Google Hacking (02)
- index of
Pada Google Hacking (02) ini, kita akan menjelajahi lebih dalam lagi untuk menggunakan Google sebagai senjata hacking. Berikut ini adalah berbagai metode untuk melihat isi direktori dari suatu situs. Hal ini dapat terjadi karena tidak terkonfirgurasi dengan baik sehingga Google dapat menampilkan struktur file dan mungkin saja terdapat file yang rahasia.
Apa yang di tampilkan oleh sintaks index of ini disebut sebagai directory listing ini disebut sebagai directory listing. Ada banyak informasi yang bisa kita dapatkan dalam directory listing tersebut. Diantaranya adalah:
Melalui browsing index tersebut maka setiap orang yang masuk dapat melakukan browse pada direktori server seperti layaknya direktori lokal. Tentu saja hal ini tidaklah baik untuk keamanan server. Sebab seseorang bisa saja menemukan berbagai informasi rahasia termasuk password. Tentu saja informasi seperti tersebut tidak akan bisa diperoleh dengan cara searching biasa.
Fungsi: untuk mendapatkan situs yang menampilkan index browsing directory.
Pada umumnya, jika sebuah webserver yang index browsing-nya dapat diakses maka dapat di akses pula oleh user umum, layaknya sebuah local directory. Sehingga index of di sini lebih berguna untuk menghubungkan webserver yang memiliki index directory yang bisa diakses. Pemakaian index of ini nantinya dapat juga di manfaatkan untuk mencari informasi yang rahasia dan penting seperti sebuah transaksi online atau bahkan sebuah password.
Contoh pemakaian index of:
- Mencari Vulnerable Situs/Server 'Pendalaman Sintaks inurl & intitle'
Pertama-tama, di sini saya akan menjelaskan sintaks inurl dan allinurl. Jadi pahamilah dengan baik. Supaya kita bisa melakukan berbagai kegiatan Google Hacking dengan cermat.
Sintaks: allinurl:winnt/system32/
Tujuannya adalah untuk menampilkan semua link yang memberikan akses pada direktori system32. Sebab direktori system32 ini merupakan salah satu direktori terlarang. Jadi, apabila kita dapat mengaksesnya maka kita dapat melihat isi server bahkan mengendalikannya melalui web. Apalagi, jika kita beruntung dan bisa mengakses file cmd.exe dalam direktori system32 tersebut. Kita bisa mengambil alih system dan melakukan berbagai kegiatan hackingan.
Sintaks: allinurl:wwwboard/passwd.txt
Berfungsi untuk menampilkan daftar link server yang terdapat kelemahan atau vulnerable pada wwboard password.
Wwwboard merupakan sebuah wahana atau forum untuk melakukan diskusi di internet. Melalui sebuah papan pesan via web di mana setiap user dapat mengirimkan pesan-pesan atau bahkan mem-follow up pesan-pesan tersebut. Produk tersebut mengandung kerawanan dengan adanya password default serta file password yang dapat dibaca.
Sintaks: inurl:bash_history
Berfungsi untuk menampilkan link server yang dapat memberikan akses pada bash_history melalui wes. File yang ditampilkan tersebut sebenarnya adalah file command history yang telah digunakan oleh administrator. Terkadang, berisi berbagai file rahasia dan penting seperti password system yang pernah diketikkan oleh admin.
Sintaks: inurl:config.txt
Sintaks ini berfungsi untuk menampilkan link server yang memberikan akses pada config.txt yang dapat diakses melalui web. Sintaks ini juga berisikan informasi yang rahasia seperti bash value password administrator maupun autentifikasi database.
Sintaks: allinurl:auth_user_file.txt
Terutama berfungsi untuk menampilkan file password DCForum. Dalam file tersebut biasanya juga menampilkan nama user, email dan password. Password tersebut harus di-crack terlebih dahulu untuk mengetahui password aslinya. Sebab passwordnya yang telah dienkripsi. Sintaks di atas juga berguna untuk menampilkan dari DCShop yang sering digunakan sebagai progam berbelanja.
Sintaks: filetype:bak inurl:"htaccess|passwd|shadow|htusers"
Link yang muncul adalah untuk mencari file backup (*.bak) yang biasanya dibuat oleh editor atau administrator.
Sintaks inurl dan allinurl dapat dikombinasikan dengan berbagai sintaks dasar yang telah kita pelajari sebelumnya. Untuk mendapatkan hasil Google Hacking yang lebih spesifik dah lebih dahsyat. Berikut saya sajikan beberapa contoh sintaks menarik lainnya yang bisa dicoba:
Beberapa sintaks berikut ini, sering digunakan untuk mencari vulnerable atau celah untuk melakukan SQL Injection
- intitle & allintitle
Sekarang saya akan memaparkan tentang cara pemakaian intitle dan allintitle. Dengan maksud dan tujuan yang sama untuk mencari vulnerable pada sebuah situs/server, hanya saja sintaks yang digunakan berbeda.
Sintaks: allintitle: \"index of /root"
Fungsinya adalah untuk menampilkan link yang dapat memberikan akses pada direktori root. Sebab direktori root ini merupakan salah satu direktori terlarang dan cuku berbahaya jika dapat diakses melalui web. Direktori root ini terkadang juga menyimpan informasi rahasia dan penting.
Sintaks: allintitle: \"index of /admin"
Masih memiliki fungsi yang sama dengan sebelumnya. Sintaks di atas akan menampilkan daftar situs yang dapat diakses direktori admin-nya.
Sintaks: intitle:"Index of" config.php
Berfungsi untuk menampilkan file config.php. Sebab kebanyakan dari file tersebut menyimpan nama user dan password untuk database SQL. Sebagian besar forum di internet menggunakan PHP. Bahkan dari file tersebut juga memberikan kunci bagi kita untuk masuk ke dalam forum termasuk mengakses database.
Sintaks: intitle:"index of" admin
Dari sintaks di atas, akan diperoleh direktori listing dari /admin. Sebab kebanyakan administrator menyimpan informasi sensitif dalam sebuah direktori dengan nama admin.
Sintaks: intitle:index.of.etc
Fungsi sintaks ini adalah untuk menampilkan akses pada direktori etc. Pada dasarnya link pada direktori ini tidak begitu menarik. Tapi dengan mengetahuinya juga cukup penting, sebab ada banyak file-file/data password yang disimpan pada direktori ini.
*Berikut adalah daftar beberapa pengkombinasian sintaks yang dapat dilakukan menggunakan sintaks intitle:
Masih banyak kombinasi sintaks yang kalian harus mencobanya sendiri dan tidak hanya terbatas pada apa yang telah saya sampaikan dan masih banyak lagi trik-trik Google Hacking yang akan berlanjut di Google Hacking (03)
Pada Google Hacking (02) ini, kita akan menjelajahi lebih dalam lagi untuk menggunakan Google sebagai senjata hacking. Berikut ini adalah berbagai metode untuk melihat isi direktori dari suatu situs. Hal ini dapat terjadi karena tidak terkonfirgurasi dengan baik sehingga Google dapat menampilkan struktur file dan mungkin saja terdapat file yang rahasia.
Apa yang di tampilkan oleh sintaks index of ini disebut sebagai directory listing ini disebut sebagai directory listing. Ada banyak informasi yang bisa kita dapatkan dalam directory listing tersebut. Diantaranya adalah:
- Kesalahan konfirgurasi yang terdapat pada server
- Menampilkan daftar file yang terdapat pada situs tersebut
- Memberikan informasi yang tidak diketahui pada halaman web biasa
Melalui browsing index tersebut maka setiap orang yang masuk dapat melakukan browse pada direktori server seperti layaknya direktori lokal. Tentu saja hal ini tidaklah baik untuk keamanan server. Sebab seseorang bisa saja menemukan berbagai informasi rahasia termasuk password. Tentu saja informasi seperti tersebut tidak akan bisa diperoleh dengan cara searching biasa.
Fungsi: untuk mendapatkan situs yang menampilkan index browsing directory.
Pada umumnya, jika sebuah webserver yang index browsing-nya dapat diakses maka dapat di akses pula oleh user umum, layaknya sebuah local directory. Sehingga index of di sini lebih berguna untuk menghubungkan webserver yang memiliki index directory yang bisa diakses. Pemakaian index of ini nantinya dapat juga di manfaatkan untuk mencari informasi yang rahasia dan penting seperti sebuah transaksi online atau bahkan sebuah password.
Contoh pemakaian index of:
- Index of /admin
- Index of /password
- Index of /pass
- Index of /mail
- "Index of /backup"
- \"Index of /\" +passwd
- \"Index of /\" +password.txt
- \"Index of /credit-card\"
- dll...
- Mencari Vulnerable Situs/Server 'Pendalaman Sintaks inurl & intitle'
Pertama-tama, di sini saya akan menjelaskan sintaks inurl dan allinurl. Jadi pahamilah dengan baik. Supaya kita bisa melakukan berbagai kegiatan Google Hacking dengan cermat.
Sintaks: allinurl:winnt/system32/
Tujuannya adalah untuk menampilkan semua link yang memberikan akses pada direktori system32. Sebab direktori system32 ini merupakan salah satu direktori terlarang. Jadi, apabila kita dapat mengaksesnya maka kita dapat melihat isi server bahkan mengendalikannya melalui web. Apalagi, jika kita beruntung dan bisa mengakses file cmd.exe dalam direktori system32 tersebut. Kita bisa mengambil alih system dan melakukan berbagai kegiatan hackingan.
Sintaks: allinurl:wwwboard/passwd.txt
Berfungsi untuk menampilkan daftar link server yang terdapat kelemahan atau vulnerable pada wwboard password.
Wwwboard merupakan sebuah wahana atau forum untuk melakukan diskusi di internet. Melalui sebuah papan pesan via web di mana setiap user dapat mengirimkan pesan-pesan atau bahkan mem-follow up pesan-pesan tersebut. Produk tersebut mengandung kerawanan dengan adanya password default serta file password yang dapat dibaca.
Sintaks: inurl:bash_history
Berfungsi untuk menampilkan link server yang dapat memberikan akses pada bash_history melalui wes. File yang ditampilkan tersebut sebenarnya adalah file command history yang telah digunakan oleh administrator. Terkadang, berisi berbagai file rahasia dan penting seperti password system yang pernah diketikkan oleh admin.
Sintaks: inurl:config.txt
Sintaks ini berfungsi untuk menampilkan link server yang memberikan akses pada config.txt yang dapat diakses melalui web. Sintaks ini juga berisikan informasi yang rahasia seperti bash value password administrator maupun autentifikasi database.
Sintaks: allinurl:auth_user_file.txt
Terutama berfungsi untuk menampilkan file password DCForum. Dalam file tersebut biasanya juga menampilkan nama user, email dan password. Password tersebut harus di-crack terlebih dahulu untuk mengetahui password aslinya. Sebab passwordnya yang telah dienkripsi. Sintaks di atas juga berguna untuk menampilkan dari DCShop yang sering digunakan sebagai progam berbelanja.
Sintaks: filetype:bak inurl:"htaccess|passwd|shadow|htusers"
Link yang muncul adalah untuk mencari file backup (*.bak) yang biasanya dibuat oleh editor atau administrator.
Sintaks inurl dan allinurl dapat dikombinasikan dengan berbagai sintaks dasar yang telah kita pelajari sebelumnya. Untuk mendapatkan hasil Google Hacking yang lebih spesifik dah lebih dahsyat. Berikut saya sajikan beberapa contoh sintaks menarik lainnya yang bisa dicoba:
- inurl:admin filetype:txt
- inurl:admin filetype:db
- inurl:admin filetype:cfg
- inurl:mysql filetype:cfg
- inurl:passwd filetype:txt
- inurl:iisadmin
- inurl:orders.txt
- inurl:\"wwwroot/*.\"
- inurl"adpassword.txt
- allinurl:/script/cart32.exe
- allinurl:/CuteNews/show_archives.php
- allinurl:/phpinfo.php
Beberapa sintaks berikut ini, sering digunakan untuk mencari vulnerable atau celah untuk melakukan SQL Injection
- allinurl:/privmsg.php
- allinurl:/privmsg.php
- "ORA-00921: unexpected end of SQL command"
- intitle & allintitle
Sekarang saya akan memaparkan tentang cara pemakaian intitle dan allintitle. Dengan maksud dan tujuan yang sama untuk mencari vulnerable pada sebuah situs/server, hanya saja sintaks yang digunakan berbeda.
Sintaks: allintitle: \"index of /root"
Fungsinya adalah untuk menampilkan link yang dapat memberikan akses pada direktori root. Sebab direktori root ini merupakan salah satu direktori terlarang dan cuku berbahaya jika dapat diakses melalui web. Direktori root ini terkadang juga menyimpan informasi rahasia dan penting.
Sintaks: allintitle: \"index of /admin"
Masih memiliki fungsi yang sama dengan sebelumnya. Sintaks di atas akan menampilkan daftar situs yang dapat diakses direktori admin-nya.
Sintaks: intitle:"Index of" config.php
Berfungsi untuk menampilkan file config.php. Sebab kebanyakan dari file tersebut menyimpan nama user dan password untuk database SQL. Sebagian besar forum di internet menggunakan PHP. Bahkan dari file tersebut juga memberikan kunci bagi kita untuk masuk ke dalam forum termasuk mengakses database.
Sintaks: intitle:"index of" admin
Dari sintaks di atas, akan diperoleh direktori listing dari /admin. Sebab kebanyakan administrator menyimpan informasi sensitif dalam sebuah direktori dengan nama admin.
Sintaks: intitle:index.of.etc
Fungsi sintaks ini adalah untuk menampilkan akses pada direktori etc. Pada dasarnya link pada direktori ini tidak begitu menarik. Tapi dengan mengetahuinya juga cukup penting, sebab ada banyak file-file/data password yang disimpan pada direktori ini.
*Berikut adalah daftar beberapa pengkombinasian sintaks yang dapat dilakukan menggunakan sintaks intitle:
- intitle:"Index of" .sh_history
- intitle:"Index of" .bash_history
- intitle:"Index of" passwd
- intitle:"Index of" people.lst
- intitle:"Index of" pwd.db
- intitle:"Index of" etc
- intitle:"Index of" etc/shadow
- intitle:"Index of" backup
- intitle:"Index of" spwd
- intitle:"Index of" master.passwd
- intitle:"Index of" htpasswd
- intitle:"Index of" password modified
- intitle:"Index.of.secure"
- intitle:"Index of cgi-bin"
- intitle:"Index of"cfid (direktori coldfusion)
- intitle:index.of.winnt
- intitle:"Index of" iissamples
- intitle:"Index of" stats.html
- intitle:"Index of" finance.xls
- intitle:"Index of" members OR accounts
- intitle:"Index of" user_carts OR user_cart
- allintitle: sensitive filetype:doc
- allintitle: restricted filetype:mail
- allintitle: restricted filetype:doc site:gov
- allintitle:*.php?filename=*
- allintitle:*.php?page=*
- allintitle:*.php?logon=*
- intitle:"PHP Shell" "Enable stderr" php
- intitle:tech-support inurl:show Cisco
Masih banyak kombinasi sintaks yang kalian harus mencobanya sendiri dan tidak hanya terbatas pada apa yang telah saya sampaikan dan masih banyak lagi trik-trik Google Hacking yang akan berlanjut di Google Hacking (03)
Tidak ada komentar:
Posting Komentar