Haloo! Selamat Datang di Komunitas Private Training Web Development (49102 Members, 473 Projects, 3791 Topic, 10261 Comments)

Butuh karyawan baru? atau seorang Web Developer (Part-time/Freelance/Full-time), cari disini : Members Area Jobs!
PENTING! - Untuk alasan keamanan, Maka Setiap postingan baru dari Anda/User (Free Members) akan muncul setelah disetujui oleh admin... ^_^
E-paper hacked dan disisip shell. mohon info bugnya dimana ?
Ade Mashartanto Mengatakan : Members -
Rate Topic :
  1. Assalamualaikum Warahmatullahi Wabarakatuh...
  2.  
  3. Saya mau infokan mas hari minggu kmarin epaper saya kena hack dan dimasukkan file dengan nama lgshell.php isinya seperti berikut :
  4.  
  5. <!DOCTYPE HTML>
  6. <html>
  7. <head>
  8. <title>LQShell</title>
  9. <style type="text/css">
  10. html {
  11. margin: 20px auto;
  12. background: #000000;
  13. color: #00bcd4;
  14. text-align: center;
  15. }
  16. color: #00bcd4;
  17. margin: 10px auto;
  18. }
  19. input[type=password] {
  20. width: 250px;
  21. height: 25px;
  22. color: white;
  23. background: transparent;
  24. border: 1px dotted #00bcd4;
  25. margin-left: 20px;
  26. text-align: center;
  27. }
  28. </style>
  29. </head>
  30. <center>
  31. <header>
  32. <pre>
  33. ___________________________
  34. < root@lightqueen:~# w00t??? >
  35. ---------------------------
  36. \ , ,
  37. \ /( )`
  38. \ \ \___ / |
  39. /- _ `-/ '
  40. (/\/ \ \ /\
  41. / / | ` \
  42. O O ) / |
  43. `-^--'`< '
  44. (_.) _ ) /
  45. `.___/` /
  46. `-----' /
  47. <----. __ / __ \
  48. <----|====O)))==) \) /====>
  49. <----' `--' `.__,' \
  50. | |
  51. \ /
  52. ______( (_ / \______
  53. ,' ,-----' | \
  54. `--{__________) \/
  55. </pre>
  56. </header>
  57. <form method="post">
  58. <input type="password" name="password">
  59. </form>
  60.  
  61. Mungkin ada yg kenal dengan script ini dan cara dia masuk gimana biar saya blok dari sisi server.
  62. terimakasih.,
Ada 2 File Kiriman :
1. hacked.PNG (497 KB)
2. lgshell.PNG (19 KB)
Ade Mashartanto Mengatakan :
Members -
  1. Assalam,..
  2. yg kmarin pernah juga spam pemesanan epaper dan spam inbox.
  3. tp anehnya spam tersebut dengan user admin.,
  4. jadi admin seperti mengirim pesan ribuan kali dan juga pemesanan epaper ribuan kali.

Ade Mashartanto Mengatakan :
Members -
  1. Assalam,..
  2. rupanya di tanam adminer sama dia.
  3.  
  4. gimna caranya dia upload file php ke system ?

Bukhori Muslim Mengatakan :
Admin -
  1. Assalam,.. untuk epaper memang belum kita filter untuk semua inputan gan dan akan mudah sekali diserang.
  2. untuk mengamankannya bisa dengan menyisipkan function berikut saja pada file "config/koneksi.php"
  3. function anti_injection($data){
  4. return $filter;
  5. }
  6.  
  7. Simpan dan kemudian setiap file yang dikirim di filter saja dengan fungsi tersebut, ex :
  8. $username = anti_injection($_POST['username']);
  9. $id_epaper = anti_injection($_GET['id_epaper']);
  10. dan variable lainnya yang perlu di filter...

Ade Mashartanto Mengatakan :
Members -
  1. Assalam,.. Terimakasih gan bukhari..
  2. kalau implementasi script ke koneksi.php saya mngerti.
  3.  
  4. namun kalau maksud dari setiap file yang dikirim di filter saja dengan fungsi tersebut, ex :
  5. $username = anti_injection($_POST['username']);
  6. $id_epaper = anti_injection($_GET['id_epaper']);
  7. belum saya mngerti gimna

Muh. Daffa Wiastama Mengatakan :
Members -
  1. Assalam,.. web anda metro24 kan?
  2.  
  3. bugnya ada di bypass admin ketika javascript dimatikan, dan pengaksesan modul yang tidak diberi hak akses :D

Ade Mashartanto Mengatakan :
Members -
  1. Assalam,.. Mas daffa wiastama jadi gimna solusinya mas ?
  2. mas yg pentest?

Muh. Daffa Wiastama Mengatakan :
Members -
  1. Assalam,.. use your brain :D

Ade Mashartanto Mengatakan :
Members -
  1. Assalam,.. ahaha thanks for your information
  2. WTF this forum..
  3. sombong2 banget usernya,,,

Bukhori Muslim Mengatakan :
Admin -
  1. Assalam mas "Ade Mashartanto"
  2. mohon maaf baru bisa respon lagi, dan harap tidak menggunakan kata2 kotor
  3. karena kita juga harus gantian jawab ratusan pertanyaan dari user lain di WA/Email dan disini
  4. sedangkan anggota disini terbatas, dan untuk menjawab pertanyaan seputar koding tidakah sederhana,
  5. harus dijelaskan panjang lebar seperti yang akan saya lakukan dibawah ini. :)
  6.  
  7. untuk penggunaan fungsi seperti ini sebenarnya adalah hal dasar dari php :
  8. $username = anti_injection($_POST['username']);
  9. $id_epaper = anti_injection($_GET['id_epaper']);
  10.  
  11. dan di atas sudah kita contohkan juga, tinggal dicobakan dulu,
  12. karena butuh sedikit usaha untuk menjadi programmer, seperti yang dikatakan agan di atas "use your brain"
  13.  
  14. baiklah kita contohkan disalah satu file penggunaannya, buka dengan teks editor file "halaman.php'
  15. pada baris 6 cari : $i = mysqli_fetch_array(mysqli_query($koneksi,"SELECT * FROM rb_halaman where id_halaman='$_GET[id]'"));
  16. ubah menjadi : $i = mysqli_fetch_array(mysqli_query($koneksi,"SELECT * FROM rb_halaman where id_halaman='".anti_injection($_GET[id])."'"));
  17. dan lakukan pada variable2 lain yg belum di filter seperti cara di atas.
  18.  
  19. untuk menutup hak akses luar / non user bisa dengan menambahkan pada config/koneksi.php fungsi :
  20. function cek_session(){
  21. if ($_SESSION['level'] == ''){
  22. echo "<script>document.location='index.php';</script>";
  23. }
  24. }
  25.  
  26. terakhir buka content.php lalu pada modul2 yang tidak berhak di akses non user bisa ditambahkan seperti ini :
  27. elseif ($_GET['view']=='pesanmasuk'){
  28. include "pesan-masuk.php";
  29. }
  30.  
  31. ubah menjadi :
  32. elseif ($_GET['view']=='pesanmasuk'){
  33. cek_session();
  34. include "pesan-masuk.php";
  35. }
  36.  
  37. selesai, semoga bermanfaat. :)

Ade Mashartanto Mengatakan :
Members -
  1. Assalam,.. Mohon maaf mas bukari bukan bermaksud menyinggung yg benar benar "developer" disini
  2. maklum basic saya bukan di web. jadi saya bertanya di forum ini. kebetulan aplikasi yg saya gunakan dari sini. namun ya sperti itulah mas jawaban beberapa member.
  3.  
  4. Ok mas bukhari saya coba dlu saranya. :)
  5.  

Bukhori Muslim Mengatakan :
Admin -
  1. Assalam,.. oke mas tidak masalah, jika agak telat jawab harap dimaklumi dan bersabar
  2. karena tiap hari saya mesti list dan jawab ratusan pertanyaan yang masuk. :D
  3. jika ada kendala lain dan belum paham bisa di reply lagi di topic ini atau jika ada kendala lain bisa buat topic yang baru.

Ade Mashartanto Mengatakan :
Members -
  1. Assalam,.. ok mas terimakasih.
  2. saya coba dlu saran mas.

Ade Mashartanto Mengatakan :
Members -
  1. Assalam,.. Om baukhari.
  2. pada variable mysql menggunakan '".anti_injection($_GET[id])."'"))
  3. namun kalau variable biasa dengan seperti ini ya? $alamat = anti_injection($_POST[d]);
  4. tanpa titik ?

Bukhori Muslim Mengatakan :
Admin -
  1. Assalam,.. iya gan jika pada variabel biasa tanpa titik, jika pada query pake titik.

Ade Mashartanto Mengatakan :
Members -
  1. Assalam,.. ok makasih mas..

Maaf, Untuk Memberikan Komentar Anda Harus Login !!!