Pengertian LFI dan RFI

Pengertian LFI dan RFI

LFI (Local File Inclusion) adalah sebuah lubang pada site di mana attacker bisa mengakses semua file di dalam server dengan hanya melalui URL.


RFI (Remote File Inclusion) adalah sebuah lubang dimana site mengizinkan attacker meng-include-kan file dari luar server.



-> [Penjelasan ]
< fungsi-fungsi yang dapat menyebabkan LFI/RFI:
include(); include_once(); require(); require_once();
Dengan syarat pada konfigurasi php di server: allow_url_include = on allow_url_fopen = on magic_quotes_gpc = off
contoh: misalkan kita punya file index.php dengan content kodenya seperti ini, Code: include "../$_GET[framefile]"; ?>

Read rest of entry

EAPOL (Extensible Authentication Protocol)

EAPOL merupakan jenis protokol yang umum digunakan untuk authentikasi wireless dan point-to-point connection. Saat client resmi mengirimkan paket ke AP. AP menerima dan memberikan responnya, atau AP telah melakukan proses otorisasi. Dari protokol EAPOL, terdapat celah yang dapat digunakan untuk memperoleh nilai authentikasi.

Nilai authentikasi hanya terdapat saat awal terjadinya komunikasi client resmi dengan AP. Selanjutnya, bila sudah terhubung, protokol EAPOL tidak muncul lagi, kecuali saat 10 ribu paket berikutnya muncul. Seorang hacker dapat mengirim {injection) paket EAPOL hasil spoofing yang berisikan spoofing alamat SSID yang telah diselaraskan, MAC Address dan IP Address dari source/destination.

Client resmi mengirimkan paket EAPOL agar mendapat respon dari AP untuk proses autentikasi. Selanjutnya, AP akan memerika ID Card dari client. Attacker memanfaatkan kelemahan protokol tersebut dengan membuat ID Card palsu agar dibolehkan masuk oleh AP dan mendapatkan nomor untuk memasuki ruangan yang sama.

EAP melalui LAN (EAPOL), ditetapkan di IEEE 802.1x, menawarkan kerangka kerja yang efektif untuk otentikasi pengguna dan pengendalian lalu lintas ke jaringan yang dilindungi, serta berbagai enkripsi kunci secara dinamis. EAPOL merupakan standar untuk lulus Extensible Authentication Protocol (EAP) atau melalui kabel LAN nirkabel. Nirkabel di dalam lingkungan, 802.1x juga menjelaskan cara untuk jalur akses nirkabel pengguna dan untuk berbagi dan mengubah kunci enkripsi, dan menambah beberapa pesan yang membantu kelancaran operasi selama nirkabel. Tombol mengubah pesan membantu memecahkan utama kerentanan keamanan di 802,11, pengelolaan kunci WEP. Dengan 802.1x, WEP dibawa hingga tingkat keamanan yang dapat diterima bagi sebagian besar perusahaan.

Read rest of entry

Wardrive

Wardrive
With Wireless Networking, no cables or wires are needed to network your computers and share your Internet connection. Wi-Fi connects computers, printers, video camera's and game consoles into a fast Ethernet network via microwaves.

Wardrive adalah ekspedisi memancing elektronik untuk mencari jaringan wireless yang lemah. Kebanyakan, sebagian besar dari jaringan wireless tersebut bahkan tidak diberi password atau enkripsi untuk melindunginya. Kegiatan ini dilakukan untuk mencari jaringan mana saja yang akan dijadikan obyek serangan. Sehingga, kita bisa melakukan serangan terhadap jaringan wireless yang telah kita jadikan target. Untuk melakukan kegitan ini, hanya diperlukan peralatan sederhana. Kegiatan ini umumnya bertujuan untuk mendapatkan koneksi internet, tetapi banyak juga yang melakukan untuk maksud-maksud tertentu mulai dari rasa keingintahuan, coba coba, research, tugas praktikum, kejahatan dan lain lain.

Read rest of entry

fish'ing vs hacking

fish'ing) (n.) The tindakan mengirim e-mail ke user palsu mengklaim menjadi perusahaan yang sah didirikan sebagai upaya untuk scam pengguna menyerah ke informasi pribadi yang akan digunakan untuk pencurian identitas. E-mail mengarahkan pengguna untuk mengunjungi situs web di mana mereka akan diminta untuk meng-update informasi pribadi, seperti password dan kartu kredit, jaminan sosial, dan nomor rekening bank, yang sudah memiliki organisasi sah. Situs Web tersebut, bagaimanapun, adalah palsu dan mengatur hanya untuk mencuri pengguna informasi.
Misalnya, 2003 melihat proliferasi dari phishing scam di mana pengguna menerima e-mail dari diduga eBay mengklaim bahwa pengguna account adalah tentang yang akan ditangguhkan, kecuali jika dia klik link yang disediakan dan memperbarui informasi kartu kredit yang asli eBay sudah memiliki . Karena relatif sederhana untuk membuat situs Web terlihat seperti sebuah situs organisasi sah oleh mimicking kode HTML, yang dihitung pada scam ditipu orang yang mengira bahwa mereka sebenarnya telah dihubungi oleh eBay dan kemudian pergi ke situs eBay untuk mengupdate informasi account . Spamming besar oleh kelompok masyarakat, maka "phisher" dihitung pada e-mail yang dibaca oleh persentase dari orang-orang yang benar-benar telah tercantum nomor kartu kredit dengan eBay sah.

Phishing, juga disebut sebagai merek spoofing atau carding, adalah variasi pada "memancing," gagasan yang menjadi umpan adalah dilempar dengan harapan bahwa meskipun sebagian besar akan mengabaikan umpan, ada yang tergoda menjadi bersanding.gadis

Read rest of entry