Cara Mencari Parameter (POST) Untuk SQL Injection

Hallo, 

Pada artikel kali ini Saya ingin membagikan Cara Mencari Parameter (POST) Untuk SQL Injection. Mengingat SQL Injection GET Method sudah jarang sekali ditemukan (Vuln but can't upload shell) makanya Kita coba melakukan SQL Injection POST Method.

Apalagi Kalo usernya root@localhost / punya akses untuk insert, view, delete file dan lain-lain, Enak banget tinggal Upload Shell tanpa perlu Crack Hash ataupun susah-susah mencari halaman Admin login.

Oke langsung aja ke Tutorial Mencarinya.

Bahan Yang Di Perlukan Untuk Mencari Parameter (POST)

Untuk bahan-bahannya disini Saya menggunakan Sandroproxy dan Lightning Browser (Laptop rusak jadi cuman ada Android). Untuk pengguna PC Tinggal pakai BurpSuite sama aja kok.

Kalo belum tau cara setting Sandroproxy dan Lightning browsernya bisa baca artikel Saya sebelumnya atau bisa Klik Disini!

Mencari Parameter (POST) Untuk SQL Injection

Memang mencari parameter untuk nantinya di SQL Injection menggunakan POST Method ini membutuhkan kesabaran dan kepekaan terhadap target 😂

Soalnya enggak sama kayak parameter GET yang biasanya ada di (param.php?id= etc), Kalo GET Method gampang dicari, Tinggal pake dork langsung nemu. Kalo POST Method agak susah 😓

Oke langsung aja tanpa berlama-lama lagi, Kita langsung cari parameter (POST) tersebut dan Mohon maaf kalo bingung sama tulisan Saya yang masih belepotan ini 😶

Form Untuk Menampilkan Data

Parameter (POST) pertama yang biasanya memiliki kerentanan terhadap SQL Injection adalah Form untuk menampilkan data, Contohnya seperti ini:

Pada saat Saya menambahkan tanda petik ( ' ) di parameter Prodi outputnya menampilkan error "Filename: C:/xampp/htdocs/ blablabla" itu artinya website tersebut memiliki celah SQL Injection di parameter tersebut, Kalian bisa inject website tersebut menggunakan SQLMap.

Form Search

Yang kedua biasanya website memiliki celah SQL Injection di bagian Form Search, Di bagian ini bisa saja memiliki tipe yang berbeda, terkadang GET dan terkadang juga POST. Tapi website yang Saya jumpai kebanyakan tipe nya adalah POST.

Pada saat Saya menambahkan tanda petik ( ' ) lalu Tap Cari, website tersebut menampilkan SQL Error berupa PATH. Bisa dipastikan bahwa website tersebut memiliki celah SQL Injection.

Form Login

Yang ketiga adalah form login, Pasti Kalian sudah tau bahwa form login pasti menggunakan POST Method untuk masuk ke Halaman dashboard Admin etc. Tentu ini memiliki kemungkinan ada celah SQL Injection, entah di bagian parameter username, email ataupun password.

Pada saat Saya menambahkan tanda petik ( ' ) di parameter email, Outputnya adalah "A Database Error Occurred blablabla". Yang sudah pasti website tersebut memiliki celah SQL Injection di parameter tersebut, Tinggal inject deh.

Akhir Kata

Oke mungkin cukup sampai disini aja artikel tentang "Cara Mencari Parameter (POST) Untuk SQL Injection".

Mohon maaf bila ada kesalahan kata dan sebagainya, Mohon dimaklumi.

Semoga bermanfaat dan Sampai jumpa di artikel selanjutnya!