Serangan Terhadap Aplikasi Berbasis Web

Catatan:

Tugas kuliah ini cuma untuk pembelajaran, situs tidak dieksploitasi lebih lanjut, hanya untuk mengetahui kelemahannya saja. Mungkin situs ini sekarang sudah di-patch oleh sang admin.

Belakangan ini serangan melalui network mulai berkurang dikarenakan dengan kemajuan teknologi sekarang telah banyak update-update mengenai sekuritas jaringan, maupun semakin banyaknya admin yang memahami mengenai keamanan jaringan.Dikarenakan serangan melalui network mulai berkurang maka para hacker memanfaatkan sisi lain kelemahan dari sistem yaitu :

1. Kelemahan dari sisi manusianya (social engineering);

2. Aplikasi

Masalah social engineering telah dituangkan ke dalam Tugas 1 Mata Kuliah Keamanan Informasi Lanjut, selanjutnya Tugas 2 mata kuliah Keamanan Informasi Lanjut kali ini adalah mencari situs web Indonesia yang rentan terhadap dua serangan yaitu:

1. Input dengan karakter panjang;

2. Memasukan karakter yang biasanya digunakan SQL (SQL Injection).

Pertama-tama yang harus dilakukan adalah mencari target. Biasanya yang menjadi target adalah situs yang memiliki kotak dialog login user yang merupakan akses ke database. Mari kita gunakan mesin pencari, dalam hal ini saya menggunakan google.

Beberapa keyword untukoptimasi pencarian:

"\admin.asp"

"\login.asp"

"\logon.asp"

"\adminlogin.asp"

"\adminlogon.asp"

"\admin_login.asp"

"\admin_logon.asp"

untuk contoh diatas buat server yang menggunakan Active Server Pages (ASP), anda dapat menggantinya dengan PHP Hypertext Processor (PHP).

Sedikit tips untuk anda, biasanya situs yang rentan adalah milik pemerintah dan pilih yang menggunakan server ASP jika ada yang menggunakan PHP biasanya mereka menggunakan CMS (Contents Management System) yang lebih secure.

Untuk membatasi pencarian hanya situs yang memiliki domain Indonesia anda dapat menggunakan keyword tambahan pada pencarian anda dengan site:go.id atau site:web.idatau site:net.id dan lainnya.

Berikut screenshot dari pencariannya.

Gambar 1. Screenshot pencarian target

Setelah mendapatkan target maka kita coba serangan yang pertama yaitu menggunakan jumlah karakter yang banyak/panjang.

Gambar 2. Injeksi menggunakan karakter panjang

Gambar 3. Hasil serangan dengan mengunakan karakter panjang.

Ternyata tidak membawa hasil karena input dialog pada web site ini membatasi jumlah karakter input sejumlah 10 karakter. Sekarang kita coba dengan menginjeksikan karakter yang biasanya dipakai oleh SQL (SQL Injection) karakter yang biasa digunakan di SQL ', %, --

Gambar 4. Injeksi dengan salah satu karakter SQL

Gambar 5. Hasil input character SQL

Dari screenshot diatas dapat kita ketahui bahwa web site www.ekonomi.lipi.go.id menggunakan server ASP (Active Server Pages) dengan database Microsoft Access. Dari pesan error diatas juga dapat diketahui bahwa dalam database Microsoft Access yang digunakan terdapat table bernama user dengan field userid dan nop. Diasumsikan bahwa field nop yang digunakan sebagai password adalah nomor pegawai.

Serangan ini hanya untuk mengecek kelemahan aplikasi web site, tapi bisa dimungkinkan dengan kelemahan ini serangan sql injection dapat ditingkatkan untuk mengintrusi database aplikasi web.

.