kelemahan scripting dlm ventures.com.my

السّلام عليكم و رحمة الله
*Informasi ini digunakan untuk tujuan pendidikan, musafir-it tidak bertanggung jawab sekiranya terdapat penyalahgunaan informasi yang ada pada web ini. Gunakan segala bentuk informasi disini secara bijak untuk melindungi diri anda sendiri agar tidak menjadi korban internet.

Untuk menembusi sekuriti sesebuah web bukanlah mudah. Namun adakalanya hanya kerana kesilapan satu abjad dalam scripting boleh menjadi lubang untuk dicerobohi oleh sesiapa pun.

Secara tidak sengaja saya menemukan satu lubang yg saya kira agak besar juga dalam web www.ventures.com.my Melalui beberapa artikel yang saya baca dari jasakom.com, terutamanya sebuah artikel yang membahaskan mengenai psikologi hacking. Dalam ventures.com.my saya mencuba akan keberkesanan psikologi hacking saya. Ternyata ianya berhasil apabila saya berjaya memuat turun database web. Kita semua tahu akan kepentingan sesebuah database bukan?? Ia menyimpan 1001 maklumat yang amat berguna sekali. Dari database itu, saya dapat melihat semua user + password mereka. Satu langkah yg bijak, kerana pihak admin melakukan encryption pada password. Saya tidak dapat pastikan berapa bit mereka gunakan. Kerana saya sememangya tidak mengerti hal2 encryption ini. Apatah lagu nak melakukan decryption. Dari awal lagi saya sudah katakan, saya hanya mempraktikkan psikologi hacking saya.

Pada awalnya saya berasa hampa kerana masih tidak dapat menembusi sekuriti web walaupun database sudah ada dlm tangan. Namun sekali lagi saya bermain dengan psikologi hancking. Hanya berbekalkan username, saya mencuba untuk membuat login dlm web. Bukan sekali malahan berpuluh-puluh kali. Hasilnya tetap juga gagal.

Entah bagaimana, saya cuba menggunakan salah satu dr username yg ada. Dan membuat link terus kepada laman yg biasanya user akan masuk apabila password mereka betul. Saya mengagak ia adalah Home.asp Ternyata, tekaan saya tepat! Saya kini sudah masuk dalam sistem web sebagai user tadi.

Caranya amat mudah sekali. Saya hanya menggunakan user "aziz" Tanpa mengisi ruang password, terus sahaja tekan submit. Bila laman error dibuka. Tukarkan alamat web pada http://ventures.com.my/manager/Home.asp Nah! anda sudah masuk bukan...??

Kepada pihak web berkenaan... Diharap dapat memperbetulkan kesilapan ini.

Harap maklum.