang
telah diakses oleh oleh orang
sebelum anda.
Hmm.. hanya dengan melihat file
temporary anda bahkan bisa
melihat password dan dll. Banyak
saya temui situs yang
menyimpan password dan
menampilkannya pada url.
Tentunya anda juga pasti sering
membacanya di berbagai tutorial.
Kebanyakan browser pada saat
ini memiliki fasilitas untuk
menyimpan password. Misalnya
saat meggunakan Mozilla Firefox,
anda pasti sering menerima
kotak dialog konfirmasi yang
menanyakan apakah anda ingin
password anda disimpan atau
tidak oleh PasswordManager.
Kebanyakan user cenderung
untuk memilih opsi YES, entah itu
dengan penuh kesadaran atau
memang mereka tidak tau ( baca:
tidak mau tau) apa maksud dari
kotak dialog itu.
Orang lain yang kemudian
mengunakan browser itu bisa
dengan sangat mudah
mendapatkan password korban
dengan memasuki menu Tools
—Options — Security – Saved
password.
Contoh lain adalah fasilitas wand
password yang dimiliki oleh
browser Opera. Saat anda
memasukkan user name dan
password pada suatu form dan
menekan tombol submit, opera
secara default akan meminta
konfirmasi kepada anda apakah
anda ingin browser menyimpan
id dan password anda atau tidak.
Lagi dan lagi… kebanyakan netter
ceroboh, mereka cenderung
untuk memilih opsi 'YES'.
Lalu?? Orang lain yang kemudian
menggunakan browser itu bisa
melihat situs apa saja yang telah
diakses oleh user, arahkan
browser ke situs tersebut,
letakkan cursor pada form isian
user name, tekan [ALT]+[ENTER]
dan BOOOMM!!!! Kenapa??
Jangan kaget dulu!! Hehehe..
form login akan otomatis terisi
dengan user name korban
lengkap dengan passwordnya
(It's fun enough..
Ini hanya sebagian kecil contoh,
jelajahi fitur-firtur browser lain!
[9]. Googling
Google.com. Banyak sudah situs
yang runtuh, password dan
nomor– nomor kartu kredit
yang dicuri akibat dari ulah
orang yang menyalahgunaan
kesaktiannya Dahulu, hal ini
mudah dilakukan.Hanya dengan
mengetikkan kata kunci tertentu
yang berkaitan dengan user
name dan password, anda bisa
memanen ratusan password
user melalui google. Tapi
sekarang tampaknya anda harus
gigit jari jika menggunakan cara
diatas
Jangan sedih dulu karena Google
baru saja menelurkan produk
barunya, yaitu Google Code
Search. Ancaman baru mulai
timbul, 'si pintar' ini kini dapat
meng-crawl hingga kepada
archive file yang berada di public
directory web server. Hati-hati
yang punya kebiasaan untuk
menyimpan informasi penting di
dalamnya (password, dan info
berharga lainnya) Sebaiknya
mulai sekarang kebiasaan itu
dihilangkan. Selalu proteksi
folder-folder yang sensitif agar
situs anda bisa hidup lebih lama.
Kalo nggak… yach.. tunggu ajah
ada orang yang memanfaatkan
produk baru google ini untuk
mengeruk informasi sensitif dari
web server anda. dan jika itu
sudah terjadi… maka bersiaplah..
'taman bermain' anda akan
diambil alih olehnya.
No comments:
Post a Comment