******************************************************
KHUSUS BUAT ADMIN & WEB PROGRAMMER !!!
******************************************************

Cara pencegahan yang umum digunakan :
1. Batasi panjang input box (jika memungkinkan), dengan cara membatasinya di kode program, jadi si cracker pemula akan bingung sejenak melihat input box nya gak bisa diinject dengan perintah yang panjang.

2. Filter input yang dimasukkan oleh user, terutama penggunaan tanda kutip tunggal (Input Validation).

3. Matikan atau sembunyikan pesan-pesan error yang keluar dari SQL Server yang berjalan.

4. Matikan fasilitas-fasilitas standar seperti Stored Procedures, Extended Stored Procedures jika memungkinkan.

5. Ubah "Startup and run SQL Server" menggunakan low privilege user di SQL Server Security tab.

Yah itulah mungkin yang dapat saya ceritakan.....
Hal itu adalah gambaran, betapa tidak amannya dunia internet...
Kalau mau lebih aman, copot kabel jaringan anda, copot disk drive anda, copot harddisk anda, jual kompie anda !!!

         Pembahasan kali ini sudah cukup jauh. Berbagai teknik untuk mengetahui/mencari/melihat dan mengamankan dan mengantisipasi kartu kredit dari jangkauan pencuri sudah Anda ketahui. Dengan mencoba menyelami jalan pikiran seorang carder, maka seorang penegak hukum (cyber police) maupun para webmaster bisa lebih berhati-hati dalam menyingkap setiap kasus per kasus, sehingga dapat dilakukan tindakan pencegahan.
Berikutnya adalah beberapa point penting atau cara yang biasa dilakukan oleh para carder untuk melakukan carding.

        Sebenarnya ada banyak cara untuk memvalidasi nomor kartu kredit, salah satunya adalah dengan algoritma Luhn yang sudah saya jelaskan di bagian awal. Termasuk juga pemakaian program tertentu.

        Metode validitas berikut ini lebih efektif karena bertujuan untuk mengetes apakah nomor sebuah kartu kredit bisa diterima atau tidak. Caranya sangat gampang dilakukan, terutama melalui toko-toko online terkenal. Yang perlu dilakukan hanyalah berpura-pura belanja. Apabila kartu tersebut diterima, sudah tentu kartu tersebut valid.
Apalagi melakukan validasi tidak harus dengan membeli sebuah produk, cukup dengan melakukan registry saja, tentu akan lebih enak.

        Ketidakvalidan sebuah nomor kartu kredit bisa saja terjadi, karena kesalahan user itu sendiri. Misalnya, kartu tersebut adalah Visa, tapi yang dipilih adalah MasterCard. Contoh yang paling sederhana untuk melakukan validasi adalah dengan memasukkan digit awal sebuah kartu yang tepat. Misalnya, kartu Visa digit pertamanya adalah 4 (empat), MasterCard digit awalnya adalah 5 (lima). Dan hal tersebut tidak dapat dibalik, apabila dibalik sudah pasti akan terjadi ketidakvalidan.
Valid tidaknya sebuah nomor kartu kredit bukanlah dilakukan menggunakan CC Generator. Karena program tersebut hanyalah untuk mendapatkan nomor kloning dari nomor utama.

        Sebelum membicarakan mengenai teknik validasi tersebut, saya akan sedikit mengulas perbedaan antara Generate dan Extrapolate. Sebab masih banyak yang bingung membedakan antara kedua hal tersebut. Walaupun keduanya memiliki maksud dan tujuan yang sama, menghasilkan kloning nomor kartu kredit.
Supaya lebih gampang dipahami, saya sertakan saja sebuah ilustrasi.
Katakanlah sebuah program seperti CC Generator menyebutkan bahwa sebuah nomor valid. Misalnya, Anda telah menguji sebuah nomor, anggaplah kartu visa dengan nomor:
4367123401010690.

Kita buat hasil extrapolate-nya ada lima:
4367123401010690
4367123401010962
4367123401011123
4367123401018765
4367123401017894

Sedangkan hasil generate-nya adalah:
4367321078904662
4367574589029832
4367067965484344
4367000846339856
4367356736750212

        Dari gambaran tersebut terlihat jelas, proses extrapolate hanya melakukan proses logaritma random untuk 4 digit terakhir saja. Sebaliknya, proses generate tidak mengubah hanya 4 digit pertama saja.
Secara struktur terlihat bahwa proses generate memberikan variabel digit yang lebih besar ketimbang extrapolate. Walau demikian, hasil dari extrapolate lebih tertuju pada sebuah nomor kartu kredit saja sehingga memiliki kemungkinan validitas yang lebih tinggi.
Dengan dua teknik tersebut, maka bisa dilakukan kombinasi. Untuk memperbanyak sebuah nomor kartu kredit diperlukan proses generating. Dan extrapolate untuk mengkloning nomor yang dimiliki. Tentu saja dengan memperhatikan prefix 4 digit pertama. Supaya lebih enakan, gambaran strukturnya adalah sebagai berikut:

Nomor asli Hasil Generating Hasil Extrapolating
4367 1234 0101 0690 4367 3210 7890 4662 4367 3210 7890 2857
4367 3210 7890 3523
4367 3210 7890 0022
4367 5745 8902 9832 4367 5745 8902 3525
4367 5745 8902 0133
4367 5745 8902 3505
4367 3567 3675 0212 4367 3567 3675 5730
4367 3567 3675 7835
4367 3567 3675 1211

* Semua nomor yang saya ketikkan di atas dan juga semua angka-angka dalam artikel ini adalah acak (asal ketik), sekedar untuk contoh saja.

        Dari tabel tersebut, bisa diketahui bahwa hasil kombinasi antara proses generate dan extrapolate sangat berbahaya sekali dalam menghasilkan nomor kartu kredit yang random.
Sebagai tambahan, berikut adalah daftar beberapa prefix bank. Ini saya tampilkan beberapa saja sebagai contoh. Untuk prefix yang umum bisa Anda lihat pada penjelasan di bagian awal.

VISA
Prefix Nama Bank
4019 Bank of America
4032 Household Bank
4071 Colonial National Bank
4113 Valley National Bank
4114 Chemical Bank
4301 Monogram Bank
4387 Bank One
4418 Bank of Omaha
4421 Indiana National Bank
4811 Bank of Hawaii
4833 U.S. Bank
4921 Hongkong/National Bank

MasterCard
Prefix Nama Bank
5100 Southwestern States Bank
5130 Eurocard France
5190 Bank of Montreal
5191 Bank of Montreal
5201 Mellon Bank, N.A.
5217 Union Trust
5224 Midland Bank
5226 Eurocard Ab
5333 Ohio National Bank

        Nomor-nomor yang dihasilkan dari proses generating maupun extrapolating, lebih membutuhkan uj ... Read more »

          Pada dasarnya, teknik instant carding ini tidak jauh berbeda dengan teknik carding dengan mendownload file database. Hanya saja instant carding adalah aktivitas carding yang dilakukan tanpa perlu mendownload file database. Contoh yang paling gampang adalah saat Anda browsing lalu membuka file HTML dan nomor-nomor kartu kredit langsung tampil. Jenis file lainnya yang bisa langsung tampil adalah file TXT (text). Khusus untuk file LOG; ada yang bisa menampilkan isi file berupa nomor kartu kredit langsung pada browser. Terkadang ada pula yang perlu menjalani proses download yang disimpan pada folder temporary yang selanjutnya dibuka menggunakan Notepad. Atau bisa juga didownload sendiri oleh Anda.

Web_store
        Sebenarnya ada banyak aplikasi web store yang digunakan, terutama menggunakan CGI. Teknik yang digunakan berikut ini adalah dengan langsung mengakses dalam directory dengan memanfaatkan syntax Index of.
Syntax: intitle:"Index of" user_carts OR user_cart
Dari situs target yang ditemukan dari hasil pencarian di google.com, saya membuka beberapa diantaranya. sebenarnya di dalam directory tersebut terdapat beberapa informasi menarik, seperti file web_store.cgi, dan directory lainnya. Saya akan fokus pada tujuan kita saja. Dalam bagian Index Of tersebut, pertama-tama saya membuka folder User_carts. Ternyata isinya kosong, berarti bukan folder ini tempat penyimpanan file order.
Cukup hanya dengan menggunakan logika saja, kemungkinan besar lokasi lain yang digunakan adalah folder Admin_files.
        Ternyata dugaan saya benar. File order.log tersimpan dalam folder Admin_files.
Tanpa perlu basa-basi lagi, Anda bisa langsung mendownloadnya. Atau bisa juga ditampilkan langsung di browser. Sayangnya pada beberapa kasus, cara seperti ini malah menimbulkan error alias tidak bisa dibuka. Lebih enak dan lebih aman dengan membuka menggunakan Notepad saja.

CVV2
       Anda masih ingat dengan penjelasan di awal bahwa adanya kode rahasia pada setiap kartu kredit. Kita akan memanfaatkan kode tersebut untuk aktivitas carding. Sebelumnya Anda telah mencoba menggali file LOG, sekarang jenis file yang akan dijajal adalah TXT. Syntax yang saya gunakan di sini sangatlah sederhana:
inurl:cvv2.txt
Tapi hasilnya, sungguh luar biasa. Posisi file cvv2.txt ini bisa berada di mana saja. Saya bahkan menemukan cvv2.txt yang disembunyikan dalam directory images, yang biasanya digunakan untuk file-file gambar. Itulah salah satu trik untuk mengelabui. Misalnya, yang saya temukan adalah:
http://www.situs-target.com/images/cvv2.txt

Order.Log
       Sekarang kita kembali mencari file log yang merupakan instant carding. Sebab, Anda bisa melihat hasil temuan dengan instant tanpa perlu mendownload database. Sebenarnya nama file order.log sudah umum digunakan untuk menyimpan catatan order pembelian. Berikut syntax yang perlu Anda masukkan dalam Google. Syntax:
inurl:order.log
Sewaktu Anda memperoleh target, maka file log langsung tampil di browser. Supaya tampil rapi data yang ada dalam Notepad tersebut dicopy dan paste pada MS-Word. Ini hanya untuk merapikan saja, supaya lebih enak dipandang, bukan berarti nomor kartu kreditnya lebih banyak muncul.

ExploitOrder.log
        Jika di atas adalah metode langsung menemukan file order dan sebagainya, berikut ini saya berikan sebuah exploit pada store CGI. Sebenarnya ada banyak kasus untuk store CGI ini, ada juga yang bisa dilakukan melalui SQL Injection. Tapi di sini saya fokuskan paa menampilkan file log pada browser untuk aktivitas Instant Carding.
Syntax: allinurl:/cgi-bin/store/index.cgi?page=
Dari hasil target yang diperoleh, cobalah membuka satu per satu. Misalnya, di sini saya memperoleh target:
http://www.situs-target.com/cgi-bin/store/index.cgi?page=apa-pun.html
Buanglah string yang terdapat di belakang page=
Maka URL menjadi:
http://www.situs-target.com/cgi-bin/store/index.cgi?page=
Selanjutnya masukkan string berikut, sebagai pengganti string yang dihapus.
../admin/files/order.log
Maka URL-nya menjadi:
http://www.situs-target.com/cgi-bin/store/index.cgi?page=../admin/files/order.log
Selanjutnya kaan tampil daftar order yang berisikan nomor kartu kredit customer.
Bahkan data yang ditampilkan lengkap dengan nomor CVV kartu kredit tersebut.
Sebuah teknik yang hampir sama dengan di atas untuk memperoleh file order.log, yaitu sebuah modus lama yang sudah terkenal, yaitu dengan menggunakan syntax:
shopper.cgi
Lalu pada akhir URL Anda hanya perlu menambahkan string berikut:
&template=order.log

SECURITY TIPS
        Sebenarnya tips ini juga dapat diterapkan pada kasus carding-in database.
Hapus atau gantilah nama file yang sedikit riskan, misalnya: order.log, cvv2.txt, cmd.exe, cart32.exe dan sebagainya.
Simpanlah file-file penjualan yang riskan tersebut pada directory yang susah dijangkau oleh orang lain.
Sebisa mungkin hindari penyimpanan file transaksi dalam bentuk html. Khusus untuk file log, sering-seringlah dihapus supaya tidak kecolongan.
Untuk para user, pesan saya cuma sedikit : WASPADALAH!

CREDIT CARD GENERATOR

       Berhubung saya sempat menyinggung persoalan generator nomor kartu kredit, maka saya akan menjelaskan beberapa hal. Program generator nomor kartu kredit tersebut lebih dikenal dengan sebutan CC thred. Supaya lebih enak, saya lebih menyukai menyebutnya CC Generator. Terkadang dalam kegiatan carding, para pelakunya tidak hanya melakukan pencarian melalui internet, bisa saja dengan memanfaatkan CC Generator untuk mendapatkan nomor yang baru.

        Ada banyak program CC Generator yang beredar. Hal ini bisa terjadi karena konsep kerja CC Generator tersebut adalah menghasilkan nomor-nomor fiktif. Dimana nomor yang dihasilkan bukanlah sederetan nomor sembarangan. Melainkan, hasil perhitungan berdasarkan algoritma.
Terkadang nomor yang dihasilkan oleh CC Generator tersebut gagal digunakan saat transaksi. Hal ini bisa terjadi, sebab saat ini kebanyakan merchant baik juga toko online, tidak hanya melakukan pengecekan berdasarkan algoritma nomor kartu kredit saja. Ada banyak hal lainnya, seperti tanggal berakhir, nama pemilik, nomor CVV dan sebagainya.

        Selain itu kemungkinan pula CC Generator tersebut akan menghasilkan nomor yang sudah tidak aktif lagi. Katakanlah sudah pernah keluar dulunya dan sekarang nomor tersebut sudah mati.
Sebenarnya, saya tidak begitu suka membahas tentang CC Generator ini. Lagi pula saya lebih suka aktivitas tanpa tools. Jadi, Anda pun bisa mencoba menggunakan generator kartu kredit hanya bermodalkan sebuah browser.

Caranya adalah dengan masuk ke situs berikut:

http://www.elfqrin.com/hacklab/pages/discard.php

         Pada tampilan paling atas pada situs tersebut, Anda bisa melakukan validitas mengenai sebuah nomor kartu kredit.
Untuk men-generate sebuah nomor kartu kredit, pertama-tama, tentukan jenis kartu kredit yang akan digenerate tersebut. Kemudian masukkanlah nomor kartu kredit yang valid. Validitas sebuah kartu kredit bisa Anda coba seperti di atas.
Misalnya, nomor yang valid tersebut adalah:
1234567890124567
Gantilah salah satu angka menjadi huruf x.
Misalnya, 1234 5678 9012 45xx, atau 1234 xxxx xxxx xxxx. Banyaknya huruf x terserah kepada Anda. Hal ini bertujuan supaya program tersebut mengubah huruf x tersebut menjadi angka yang sesuai. Begitu gampang bukan.
 

  MENGAKALI CVV

         Pada bagian sebelumnya, Anda sudah bermain-main dengan angka-angka atau nomor kartu kredit itu sendiri. Sekarang saatnya mempermainkan angka-angka atau nomor CVV. Berikut ini akan saya jelaskan mengenai bagaimana cara yang digunakan oleh para carder untuk mengetahui CVV dari sebuah nomor kartu kredit. Hal ini sangat penting sekali, sebab peranan CVV sangatlah besar berhubungan dengan kartu kredit. Sebelum itu, saya ingin menunjukkan sebuah tools yang bernama Crack CVV2. Tools ini dibuat oleh J4mbi H4ck3r.

     Misalnya saja nomor yang diisikan pada software tool crack CVV2 adalah 5444605876165920. Nomor tersebut hanyalah contoh. Dengan menekan tombol Generated maka akan muncul nilai CVV2 yang dicari. Nilai CVV2nya adalah 865.
Sudah saya katakan, kebanyakan dari tools sejenis memberikan nomor CVV yang tidak akurat. Setelah saya bandingkan hasil generate dari tool crack CVV2 tersebut dengan CVV yang asli dari kartu kredit yang saya contohkan tadi, ternyata nomor CVVnya berbeda. Walau demikian, nomor-nomor tersebut yang "tidak tepat", tetapi ternyata masih bisa diterima sebagai validasi. Hal ini saya coba dengan melakukan validitas sebuah kartu kredit yang caranya telah saya jelaskan di bagian awal tadi.

      Untuk menunjukkan ketidakvalidan, nomor CVV tersebut, sekarang saya mencoba untuk mengganti dua digit terakhir dari nomor di atas menjadi 5444605876165925. Nomor CVV2 yang dihasilkan tetaplah sama 865. Berhubung walau salah seperti itu, tetapi masih tetap dapat diterima oleh situs di internet. Saya akan menunjukkan cara kerjanya.
Alasan saya mengapa saya memilih tools tersebut sebagai contoh. Hal ini karena metode atau cara kerja yang akan saya jelaskan adalah sama. Hanya saja di sini saya menggunakannya berdasarkan rumus, bukan sebuah program.

       Cara kerja yang pertama, bagaimana cara mengetahui bahwa jenis kartu tersebut adalah MasterCard (MasterC pada gambar).
"Ya, iyalah. Bisa ditebak."
Kan sebelumnya, Anda sudah mengetahui mengenai prefix. Nomor yang diawali dengan angka 5 adalah MasterCard. Dan nomor yang diawali dengan angka 4 adalah Visa. Gampang bukan.
Sekarang cara untuk mengetahui nomor CVV2. Rumusnya adalah:
Digit ke-8 Digit ke-12 (Digit ke-3 1)
Dari nomor 5444605876165920
Digit ke-8 adalah 8
Digit ke-12 adalah 6
Digit ke-3 adalah 4 1 = 5
Maka CVV2-nya adalah 865

       Dari rumus tersebut terjawab sudah; mengapa pada saat dua digit terakhir diganti nomor CVV2 tidak berubah. Hal ini karena dalam rumus hanya menghitung digit ke-8, ke-12, dan digit ke-13. Sedangkan digit ke-15 dan digit ke-16 tidak tersentuh.
Dibandingkan dengan tools di atas yang hanya menggunakan satu rumus saja. Sebagai tambahan, apabila menggunakan rumus di atas, CVV-nya ditolak. Anda masih dapat mencoba menggunakan rumus berikut: Digit ke-7 Digit ke-13 (Digit ke-3 1).

        Cara perhitungannya tetaplah sama. Siapa tahu berhasil.
Ingat, metode tersebut hanyalah sebuah metode. Jujur saja, saya sendiri tidak tahu rumus maupun algoritma yang benar-benar digunakan oleh lembaga finansial. Namun, setidaknya metode di atas adalah salah satu metode yang digunakan oleh para carder.

        Buktinya, walaupun tidak sesuai dengan nomor CVV yang asli (saya coba menggunakan kartu kredit yang asli). Saat melakukan validitas di internet tetap dapat diterima. Walaupun rumus tersebut tidak tepat 100% masih banyak saja toko online di internet yang mau menerima. Jadi, walaupun "salah-salah" begitu, masih bisa digunakan.
Sekali lagi ingat, kedua rumus tersebut tidak menjami kevalidan CVV sebuah kartu kredit. Walau demikian, masih tetap layak untuk dicoba. Iseng-iseng berhadiah.

KONVENSIONAL CARDING