Awareness and Training Awareity MOAT
www.awareity.com
Birch Systems Privacy Posters
www.privacyposters.com
Greenidea Visible Statement
www.greenidea.com
Interpact, Inc. Awareness Resources
www.thesecurityawarenessco
NIST resources
http://csrc.nist.gov/ATE
SANS Security Awareness Program
www.sans.org/awareness/awa
Security Awareness, Inc. Awareness Resources
www.securityawareness.com
Bluetooth BlueScanner
www.networkchemistry.com/p
Bluesnarfer
www.alighieri.org/tools/bl
BlueSniper rifle
www.tomsnetworking.com/200
Blooover
http://trifinite.org/trifi
Bluejacking community site
www.bluejackq.com
Detailed presentation on the various Bluetooth attacks
http://trifinite.org/Downl
NIST Special Publication 800-48
http://csrc.nist.gov/publi
Certifications Certified Ethical Hacker
www.eccouncil.org/CEH.htm
Dictionary Files and Word Lists ftp://ftp.cerias.purdue.ed
http://packetstormsecurity
www.outpost9.com/files/Wor
Default vendor passwords
www.cirt.net/cgi-bin/passw
Exploit Tools CORE IMPACT
www.coresecurity.com
Metasploit
www.metasploit.com/project
General Research Tools AfriNIC
www.afrinic.net
APNIC
www.apnic.net
ARIN
www.arin.net/whois/index.h
CERT/CC Vulnerability Notes Database
www.kb.cert.org/vuls
ChoicePoint
www.choicepoint.com
Common Vulnerabilities and Exposures
http://cve.mitre.org/cve
DNSstuff.com
www.DNSstuff.com
www.google.com
Government domains
www.dotgov.gov
Hoover’s business information
www.hoovers.com
LACNIC
www.lacnic.net
Military domains
www.nic.mil/dodnic
NIST National Vulnerability Database
http://nvd.nist.gov
RIPE Network Coordination Centre
www.ripe.net/whois
Sam Spade
www.samspade.org
SecurityTracker
http://securitytracker.com
Switchboard.com
www.switchboard.com
U.S. Patent and Trademark Office
www.uspto.gov
U.S. Search.com
www.ussearch.com
U.S. Securities and Exchange Commission
www.sec.gov/edgar.shtml
Whois.org
www.whois.org
Yahoo! Finance site
http://finance.yahoo.com
Hacker Stuff 2600 @@md The Hacker Quarterly magazine
www.2600.com
Blacklisted 411
www.blacklisted411.net
Computer Underground Digest
www.soci.niu.edu/~cudigest
Hacker T-shirts, equipment, and other trinkets
www.thinkgeek.com
Honeypots: Tracking Hackers
www.tracking-hackers.com
The Online Hacker Jargon File
www.jargon.8hz.com
PHRACK
www.phrack.org
Linux Amap
http://packages.debian.org
Bastille Linux Hardening Program
www.bastille-linux.org
BackTrack
www.remote-exploit.org/ind
Comprehensive listing of live bootable Linux toolkits
www.frozentech.com/content
Debian Linux Security Alerts
www.debian.org/security
Linux Administrator’s Security Guide
www.seifried.org/lasg
Linux Kernel Updates
www.linuxhq.com
Linux Security Auditing Tool (LSAT)
http://usat.sourceforge.ne
Metasploit
www.metasploit.com
Network Security Toolkit
www.networksecuritytoolkit
Red Hat Linux Security Alerts
www.redhat.com/securityupd
Security Tools Distribution
http://s-t-d.org
Slackware Linux Security Advisories
www.slackware.com/security
SUSE Linux Security Alerts
www.suse.com/us/business/s
Tiger
ftp://ftp.debian.org/debia
VLAD the Scanner
www.bindview.com/Services/
Log Analysis ArcSight Enterprise Security Manager
www.arcsight.com/product.h
GFI LANguard Security Event Log Monitor
www.gfi.com/lanselm
Internet Security Systems Managed Services
www.iss.net/products_servi
LogAnalysis.org system logging resources
www.loganalysis.org
Malware chkrootkit
www.chkrootkit.org
EICAR Anti-Virus test file
www.eicar.org/anti_virus_t
The File Extension Source
http://filext.com
McAfee AVERT Stinger
http://vil.nai.com/vil/sti
Rkdet
http://vancouver-webpages.
Wotsit’s Format
www.wotsit.org
Messaging Abuse.net SMTP relay checker
www.abuse.net/relay.html
Brutus
http://securitylab.ru/_too
Cain and Abel
www.oxid.it/cain.html
DNSstuff.com relay checker
www.dnsstuff.com
GFI e-mail security test
www.gfi.com/emailsecurityt
How to disable SMTP relay on various e-mail servers
www.mail-abuse.com/an_sec3
mailsnarf
www.monkey.org/~dugsong/ds
www.datanerds.net/~mike/ds
Sam Spade for Windows
www.samspade.org/ssw
smtpscan
www.greyhats.org/?smtpscan
NetWare Adrem Freecon
www.adremsoft.com
Craig Johnson’s BorderManager resources
http://nscsysop.hypermart.
JRB Software
www.jrbsoftware.com
NCPQuery
www.bindview.com/resources
NetServerMon
www.simonsware.com/Product
Novell Product Updates
http://support.novell.com/
Pandora
www.nmrc.org/project/pando
Rcon program
http://packetstormsecurity
Remote
www.securityfocus.com/data
UserDump
www.hammerofgod.com/downlo
Networks Cain and Abel
www.oxid.it/cain.html
CommView
www.tamos.com/products/com
dsniff
www.monkey.org/~dugsong/ds
Essential NetTools
www.tamos.com/products/net
Ethereal network analyzer
www.ethereal.com
EtherPeek
www.wildpackets.com/produc
ettercap
http://ettercap.sourceforg
Firewalk
www.packetfactory.net/fire
Getif
www.wtcs.org/snmp4tpc/geti
GFI LANguard Network Scanner
www.gfi.com/lannetscan
GNU MAC Changer
www.alobbs.com/macchanger
IETF RFCs
www.rfc-editor.org/rfcxx00
LanHound
www.sunbelt-software.com/L
MAC address vendor lookup
http://standards.ieee.org/
Nessus vulnerability scanner
www.nessus.org
Netcat
www.vulnwatch.org/netcat/n
NetScanTools Pro all-in-one network testing tool
www.netscantools.com
Nmap port scanner
www.insecure.org/nmap
NMapWin
http://sourceforge.net/pro
Port number listing
www.iana.org/assignments/p
Port number lookup
www.cotse.com/cgi-bin/port
QualysGuard vulnerability assessment tool
www.qualys.com
SNMPUTIL
www.wtcs.org/snmp4tpc/FILE
Sunbelt Network Security Inspector
www.sunbelt-software.com/S
SuperScan port scanner
www.foundstone.com/resourc
TrafficIQ Pro
www.karalon.com
WhatIsMyIP
www.whatismyip.com
Password Cracking BIOS passwords
http://labmice.techtarget.
Brutus
http://securitylab.ru/_too
Cain and Abel
www.oxid.it/cain.html
Chknull
www.phreak.org/archives/ex
Crack
ftp://coast.cs.purdue.edu/
Elcomsoft Distributed Password Recovery
www.elcomsoft.com/edpr.htm
John the Ripper
www.openwall.com/john
Ophcrack
www.objectif-securite.ch/o
Proactive Password Auditor
www.elcomsoft.com/ppa.html
Proactive System Password Recovery
www.elcomsoft.com/pspr.htm
pwdump3
www.openwall.com/passwords
NetBIOS Auditing Tool
www.securityfocus.com/tool
NTAccess
www.mirider.com/ntaccess.h
RainbowCrack
www.antsight.com/zsl/rainb
RainbowCrack-Online
www.rainbowcrack-online.co
Rainbow tables
http://rainbowtables.shmoo
TSGrinder
www.hammerofgod.com/downlo
WinHex
www.winhex.com
Patch Management BigFix Enterprise Suite Patch Management
www.bigfix.com/products/pa
Ecora Patch Manager
www.ecora.com/ecora/produc
GFI LANguard Network Security Scanner
www.gfi.com/lannetscan
HFNetChkPro from Shavlik Technologies
www.shavlik.com/product_ca
Patch Authority Plus
www.scriptlogic.com/produc
PatchLink
www.patchlink.com
SysUpdate
www.securityprofiling.com
UpdateEXPERT from St. Bernard Software
www.stbernard.com/products
Windows Server Update Services from Microsoft
www.microsoft.com/windowss
Source Code Analysis Compuware
www.compuware.com/products
Fortify Software
www.fortifysoftware.com
Klocwork
www.klocwork.com
Ounce Labs
www.ouncelabs.com
SPI Dynamics
www.spidynamics.com/produc
Security Standards Center for Internet Security’s Benchmarks/Scoring Tools
www.cisecurity.org
NIST Special Publications
http://csrc.nist.gov/publi
Open Source Security Testing Methodology Manual
www.isecom.org/osstmm
SANS Step-by-Step Guides
http://store.sans.org
Security Education Kevin Beaver’s Security on Wheels podcasts and information security training resources
www.securityonwheels.com
Privacy Rights Clearinghouse’s Chronology of Data Breaches Reported Since the ChoicePoint Incident
www.privacyrights.org/ar/C
Storage CHAP Password Tester
www.isecpartners.com/tools
CIFSShareBF
www.isecpartners.com/Secur
GrabiQNs
www.isecpartners.com/Secur
NASanon
www.isecpartners.com/Secur
StorScan
www.isecpartners.com/tools
Risk Analysis and Threat Modeling SecureITree
www.amenaza.com
Software Engineering Institute’s OCTAVE methodology
www.cert.org/octave
Voice over IP Cain and Abel
www.oxid.it/cain.html
NIST’s SP800-58 document
http://csrc.nist.gov/publi
PROTOS
www.ee.oulu.fi/research/ou
SearchVoIP.com
http://searchvoip.techtarg
SIP Forum Test Framework
www.sipfoundry.org/sftf/in
sipsak
http://sipsak.org
SiVuS
www.vopsecurity.org/html/t
vomit
http://vomit.xtdnet.nl
War Dialing Sandstorm Enterprises PhoneSweep
www.sandstorm.net/products
Sandstorm Enterprises Sandtrap wardialing honepot
www.sandstorm.net/products
THC-Scan
http://packetstormsecurity
ToneLoc
www.securityfocus.com/data
Web Applications and Databases 2600’s Hacked Pages
www.2600.com/hacked_pages
Acunetix Web Vulnerability Scanner
www.acunetix.com
AppDetective
www.appsecinc.com/products
Brutus
http://securitylab.ru/_too
HTTrack Website Copier
www.httrack.com
Foundstone’s Hacme Tools
http://www.foundstone.com/
Google Hacking Database
http://johnny.ihackstuff.c
Netcraft
www.netcraft.com
NGSSquirrel
www.ngssoftware.com/softwa
N-Stealth Security Scanner
www.nstalker.com/eng/produ
Paros Proxy
www.parosproxy.org
Pete Finnigan’s listing of Oracle scanning tools
www.petefinnigan.com/tools
Port 80 Software’s ServerMask
www.port80software.com/pro
Port 80 Software’s Custom Error
www.port80software.com/pro
SiteDigger
www.foundstone.com/resourc
SQLPing2 and SQLRecon
www.sqlsecurity.com/Tools/
WebInspect
www.spidynamics.com/produc
WebGoat
www.owasp.org/index.php/Ca
Windows CORE IMPACT
www.coresecurity.com
DumpSec
www.somarsoft.com
Effective File Search
www.sowsoft.com/search.htm
FileLocator Pro
www.mythicsoft.com/fileloc
Legion
http://packetstormsecurity
Metasploit
www.metasploit.com
Microsoft Baseline Security Analyzer
www.microsoft.com/technet/
Microsoft TechNet Security Center
www.microsoft.com/technet/
Network Users
www.optimumx.com/download/
Rpcdump
www.bindview.com/Services/
SMAC MAC address changer
www.klcconsulting.net/smac
Vision
www.foundstone.com/knowled
Walksam
www.bindview.com/Services/
Winfo
www.ntsecurity.nu/toolbox/
Wireless Networks Aircrack
http://freshmeat.net/proje
AirMagnet Laptop Analyzer
www.airmagnet.com/products
AiroPeek SE
www.wildpackets.com/produc
AirSnort
http://airsnort.shmoo.com
Cantenna war-driving kit
http://mywebpages.comcast.
CommView for Wi-Fi
www.tamos.com/products/com
Digital Hotspotter
www.canarywireless.com
Homebrew WiFi antenna
www.turnpoint.net/wireless
KisMAC
http://kismac.binaervarian
Kismet
www.kismetwireless.net
Lucent Orinoco Registry Encryption/Decryption program
www.cqure.net/tools.jsp?id
NetStumbler
www.netstumbler.com
OmniPeek
www.wildpackets.com/produc
RFprotect Mobile
www.networkchemistry.com/p
SeattleWireless HardwareComparison page
www.seattlewireless.net/in
Security of the WEP Algorithm
www.isaac.cs.berkeley.edu/
The Unofficial 802.11 Security Web Page
www.drizzle.com/~aboba/IEE
Wellenreiter
www.wellenreiter.net
WiGLE database of wireless networks at
www.wigle.net
www.wifimaps.com
www.wifinder.com
WinAirsnort
http://winairsnort.free.fr
Wireless Vulnerabilities and Exploits
www.wirelessve.org
WPA Cracker
www.tinypeap.com/html/wpa_
http://rapidshare.com/file
Penulis : Blue If
Hacking facebook - membobol facebook...
From : ahmadhelwidinoto
baca dlu yack\h!!!
Pencurian password, pengambilalihan account, merupakan hal yang sering terjadi di dunia cyber. Bukan hal yang sulit untuk melakukannya, namun banyak para newbie yang terus saja bertanya-tanya.. “Bagaimana cara mendapatkan password email orang lain?” atau pertanyaan yang paling sering saya terima ialah..
“Bagaimana cara anda mendapatkan password saya?” :P
Untuk pertanyaan-pertanyaan itulah artikel ini ditulis, semoga bisa menambah wawasan anda dan membuka pikiran anda tentang betapa pentingnya menjaga account saat berada di tempat-tempat rawan.
Bagaimana Mendapatkannya?
Ada banyak cara untuk mendapatkan suatu password. Beberapa diantaranya tidak membutuhkan keahlian khusus. Berikut adalah cara-cara yang paling umum dan paling sering digunakan:
[1]. Social Engineering
[2]. KeyLogger
[3]. Web Spoofing
[4]. Menghadang Email
[5]. Password Cracking
[6]. Session Hijacking
[7]. Menjadi Proxy Server
[8]. Memanfaatkan Kelalaian User Dalam Penggunaan Fitur
Browser
[9]. Googling
[1]. Social Engineering
Social Engineering adalah nama suatu tehnik pengumpulan informasi dengan memanfaatkan celah psikologi korban. Atau mungkin boleh juga dikatakan sebagai “penipuan” :P Sosial Engineering membutuhkan kesabaran dan kehati-hatian agar sang korban tidak curiga. Kita dituntut untuk kreatif dan mampu berpikiran seperti sang korban.
Social Engineering merupakan seni “memaksa” orang lain untuk melakukan sesuatu sesuai dengan harapan atau keinginan anda. Tentu saja “pemaksaan” yang dilakukan tidak secara terang-terangan atau diluar tingkah laku normal yang biasa dilakukan sang korban.
Manusia cenderung untuk percaya atau mudah terpengaruh terhadap orang yang memiliki nama besar, pernah (atau sedang berusaha) memberikan pertolongan, dan memiliki kata-kata atau penampilan yang meyakinkan. Hal ini sering dimanfaatkan pelaku social engineering untuk menjerat korbannya. Seringkali sang pelaku membuat suatu kondisi agar kita memiliki semacam ketergantungan kepadanya.Ya,tanpa kita sadari dia mengkondisikan kita dalam suatu masalah dan membuat ( seolah – olah hanya ) dialah yang bisa mengatasi masalah itu. Dengan demikian,tentu kita akan cenderung untuk menuruti apa yang dia instruksikan tanpa merasa curiga.
Sosial Engineering adakalanya menjadi ancaman serius. Memang sepertinya tidak ada kaitan dengan teknologi, namun sosial engineering tetap layak diwaspadai karena bisa berakibat fatal bagi sistem anda. Why?? Karena bagaimanapun juga suatu komputer tetap saja tidak bisa lepas dari manusia. Ya, tidak ada satu sistem komputerpun di muka bumi ini yang bisa lepas dari campur tangan manusia. sehebat apapun pertahanan anda, jika anda sudah dikuasai oleh attacker melalui social engineering, maka bisa jadi anda sendirilah yang membukakan jalan masuk bagi sang attacker.
[2]. KeyLogger
KeyLogger adalah software yang dapat merekam aktivitas user. Hasil rekaman itu biasa disimpan berupa teks atau gambar. KeyLogger bekerja berdasarkan ketukan keyboard user. Aplikasi ini mampu mengenali form-form sensitif seperti form password misalnya.
Ada cara aman untuk menghindari keyloger:
1. Gunakan password dengan karakter special seperti !@#$%^&*(){}[]. Kebanyakan keyloger akan mengabaikan karakter ini sehingga sang pelaku (pemasang keyloger) tidak akan mendapatkan password anda yang sebenarnya.
2. Persiapkan password dari rumah, simpan dalam bentuk teks. Saat ingin memasukkan password, tingal copy-paste ajah. Keyloger akan membaca password anda berdasarkan ketukan keyboard. Namun cara ini agak beresiko. Mengapa? karena saat anda melakukan copy, data anda akan tersimpan di clipboard. Saat ini banyak dijumpai software-software gratis yang bisa menampilkan data dalam clipboard.
[3]. Web Spoofing
Masih ingat kasus pecurian Account sejumlah nasabah Bank BCA? Ya, itulah salah satu contoh nyata dari Web spoofing. Inti dari tehnik ini ialah dengan memanfaatkan kesalahan user saat mengetikkan alamat situs pada address bar. Pada dasarnya, Web Spoofing adalah usaha untuk menipu korban agar mengira dia sedang mengakses suatu situs tertentu, padahal bukan.
Pada kasus bank BCA, pelaku membuat situs yang sangat mirip dan identik dengan situs aslinya sehingga sang korban yang terkecoh tidak akan merasa ragu mengisikan informasi sensitif seperti user name dan Passwordnya. Padahal, karena situs tersebut adalah situs tipuan, maka semua informasi berharga tadi terekam oleh webserver palsu, yaitu milik sang pelaku.
[4]. Menghadang Email
Menghadang email? Ya, dan sangat mudah untuk melakukan hal ini. Salah satu cara adalah dengan menggunakan mailsnarf yang terdapat pada utility dsniff. Cara kerja Mailsnarf adalah dengan menghadang paket data yang lewat di Internet dan menyusunnya menjadi suatu email utuh.
Dsniff dan mailsnift merupakan software bekerja atas dasar WinPcap (setara dengan libcap pada Linux) yaitu suatu library yang menangkap paket-paket data. Paket-paket yang ditangkap ini akan disimpan dalam bentuk file oleh Windump, sedangkan Dsniff dan MailSnarf bertindak lebih jauh lagi yaitu menganalisa paket-paket data ini dan menampilkan password (dsniff) atau isi email (mailsnarf).
[5]. Password Cracking
“Hacking while sleeping.” itulah ungkapan yang biasa dipakai oleh orang-orang yang melakukan password cracking. Mengapa? Karena pada umumnya dibuthkan waktu yang lama untuk melakukan pasword cracking. Bisa berjam-jam, bahkan berhari – hari! Semua itu tergantung dari target, apakah sang target menggunakan password yang umum, password memiliki panjang karakter yang tidak biasa, atau password memiliki kombinasi dengan karakter-karakter special.
Salah satu software yang biasa digunakan untuk melakukan hal ini ialah dengan mengunakan Brutus, salah satu jenis software remote password cracker yang cukup terkenal. Brutus bekerja dengan teknik dictionary attack atau bruce-force attack terhadap port-port http, POP3,ftp, telnet, dan NetBIOS.
Dictionary Attack bekerja dengan mencobakan kata-kata yang ada dalam kamus password. Sedangkan brute – force attack bekerja dengan mencobakan semua kombinasi huruf, angka, atau karakter.
Brute Force Atack bekerja sangat lambat dan membutuhkan waktu yang lama tergantung dari jenis spesifikasi komputernya dan panjang karakter passwordnya. Saat ini telah banyak situs yang menutup akses terhadap akses terhadap usaha login yang secara terus-menerus tidak berhasil.
Jika anda ingin melakukan password Cracking, silahkan pilih – pilih sendiri aplikasinya di halaman Member – spyrozone.tk.
[6]. Session Hjacking
Session hijacking dewasa ini semakin marak dikalangan para attacker. Session Hijacking biasa dilakukan dengan melakukan peniruan cookies. Jadi pada intinya, kita harus bisa meniru cookies sang korban untuk mendapatkan sesi loginnya.
Lalu bagaimana cara mendapatkan cookies sang korban?
1. Dengan analisa Cookies.
Cara ini relatif sulit dilakukan.
2. Mencuri Cokies.
Misalnya Sang Attacker ingin mendapatkan account si A. Sang Attacker bisa dengan mudah membuat semacam script Java Script yang disisipkan dalam email untuk dikirim ke korban.Saat korban membuka email itu, tanpa sadar cookiesnya akan dicuri dan direkam ke suatu webserver dengan memanfaatkan suatu script PHP.
Belakangan ini yang paling sering menjadi incaran adalah account Friendster. Ada yang menyisipkan suatu scipt lewat testimonial, ada yang menyisipkannya di profilnya sendiri untuk mencuri cookies sang korban dan lain sebagainya. Saya memiliki tips untuk ini:
1. Jangan menggunakan browser Internet Explorer
Saat ingin membuka profil orang lain, jangan menggunakan Internet Explorer. Catat alamat profil yang ingi anda lihat,logout terlebih dahulu dari account anda dan bersihkan semua cookies, baru kemudian bukalah profil Friendster tujuan.
2. Periksa Source CODEnya
Ketika menerima testimonial, periksa terlebih dahulu source codenya. Apakah disana terdapat script asing atau kata-kata yang identik dengan pembajakan seperti :
“HACKED”, “DEFACED”, “OWNED”.. dll..
Jika ragu-ragu……. reject ajah..
3. LogOUT tiba-tiba.
Waspada ketika tanpa suatu alasan yang jelas tiba-tiba anda logout dengan sendirinya dari account anda. Saat anda diminta memasukkan username dan password, lihat dulu addressbar anda! apakan anda sedang berada di situs yang semestinya atau tidak. Periksa source code halaman tersebut.Lihat pada form action, kemana informasi anda nantinya akan dikirim.
Sebenarnya session hijacking bisa dicegah jika saja sang penyedia layanan memperhatikan hal-hal berikut:
1. Menetapkan session identifier yang unik
2. Menetapkan sistem identifier berpola acak
3. Session identifier yang independen
4. Session identifier yang bisa dipetakan dengan koneksi
client side.
Fenomena lain adalah, hingga saat artikel ini diterbitkan, ternyata masih banyak dijumpai para user yang tidak melakukan sign out setelah membuka accountnya. Dengan demikian, orang lain yang mengunakan komputer itu dan membuka website yang sama dengan yang telah dibuka oleh orang pertama akan otomatis login ke account sang korban.
[7]. Menjadi Proxy Server
Kita bisa mengumpulkan informasi dengan menjadi proxy server bagi korban untuk dapat berselancar. Dengan menjadi proxy server, seluruh identitas sang peselancar bisa menjadi milik kita.
[8]. Memanfaatkan Kelalaian user dalam penggunaan fitur
browser
Setiap browser tentunya memiliki fitur yang ditujukan untuk kemudahan dan kenyamanan penggunanya dalam berselancar. Diantaranya ialah dengan adanya cache dan Password Manager.
Di Internet tentunya banyak suatu website yang isinya tidak berubah dalam beberapa hari (Contohnya spyrozone.tk ;) Nah, untuk situs yang seperti ini cache menjadi hal yang sangat berguna. Cache akan menyimpan file-file hasil browsing sehinga nantinya jika anda berkunjung lagi ke situs tersebut browser tidak perlu lagi melakukan download untuk kedua kalinya dari server sehingga setiap halaman situs yang telah anda buka sebelumnya akan terbuka dengan lebih cepat. Semua itu biasanya diatur oleh header time to live.
Lho, bagaimana dengan situs-situs penyedia berita yang selalu up to date? Untuk site yang seperti itu, time to live-nya akan di set=0 sehinga nantinya anda akan terus melakukan download setiap kali berkunjung.
Cukup nyaman bukan? Ya, tapi ancaman mulai timbul. Cobalah kini anda jelajahi opsi-opsi yang berkaitan dengan cache pada browser anda. Tentu anda bisa menemui bahwa ada fasilitas untuk menentukan berapa besarnya file temporary yang bisa disimpan di harddisk. Cari juga lokasi dimana file-file tersebut akan disimpan.
Coba anda buka folder tersebut, anda akan menemui file-file html & file-file gambar dari site-site yang sudah anda kunjungi. Pada Browser IE, anda bisa melihat lokasi file cache dengan menjelajahi menu Tools —> Internet options —> Settings
Lalu apa yang bisa didapatkan?? toh cuma file-file “sampah”?? Hmm… sekarang coba anda copy semua file yang ada di sana ke suatu folder. Lalu bukalah salah-satu file htmlnya. Jika itu komputer publik,anda bisa mengetahui situs apa saja yang telah diakses oleh oleh orang sebelum anda.
Hmm.. hanya dengan melihat file temporary anda bahkan bisa melihat password dan dll. Banyak saya temui situs yang menyimpan password dan menampilkannya pada url. Tentunya anda juga pasti sering membacanya di berbagai tutorial.
Kebanyakan browser pada saat ini memiliki fasilitas untuk menyimpan password. Misalnya saat meggunakan Mozilla Firefox, anda pasti sering menerima kotak dialog konfirmasi yang menanyakan apakah anda ingin password anda disimpan atau tidak oleh PasswordManager.Kebanyakan
user cenderung untuk memilih opsi YES, entah itu dengan penuh kesadaran atau memang mereka tidak tau ( baca: tidak mau tau) apa maksud dari kotak dialog itu.
Orang lain yang kemudian mengunakan browser itu bisa dengan sangat mudah mendapatkan password korban dengan memasuki menu Tools —> Options —> Security –> Saved password.
Contoh lain adalah fasilitas wand password yang dimiliki oleh browser Opera. Saat anda memasukkan user name dan password pada suatu form dan menekan tombol submit, opera secara default akan meminta konfirmasi kepada anda apakah anda ingin browser menyimpan id dan password anda atau tidak. Lagi dan lagi… kebanyakan netter ceroboh, mereka cenderung untuk memilih opsi “YES”.
Lalu?? Orang lain yang kemudian menggunakan browser itu bisa melihat situs apa saja yang telah diakses oleh user, arahkan browser ke situs tersebut, letakkan cursor pada form isian user name, tekan [ALT]+[ENTER] dan BOOOMM!!!! Kenapa?? Jangan kaget dulu!! Hehehe.. form login akan otomatis terisi dengan user name korban lengkap dengan passwordnya ;D (It’s fun enough.. ;)
Ini hanya sebagian kecil contoh, jelajahi fitur-firtur browser lain!
[9]. Googling
Google.com. Banyak sudah situs yang runtuh, password dan nomor – nomor kartu kredit yang dicuri akibat dari ulah orang yang menyalahgunaan kesaktiannya ;) Dahulu, hal ini mudah dilakukan.Hanya dengan mengetikkan kata kunci tertentu yang berkaitan dengan user name dan password, anda bisa memanen ratusan password user melalui google. Tapi sekarang tampaknya anda harus gigit jari jika menggunakan cara diatas ;D
Jangan sedih dulu karena Google baru saja menelurkan produk barunya, yaitu Google Code Search. Ancaman baru mulai timbul, “si pintar” ini kini dapat meng-crawl hingga kepada archive file yang berada di public directory web server. Hati-hati yang punya kebiasaan untuk menyimpan informasi penting di dalamnya (password, dan info berharga lainnya) Sebaiknya mulai sekarang kebiasaan itu dihilangkan. Selalu proteksi folder-folder yang sensitif agar situs anda bisa hidup lebih lama. Kalo nggak… yach.. tunggu ajah ada orang yang memanfaatkan produk baru google ini untuk mengeruk informasi sensitif dari web server anda. dan jika itu sudah terjadi… maka bersiaplah.. “taman bermain” anda akan diambil alih olehnya..
From : ahmadhelwidinoto
baca dlu yack\h!!!
Pencurian password, pengambilalihan account, merupakan hal yang sering terjadi di dunia cyber. Bukan hal yang sulit untuk melakukannya, namun banyak para newbie yang terus saja bertanya-tanya.. “Bagaimana cara mendapatkan password email orang lain?” atau pertanyaan yang paling sering saya terima ialah..
“Bagaimana cara anda mendapatkan password saya?” :P
Untuk pertanyaan-pertanyaan itulah artikel ini ditulis, semoga bisa menambah wawasan anda dan membuka pikiran anda tentang betapa pentingnya menjaga account saat berada di tempat-tempat rawan.
Bagaimana Mendapatkannya?
Ada banyak cara untuk mendapatkan suatu password. Beberapa diantaranya tidak membutuhkan keahlian khusus. Berikut adalah cara-cara yang paling umum dan paling sering digunakan:
[1]. Social Engineering
[2]. KeyLogger
[3]. Web Spoofing
[4]. Menghadang Email
[5]. Password Cracking
[6]. Session Hijacking
[7]. Menjadi Proxy Server
[8]. Memanfaatkan Kelalaian User Dalam Penggunaan Fitur
Browser
[9]. Googling
[1]. Social Engineering
Social Engineering adalah nama suatu tehnik pengumpulan informasi dengan memanfaatkan celah psikologi korban. Atau mungkin boleh juga dikatakan sebagai “penipuan” :P Sosial Engineering membutuhkan kesabaran dan kehati-hatian agar sang korban tidak curiga. Kita dituntut untuk kreatif dan mampu berpikiran seperti sang korban.
Social Engineering merupakan seni “memaksa” orang lain untuk melakukan sesuatu sesuai dengan harapan atau keinginan anda. Tentu saja “pemaksaan” yang dilakukan tidak secara terang-terangan atau diluar tingkah laku normal yang biasa dilakukan sang korban.
Manusia cenderung untuk percaya atau mudah terpengaruh terhadap orang yang memiliki nama besar, pernah (atau sedang berusaha) memberikan pertolongan, dan memiliki kata-kata atau penampilan yang meyakinkan. Hal ini sering dimanfaatkan pelaku social engineering untuk menjerat korbannya. Seringkali sang pelaku membuat suatu kondisi agar kita memiliki semacam ketergantungan kepadanya.Ya,tanpa kita sadari dia mengkondisikan kita dalam suatu masalah dan membuat ( seolah – olah hanya ) dialah yang bisa mengatasi masalah itu. Dengan demikian,tentu kita akan cenderung untuk menuruti apa yang dia instruksikan tanpa merasa curiga.
Sosial Engineering adakalanya menjadi ancaman serius. Memang sepertinya tidak ada kaitan dengan teknologi, namun sosial engineering tetap layak diwaspadai karena bisa berakibat fatal bagi sistem anda. Why?? Karena bagaimanapun juga suatu komputer tetap saja tidak bisa lepas dari manusia. Ya, tidak ada satu sistem komputerpun di muka bumi ini yang bisa lepas dari campur tangan manusia. sehebat apapun pertahanan anda, jika anda sudah dikuasai oleh attacker melalui social engineering, maka bisa jadi anda sendirilah yang membukakan jalan masuk bagi sang attacker.
[2]. KeyLogger
KeyLogger adalah software yang dapat merekam aktivitas user. Hasil rekaman itu biasa disimpan berupa teks atau gambar. KeyLogger bekerja berdasarkan ketukan keyboard user. Aplikasi ini mampu mengenali form-form sensitif seperti form password misalnya.
Ada cara aman untuk menghindari keyloger:
1. Gunakan password dengan karakter special seperti !@#$%^&*(){}[]. Kebanyakan keyloger akan mengabaikan karakter ini sehingga sang pelaku (pemasang keyloger) tidak akan mendapatkan password anda yang sebenarnya.
2. Persiapkan password dari rumah, simpan dalam bentuk teks. Saat ingin memasukkan password, tingal copy-paste ajah. Keyloger akan membaca password anda berdasarkan ketukan keyboard. Namun cara ini agak beresiko. Mengapa? karena saat anda melakukan copy, data anda akan tersimpan di clipboard. Saat ini banyak dijumpai software-software gratis yang bisa menampilkan data dalam clipboard.
[3]. Web Spoofing
Masih ingat kasus pecurian Account sejumlah nasabah Bank BCA? Ya, itulah salah satu contoh nyata dari Web spoofing. Inti dari tehnik ini ialah dengan memanfaatkan kesalahan user saat mengetikkan alamat situs pada address bar. Pada dasarnya, Web Spoofing adalah usaha untuk menipu korban agar mengira dia sedang mengakses suatu situs tertentu, padahal bukan.
Pada kasus bank BCA, pelaku membuat situs yang sangat mirip dan identik dengan situs aslinya sehingga sang korban yang terkecoh tidak akan merasa ragu mengisikan informasi sensitif seperti user name dan Passwordnya. Padahal, karena situs tersebut adalah situs tipuan, maka semua informasi berharga tadi terekam oleh webserver palsu, yaitu milik sang pelaku.
[4]. Menghadang Email
Menghadang email? Ya, dan sangat mudah untuk melakukan hal ini. Salah satu cara adalah dengan menggunakan mailsnarf yang terdapat pada utility dsniff. Cara kerja Mailsnarf adalah dengan menghadang paket data yang lewat di Internet dan menyusunnya menjadi suatu email utuh.
Dsniff dan mailsnift merupakan software bekerja atas dasar WinPcap (setara dengan libcap pada Linux) yaitu suatu library yang menangkap paket-paket data. Paket-paket yang ditangkap ini akan disimpan dalam bentuk file oleh Windump, sedangkan Dsniff dan MailSnarf bertindak lebih jauh lagi yaitu menganalisa paket-paket data ini dan menampilkan password (dsniff) atau isi email (mailsnarf).
[5]. Password Cracking
“Hacking while sleeping.” itulah ungkapan yang biasa dipakai oleh orang-orang yang melakukan password cracking. Mengapa? Karena pada umumnya dibuthkan waktu yang lama untuk melakukan pasword cracking. Bisa berjam-jam, bahkan berhari – hari! Semua itu tergantung dari target, apakah sang target menggunakan password yang umum, password memiliki panjang karakter yang tidak biasa, atau password memiliki kombinasi dengan karakter-karakter special.
Salah satu software yang biasa digunakan untuk melakukan hal ini ialah dengan mengunakan Brutus, salah satu jenis software remote password cracker yang cukup terkenal. Brutus bekerja dengan teknik dictionary attack atau bruce-force attack terhadap port-port http, POP3,ftp, telnet, dan NetBIOS.
Dictionary Attack bekerja dengan mencobakan kata-kata yang ada dalam kamus password. Sedangkan brute – force attack bekerja dengan mencobakan semua kombinasi huruf, angka, atau karakter.
Brute Force Atack bekerja sangat lambat dan membutuhkan waktu yang lama tergantung dari jenis spesifikasi komputernya dan panjang karakter passwordnya. Saat ini telah banyak situs yang menutup akses terhadap akses terhadap usaha login yang secara terus-menerus tidak berhasil.
Jika anda ingin melakukan password Cracking, silahkan pilih – pilih sendiri aplikasinya di halaman Member – spyrozone.tk.
[6]. Session Hjacking
Session hijacking dewasa ini semakin marak dikalangan para attacker. Session Hijacking biasa dilakukan dengan melakukan peniruan cookies. Jadi pada intinya, kita harus bisa meniru cookies sang korban untuk mendapatkan sesi loginnya.
Lalu bagaimana cara mendapatkan cookies sang korban?
1. Dengan analisa Cookies.
Cara ini relatif sulit dilakukan.
2. Mencuri Cokies.
Misalnya Sang Attacker ingin mendapatkan account si A. Sang Attacker bisa dengan mudah membuat semacam script Java Script yang disisipkan dalam email untuk dikirim ke korban.Saat korban membuka email itu, tanpa sadar cookiesnya akan dicuri dan direkam ke suatu webserver dengan memanfaatkan suatu script PHP.
Belakangan ini yang paling sering menjadi incaran adalah account Friendster. Ada yang menyisipkan suatu scipt lewat testimonial, ada yang menyisipkannya di profilnya sendiri untuk mencuri cookies sang korban dan lain sebagainya. Saya memiliki tips untuk ini:
1. Jangan menggunakan browser Internet Explorer
Saat ingin membuka profil orang lain, jangan menggunakan Internet Explorer. Catat alamat profil yang ingi anda lihat,logout terlebih dahulu dari account anda dan bersihkan semua cookies, baru kemudian bukalah profil Friendster tujuan.
2. Periksa Source CODEnya
Ketika menerima testimonial, periksa terlebih dahulu source codenya. Apakah disana terdapat script asing atau kata-kata yang identik dengan pembajakan seperti :
“HACKED”, “DEFACED”, “OWNED”.. dll..
Jika ragu-ragu……. reject ajah..
3. LogOUT tiba-tiba.
Waspada ketika tanpa suatu alasan yang jelas tiba-tiba anda logout dengan sendirinya dari account anda. Saat anda diminta memasukkan username dan password, lihat dulu addressbar anda! apakan anda sedang berada di situs yang semestinya atau tidak. Periksa source code halaman tersebut.Lihat pada form action, kemana informasi anda nantinya akan dikirim.
Sebenarnya session hijacking bisa dicegah jika saja sang penyedia layanan memperhatikan hal-hal berikut:
1. Menetapkan session identifier yang unik
2. Menetapkan sistem identifier berpola acak
3. Session identifier yang independen
4. Session identifier yang bisa dipetakan dengan koneksi
client side.
Fenomena lain adalah, hingga saat artikel ini diterbitkan, ternyata masih banyak dijumpai para user yang tidak melakukan sign out setelah membuka accountnya. Dengan demikian, orang lain yang mengunakan komputer itu dan membuka website yang sama dengan yang telah dibuka oleh orang pertama akan otomatis login ke account sang korban.
[7]. Menjadi Proxy Server
Kita bisa mengumpulkan informasi dengan menjadi proxy server bagi korban untuk dapat berselancar. Dengan menjadi proxy server, seluruh identitas sang peselancar bisa menjadi milik kita.
[8]. Memanfaatkan Kelalaian user dalam penggunaan fitur
browser
Setiap browser tentunya memiliki fitur yang ditujukan untuk kemudahan dan kenyamanan penggunanya dalam berselancar. Diantaranya ialah dengan adanya cache dan Password Manager.
Di Internet tentunya banyak suatu website yang isinya tidak berubah dalam beberapa hari (Contohnya spyrozone.tk ;) Nah, untuk situs yang seperti ini cache menjadi hal yang sangat berguna. Cache akan menyimpan file-file hasil browsing sehinga nantinya jika anda berkunjung lagi ke situs tersebut browser tidak perlu lagi melakukan download untuk kedua kalinya dari server sehingga setiap halaman situs yang telah anda buka sebelumnya akan terbuka dengan lebih cepat. Semua itu biasanya diatur oleh header time to live.
Lho, bagaimana dengan situs-situs penyedia berita yang selalu up to date? Untuk site yang seperti itu, time to live-nya akan di set=0 sehinga nantinya anda akan terus melakukan download setiap kali berkunjung.
Cukup nyaman bukan? Ya, tapi ancaman mulai timbul. Cobalah kini anda jelajahi opsi-opsi yang berkaitan dengan cache pada browser anda. Tentu anda bisa menemui bahwa ada fasilitas untuk menentukan berapa besarnya file temporary yang bisa disimpan di harddisk. Cari juga lokasi dimana file-file tersebut akan disimpan.
Coba anda buka folder tersebut, anda akan menemui file-file html & file-file gambar dari site-site yang sudah anda kunjungi. Pada Browser IE, anda bisa melihat lokasi file cache dengan menjelajahi menu Tools —> Internet options —> Settings
Lalu apa yang bisa didapatkan?? toh cuma file-file “sampah”?? Hmm… sekarang coba anda copy semua file yang ada di sana ke suatu folder. Lalu bukalah salah-satu file htmlnya. Jika itu komputer publik,anda bisa mengetahui situs apa saja yang telah diakses oleh oleh orang sebelum anda.
Hmm.. hanya dengan melihat file temporary anda bahkan bisa melihat password dan dll. Banyak saya temui situs yang menyimpan password dan menampilkannya pada url. Tentunya anda juga pasti sering membacanya di berbagai tutorial.
Kebanyakan browser pada saat ini memiliki fasilitas untuk menyimpan password. Misalnya saat meggunakan Mozilla Firefox, anda pasti sering menerima kotak dialog konfirmasi yang menanyakan apakah anda ingin password anda disimpan atau tidak oleh PasswordManager.Kebanyakan
Orang lain yang kemudian mengunakan browser itu bisa dengan sangat mudah mendapatkan password korban dengan memasuki menu Tools —> Options —> Security –> Saved password.
Contoh lain adalah fasilitas wand password yang dimiliki oleh browser Opera. Saat anda memasukkan user name dan password pada suatu form dan menekan tombol submit, opera secara default akan meminta konfirmasi kepada anda apakah anda ingin browser menyimpan id dan password anda atau tidak. Lagi dan lagi… kebanyakan netter ceroboh, mereka cenderung untuk memilih opsi “YES”.
Lalu?? Orang lain yang kemudian menggunakan browser itu bisa melihat situs apa saja yang telah diakses oleh user, arahkan browser ke situs tersebut, letakkan cursor pada form isian user name, tekan [ALT]+[ENTER] dan BOOOMM!!!! Kenapa?? Jangan kaget dulu!! Hehehe.. form login akan otomatis terisi dengan user name korban lengkap dengan passwordnya ;D (It’s fun enough.. ;)
Ini hanya sebagian kecil contoh, jelajahi fitur-firtur browser lain!
[9]. Googling
Google.com. Banyak sudah situs yang runtuh, password dan nomor – nomor kartu kredit yang dicuri akibat dari ulah orang yang menyalahgunaan kesaktiannya ;) Dahulu, hal ini mudah dilakukan.Hanya dengan mengetikkan kata kunci tertentu yang berkaitan dengan user name dan password, anda bisa memanen ratusan password user melalui google. Tapi sekarang tampaknya anda harus gigit jari jika menggunakan cara diatas ;D
Jangan sedih dulu karena Google baru saja menelurkan produk barunya, yaitu Google Code Search. Ancaman baru mulai timbul, “si pintar” ini kini dapat meng-crawl hingga kepada archive file yang berada di public directory web server. Hati-hati yang punya kebiasaan untuk menyimpan informasi penting di dalamnya (password, dan info berharga lainnya) Sebaiknya mulai sekarang kebiasaan itu dihilangkan. Selalu proteksi folder-folder yang sensitif agar situs anda bisa hidup lebih lama. Kalo nggak… yach.. tunggu ajah ada orang yang memanfaatkan produk baru google ini untuk mengeruk informasi sensitif dari web server anda. dan jika itu sudah terjadi… maka bersiaplah.. “taman bermain” anda akan diambil alih olehnya..
Man in the middle
ya mungkin ini teknik lama ya... tapi kebanyakan dari orang2 yang saya kenal selalu menggunakan teknik ini untuk melakukan aksi hacking... Man in the middle adalah sebuah teknik hacking yang dilakukan dengan cara meracuni arp computer. sebelum computer terserang, setiap computer akan selalu melakukan hubungan ke gateway untuk melakukan sebuah coneksi. tetapi setelah serangan dilakukan maka computer client akan selalu mengirimkan data2nya ke computer hacker dan computer hacker akan meneruskan data2 yang dikirimkan oleh client ke gateway. dengan cara seperti itu maka hacker dapat dengan mudah mengetahui password dan id para pengguna computer (client).
Seandainya hatimu adalah sebuah system, maka aku akan scan kamu untuk
mengetahui port mana yang terbuka Sehingga tidak ada keraguan saat aku
c:\> nc -l -o -v -e ke hatimu,tapi aku hanya berani ping di belakang
anonymouse proxy, inikah rasanya jatuh cinta sehingga membuatku
seperti pecundang atau aku memang pecundang sejati whatever!
Seandainya hatimu adalah sebuah system,
ingin rasanya aku manfaatkan vulnerabilitiesmu, pake PHP injection
Terus aku ls -la; find / -perm 777 -type d,sehingga aku tau kalo di
hatimu ada folder yang bisa ditulisi atau adakah free space buat aku?.
apa aku harus pasang backdor “Remote Connect-Back Shell”jadi aku
tinggal nunggu koneksi dari kamu saja, biar aku tidak merana seperti ini.
Seandainya hatimu adalah sebuah system,
saat semua request-ku diterima aku akan nogkrong terus di bugtraq
untuk mengetahui bug terbarumu maka aku akan patch n pacth terus,aku
akan jaga service-mu jangan sampai crash n aku akan menjadi firewallmu
aku akan pasang portsentry, dan menyeting error pagemu ” The page
cannot be found Coz Has Been Owned by Someone get out!” aku janji gak
bakalan ada macelinious program atau service yang hidden, karena aku
sangat sayang dan mencintaimu.
Seandainya hatimu adalah sebuah system,
jangan ada kata “You dont have permission to access it” untuk aku,
kalau ga mau di ping flood Atau DDos Attack jangan ah….! kamu harus
menjadi sang bidadari penyelamatku.
Seandainya hatimu adalah sebuah system, …?
Tapi sayang hatimu bukanlah sebuah system,
kamu adalah sang bidadari impianku, yang telah mengacaukan systemku!
Suatu saat nanti aku akan datang n mengatakan kalau di hatiku sudah
terinfeksi virus yang Menghanyutkan, Ga ada anti virus yang dapat
menangkalnya selain …kamu.
gimana lumayan khan??
hmmm,, mungkin udah bnyk yg udah tau cerita ini,
tapi gpp kan klo di baca lagi ,, heheehhe
salam TKJ ....
Puisi ini dibuat oleh teman gw dari facebook namanya Chin Lee Wei...
Lagu KUBURAN VERSI HACKER
[*]
LUPA! lupa lupa lupa, lupa lagi syntaxnya
LUPA! lupa lupa lupa, lupa lagi syntaxnya
INGAT! ingat ingat ingat, cuma ingat Algonya
INGAT! aku ingat ingat, cuma ingat Algonya
[**]
C: \registry, \Services, ke blok,
ke C: lagi, \registry, C panel, ke blok,
ke C: lagi, \registry, C panel, ke blok,
ke C: lagi,
Back to[*] [**]
C: sialan, keDeepfreeze, ke D:,
ke C: lagi, sialan, keDeepFreeze, mampus,
ke C: lagi, \registry, C panel, ke blok,
ke C: lagi, \services, kill AV, ke blok,
ke C: lagi, \registry, Kill AV, ke blok,
SYNTAX ERROR!!
Lagu ini diambil dari salah satu teman saya di facebook yang bernama Chin Lee Wei...