SKRIPSIrepository.uinjkt.ac.id/dspace/bitstream/123456789/48282...skripsi ini. Shalawat serta salam...

SKRIPSI

PENETRATION TESTING TERHADAP WEBSITE ASOSIASI

PEKERJA PROFESSIONAL INFORMASI SEKOLAH INDONESIA

(APISI)

Sebagai Salah Satu Syarat untuk Memperoleh Gelar Sarjana Komputer

Fakultas Sains dan Teknologi

Universitas Islam Negeri Syarif Hidayatullah Jakarta

Disusun Oleh :

MUHAMMAD SUBAGJA SASTRA WARDAYA

1112093000046

PROGRAM STUDI SISTEM INFORMASI

FAKULTAS SAINS DAN TEKNOLOGI

UNIVERSITAS ISLAM NEGERI SYARIF HIDAYATULLAH

JAKARTA

2019 / 1440

1

SKRIPSI



(APISI)




Disusun Oleh :


1112093000046




JAKARTA

2019 / 1440 H

ii

SKRIPSI



(APISI)




Disusun Oleh :


1112093000046




JAKARTA

2019 / 1440 H

vi

ABSTRAK

MUHAMMAD SUBAGJA SASTRA WARDAYA – 1112093000046,

Penetration Testing terhadap Website Asosiasi Pekerja Professional Informasi

Sekolah Indonesia (APISI) di bawah bimbingan A’ANG SUBIYAKTO dan

NIDA’UL HASANATI.

Asosiasi Pekerja Profesional Informasi Sekolah Indonesia (APISI) adalah

lembaga mandiri non profit yang melakukan usaha pengembangan

kepustakawanan sekolah dan berfokus pada pengembangan kompetensi,

penyebarluasan informasi, dan partisipasi berbagai pihak dalam peningkatan

kualitas perpustakaan sekolah di Indonesia. Sebagai Asosiasi yang ingin

memberikan pelayanan terbaik, APISI terus berkembang hingga saat ini dan telah

mengimplementasikan sistem informasi di dalam pelayanannya. Adapun layanan

yang diberikan yakni Portal sebagai media informasi APISI dan Open Access

Public Cataloge (OPAC) sebagai sarana yang dapat memenuhi kebutuhan

pelayanan perpustakaan seperti pencatatan anggota, sirkulasi peminjaman serta

pengembalian dan akses file digital. Dalam hal keamanannya, pernah terkena

serangan siber sehingga tidak bisa diakses dan suatu saat bisa saja mengekspos

data-data pribadi karena gagal menjaga confidentiality, terjadi modifikasi data

oleh pihak yang tidak bertanggung jawab karena gagal menjaga integrity, sistem

menjadi down karena gagal menjaga availability. Tujuan penelitian ini adalah

melakukan pengujian, menganalisis, mengukur serta memberikan rekomendasi

terhadap kerentanan yang ditemukan berdasarkan konsep keamanan sistem

informasi yaitu Confidentiality, Integrity dan Availability. Metode pengujian

yang digunakan dalam penelitian ini adalah Zero Entry Hacking (ZEH) dengan

penetration testing tools seperti NMAP, OWASP ZAP, uniscan, dan acunetix

dan hasilnya diukur menggunakan Common Vulnerability Scoring System

(CVSS). Hasil dari penelitian ini adalah dapat diketahui bahwa website APISI

memiliki 41 kerentanan yang dapat dieksploitasi. Dari 41 kerentanan tersebut

ada 2 yang masuk kategori Critical dan 9 yang masuk kategori High sehingga

perlu segera diperbaiki dan secara keseluruhan berada tingkat kerentanan 6.6

yang merupakan kategori tingkat menengah.

Kata Kunci : Keamanan Sistem Informasi, Asosiasi, Perpustakaan, SLIMS,

Wordpress , Zero Entry Hacking.

xx Halaman + V Bab + 273 Halaman + cxxxiii Gambar + xix Tabel Pustaka + 36

Pustaka + 11 Lampiran

Pustaka Acuan (2005-2018)

vii

KATA PENGANTAR

Puji dan syukur kehadirat Allah SWT yang telah memberikan rahmat

serta hidayah-Nya, Sang Maha Kehendak sehingga penulis dapat merampungkan

skripsi ini. Shalawat serta salam semoga selalu tercurah kepada suri tauladan kita,

Rasulullah Muhammad SAW yang telah memberikan tuntunan dan petunjuk

kepada umat manusia.

Peneliti sangat menyadari skripsi ini masih jauh dari kata sempurna.

Namun demikian penulis berharap skripsi ini dapat memenuhi persyaratan guna

memperoleh gelar sarjana (S-1) dalam bidang Sistem Infromasi dari Fakultas

Sains dan Teknologi UIN Syarif Hidayatullah Jakarta.

Skripsi yang berjudul “Penetration Testing terhadap Website Asosiasi

Pekerja Professional Informasi Sekolah Indonesia (APISI)”, akhirnya dapat

diselesaikan sesuai dengan harapan penulis. Selama penyusunan skripsi ini

tentunya ada banyak kesulitan dan hambatan yang penulis hadapi, baik dalam

pengumpulan bahan dan lain sebagainya. Namun berkat kesungguhan hati dan

bantuan dari berbagai pihak, sehingga kesulitan tersebut dapat diatasi.

Pada kesempatan ini penulis juga hendak mengucapkan terima kasih

kepada pihak-pihak yang telah membantu memberikan dukungan, bimbingan,

viii

bantuan kepada saya selama melakukan riset skripsi dan proses penyelesaian

skripsi ini. Secara khusus saya ucapkan terima kasih kepada:

1. Ibu Prof. Dr. Hj.Amany Burhanuddin Umar Lubis, M.A selaku Rektor UIN

Syarif Hidayatullah Jakarta.

2. Ibu Prof. Dr. Lily Surraya Eka Putri, M.Env.Stud selaku Dekan Fakultas Sains

dan Teknologi, Universitas Islam Negeri Syarif Hidayatullah Jakarta.

3. Bapak A’ang Subiyakto, M.Kom, Ph.D selaku Ketua dan Ibu Nida’ul Hasanati

S.T MMSI selaku Wakil Program Studi Sistem Informasi periode 2019-2023

dan Ibu Nia Kumaladewi, MMSI selaku Ketua dan Ibu Meinarini Catur Utami,

M. T selaku Wakil Program Studi Sistem Informasi periode sebelumnya,

Fakultas Sains dan Teknologi, Universitas Islam Negeri Syarif Hidayatullah

Jakarta.

4. Bapak A’ang Subiyakto, M.Kom selaku Dosen Pembimbing I yang secara

disiplin serta kooperatif telah memberikan ilmu dan membimbing peneliti

dengan sabar serta membantu secara teknis dan non teknis dalam penyusunan

skripsi ini.

5. Ibu Nida’ul Hasanati, S.T M.MSi selaku Dosen Pembimbing II yang telah

banyak membantu serta dan memberikan dukungan secara teknis dan non

teknis dalam penyusunan skripsi ini.

ix

6. Bapak Achmad Sofyan, S.Fil selaku Staf APISI dan bertindak sebagai

pembimbing lapangan yang telah membantu memberikan saran masukan

kepada peneliti.

7. Karyawan APISI yang telah membantu memberikan saran masukan kepada

peneliti.

8. Dosen-dosen Program Studi Sistem Informasi yang telah memberikan ilmu

selama penulis duduk di bangku perkuliahan.

9. Orang tua tersayang, Ayahanda H. Komar Siswanto dan Ibunda Hj. Titin

Sumiati yang telah mendidik, menyayangi, memberikan dukungan, semangat

dan doa restu.

10. Terima kasih juga kepada kakak dan adik kelas serta teman seperjuangan

program studi Sistem Informasi yang selalu mendukung dan menyemangati

penulis dalam penyusunan skripsi. Terima kasih.

Terima kasih atas segala bantuan dari semua pihak, penulis mendo’akan

semoga Allah SWT membalas semua kebaikan yang telah diberikan oleh semua

pihak dan semoga skripsi ini dapat bermanfaat bagi para pembaca dan

mengembangkan karya selanjutnya.

Jakarta, Mei 2019


1112093000046

x

DAFTAR ISI

LEMBAR PENGESAHAN ....................................................................................... iii

PENGESAHAN UJIAN ............................................................................................. iv

PERNYATAAN ........................................................................................................... v

ABSTRAK .................................................................................................................. vi

KATA PENGANTAR ............................................................................................... vii

DAFTAR ISI ................................................................................................................ x

DAFTAR TABEL..................................................................................................... xiv

DAFTAR GAMBAR ................................................................................................. xv

BAB I ............................................................................................................................ 1

PENDAHULUAN ........................................................................................................ 1

1.1 Latar Belakang................................................................................................ 1

1.2 Identifikasi Masalah ....................................................................................... 7

1.3 Rumusan Masalah .......................................................................................... 7

1.4 Batasan Masalah ............................................................................................. 8

1.5 Tujuan Penelitian ............................................................................................ 9

1.6 Manfaat Penelitian .......................................................................................... 9

1.7 Metodologi Penelitian .................................................................................. 11

1.7.1 Pengumpulan Data ................................................................................ 11

1.7.2 Pengujian dan Analisis .......................................................................... 12

1.8 Sistematika Penulisan ................................................................................... 12

BAB II ........................................................................................................................ 14

LANDASAN TEORI ................................................................................................. 14

2.1 Konsep Dasar Sistem .................................................................................... 14

2.1.1 Pengertian Sistem .................................................................................. 14

2.1.2 Karakteristik Sistem .............................................................................. 15

xi

2.2 Konsep Dasar Informasi ............................................................................... 18

2.2.1 Pengertian Informasi ............................................................................. 18

2.2.2 Kualitas Informasi ................................................................................. 19

2.3 Konsep Dasar Keamanan Sistem Informasi ................................................. 21

2.3.1 Konsep Dasar Keamanan ...................................................................... 21

2.3.2 Pengertian Keamanan Sistem Informasi ............................................... 23

2.3.3 Tipe-tipe Ancaman Keamanan .............................................................. 26

2.3.4 Kerentanan Sistem ................................................................................ 28

2.3.5 Vulnerability Assesment dan Penetration Testing................................. 36

2.4 Common Vulnerability Scoring System (CVSS) ........................................... 40

2.4.1 Pengertian Common Vulnerability Scoring System (CVSS) .................. 40

2.4.2 Common Vulnerability Scoring System (CVSS) Metrics and Metric

Groups ................................................................................................... 42

2.4.3 Pengertian Jaringan Komputer .............................................................. 66

2.4.4 Klasifikasi Jaringan Komputer .............................................................. 67

2.4.5 Protokol Jaringan .................................................................................. 71

2.5 Internet .......................................................................................................... 77

2.6 Konsep Web .................................................................................................. 78

2.7 Content Management System (CMS) ........................................................... 79

2.7.1 Wordpress ............................................................................................. 79

2.8 Pengujian Software ....................................................................................... 80

2.8.1 Teknik Pengujian Software ................................................................... 80

2.9 Perpustakaan ................................................................................................. 83

2.9.1 Pengertian Perpustakaan ....................................................................... 83

2.9.2 Pengertian OPAC (Online Public Access Catalogue) ........................... 84

2.9.3 Tujuan OPAC ........................................................................................ 84

2.9.4 Senayan Library Management System (SLIMS) .................................. 85

2.10 Pengujian dan Analisis.............................................................................. 86

2.10.1 Zero Entry Hacking (ZEH) ................................................................... 86

xii

2.10.2 Tahapan ZEH ........................................................................................ 86

2.11 Metodologi Penelitian ............................................................................... 92

2.11.1 Metode Pengumpulan Data ................................................................... 92

BAB III ....................................................................................................................... 94

METODE PENELITIAN ......................................................................................... 94

3.1 Metode Pengumpulan Data .......................................................................... 94

3.1.1 Observasi ............................................................................................... 94

3.1.2 Wawancara ............................................................................................ 95

3.1.3 Studi Literatur ....................................................................................... 95

3.2 Pengujian dan Analisis ............................................................................... 100

3.2.1 Roadmap Penelitian ............................................................................ 100

3.2.2 Pengintaian Sistem (Reconnaisance) .................................................. 102

3.2.3 Pemindaian (Scanning) ....................................................................... 103

3.2.4 Eksploitasi Celah Kerentanan (Exploitation) ...................................... 104

3.2.5 Pasca Eksploitasi dan Mempertahankan Akses (Post Exploitation and

Maintaining Access) .......................................................................................... 105

3.3 Kerangka Penelitian.................................................................................... 105

BAB IV ..................................................................................................................... 107

HASIL DAN PEMBAHASAN ............................................................................... 107

4.1 Profil Institusi ............................................................................................. 107

4.1.1 APISI ................................................................................................... 107

4.1.2 Sejarah ................................................................................................. 108

4.1.3 Visi dan Misi ....................................................................................... 108

4.1.4 Program-program APISI ..................................................................... 109

4.1.5 Struktur Organisasi.............................................................................. 112

4.2 Pembahasan ................................................................................................ 113

4.2.1 Pengintaian (Reconnaissance) ............................................................ 113

4.2.2 Pemindaian (Scanning) ....................................................................... 160

4.2.3 Eksploitasi Celah Kerentanan (Exploitation) ...................................... 198

xiii

4.2.4 Post Exploitation and Maintaining Access ......................................... 251

BAB V ....................................................................................................................... 267

KESIMPULAN DAN SARAN ............................................................................... 267

5.1 Kesimpulan ................................................................................................. 267

5.2 Saran ........................................................................................................... 268

DAFTAR PUSTAKA .............................................................................................. 270

LAMPIRAN – LAMPIRAN ................................................................................... 273

xiv

DAFTAR TABEL

Tabel 2.1 Attack Vector (FIRST, 2019) ...................................................................... 43

Tabel 2.22 Well Known Ports (Tanenbaum & Wetherall, 2011) ................................ 77

Tabel 3.1 Studi Literatur ............................................................................................. 97

Tabel 4.1 Ports yang Terbuka ................................................................................... 162

Tabel 4.2 Hasil Pemindaian OWASP ZAP terhadap http://apisi.org........................ 164

Tabel 4.3 Hasil Pemindaian OWASP ZAP terhadap http://opac.apisi.org ............... 167

Tabel 4.4 Hasil Pemindaian UNISCAN terhadap http://apisi.org ............................ 170

Tabel 4.5 Hasil Pemindaian UNISCAN terhadap http://opac.apisi.org .................... 170

Tabel 4.6 Hasil Acunetix terhadap http://opac.apisi.org ........................................... 186

Tabel 4.7 Hasil Gabungan Pemindaian terhadap http://apisi.org .............................. 190

Tabel 4.8 Hasil Gabungan Pemindaian terhadap http://opac.apisi.org ..................... 196

Tabel 4.9 Hasil Pengkuran Kerentanan terhadap http://opac.apisi.org .................... 247

Tabel 4.10 Hasil Pengujian http://apisi.org dari Kegagalan Confidentiality ............ 252

Tabel 4.11 Hasil Pengujian http://apisi.org dari Kegagalan Integrity ....................... 257

Tabel 4.12 Hasil Pengujian http://apisi.org dari Kegagalan Availability .................. 259

Tabel 4.13 Hasil Pengujian http://opac.apisi.org dari Kegagalan Confidentiality .... 260

Tabel 4.14 Hasil Pengujian http://opac.apisi.org dari Kegagalan Integrity .............. 262

Tabel 4.15 Hasil Pengujian http://apisi.org dari Kegagalan Availability .................. 265

Tabel 4.16 Skor Akhir Tingkat Kerentanan APISI ................................................... 266

xv

DAFTAR GAMBAR

Gambar 1.1 Serangan Awal pada Web APISI (APISI, 2018) ....................................... 4

Gambar 1.2 Overload Hosting APISI (APISI, 2018) ................................................... 5

Gambar 1.3 Akun APISI terkena Suspend (APISI, 2018) ............................................ 6

Gambar 2.1 Karakteristik Sistem (Sutabri, 2012) ....................................................... 18

Gambar 2.2 Kualitas Informasi (Jogiyanto, 2008) ...................................................... 20

Gambar 2.3 Parameter Keamanan (Simamarta, 2006)................................................ 23

Gambar 2.4 The CIA Triad (Solomon & Chapple, 2009) ........................................... 24

Gambar 2.5 Interupsi (Simamarta, 2006) .................................................................... 26

Gambar 2.6 Intersepsi (Simamarta, 2006) .................................................................. 27

Gambar 2.7 Modifikasi (Simamarta, 2006) ................................................................ 27

Gambar 2.8 Fabrikasi (Simamarta, 2006) ................................................................... 28

Gambar 2.9 Konfigurasi Bluetooth PAN (Tanenbaum & Wetherall, 2011)............... 67

Gambar 2.10 Wired LAN (Tanenbaum & Wetherall, 2011) ...................................... 68

Gambar 2.11 Wireless LAN (Tanenbaum dan Wetherall, 2011)................................ 69

Gambar 2.12 MAN berbasis TV Kabel (Tanenbaum & Wetherall, 2011) ................. 69

Gambar 2.13 WAN yang menghubungkan tiga kantor cabang di Australia (Tanenbaum

& Wetherall, 2011) .................................................................................................... 70

Gambar 2.14 Model Refrensi OSI (Stallings, 2007) ................................................... 74

Gambar 2.15 Model TCP/IP (Kozierok, 2005) ........................................................... 76

Gambar 2.16 Tahapan-tahapan ZEH (Engebretson, 2013). ........................................ 86

Gambar 2.17 Google Hacking Database (Engebretson, 2013)................................... 89

Gambar 4.1 Struktur Organisasi ................................................................................ 113

Gambar 4.2 Pengintaian Menggunakan Who is ........................................................ 114

Gambar 4.3 The Harvester ........................................................................................ 115

Gambar 4.4 Hasil Pengintaian Whatweb .................................................................. 116

xvi

Gambar 4.5 Hasil Pengintaian CXSecurity Wordpress 4.7.13 ................................. 117

Gambar 4.6 Hasil Pengintaian CXSecurity Arbitrary File Upload .......................... 118

Gambar 4.7 Hasil Pengintaian CXSecurity Cross Site Scripting .............................. 118

Gambar 4.8 Daftar Dork Wordpress dalam Google Hacking Database ................... 119

Gambar 4.9 Daftar Dork Wordpress dalam Google Hacking Database ................... 120

Gambar 4.10 Dorking WP Backup Plus .................................................................... 121

Gambar 4.11 Dorking WP-Json ................................................................................ 121

Gambar 4.12 Dorking Wordpress Certifficates ........................................................ 122

Gambar 4.13 Dorking Database Back Up ................................................................ 122

Gambar 4.14 Dorking WPSC .................................................................................... 123

Gambar 4.15 Dorking Woocommerce E-mails ......................................................... 124

Gambar 4.16 Dorking SEO Pressor .......................................................................... 124

Gambar 4.17 Dorking Private Uploads .................................................................... 125

Gambar 4.18 Dorking Intext CSS .............................................................................. 125

Gambar 4.19 Dorking Wordpress Back it up ............................................................ 126

Gambar 4.20 Dorking Hide My Wordpress .............................................................. 127

Gambar 4.21 Dorking Json Configuration................................................................ 127

Gambar 4.22 Dorking Wp-Config ............................................................................. 128

Gambar 4.23 Dorking Back up WP Config ............................................................... 129

Gambar 4.24 Dorking Wp-Config.php ...................................................................... 129

Gambar 4.25 Dorking Back Up.txt ............................................................................ 130

Gambar 4.26 Dorking WP13.txt ................................................................................ 131

Gambar 4.27 Dorking WP Clone Backup ................................................................. 131

Gambar 4.28 Dorking DB_PASSWORD ................................................................... 132

Gambar 4.29 Dorking Password Filetype:XLS ......................................................... 133

Gambar 4.30 Dorking Backup WP-Content .............................................................. 133

Gambar 4.31 Dorking User WP-Json ....................................................................... 134

Gambar 4.32 Dorking Ai1wm Backup ...................................................................... 135

Gambar 4.33 Dorking MC4WP-debug.log................................................................ 135

xvii

Gambar 4.34 Dorking Wp-links-opml.php ................................................................ 136

Gambar 4.35 Dorking Wp-security audit.log ............................................................ 137

Gambar 4.36 Dorking File Manager Log ................................................................. 137

Gambar 4.37 Dorking API Twitter ............................................................................ 138

Gambar 4.38 Dorking Admin Ajax ............................................................................ 139

Gambar 4.39 Dorking Wp-users ............................................................................... 140

Gambar 4.40 Dorking Semua Log ............................................................................ 140

Gambar 4.41 Dorking Debug.log .............................................................................. 141

Gambar 4.42 Dorking Wp-users ............................................................................... 142

Gambar 4.43 Dorking Backup Buddy ....................................................................... 142

Gambar 4.44 Dorking Userpro ................................................................................. 143

Gambar 4.45 Dorking Admin-Ajax.php .................................................................... 144

Gambar 4.46 Dorking File SQL ................................................................................ 144

Gambar 4.47 Dorking File Dump.sql ........................................................................ 145

Gambar 4.48 Dorking WP-Config.txt ....................................................................... 145

Gambar 4.49 Dorking Wp-login.php ......................................................................... 146

Gambar 4.50 Dorking Shell.php................................................................................ 147

Gambar 4.512 Dorking WP-DB-Backup.php ............................................................ 149

Gambar 4.52 Dorking Setup-Config.php .................................................................. 149

Gambar 4.53 Dorking SQL WP_Users ..................................................................... 150

Gambar 4.54 Dorking WP-Mobile-Detector ............................................................. 151

Gambar 4.55 Dorking WPTF-Image-Gallery ........................................................... 151

Gambar 4.56 Dorking Inboundio Marketing ............................................................ 152

Gambar 4.57 Dorking Post.php ................................................................................ 153

Gambar 4.58 Dorking Revslider_Ajax_Action .......................................................... 153

Gambar 4.59 Dorking Age Verification .................................................................... 154

Gambar 4.60 Dorking WP-Content Error Log ......................................................... 155

Gambar 4.61 Dorking Dew-NewPHPLinks .............................................................. 155

Gambar 4.62 Dorking WP-Shopping-Cart ................................................................ 156

xviii

Gambar 4.63 Dorking Fgallery ................................................................................. 157

Gambar 4.64 Dorking Register Username Password ............................................... 157

Gambar 4.65 Dorking ST_Newsletter ....................................................................... 158

Gambar 4.66 Dorking WPCeasy ............................................................................... 159

Gambar 4.67 Dorking Register Username Password Wordpress 2.x ....................... 159

Gambar 4.68 Dorking DBCache ............................................................................... 160

Gambar 4.69 Remote OS Command Injection http://apisi.org .................................. 199

Gambar 4.70 Path Traversal http://apisi.org ............................................................ 200

Gambar 4.71 Cross Site Scripting (XSS) http://apisi.org ......................................... 201

Gambar 4.72 X-Frame-Options Header Not Set ....................................................... 202

Gambar 4.73 Application Error Disclosure http://apisi.org ..................................... 202

Gambar 4.74 Web Browser XSS Protection Not Enabled http://apisi.org ............... 203

Gambar 4.75 X-Content-Type-Options Header Missing http://apisi.org .................. 204

Gambar 4.76 Cookie no HTTP Only Flag Set http://apisi.org .................................. 204

Gambar 4.77 WordPress Plugin NextGEN Gallery-WordPress ............................... 205

Gambar 4.78 WordPress Plugin NextGEN Gallery-WordPress Gallery SQL Injection

(2.1.77) ...................................................................................................................... 206

Gambar 4.79 WordPress Plugin NextGEN Gallery-WordPress Gallery Local File

Inclusion (2.1.56) ...................................................................................................... 207

Gambar 4.80 WordPress Plugin NextGEN Gallery-WordPress Gallery Security Bypass

(3.1.6) ........................................................................................................................ 208

Gambar 4.81 WordPress Plugin NextGEN Gallery-WordPress Gallery Cross-Site

Scripting .................................................................................................................... 209

Gambar 4.82 WordPress Plugin NextGEN Gallery-WordPress Gallery PHP Object

Injection (3.1.5) ......................................................................................................... 210

Gambar 4.83 WordPress Plugin Yoast SEO Possible Remote Code Execution (9.1.0)

................................................................................................................................... 212

Gambar 4.84 WordPress Plugin bbPress SQL Injection (2.5.14) ............................. 213

Gambar 4.85 WordPress Plugin bbPress Cross-Site Scripting (2.5.8)..................... 214

xix

Gambar 4.86 WordPress Plugin Jetpack by WordPress.com Multiple Vulnerabilities

(3.7.0) ........................................................................................................................ 215

Gambar 4.87 WordPress Plugin A Page Flip Book 'pageflipbook_language' Parameter

Local File Include (2.3)............................................................................................. 216

Gambar 4.88 WordPress Plugin Redirection Local File Inclusion (2.7.3) ............... 216

Gambar 4.89 WordPress Plugin Events Calendar 'ec_management.class.php' Cross-

Site Scripting (6.7.11) ............................................................................................... 217

Gambar 4.90 WordPress Plugin Redirection PHP Object Injection ........................ 218

Gambar 4.91 WordPress Plugin The Events Calendar Open Redirect (4.1.1) ......... 219

Gambar 4.92 Brute Force Attack http://apisi.org ...................................................... 220

Gambar 4.93 WordPress admin accessible without HTTP authentication ............... 221

Gambar 4.94 WordPress user registration enabled .................................................. 222

Gambar 4.95 Password type input with auto-complete enabled ............................... 223

Gambar 4.96 Microsoft Frontpage configuration information ................................. 224

Gambar 4.97 Cookie(s) without Secure Flag Set http://apisi.org.............................. 224

Gambar 4.98 Readme.html http://apisi.org ............................................................... 225

Gambar 4.99 X-Content-Security-Policy http://apisi.org ......................................... 227

Gambar 4.100 Vulnerable Javascript library http://apisi.org ................................... 228

Gambar 4.101 Cross Site Scripting (XSS) http://opac.apisi.org ................................ 236

Gambar 4.102 SQL Injection http://opac.apisi.org ................................................... 237

Gambar 4.103 Remote OS Command Injection http://opac.apisi.org ....................... 238

Gambar 4.104 X-Frame-Options Header Not Set http://opac.apisi.org ................... 239

Gambar 4.105 Parameter Tampering ....................................................................... 239

Gambar 4.106 Web Browser XSS Protection Not Enabled ....................................... 240

Gambar 4.107 X-Content-Type-Options Header Missing http://opac.apisi.org ........ 241

Gambar 4.108 Cookie no HTTP Only Flag Set http://opac.apisi.org........................ 241

Gambar 4.109 Application Error Message ............................................................... 242

Gambar 4.110 Cookie(s) without Secure Flag Set .................................................... 243

xx

Gambar 4.111 Content Security Policy (CSP) not Implemented http://opac.apisi.org

................................................................................................................................... 244

Gambar 4.112 Vulnerable Javascript library http://opac.apisi.org .......................... 246

Gambar 4.113 backdoor dengan menggunakan weevely, yang di upload ke dalam

http://opac.apisi.org ................................................................................................... 251

1

BAB I

PENDAHULUAN

1

1.1 Latar Belakang

Keamanan sistem informasi menjadi suatu hal yang sangat penting. Salah

satu indikator yang dapat terlihat adalah banyaknya serangan yang terjadi. Badan

Siber dan Sandi Negara (BSSN) yang bekerja sama dengan Indonesian Honeynet

Project (IHP) mencatat terdapat 12.895.554 jumlah total serangan siber dan

513.863 jumlah total serangan malware dengan sumber serangan tertinggi

berasal dari Rusia, Tiongkok dan Amerika Serikat yang diambil rentang waktu

Januari 2018 sampai dengan Desember 2018 yang dideteksi menggunakan 22

sensor aktif tersebar di 6 sampai 9 provinsi di Indonesia (BSSN, 2019). Contoh

serangan siber paling umum adalah malicious codes, viruses, worms dan

trojans, malware, malicious insiders, stolen devices, phishing, social

engineering dan serangan berbasis web (Bendovschi, 2015). Adapun contoh

serangan berbasis web secara umum yang paling sering dilancarkan, seperti

Structured Query Langueage (SQL) Injection, Distributed Denial of Service

(DDoS), Cross Site Scripting (XSS), Defacement, Account Hijacking, dan

Malware (Kaur dan Kaur, 2016).

Dengan mengetahui jenis dan jumlah serangan yang terjadi, maka

keamanan sistem informasi perlu menjadi perhatian berbagai pihak. Adapun

2

pihak yang sering terkena serangan siber yaitu Pemerintahan, Lembaga

Keuangan, Berita, Edukasi, Software dan Video Games, Kesehatan, e-commerce,

Jejaring Sosial, Perjalanan Tur dan Hiburan Daring. (Kaur dan Kaur, 2016).

Meskipun penyerang lebih sering melakukan penyerangan kepada Lembaga

Pemerintahaan, Keuangan dan Berita, bukan berarti lembaga sosial seperti

asosiasi menjadi aman dari serangan siber. Asosiasi Pekerja Profesional

Informasi Sekolah Indonesia (APISI) yang memanfaatkan aplikasi berbasis web

sebagai media untuk mempromosikan seminar, kelas pendek. workshop juga

mengalami serangan siber. Histori dari penyerangan tersebut, dapat diketahui

dari salah satu situs arsip defacement, yaitu http://zone-h.org Zone-h adalah arsip

yang berisi mirror dari sebagian besar situs web yang diretas. (Dadkhah et al.,

http://zone-h.org/

3

2016). Berikut arsip serangan yang telah dilancarkan terhadap APISI :

Gambar 1.1 Arsip Serangan terhadap APISI (Zone-H, 2019)

Dari Zone-h dapat diketahui bahwa APISI telah terena serangan siber

berbasis web yakni web defacement. Serangan diawali pada tanggal 06 Oktober

2013 oleh S:6T_i-#07 pada portal http://apisi.org dan selanjutnya pada 22 April

2016 kembali terjadi web defacement oleh KingSkrupellos pada sistem informasi

perpustakaan http://opac.apisi.org dan sisanya terjadi web defacement ulang

dengan penyerang yang berbeda. Serangan lainnya muncul dengan

teregistrasinya akun pengguna palsu secara acak yang dapat diketahui melalui

notfikasi e-mail.

http://apisi.org/

http://opac.apisi.org/

4

Gambar 1.1 Serangan Awal pada Web APISI (APISI, 2018)

Akun pengguna yang dibuat sangat banyak ditandai dengan masuknya

notifikasi tersebut berkali-kali. Karena akun pengguna yang dibuat sangat

banyak, mengakibatkan penumpukan pada database sehingga kapasitas dari

penyedia hosting sampai overload atau kelebihan muatan.

5

Gambar 1.2 Overload Hosting APISI (APISI, 2018)

Kondisi overload 1.03GB dari 1GB kuota yang diberikan dan tanpa

penanganan yang tepat mengakibatkan pihak penyedia hosting melakukan suspend

karena menghabiskan resource pelanggan yang lain dan mengakibatkan web

APISI berakhir dengan tidak bisa diakses sama sekali.

6

Gambar 1.3 Akun APISI terkena Suspend (APISI, 2018)

Dalam wawancara yang dilakukan dengan salah satu staf APISI, dapat

diketahui bahwa pemulihan akun APISI yang terkena suspend dilakukan dengan

melakukan kontak dengan pihak penyedia hosting dan melakukan restore

database (Sofyan, 2018) sehingga belum diketahui dengan jelas letak celah

kerentanan belum ada tindakan lebih lanjut mengenai perbaikan dan pencegahan

serangan lanjutan.

Atas terjadinya serangan-serangan tersebut memperkuat argumen

penulis untuk mengambil topik penelitian tentang kemanan sistem informasi

dengan judul penelitian “Penetration Testing terhadap Website Asosiasi

Pekerja Professional Informasi Sekolah Indonesia (APISI)” diharapkan

dapat memberikan manfaat terutama bagi APISI, dimulai dari pengujian

7

kerentanan, pencarian celah kerentanan serta memberikan rekomendasi untuk

menutupi celah yang ada sehingga ke depannya APISI dapat terhindar dari

serangan siber.

1.2 Identifikasi Masalah

Berdasarkan latar belakang yang telah dijelaskan sebelumnya, maka

identifikasi masalah adalah sebagai berikut :

1. Telah terjadi peretasan terhadap web yaitu web deface dan bot

registration.

2. Web menjadi tidak bisa diakses saat terjadi serangan yang memenuhi

penyimpanan file hosting.

3. Telah tercatat pernah terjadi peretasan yang diketahui melalui http://zone-

h.org .

1.3 Rumusan Masalah

Berdasarkan identifikasi masalah yang ada, maka bisa dirumuskan

permasalahannya yaitu

1. Bagaimana cara untuk mengetahui kondisi dan pengukuran tingkat

kerentanan sistem informasi pada website APISI?

http://zone-h.org/

http://zone-h.org/

8

2. Apa saja celah dan tingkat kerentanan yang merupakan akibat dari

kegagalan dalam mempertahankan keamanan sistem informasi pada

website APISI dan perlu untuk segera diperbaiki ?

1.4 Batasan Masalah

Berdasarkan perumusan masalah yang telah dijelaskan sebelumnya,

maka batasan masalah dibatasi pada :

1. Aplikasi berbasis web yang akan diuji ada 2, yaitu http://apisi.org dan

http://opac.apisi.org.

2. Penelitian ini menggunakan Sistem Operasi Linux dalam pengujiannya,

distro Kali 2018.4 penetration testing tools antara lain NMAP v7.25,

Uniscan v6.2, wpscan v3.3.1 dan OWASP ZAP v2.5.0 dan Accunetix

v11.

3. Penelitian ini melakukan pengujian kerentanan berdasarkan metodologi

Zero Entry Hacking (ZEH) tanpa Social Engineering lalu kerentanan

tersebut dianalisis tingkat kerentannya melalui kalkulator berbasis web

Common Vulnerability Scoring System (CVSS) v3.1.

4. Penerapan dari rekomendasi akan diserahkan sepenuhnya pada

kewenangan instansi terkait yaitu APISI.

http://apisi.org/


9

1.5 Tujuan Penelitian

Berdasarkan latar belakang yang dipaparkan sebelumnya, adapun tujuan

dari penelitian ini adalah sebagai berikut :

1. Melakukan pengujian dan analisis untuk mengetahui kondisi serta

melakukan pengukuran tingkat kerentanan sistem informasi pada website

APISI.

2. Menjabarkan celah serta mengukur tingkat kerentanan yang perlu untuk

segera diperbaiki sehingga dapat membantu untuk memperbaiki kegagalan

dalam mempertahankan keamanan sistem informasi pada website APISI.

1.6 Manfaat Penelitian

Adapun manfaat yang didapat dari analisis kemanan website ini adalah

sebagai berikut :

1. Bagi Penulis

a. Untuk memenuhi salah satu syarat kelulusan Strata Satu (S1), Sistem

Informasi Fakultas Sains dan Teknologi Universitas Islam Negeri Syarif

Hidayatullah Jakarta.

b. Mendapatkan pengetahuan dan pemahaman tentang ilmu kemanan

sistem informasi dalam menganalisis kemanan website APISI.

2. Bagi Instansi Terkait

10

a. Sebagai acuan untuk bahan evaluasi keamanan sistem informasi.

b. Meningkatkan keamanan sistem informasi.

c. Mencegah terjadinya serangan dalam dunia maya.

3. Bagi Universitas

a. Sebagai kontribusi karya ilmiah dalam disiplin ilmu Sistem Informasi.

b. Sebagai distinsi yang ada pada Sistem Informasi di UIN Syarif

Hidayatullah Jakarta.

c. Sebagai tambahan referensi terhadap penelitian kemanan sistem

selanjutnya.

d. Memberikan gambaran tentang kesiapan mahasiswa dalam menghadapi

dunia kerja yang sebenarnya.

4. Bagi Masyarakat

1. Menambah pengetahuan tentang keamanan sistem informasi.

2. Membantu masyarakat untuk mendapatkan karya tulis yang terpercaya.

3. Sebagai acuan atau refrensi untuk penelitian selanjutnya.

11

1.7 Metodologi Penelitian

Metode penelitian yang penulis gunakan dalam penulisan skripsi ini

adalah sebagai berikut :

1.7.1 Pengumpulan Data

Berikut beberapa proses yang dilalui penulis dalam pengumpulan data

guna membantu dalam penulisan ini, yaitu :

a. Observasi

Pengumpulan data dan informasi dengan cara meninjau dan

melakukan pengamatan secara langsung ke objek penelitian guna

memperoleh data atau gambaran serta keterangan terhadap sistem

yang berjalan.

b. Wawancara

Penulis mengumpulkan data secara tatap muka langsung dengan

pihak APISI guna mendapatkan data-data dan keterangan yang

diperlukan.

c. Studi Literatur

Dalam penentuan penelitian skripsi ini, diperlukan sebuah

perbandingan studi literatur sejenis yang erat hubungannya dengan

tema penulisan skripsi ini. Perbandingan studi sejenis ini diperlukan

12

agar nantinya penelitian ini dapat bermanfaat dan menjadi pelengkap

dan penyempurna dari studi-studi literatur yang telah dilaksanakan

sebelumnya.

1.7.2 Pengujian dan Analisis

Penelitian ini merupakan penelitian eksperimental dengan

menggunakan Zero Entry Hacking (ZEH) sebagai metode dalam

melakukan pengujian dan analisis. Menurut (Engebretson, 2013) ZEH

memiliki 4 tahapan dengan rincian sebagai berikut :

a. Pengintaian (Reconnaisance)

b. Pemindaian (Scanning)

c. Eksploitasi Celah Kerentanan (Exploitation)

d. Setelah Eksploitasi dan Mempertahankan Akses (Post Exploitation

anad Maintaining Access)

1.8 Sistematika Penulisan

Sistematika penulisan skripsi Penetration Testing terhadap Website

Asosiasi Pekerja Professional Informasi Sekolah Indonesia (APISI) sebagai

berikut :

13

BAB I PENDAHULUAN

Bab ini menjelaskan tentang latar belakang masalah, identifikasi

masalah perumusan masalah, batasan masalah, tujuan penelitian,

manfaat penelitian, metode penelitian dan sistematika penulisan.

BAB II LANDASAN TEORI

Bab ini akan menjelaskan tentang landasan teori yang berkaitan

tentang pembahasan dalam penelitian ini seperti tentang asosiasi,

perpustakaan, keamanan sistem informasi, Zero Entry Hacking

(ZEH) dan penelitian sebelumnya yang menjadi studi literatur.

BAB III METODOLOGI PENELITIAN

Bab ini akan menjelaskan tentang metode pengujian sistem serta

langkah-langkah yang terkait dengan penelitian yang dilakukan.

BAB IV PEMBAHASAN

Bab ini berisi tentang pengujian dan analisis sistem dari penelitian

dan pembahasan yang mencakup gambaran umum tentang objek

penelitian.

BAB V PENUTUP

Bab ini berisi kesimpulan dari uraian pembahasan penelitian serta

saran dan kritik agar hasil penulisan selanjutnya dapat lebih baik lagi.

14

BAB II

LANDASAN TEORI

2

2.1 Konsep Dasar Sistem

2.1.1 Pengertian Sistem

Sistem merupakan sekelompok komponen yang saling berhubungan,

bekerja sama untuk mencapai tujuan bersama dengan menerima input serta

menghasilkan output dalam proses transformasi teratur. Apabila suatu

komponen tidak memberikan kontribusi terhadap sistem untuk mencapai

tujuan, tentu saja komponen tersebut bukan bagian dari sebuah sistem

(Mulyanto, 2009).

Sistem didefinisikan sebagai seperangkat komponen yang saling terkait,

dengan batas yang jelas, bekerja sama untuk mencapai seperangkat tujuan

dengan menerima input dan menghasilkan output dalam proses transformasi

yang terorganisir (O’Brien & Marakas, 2010).

Sistem adalah kumplan elemen yang saling berinteraksi untuk mencapai

suatu tujuan tertentu. Jadi dari penjelasan-penjelasan di atas penulis

menyimpulkan bahwa sistem merupakan interaksi antar komponen yang saling

bekerja sama dengan batasan yang jelas, menerima input, lalu diproses dan

menghasilkan output yang digunakan untuk mencapai tujuan tertentu (Warsita,

2008).

15

2.1.2 Karakteristik Sistem

Suatu sistem memiliki beberapa karakteristik atau ciri-ciri tertentu,

yaitu (Sutabri, 2012) :

a. Komponen sistem (Component)

Suatu sistem terdiri dari sejumlah komponen yang sering disebut

dengan subsistem yang saling berinteraksi, yang artinya saling

bekerjasama membentuk satu kesatuan. Komponen-komponen

sistem dapat berupa subsistem atau bagian-bagian dari sistem.

Contoh dalam APISI yaitu terdapat subdivisi seperti keanggotaan,

program, humas dan lainnya.

b. Batas sistem (Boundary)

Batas sistem merupakan daerah yang membatasi antara suatu sistem

dengan sistem yang lainnya atau dengan lingkungan luarnya. Batas

sistem memungkinkan suatu sistem dipandang sebagai satu

kesatuan. Batas suatu sistem menunjukkan ruang lingkup (scope)

sistem itu sendiri. Contoh dalam APISI misalnya, APISI hanya

memberikan pelayanan hanya pada seputar kepustakaan dan tidak

melayani akademik.

c. Lingkungan luar sistem (Environments)

Lingkungan luar dari suatu sistem adalah apapun di luar batas dari

sistem yang mempengaruhi operasi sistem. Lingkungan luar sistem

16

dapat bersifat menguntungkan dan dapat juga bersifat merugikan

bagi sistem tersebut. Contoh yang menguntungkan dan pada APISI

adalah ketika pengunjung dari luar meminjam buku, APISI dapat

mendapat data seperti karangan siapa yang sering dipinjam dan

menjadi refrensi untuk pengadaan buku selanjutnya. Contoh yang

merugikan pada APISI seperti pengunjung melakukan peminjaman

buku lalu buku yang dipinjam hilang.

d. Antar muka sistem (Interface)

Antar muka yang dimaksud adalah media yang dapat

menghubungkan antara subsistem dengan subsistem lainnya.

Melalui penghubung ini memungkinkan sumber-sumber daya

mengalir dari satu sistem ke subsistem yang lain. Contoh pada

APISI yaitu SLIMS menjadi antarmuka sistem bagi untuk

pencatatan pengunjung, sirkulasi dan pengadaan.

e. Masukan sistem (Input)

Masukan yaitu energi yang dimasukkan ke dalam sistem, dimana

dapat berupa masukan perawatan dan masukan sinyal. Masukkan

perawatan adalah energi yang di-input-kan supaya sistem tersebut

dapat beroperasi, sedang masukan sinyal adalah energi yang

diproses untuk mendapatkan keluaran. Contoh masukan di sini bisa

berupa data harian peminjaman buku pada APISI.

17

f. Pengolah Sistem (Processing System)

Hasil energi yang diolah dan diklasifikasikan menjadi keluaran yang

berguna. Keluaran ini menjadi masukan untuk subsistem lain.

Contoh pengolah sistem di sini bisa berupa data transaksi

peminjaman dan pengembalian harian perpustakaan diolah menjadi

laporan yang dibutuhkan manajemen.

g. Keluaran sistem (Output)

Keluaran yaitu hasil dari energi yang diolah dan diklasifikasikan

menjadi keluaran yang berguna dan sisa pembuangan. Contoh

keluaran sistem di sini bisa berupa sebuah informasi frekuensi

peminjaman buku terbanyak berguna untuk mengambil keputusan

pada divisi pengadaan untuk menjadi masukan pembelian buku

selanjutnya.

h. Sasaran sistem (Objective)

Suatu sistem pasti mempunyai tujuan (goal) atau sasaran

(objective). Jika suatu sistem tidak memiliki sasaran maka operasi

sistem tidak ada gunanya. APISI memiliki sasaran yakni

menjadikan perpustakaan sekolah sebagai pusat sumber belajar

serta memaksimalkan peran pekerja profesional informasi di

sekolah.

18

Gambar 2.1 Karakteristik Sistem (Sutabri, 2012)

2.2 Konsep Dasar Informasi

2.2.1 Pengertian Informasi

Informasi merupakan data yang telah diolah menjadi sebuah bentuk

yang berarti bagi penerimanya dan bermanfaat dalam pengambilan keputusan

saat ini atau saat mendatang (Mulyanto, 2009).

Informasi adalah data yang telah dikonversikan menjadi sebuah konteks

yang berarti dan berguna untuk pengguna yang spesifik (James A. O’Brien

2010).

19

Informasi merupakan sekumpulan fakta (data) yang diorganisasikan

dengan cara tertentu sehingga mereka mempunyai arti bagi si penerima

(Sutarman, 2009).

Dari penjelasan informasi tadi, dapat disimpulkan bahwa Informasi yaitu

sekumpulan fakta (data) yang telah diolah ataupun diproses sedemikian rupa

yang bermanfaat bagi pengguna dalam mengambil keputusan untuk saat ini

ataupun kemudian.

2.2.2 Kualitas Informasi

Kualitas informasi (quality of information) dipengaruhi oleh beberapa

hal berikut (Jogiyanto, 2008):

1. Akurat (accuracy)

Suatu informasi dikatakan akurat jika informasi yang

diberikan harus bebas dari kesalahan-kesalahan. Informasi harus

akurat karena dari sumber informasi sampai penerima informasi

kemungkinan banyak terjadi gangguan (noise) yang dapat

merubah atau dapat merusak informasi tersebut. Contoh dalam

APISI yaitu, SLIMS menyediakan informasi mengenai lokasi

buku, menampilkan informasi yang akurat mengenai posisi buku

berada.

2. Tepat Waktu (timeliness)

Suatu informasi dikatakan tepat waktu apabila informasi

20

yang dating pada penerima tidak boleh terlambat. Informasi yang

terlambat sudah tidak memiliki nilai lagi, karena informasi

dibutuhkan dalam mengambil keputusan. Contoh pada APISI

informasi mengenai buku terbanyak dipinjam menjadi referensi

pembelian buku disaat pengadaan akan melakukan pembelian

buku

3. Relevan (relevancy)

Suatu informasi dikatakan relevan apabila informasi

tersebut terhadap mempunyai manfaat bagi pemakainya. Contoh

pada APISI yaitu di saat pengunjung melakukan pencarian buku

dengan suatu topik dengan menggunakan aplikasi SLIMS, SLIMS

menampilkan informasi yang relevan mengenai buku yang dicari.

Gambar 2.2 Kualitas Informasi (Jogiyanto, 2008)

21

2.3 Konsep Dasar Keamanan Sistem Informasi

2.3.1 Konsep Dasar Keamanan

2.3.1.1 Pengertian Keamanan

Menurut Kamus Besar Bahasa Indonesia (KBBI) dijelaskan bahwa

keamanan merupakan suatu kondisi bebas dari bahaya. Istilah bahaya disini

dapat diartikan gangguan, ancaman, kecelakaan ataupun hal lainnya yang

sifatnya tidak diinginkan. Sementara itu dalam keamanan dalam konteks

komputer dijelaskan bahwa Suatu sistem dapat dikatakan aman apabila dalam

segala keadaan, sumber daya yang digunakan dan yang di akses adalah sesuai

dengan kehendak pengguna (Simamarta, 2006).

2.3.1.2 Parameter Keamanan

Menurut (Simamarta, 2006)Sistem komputer memiliki empat parameter

keamanan yang sangat penting, yaitu :

1. Physical Security ( Keamanan Fisik)

Keamanan Fisik disini membahas seputar

perlidungan pertama yang langsung berhubungan

dengan dunia luar. Dalam kemanaan ini melindungi

dan mencegah agar tidak ada hal yang tidak

diinginkan terhadap peralatan komputer dan

sebagainya.

22

2. System Security (Keamanan Sistem)

Keamanan Sistem disini membahas seputar

perlindungan selanjutnya seperti bagaimana

pengguna dapat masuk ke dalam sistem, siapa saja

yang berhak mengakses sistem tersebut dan lainnya.

3. Application Security (Keamanan Aplikasi)

Keamanan Aplikasi membahas mengenai seberapa

amankah aplikasi yang digunakan, adakah celah

dalam aplikasi yang digunakan, apakah aplikasi

tersebut dapat disusupi atau tidak dan lainnya.

4. Data Security (Keamanan Data)

Keamanan Data membahas mengenai seberapa

amankah data yang disimpan, apakah data tersebut

dapat diakses oleh yang tidak memili hak akses,

adakah kemungkinan data tersebut terhapus,

termodifikasi dan lainnya.

23

Gambar 2.3 Parameter Keamanan (Simamarta, 2006)

2.3.2 Pengertian Keamanan Sistem Informasi

Dalam profesi keamanan, praktisi cenderung menggambarkan keamanan

sebagai suatu yang dibuat dari banyak bagian yang terpisah menjadi suatu

kesatuan daripada semua komponen yang terpisah itu sendiri. Adapun bagian

komponennya yaitu Confidentiality (Kerahasiaan), Integrity (Integritas) dan

Availability (Ketersediaan) (Solomon & Chapple, 2009). Ketiga komponen

tersebut adalah landasan dari setiap program keamanan informasi yang

dirancang dengan baik. Bersama-sama, ketiga komponen ini dikenal sebagai "

CIA Triad " yang digambarkan dalam bentuk segitiga.

Data

Application

System

Physical

24

Gambar 2.4 The CIA Triad (Solomon & Chapple, 2009)

2.3.2.1 Kerahasiaan (Confidentiality)

Istilah Confidentiality secara umum berartikan tentang kerahasiaan.

Confidentiality berkaitan dengan pencegahan agar hanya yang memiliki

otorisasi yang dapat mengakses informasi (Cole, 2005). Dalam keamanan

informasi, istilah ini merujuk pada tindakan perlindungan terhadap informasi

dalam rangka mencegah terjadinya pengungkapan informasi kepada pihak yang

tidak seharusnya mengetahui informasi tersebut. Contoh pelanggaran

Confidentiality yaitu seorang hacker mencoba masuk ke dalam sistem dengan

mencari kombinasi yang tepat (misal bruteforce) dan masuk ke dalam sistem.

2.3.2.2 Keutuhan (Integrity)

Istilah Integrity secara umum dapat diartikan sebagai suatu

perlindungan informasi terhadap terjadinya aktivitas memodifikasi data tanpa

adanya otorisasi (Cole, 2005). Yang dimaksud dengan modifikasi data adalah

segala aktifitas yang menyebabkan terjadinya penambahan data baru,

25

perubahan terhadap data yang ada, maupun penghapusan data Integrity

memiliki 3 sasaran yaitu (Cole, 2005) :

1. Pencegahan terjadinya modifikasi informasi oleh yang yang

bukan pengguna terotorisasi.

2. Pencegahan agar yang bukan pemilik otorisasi atau ketidak

sengajaan modifikasi oleh pengguna terotorisasi.

3. Pemeliharaan ketetapan internal dan eksternal.

a. Ketetapan internal memastikan data yang ada dalam

basis data sesuai dengan yang ada dalam organisasi.

b. Ketetapan eksternal memastikan data yang

tersimpan dalam basis data, sesuai dengan yang ada

dengan di dunia nyata.

Adapun contoh pelanggaran dari Integrity yaitu, seorang hacker tanpa

dapat melakukan defacement menambahkan suatu halaman bahwa ia berhasil

masuk ke dalam sistem. Jadi Integrity memastikan bahwa informasi tetap utuh

dan hanya dapat dimodifikasi oleh yang memiliki akses saja.

2.3.2.3 Ketersediaan (Availability)

Istilah Availability dapat diartikan sebagai ketersediaan. Availability

meyakinkan otorisasi pengguna sistemnya dapat tepat waktu dan akses tidak

26

terinterupsi menuju informasi dari sistem dalam suatu jaringan (Cole, 2005).

Jadi yang dimaksud Availability di sini merupakan suatu kondisi di mana

informasi dapat tersedia saat dibutuhkan. Contoh dari serangan Avaibility

yaitu ketika kita ingin mengakses suatu web, namun web tersebut tidak bisa

diakses karena web tersebut sedang terkena serangan DOS (Denial of

Service).

2.3.3 Tipe-tipe Ancaman Keamanan

Berdasarkan fungsi sistem komputer sebagai penyedia informasi,

ancaman terhadap sistem komputer dikategorikan menjadi empat menurut

(Simamarta, 2006) yaitu

1. Interupsi (Interruption), merupakan suatu ancaman

tehadap Availability informasi atau data yang ada dalam

sistem komputer dirusak ataupun dihapus sehingga jika

dibutuhkan maka sudah tidak ada lagi.

Gambar 2.5 Interupsi (Simamarta, 2006)

Sumber Tujuan

Informasi Informasi

27

2. Intersepsi (Interception), merupakan ancaman terhadap

kerahasiaan (secrecy). Informasi yang ada dalam sistem

disadap oleh orang yang tidak berhak.

Gambar 2.6 Intersepsi (Simamarta, 2006)

3. Modifikasi (Modification) merupakan ancaman

terhadap integritas (integrity). Orang yang tidak

berhak berhasil menyadap lalu lintas informasi yang

sedang dikirim lalu mengubahnya sesuai keinginan

orang itu.

Gambar 2.7 Modifikasi (Simamarta, 2006)

4. Fabrikasi (Fabrication) merupakan ancaman terhadap

integritas (integrity). Orang yang tidak berhak

Sumber Tujuan

Informasi Informasi

Peyerang

Sumber Tujuan

Informasi

Penyerang

28

berhasil meniru atau memalsukan suatu informasi

sehingga orang yang menerima informasi tersebut

berasal dari orang yang dikehendaki oleh si penerima

informasi tersebut.

Gambar 2.8 Fabrikasi (Simamarta, 2006)

2.3.4 Kerentanan Sistem

2.3.4.1 Kerentanan (Vulnerability)

Dalam pengembangan sistem, terkadang pengembang secara tidak

sengaja ataupun tidak menyadari bahwa sistem yang sedang mereka kerjakan

terdapat celah kerentanan yang dapat merugikan berbagai pihak. Kerentanan

secara umum dapat diartikan sebagai kelemahan dalam suatu sistem.

Kerentanan merupakan kelemahan terhadap suatu aset yang dapat

dimanfaatkan oleh satu atau lebih ancaman dimana aset tersebut memiliki nilai

dalam suatu organisasi, operasi bisnis, dan kelangsungan mereka termasuk

sumberdaya informasi yang mendukung misi organisasi (Simamarta, 2006).

Sumber Tujuan

Informasi Informasi

Penyerang

29

Kerentanan didefinisikan sebagai cacat atau kelemahan di dalam aset

yang dapat digunakan untuk mendapatkan akses yang tidak sah terhadapnya

(Baloch, 2014).

Kerentanan didefinisikan sebagai cacat atau kelemahan dalam prosedur

keamanan sistem, perancangan, implementasi, atau pengendalian internal yang

dapat dilakukan (sengaja dipicu atau sengaja dieksploitasi) dan mengakibatkan

pelanggaran keamanan atau pelanggaran terhadap kebijakan keamanan system

(Cole, 2011).

Kerentanan dapat ditemukan baik secara sengaja maupun tidak

sengaja. Kerentanan tidak sengaja ditemukan bila terdapat gagal fungsi

sementara kerentanan dapat ditemukan dengan sengaja melalui pengujian

kerentanan. Dalam penelitian ini dilakukan pencarian kerentanan melalui

tools yang sebelumnya dijabarkan nantinya akan didapatkan hasil berupa

berbagai macam celah kerentanan yang ada.

2.3.4.2 Macam-macam Serangan terhadap Sistem

Berdasarkan modus atau jenis aktifitasnya serangan terhadap sistem

dapat digolongkan sebagai berikut: (Ketaren, 2017) :

1. Unauthorized Access

Merupakan kejahatan yang terjadi ketika seseorang

memasuki atau menyusup ke dalam suatu sistem

30

jaringan komputer secara tidak sah, tanpa izin, atau tanpa

sepengetahuan dari pemiliksistem jaringan komputer

yang dimasukinya. Probing dan port merupakan contoh

kejahatan ini.

2. Illegal Contents

Merupakan kejahatan yang dilakukan dengan

memasukkan data atau informasi ke internet tentang

suatu hal yang tidak benar, tidak etis, dan dapat dianggap

melanggar hukum ataumenggangu ketertiban umum,

contohnya adalah penyebaran pornografi.

3. Penyebaran Virus Secara Sengaja

Penyebaran virus pada umumnya dilakukan dengan

menggunakan email. Sering kali orang yang sistem

emailnya terkena virus tidak menyadari hal ini. Virus ini

kemudian dikirimkan ke tempat lain melalui emailnya.

4. Data Forgery

Kejahatan jenis ini dilakukan dengan tujuan

memalsukan data pada dokumen-dokumen penting yang

ada di internet. Dokumen-dokumen ini biasanya dimiliki

oleh institusi atau lembaga yang memiliki situs berbasis

web database.

31

5. Cyber Espionage, Sabotage, and Extortion

Cyber Espionage merupakan kejahatan yang

memanfaatkan jaringan internet untuk melakukan

kegiatan mata-mata terhadap pihak lain, dengan

memasuki sistem jaringan komputer pihak sasaran.

Sabotage and Extortion merupakan jenis kejahatan yang

dilakukan dengan membuat gangguan, perusakan atau

penghancuran terhadap suatu data, program komputer

atau sistem jaringan komputer yang terhubung dengan

internet.

6. Cyberstalking

Kejahatan jenis ini dilakukan untuk mengganggu atau

melecehkan seseorang dengan memanfaatkan komputer,

misalnya menggunakan e-mail dan dilakukan berulang-

ulang.

7. Carding

Carding merupakan kejahatan yang dilakukan untuk

mencuri nomor kartu kredit milik orang lain dan

digunakan dalam transaksi perdagangan di internet.

8. Hacking dan Cracker

32

Istilah hacker biasanya mengacu pada seseorang yang

punya minat besar untuk mempelajari sistem komputer

secara detail dan bagaimana meningkatkan

kapabilitasnya. Adapun mereka yang sering melakukan

aksi-aksi perusakan di internet lazimnya disebut cracker.

9. Cybersquatting and Typosquatting

Cybersquatting merupakan kejahatan yang dilakukan

dengan mendaftarkan domain nama perusahaan orang

lain dan kemudian berusaha menjualnya kepada

perusahaan tersebut dengan harga yang lebih mahal.

Adapun typosquatting adalah kejahatan dengan

membuat domain plesetan yaitu domain yang mirip

dengan nama domain orang lain. Nama tersebut

merupakan nama domain saingan perusahaan.

10. Hijacking

Hijacking merupakan kejahatan melakukan pembajakan

hasil karya orang lain. Yang paling sering terjadi adalah

Software Piracy (pembajakan perangkat lunak).

11. Infringements of Privacy

Kejahatan ini biasanya ditujukan terhadap keterangan

pribadi seseorang yang tersimpan pada formulir data

33

pribadi yang tersimpan secara computerized,yang

apabila diketahui oleh orang lain maka dapat merugikan

korban secara materil maupun immateril, seperti nomor

kartu kredit, nomor PIN ATM, cacat atau penyakit

tersembunyi dan sebagainya.

12. Offense against Intellectual Property

Kejahatan ini ditujukan terhadap Hak atas Kekayaan

Intelektual yang dimiliki pihak lain di internet.

13. Defacing

Defacing merupakan bagian dari kegiatan hacking web

atau program application, yang menfokuskan target

operasi pada perubahan tampilan dan/atau konfigurasi

fisik dari web atau program aplikasi tanpa melalui source

code program tersebut.

14. Phising

Phising merupakan kegiatan memancing pemakai

komputer di internet (user) agar mau memberikan

informasi data diri pemakai (username) dan kata

sandinya (password) pada suatu website yang sudah di-

deface.

15. Spamming

34

Spamming merupakan kegiatan mengirim email palsu

dengan memanfaatkan server email yang memiliki

“smtp open relay” atau spamming bisa juga diartikan

dengan pengiriman informasi atau iklan suatu produk

yang tidak pada tempatnya dan hal ini sangat

mengganggu bagi yang dikirim.

16. Snooping

Snooping adalah suatu pemantauan elektronik terhadap

jaringan digital untuk mengetahui password atau data

lainnya. Ada beragam teknik snooping atau juga dikenal

sebagai eavesdropping, yakni: shoulder surfing

(pengamatan langsung terhadap display monitor

seseorang untuk memperoleh akses), dumpster diving

(mengakses untuk memperoleh password dan data

lainnya), digital sniffing (pengamatan elektronik

terhadap jaringan untuk mengungkap password atau data

lainnya).

17. Sniffing

Sniffing adalah penyadapan terhadap lalu lintas data

pada suatu jaringan komputer.

18. Spoofing

35

Spoofing adalah teknik yang digunakan untuk

memperoleh akses yang tidak sah ke suatukomputer atau

informasi dimana penyerang berhubungan dengan

pengguna dengan berpurapura memalsukan bahwa

mereka adalah host yang dapat dipercaya.

19. Pharming

Pharming adalah situs palsu di internet, merupakan

suatu metode untuk mengarahkan komputer pengguna

dari situs yang mereka percayai kepada sebuah situs

yang mirip. Pengguna sendiri secara sederhana tidak

mengetahui kalau dia sudah berada dalam perangkap,

karena alamat situsnya masih sama dengan yang

sebenarnya.

20. Malware

Malware adalah program komputer yang mencari

kelemahan dari suatu software. Umumnya malware

diciptakan untuk membobol atau merusak suatu

software atau operating system. Malware terdiri dari

berbagai macam, yaitu: virus, worm, trojan horse,

adware, browser hijacker, dll.

36

2.3.5 Vulnerability Assesment dan Penetration Testing

2.3.5.1 Vulnerability Assesment (Penilaian Celah Kerentanan)

Vulnerability Assesment atau Penilaian Celah Kerentanan merupakan

suatu rangkaian proses yang dilakukan untuk meninjau services dan system

yang memiliki potensi celah kerentanan (Engebretson, 2013).

Vulnerability Assesment yaitu mencari tahu semua kerentanan dalam

aset dan dokumentasikan sesuai dengan itu (Baloch, 2014). Definisi lainnya

Vulnerability Assesment merupakan tahap dalam menemukan analisis uji

kerentanan. (Weidman, 2014).

Jadi dapat disimpulkan bahwa Vulnerability Assesment merupakan

tahapan yang terdiri dari serangkaian kegiatan untuk mencari tahu semua

kerentanan dalam asset baik berupa services dan system dan dokumentasikan

sesuai dengan itu Pada rangkaian penelitian ini, dilakukan pencarian celah

kerentanan pada suatu web yaitu APISI yang berpotensi memiliki celah dan

dilakukan pelaporan jika ada suatu celah.

2.3.5.2 Pemindai Celah Kerentanan (Vulnerability Scanner)

Dalam melakukan Vulnerability Assesment dapat dipermudah salah

satunya dengan menggunakan tools yang tersedia untuk melakukan pengujian

kerentananan. Pemindai kerentanan memindai komputer, jaringan, atau aplikasi

yang mencari potensi kelemahan yang bisa digunakan oleh penyerang untuk

37

kompromi target (Baloch, 2014). Cara pemindai kerentanan bekerja adalah

mengupayakan sistem dengan mengirimkan data spesifik ke host / jaringan

target, dan berdasarkan analisis respons (finger print) yang diterima dari

sasaran.

Dalam penelitian ini menggunakan beragam tools yang siap digunakan

dalam pengujian kerentanan. Adapun tools yang digunakan dalam

Vulnerability Assesment ini sebgai berikut :

1. NMAP v7.25

Nmap (“Network Mapper”) merupakan sebuah tool open

source untuk eksplorasi dan audit keamanan jaringan

(NMAP, 2017). NMAP dirancang untuk memeriksa jaringan

besar secara cepat, meskipun ia dapat pula bekerja terhadap

host tunggal. Nmap dibuat oleh Gordon Lyon, atau lebih

dikenal dengan nama Fyodor Vaskovich. (NMAP, 2017)

Aplikasi ini digunakan untuk meng-audit jaringan yang ada.

Dengan menggunakan tool ini, kita dapat melihat host yang

aktif, port yang terbuka, Sistem Operasi yang digunakan, dan

feature-feature scanning lainnya

2. OWASP ZAP v2.5.0

OWASP Zed Attack Proxy (ZAP) adalah salah satu alat

keamanan gratis terpopuler di dunia dan dikelola secara aktif

38

oleh ratusan sukarelawan internasional (OWASP, 2017). Tool

ini dapat membantu secara otomatis menemukan kerentanan

keamanan di aplikasi web saat mengembangkan dan menguji

aplikasi Anda. Ini juga alat yang hebat untuk pentester

berpengalaman yang bisa digunakan untuk pengujian

keamanan manual.

3. Accunetix v11.

Acunetix Web Vulnerability Scanner (Acunetix WVS) adalah

alat yang dirancang untuk menemukan celah keamanan

dalam aplikasi web yang dapat disalah gunakan oleh hacker

dan mendapatkan akses ke sistem dan data bisnis. Dengan

Acunetix WVS, situs web dapat diperiksa secara teratur untuk

kerentanan seperti injeksi SQL dan Cross Site Scripting, dll.

Pemindai mengirimkan banyak fitur inovatif seperti:

Teknologi AcuSensor, penganalisis JavaScript otomatis,

perekam makro Visual dan fasilitas pelaporan ekstensif, yang

mencakup berbagai Laporan.

2.3.5.3 Penetration Testing (Uji Penetrasi)

Penetration Testing atau Uji Penetrasi merupakan suatu upaya yang

dilakukan untuk mengeksploitasi kelemahan sistem komputer dengan tujuan

39

membuat sistem komputer lebih aman dengan secara legal dan berwenang

(Engebretson, 2013).

Penetration Testing meliputi simulasi serangan nyata untuk menilai

risiko yang terkait dengan penerobosan keamanan yang sifatnya potensial

(Weidman, 2014).

Penetration Testing merupakan seperangkat metode dan prosedur yang

bertujuan menguji / melindungi keamanan organisasi (Baloch, 2015).

Dengan uraian di atas, dapat disimpulkan bahwa Pentration Testing

merupakan serangkaian kegiatan berupa simulasi yang dilakukan oleh pihak

yang telah mendapatkan izin untuk melakukan eksploitasi suatu sistem

berdasarkan vulnerability assessment dan berbeda dengan illegal hacking yang

merusak sistem, karena Penetration Testing sudah memiliki izin untuk

melakukan pengujian kerentanan kemudian dilakukan eksploitasi, selanjutnya

dilakukan analisis terhadap hasil pengujian dan kemudian diberikan suatu

rekomendasi mengenai bagaimana cara untuk membenahi celah kerentanan yang

ada.

2.3.5.4 Vulnerability Assesment (Mencari Celah Kerentanan v.s Penetration

Testing (Uji Penetrasi)

Seringkali sebagian orang menyalah artikan istilah vulnerability

assessment dan penetration testing sebagai suatu arti yang sama dalam

40

pengujian keamanan. Jika dilihat dari definisi-definisi yang dijelaskan

sebelumnya, dapat ditelaah bahwa pada vulnerability assessment berfokus

pada pencarian celah kerentanan saja, sementara itu penetration testing

penguji tidak hanya menemukan kerentanan itu bisa digunakan oleh

penyerang tapi juga memanfaatkan kerentanan, jika mungkin, untuk menilai

apa penyerang mungkin mendapatkan setelah sukses melakukan eksploitasi.

2.4 Common Vulnerability Scoring System (CVSS)

2.4.1 Pengertian Common Vulnerability Scoring System (CVSS)

Common Vulnerability Scoring System (CVSS) adalah open framework

untuk mengkomunikasikan karakteristik dan tingkat keparahan kerentanan suatu

perangkat lunak mencakup teknis utama karakteristik kerentanan perangkat

lunak, perangkat keras, dan firmware yang mmemiliki output berupa skor

numerik yang menunjukkan tingkat keparahan kerentanan relatif terhadap

kerentanan lainnya. (FIRST, 2019).

Common Vulnerability Scoring System (CVSS) berada di bawah asuhan

dari Forum of Incident Response and Security Teams (FIRST) (FIRST, 2019).

CVSS merupakan standar yang sepenuhnya gratis dan terbuka sehingga tidak ada

organisasi yang "memiliki" CVSS dan keanggotaan dalam FIRST tidak

diharuskan untuk menggunakan atau mengimplementasikan (Mell et al., 2007)

41

Adapun benefit yang akan didapat bila menerapkan CVSS sebagai

pengukur tingkat kerentanan yaitu (Mell et al., 2007):

1. Skor Kerentanan yang Terstandarisasi

Ketika suatu organisasi menormalkan skor kerentanan di semua

platform perangkat lunak dan perangkat kerasnya, ia dapat

memanfaatkan kebijakan manajemen kerentanan tunggal.

Kebijakan ini mungkin mirip dengan Service Level Agreement

(SLA) yang menyatakan seberapa cepat kerentanan tertentu

harus divalidasi dan diatasi.

2. Open Framework

Pengguna dapat bingung ketika kerentanan diberikan skor

arbitrer. “Properti mana yang memberikan skor itu? Apa

bedanya dengan yang dirilis kemarin? ”Dengan CVSS, siapa

pun dapat melihat karakteristik individu yang digunakan untuk

memperoleh skor

3. Risiko yang Diprioritaskan

Ketika Enviromental Score dihitung, kerentanan sekarang

menjadi kontekstual. Artinya, skor kerentanan sekarang

mewakili risiko aktual bagi suatu organisasi. Pengguna tahu

betapa pentingnya kerentanan yang diberikan dalam kaitannya

dengan kerentanan lainnya.

42

2.4.2 Common Vulnerability Scoring System (CVSS) Metrics and Metric Groups

CVSS terdiri dari tiga grup metrics: Base, Temporal, dan Enviromental

masing-masing terdiri satu set metrics (FIRST, 2019)

Gambar 2.9 CVSS Metric Groups (FIRST, 2019)

2.4.2.1 Base Metrics

Grup metrik Basis mewakili karakteristik intrinsik dari kerentanan yang

konstan sepanjang waktu dan di seluruh lingkungan pengguna. Ini terdiri dari

dua set metrik yaitu (FIRST, 2019):

2.4.2.1.1 Exploitability Metrics

Metrik Eksploitasi mencerminkan kemudahan dan cara teknis yang

dengannya kerentanan dapat dieksploitasi. Artinya, mereka mewakili

karakteristik dari hal yang rentan, yang ditawarkan secara resmi sebagai

komponen yang rentan (FIRST, 2019).

43

Attack Vector (AV)

Metrik ini mencerminkan konteks di mana eksploitasi kerentanan

dimungkinkan. Nilai metrik ini (dan akibatnya Base Score) akan lebih

besar semakin jauh (secara logis, dan fisik) penyerang dapat

mengeksploitasi komponen rentan. Asumsinya adalah

bahwa jumlah penyerang potensial untuk kerentanan yang dapat

dieksploitasi dari seluruh jaringan lebih besar daripada jumlah penyerang

potensial yang dapat mengeksploitasi kerentanan yang memerlukan akses

fisik ke perangkat, dan karenanya menjamin Skor Pangkalan yang lebih

besar (FIRST, 2019).

Tabel 2.1 Attack Vector (FIRST, 2019)

Metric Value Deskripsi

Network (N) Komponen yang memiliki kerentanan terikat ke dalam jaringan dan mengtur

kemungkinan penyerang melampaui opsi lain yang tercantum di bawah ini,

hingga dan termasuk seluruh internet. Kerentanan seperti itu sering disebut

“remotely exploitable”dan dapat dianggap sebagai serangan yang dapat

dieksploitasi di Internet tingkat protokol satu atau lebih jaringan melompat

menjauh (misal melintasi satu atau lebih router). Contoh serangan jaringan

adalah penyerang yang menyebabkan penolakan layanan (DoS) dengan

mengirim paket TCP yang dibuat khusus melalui jaringan area luas (CVE-

2004-0230).

Adjacent (A) Komponen yang memiliki kerentanan terikat ke dalam jaringan, tetapi serangan

terbatas pada tingkat protokol ke topologi yang berdekatan secara logis. Ini

dapat berarti serangan harus diluncurkan dari jaringan fisik bersama yang sama

(misalnya, Bluetooth atau IEEE 802.11) atau logis (misalnya, subnet IP lokal),

44

atau dari dalam domain administratif yang aman atau terbatas (misalnya,

MPLS, VPN aman ke zona jaringan administratif). Salah satu contoh serangan

yang berdekatan adalah ARP Flooding (IPv4) atau Neighbor Discovery (IPv6)

yang mengarah ke Denial of Service pada segmen LAN lokal (CVE-2013-

6014).

Local (L) Komponen yang memiliki kerentanan tidak terikat langsung dengan jaringan

dan jalan untuk menyerang adalah melalui kemampuan read / write / execute,

antara lain:

1. Penyerang mengeksploitasi kerentanan dengan mengakses sistem

target secara lokal (misal keyboard, konsol), atau jarak jauh (misal

SSH); atau

2. Penyerang bergantung pada Interaksi Pengguna oleh orang lain untuk

melakukan tindakan yang diperlukan untuk mengeksploitasi

kerentanan (misal menggunakan sosial teknik rekayasa untuk

mengelabui pengguna yang sah untuk membuka dokumen jahat).

Physical (P) Serangan membutuhkan penyerang untuk secara fisik menyentuh atau

memanipulasi komponen yang rentan. Interaksi fisik mungkin singkat (misal

evil maid attack) atau persistent. Contoh serangan tersebut adalah serangan

cold boot di mana penyerang mendapatkan akses ke kunci enkripsi disk setelah

secara fisik mengakses sistem target. Contoh lain termasuk serangan periferal

melalui FireWire / USB Direct Memory Access (DMA).

Attack Complexity (AC)

Metrik ini menjelaskan kondisi di luar kendali penyerang yang harus ada

untuk mengeksploitasi kerentanan yang di mana kondisi tersebut mungkin

memerlukan pengumpulan informasi lebih lanjut tentang target, atau

pengecualian komputasi (FIRST, 2019).

45

Tabel 2.2 Attack (FIRST, 2019)


Low (L) Tidak ada kondisi akses khusus atau keadaan khusus. Penyerang dapat

berekspektasi akan keberhasilan yang berulang ketika menyerang komponen

yang rentan.

High (H) Serangan yang berhasil tergantung pada kondisi di luar kendali penyerang,

yaitu serangan yang berhasil tidak dapat dicapai sesuka hati, tetapi

mengharuskan penyerang untuk berinvestasi dalam sejumlah upaya yang

terukur dalam persiapan atau eksekusi terhadap komponen yang rentan

sebelum serangan yang berhasil dapat diharapkan. Misalnya, serangan yang

berhasil mungkin bergantung pada seorang penyerang mengatasi salah satu

dari kondisi berikut:

1. Penyerang harus mengumpulkan pengetahuan tentang lingkungan di

mana target / komponen yang rentan ada. Misalnya, persyaratan untuk

mengumpulkan rincian tentang pengaturan konfigurasi target, nomor

urut, atau rahasia bersama.

2. Penyerang harus mempersiapkan lingkungan target untuk ditingkatkan

memanfaatkan keandalan. Misalnya, eksploitasi berulang untuk

memenangkan perlombaan kondisi, atau mengatasi teknik mitigasi

eksploitasi canggih.

3. Penyerang harus memamsukan diri mereka ke jalur jaringan logis

antara target dan sumber daya yang diminta oleh korban secara

berurutan untuk membaca dan / atau memodifikasi komunikasi

jaringan (misal Man in the Middle Attack).

46

Privileges Required (PR)

Metrik ini menjelaskan tingkat hak istimewa atau privellege yang harus

dimiliki oleh penyerang sebelum berhasil mengeksploitasi kerentanan, Penialian

Base Score adalah yang terbesar jika tidak ada hak istimewa yang diperlukan.

(FIRST, 2019).

Tabel 2.3 Privileges Required (FIRST, 2019)


None (N) Penyerang tidak memilik otorisasi sebelum serangan, dan oleh karena itu tidak

memerlukan akses ke pengaturan atau file dari sistem yang rentan untuk

melakukan serangan.

Low (L) Penyerang membutuhkan hak istimewa yang menyediakan kapabilitas

pengguna dasar yang biasanya hanya memengaruhi pengaturan dan file yang

dimiliki oleh pengguna. Atau, penyerang dengan hak istimewa rendah

memiliki kemampuan untuk mengakses hanya sumber daya yang tidak sensitif.

High (H) Penyerang membutuhkan hak istimewa yang memberikan kontrol (misal

Administratif) yang signifikan atas komponen yang rentan yang

memungkinkan akses ke pengaturan dan file di seluruh komponen.

User Interaction (UI)

Metrik ini menangkap persyaratan bagi pengguna manusia, selain

penyerang, untuk berpartisipasi dalam kompromi yang berhasil dari

komponen yang rentan. Metrik ini menentukan apakah kerentanan dapat

dieksploitasi semata-mata atas kehendak penyerang, atau apakah pengguna

yang terpisah (atau proses yang diprakarsai pengguna) harus berpartisipasi

47

dengan cara tertentu. Base Score paling tinggi ketika tidak ada interaksi

pengguna yang diperlukan(FIRST, 2019).

Tabel 2.4 User Interaction (FIRST, 2019)


None (N) Sistem yang rentan dapat dieksploitasi tanpa interaksi dari pengguna mana pun.

Required (R) Eksploitasi kerentanan yang berhasil ini mengharuskan pengguna untuk

mengambil tindakan sebelum kerentanan tersebut dapat dieksploitasi.

Misalnya, eksploit yang berhasil hanya dapat dilakukan selama instalasi

aplikasi oleh administrator sistem.

2.4.2.1.2 Scope (S)

Metrik ini menangkap apakah kerentanan dalam satu komponen

rentan berdampak pada sumber daya di dalam komponen di luar cakupan

keamanannya. Secara formal, otoritas keamanan adalah mekanisme

(misalnya, aplikasi, sistem operasi, firmware, lingkungan sandbox) yang

mendefinisikan dan menegakkan kontrol akses dalam hal bagaimana subyek

/ aktor tertentu (misalnya, pengguna manusia, proses) dapat mengakses

pembatasan tertentu objek / sumber daya (mis. file, CPU, memori) secara

terkendali (FIRST, 2019).

Contoh lainnya database yang hanya digunakan oleh satu aplikasi

dianggap sebagai bagian dari aplikasi itu

ruang lingkup keamanan bahkan jika database memiliki otoritas

keamanannya sendiri, misalnya, mekanisme yang mengontrol akses ke

48

catatan basis data berdasarkan pengguna basis data dan hak istimewa basis

data terkait. Base Score terbesar ketika Scope Changed (C) terjadi (FIRST,

2019)..

Tabel 2.5 Scope (FIRST, 2019)


Unchanged (U) Kerentanan yang dieksploitasi hanya dapat memengaruhi sumber daya yang

dikelola oleh otoritas keamanan yang sama. Dalam hal ini, komponen yang

rentan dan komponen yang terkena dampak adalah sama, atau keduanya

dikelola oleh otoritas keamanan yang sama.

Changed (C) Perlu dieksploitasi yang berhasil ini diperlukan untuk mengambil tindakan

sebelum perbaikan tersebut dapat dieksploitasi. Misalnya, eksploit yang

berhasil hanya dapat dilakukan selama instalasi aplikasi oleh administrator

sistem.

2.4.2.1 Impact Metrics

Metrik ini mencerminkan konsekuensi langsung dari eksploitasi yang

berhasil, dan mewakili konsekuensi pada hal yang menderita dampak, yang

kami sebut secara formal sebagai komponen yang terkena dampak.

Sedangkan komponen yang rentan biasanya adalah aplikasi perangkat lunak,

modul, driver, dll. (atau mungkin perangkat perangkat keras), komponen yang

terpengaruh dapat berupa aplikasi perangkat lunak, perangkat perangkat keras

atau sumber daya jaringan (FIRST, 2019).

49

2.4.2.1.1 Confidentiality (C)

Metrik ini mengukur dampak terhadap Confidentiality sumber daya

informasi yang dikelola oleh komponen perangkat lunak karena kerentanan

yang berhasil dieksploitasi. Confidentiality mengacu pada membatasi akses

informasi dan pengungkapan hanya kepada pengguna yang berwenang, serta

mencegah akses oleh, atau pengungkapan kepada, pengguna yang tidak sah.

Base Score terbesar saat kehilangan komponen yang terkena dampak paling

tinggi atau High (H) (FIRST, 2019).

Tabel 2.6 Confidentiality (FIRST, 2019)


High (H)

Ada total kehilangan kerahasiaan, yang mengakibatkan semua sumber daya

dalam komponen yang terkena dampak diungkapkan kepada penyerang. Atau,

akses ke hanya beberapa informasi terbatas diperoleh, tetapi informasi yang

diungkapkan menyajikan dampak langsung dan serius. Misalnya, seorang

penyerang mencuri kata sandi administrator, atau kunci enkripsi pribadi dari

server web.

Low (L) Ada beberapa kehilangan kerahasiaan. Akses ke beberapa informasi terbatas

diperoleh, tetapi penyerang tidak memiliki kendali atas informasi apa yang

diperoleh, atau jumlah atau jenis kerugian terbatas. Pengungkapan informasi

tidak menyebabkan kerugian langsung dan serius pada komponen yang terkena

dampak.

None (N) Tidak ada kehilangan kerahasiaan di dalam komponen yang terkena dampak.

50

2.4.2.1.2 Integrity (I)

Metrik ini mengukur dampak Integrity yang berhasil dieksploitasi.

Integrity mengacu pada kepercayaan dan kebenaran informasi. Base Score

paling besar ketika konsekuensi pada komponen yang terkena dampak

paling tinggi (FIRST, 2019).

Tabel 2.7 Integrity (FIRST, 2019)


High (H)

Ada total kehilangan integritas, atau benar-benar kehilangan perlindungan.

Sebagai contoh, penyerang dapat memodifikasi semua / semua file yang

dilindungi oleh komponen yang terkena dampak. Atau, hanya beberapa file

yang dapat dimodifikasi, tetapi modifikasi berbahaya akan menghadirkan

konsekuensi langsung dan serius terhadap komponen yang terpengaruh.

Low (L) Modifikasi data dimungkinkan, tetapi penyerang tidak memiliki kendali atas

konsekuensi modifikasi, atau jumlah modifikasi terbatas. Modifikasi data tidak

memiliki dampak langsung dan serius pada komponen yang terkena dampak.


2.4.2.1.3 Availability (A)

Metrik ini mengukur dampak terhadap ketersediaan komponen yang

terkena dampak yang dihasilkan dari kerentanan yang berhasil dieksploitasi.

Meskipun metrik dampak Confidentiality dan Integrity berlaku untuk

hilangnya kerahasiaan atau integritas data (misalnya, informasi, file) yang

digunakan oleh komponen yang terkena dampak, metrik ini merujuk pada

hilangnya ketersediaan komponen yang terkena dampak itu sendiri, seperti

51

layanan jaringan ( mis. web, database, email). Karena ketersediaan mengacu

pada aksesibilitas sumber daya informasi, serangan yang menghabiskan

bandwidth jaringan, siklus prosesor, atau ruang disk semuanya

memengaruhi ketersediaan komponen yang terpengaruh. Base Score paling

besar ketika konsekuensi pada komponen yang terkena dampak paling tinggi

(FIRST, 2019).

Tabel 2.8 Availability (FIRST, 2019)


High (H)

Ada total kehilangan integritas, atau benar-benar kehilangan perlindungan.

Sebagai contoh, penyerang dapat memodifikasi semua / semua file yang

dilindungi oleh komponen yang terkena dampak. Atau, hanya beberapa file

yang dapat dimodifikasi, tetapi modifikasi berbahaya akan menghadirkan

konsekuensi langsung dan serius terhadap komponen yang terpengaruh.

Low (L) Modifikasi data dimungkinkan, tetapi penyerang tidak memiliki kendali atas

konsekuensi modifikasi, atau jumlah modifikasi terbatas. Modifikasi data tidak

memiliki dampak langsung dan serius pada komponen yang terkena dampak.


2.4.2.2 Temporal Metrics

Metrik ini mengukur kondisi saat ini dari teknik yang dieksploitasi

atau ketersediaan kode, keberadaan tambalan atau solusi, atau kepercayaan

terhadap deskripsi kerentanan (FIRST, 2019).

52

2.4.2.2.1 Exploit Code Maturity (E)

Metrik ini mengukur kemungkinan kerentanan diserang, dan biasanya

didasarkan pada kondisi teknik eksploitasi saat ini, mengeksploitasi ketersediaan

kode, atau eksploitasi aktif, “in-the-wild”. Ketersediaan publik dari kode

eksploitasi yang mudah digunakan meningkatkan jumlah penyerang potensial

dengan memasukkan mereka yang tidak terampil, sehingga meningkatkan

keparahan dari kerentanan. Semakin mudah kerentanan dapat dieksploitasi,

semakin tinggi skor kerentanannya (FIRST, 2019).

Tabel 2.9 Exploit Code Maturity (FIRST, 2019)


Not Defined (X) Menetapkan nilai ini menunjukkan tidak ada informasi yang cukup untuk

memilih salah satu dari nilai-nilai lainnya, dan tidak memiliki dampak pada

Envivormental Score keseluruhan, yaitu, ia memiliki efek yang sama pada

penilaian saat menetapkan Tinggi.

High (H) Ada kode otonom fungsional, atau tidak ada eksploit yang diperlukan (pemicu

manual) dan detail tersedia secara luas. Kode eksploit berfungsi dalam setiap

situasi, atau secara aktif dikirim melalui agen otonom (seperti worm atau virus).

Sistem yang terhubung jaringan kemungkinan akan menghadapi upaya

pemindaian atau eksploitasi. Pengembangan eksploit telah mencapai tingkat

alat otomatis yang andal, tersedia luas, dan mudah digunakan.

Functional (F) Kode exploit fungsional tersedia. Kode ini berfungsi di sebagian besar situasi

di mana kerentanan ada.

Proof-of-Concept

(P)

Tersedia kode eksploit bukti konsep, atau serangan demonstrasi tidak praktis

untuk sebagian besar sistem. Kode atau teknik tidak berfungsi dalam semua

situasi dan mungkin memerlukan modifikasi substansial oleh penyerang yang

terampil.

53

Unproven (U) Tidak ada kode exploit yang tersedia, atau eksploit bersifat teoritis.

2.4.2.2.2 Remediation Level (RL)

Metrik ini merupakan faktor penting untuk penentuan prioritas.

Kerentanan tipikal tidak ditambal saat awalnya diterbitkan. Pemecahan

masalah atau perbaikan terbaru dapat menawarkan remediasi sementara

sampai tambalan atau pemutakhiran resmi dikeluarkan. Masing-masing

tahapan ini menyesuaikan Temporal Score ke bawah, yang mencerminkan

urgensi yang menurun ketika remediasi menjadi final.. Semakin sedikit

perbaikan resmi dan permanen, semakin tinggi skor kerentanan (FIRST,

2019).

2.10 Remediation Level (FIRST, 2019)





penilaian saat menetapkan Menentukan Dikonfirmasi (Confirmed).

Confirmed (C) Ada laporan terperinci, atau reproduksi fungsional dimungkinkan

(eksploitasi fungsional dapat menyediakan ini). Kode sumber tersedia

untuk memverifikasi secara independen pernyataan penelitian, atau

penulis atau vendor kode yang terkena dampak telah mengkonfirmasi

adanya kerentanan.

Reasonable (R) Rincian signifikan diterbitkan, tetapi peneliti tidak memiliki kepercayaan

penuh pada akar penyebabnya, atau tidak memiliki akses ke kode sumber untuk

54

sepenuhnya mengkonfirmasi semua interaksi yang dapat menyebabkan hasil.

Namun, ada kepercayaan yang masuk akal bahwa bug dapat direproduksi dan

setidaknya satu dampak dapat diverifikasi (eksploitasi konsep bukti dapat

memberikan ini). Contohnya adalah penulisan rinci penelitian tentang

kerentanan dengan penjelasan (mungkin dikaburkan atau "dibiarkan sebagai

latihan bagi pembaca") yang memberikan jaminan tentang cara mereproduksi

hasil.

Unknown (U) Ada laporan dampak yang menunjukkan adanya kerentanan. Laporan

menunjukkan bahwa penyebab kerentanan tidak diketahui, atau laporan

mungkin berbeda pada penyebab atau dampak kerentanan. Reporter tidak yakin

dengan sifat sebenarnya dari kerentanan, dan ada sedikit kepercayaan pada

validitas laporan atau apakah Skor Basis statis dapat diterapkan mengingat

perbedaan yang dijelaskan. Contohnya adalah laporan bug yang mencatat

bahwa terjadi kerusakan terputus-putus tetapi tidak dapat direproduksi, dengan

bukti kerusakan memori yang menunjukkan bahwa

penolakan layanan, atau kemungkinan dampak yang lebih serius, dapat terjadi.

2.4.2.2.3 Report Confidence (RC)

Metrik ini mengukur tingkat kepercayaan terhadap keberadaan

kerentanan dan kredibilitas rincian teknis yang diketahui. Terkadang hanya

keberadaan kerentanan yang dipublikasikan, tetapi tanpa detail spesifik.

Misalnya, dampak dapat dikenali sebagai tidak diinginkan, tetapi akar

masalahnya mungkin tidak diketahui. Kerentanan kemudian dapat dikuatkan

dengan penelitian yang menunjukkan di mana kerentanan berada, meskipun

penelitian mungkin tidak pasti. Akhirnya, kerentanan dapat dikonfirmasi

melalui pengakuan oleh penulis atau vendor teknologi yang terpengaruh.

55

Urgensi kerentanan lebih tinggi ketika kerentanan diketahui ada dengan

pasti. Metrik ini juga menunjukkan tingkat pengetahuan teknis yang tersedia

bagi calon penyerang. Semakin kerentanan divalidasi oleh vendor atau

sumber terpercaya lainnya, semakin tinggi (FIRST, 2019).

2.11 Report Confidence (FIRST, 2019)





penilaian saat menetapkan tidak tersedia.

Unavable (U) Tidak ada solusi yang tersedia atau tidak mungkin untuk diterapkan.

Workarround

(W)

Ada solusi tidak resmi dan non-vendor yang tersedia. Dalam beberapa kasus,

pengguna teknologi yang terpengaruh akan membuat tambalan sendiri atau

memberikan langkah-langkah untuk mengatasi atau mengurangi kerentanan.

Temporary Fix

(T)

Ada perbaikan resmi tetapi sementara tersedia. Ini termasuk contoh di mana

vendor mengeluarkan perbaikan terbaru sementara, alat, atau solusi.

Official Fix (O) Solusi vendor lengkap tersedia. Baik vendor telah mengeluarkan tambalan

resmi, atau pemutakhiran tersedia.

2.4.2.3 Environmental Metrics

Grup enviromental metrics mewakili karakteristik kerentanan yang

relevan dan unik untuk lingkungan pengguna tertentu. Pertimbangan termasuk

kehadiran kontrol keamanan yang dapat mengurangi beberapa atau semua

konsekuensi dari serangan yang berhasil, dan kepentingan relatif dari sistem

yang rentan dalam infrastruktur teknologi (FIRST, 2019).

56

2.4.2.3.1 Security Requirements (CR, IR, AR)

Metrik ini memungkinkan analis untuk menyesuaikan skor CVSS

tergantung pada pentingnya aset TI yang terpengaruh ke organisasi

pengguna, diukur dalam hal Confidentiality, Integrity dan Availability.

Yaitu, jika aset TI mendukung fungsi bisnis yang ketersediannya yang

paling penting, analis dapat menetapkan nilai yang lebih besar untuk

Ketersediaan relatif terhadap Kerahasiaan dan Integritas (FIRST, 2019).

Setiap Persyaratan Keamanan memiliki tiga nilai yang mungkin:

rendah (low), sedang (medium), atau (High) tinggi. Efek penuh pada

Enviromental Score ditentukan oleh Modified Base yang sesuai Impact

Metrics. Yaitu, metrik ini mengubah Enviromental Score dengan

mengulangi Metrik dampak Confidentiality, Integrity, dan Availability yang

Dimodifikasi. Misalnya, Dimodifikasi Metrik Confidentiality Impact (MC)

bertambah berat jika Confientiality Requirements (CR) tinggi. Demikian

juga, metrik dampak Modified Confidentiality telah mengalami penurunan

bobot jika Confientiality Requirements rendah. Metrik dampak Modified

Confidentiality adalah netral jika Confientiality Requirements sedang.

Proses yang sama ini diterapkan pada Integrity Requirements dan

Availability. Perhatikan bahwa Confientiality Requirements tidak akan

memengaruhi skor Enviromental jika (Modified Base) dampak

confidentiality diatur ke Tidak Ada. Juga, meningkatkan Confientiality

57

Requirements dari sedang ke tinggi tidak akan mengubah skor Enviromental

saat Metrik dampak (Modified Base) d atur ke tinggi. Ini karena Sub-Skor

Modified Impact (bagian dari Modified Base Score yang menghitung

dampak) sudah pada nilai maksimum 10 (FIRST, 2019).

Untuk singkatnya, tabel yang sama digunakan untuk semua tiga

metrik. Semakin besar security requirement, semakin tinggi skor (Medium

itu dianggap default) (FIRST, 2019).

Tabel 2.12 System Requirement (FIRST, 2019)




Envivormental Score keseluruhan, yaitu, memiliki efek yang sama pada

penilaian saat menetapkan Medium.

High (H) Kehilangan [Confidentiality | | Integrity | Availability] kemungkinan memiliki

efek buruk akatastrofik pada organisasi atau individu yang terkait dengan

organisasi (misal Karyawan, pelanggan).

Medium (F) Kehilangan [Confidentiality | | Integrity | Availability] kemungkinan memiliki

efek buruk yang serius pada organisasi atau individu yang terkait dengan

organisasi (misal Karyawan, pelanggan).

Low (L) Kehilangan [Confidentiality | | Integrity | Availability] kemungkinan hanya

memiliki efek buruk terbatas pada organisasi atau individu yang terkait dengan

organisasi (mis., Karyawan, pelanggan).

58

2.4.2.3.2 Modified Base Metrics

Metrik ini memungkinkan analis untuk mengganti metrik Basis

individual berdasarkan spesifikkarakteristik lingkungan pengguna.

Karakteristik yang memengaruhi Eksploitasi, Cakupan, atau Dampak dapat

tercermin melalui Skor Lingkungan yang dimodifikasi dengan tepat. Efek

penuh pada skor Lingkungan ditentukan oleh metrik Basis yang sesuai.

Yaitu, metrik ini memodifikasi Skor Lingkungan dengan mengesampingkan

nilai metrik Basis, sebelumnya untuk menerapkan Persyaratan Keamanan

Lingkungan. Misalnya, konfigurasi default untuk komponen yang rentan

mungkin menjalankan layanan mendengarkan dengan hak administrator,

untuk di mana kompromi dapat memberikan penyerang kerahasiaan,

integritas, dan dampak ketersediaan itu semua Tinggi. Namun, di

lingkungan analis, layanan Internet yang sama mungkin berjalan dengan hak

istimewa yang dikurangi; dalam hal itu, Kerahasiaan yang Dimodifikasi,

Integritas yang Dimodifikasi, dan Ketersediaan yang Diubah masing-masing

dapat diatur ke Rendah. Untuk singkatnya, hanya nama-nama metrik Base

yang Dimodifikasi yang disebutkan. Setiap Dimodifikasi Metrik lingkungan

memiliki nilai yang sama dengan metrik Basis yang sesuai, ditambah nilai

Tidak terdefinisikan. Not Defined adalah default dan menggunakan nilai

metrik dari Basis terkait metrik.

59

Maksud dari metrik ini adalah untuk menentukan mitigasi untuk

lingkungan tertentu. Ini dapat diterima untuk menggunakan metrik yang

dimodifikasi untuk mewakili situasi yang meningkatkan Skor Basis. Misalnya,

konfigurasi default suatu komponen mungkin memerlukan hak akses tinggi

untuk mengakses a fungsi tertentu, tetapi dalam lingkungan analis mungkin

tidak ada hak istimewa yang diperlukan. Itu analis dapat mengatur Privileges

Required to High dan Modified Privileges Required to None untuk

mencerminkankondisi yang lebih serius di lingkungan khusus mereka.

Tabel 2.13 Modified Base Metrics (FIRST, 2019)

Metric Value Nilai Sesuai

Modified Attack Vector (MAV)

Nilai yang sama dengan Base Metric yang sesuai (lihat

Base Metric di atas), serta Tidak Ditentukan (Not Defined )

secara otomatis.

Modified Attack Complexity (MAC)

Modified Privileges Required (MPR)

Modified User Interaction (MUI)

Modified Scope (MS)

Modified Confidentiality (MC)

Modified Integrity (MI)

Modified Availability (MA)

2.4.2.4 Qualitative Severity Rating Scale

Untuk beberapa tujuan, berguna untuk memiliki representasi tekstual

dari numerik Base, Temporal, dan Enviromental. Score yang didapat

sebelumnya dapat dipetakan menjadi peringkat kualitatif didefinisikan dalam

table berikut :

60

Tabel 2.13 Qualitative Severity Rating Scale (FIRST, 2019)

Rating CVSS Score

None 0.0

Low 0.1 - 3.9

Medium 4.0 - 6.9

High 7.0 – 8.9

Critical 9.0 – 10.0

Sebagai contoh, Base Score CVSS adalah 5.0 maka memiliki tingkat

keparahan Medium. Penggunaan peringkat keparahan kualitatif ini adalah

opsional, dan tidak ada persyaratan untuk memasukkannya saat menerbitkan

skor CVSS, karena mereka dimaksudkan untuk membantu organisasi menilai

dengan baik dan memprioritaskan proses manajemen kerentanan mereka

(FIRST, 2019).

2.4.2.5 Roundup CVSS v3.1

Roundup CVSS v3.1 didefinisikan dalam sub-bagian di bawah ini.

Base, Temporal, dan Enviromental Metrics mengandalkan fungsi pembantu

yang dapat didefinisikan (CVSS, 2019) :

1. Minimum mengembalikan yang lebih kecil dari dua

argumennya.

61

2. Roundup mengembalikan angka terkecil, ditentukan ke 1

tempat desimal, yaitu sama dengan atau lebih tinggi dari

inputnya. Misalnya, Roundup (4.02) mengembalikan 4.1; dan

Pembulatan (4,00) mengembalikan 4.0. Untuk memastikan

hasil yang konsisten di seluruh bahasa pemrograman dan

perangkat keras, Jaringan Komputer

2.4.2.5.1 Base Metrics Equations

Rumus Base Score Bergantung oleh sub-rumus untuk Impact Sub-Score

(ISS), Impact, dan Exploitability. Semuanya didefinisikan sebagai berikut

(FIRST, 2019):

Impact Sub-Score = 1 - [ (1 - Confidentiality) × (1 - Integrity) × (1 -

Availability) ]

Impact =

Jika Scope adalah Unchanged 6.42 × Impact Sub-Score

Jika Scope adalah Changed 7.52 × (ISS - 0.029) - 3.25 × (ISS - 0.02)

Exploitability = 8.22 × Attack Vector × Attack Complexity × Privileges

Required × User Interaction

Base Score =

Jika Impact <= 0 0, else

62

Jika Scope adalah Unchanged

Roundup (Minimum [(Impact + Exploitability), 10])

Jika Scope adalah Changed

Roundup (Minimum [1.08 × (Impact + Exploitability), 10])

2.4.2.5.2 Temporal Metrics Equations

Rumus Temporal Metric dapat didefinisikan sebagai berikut (FIRST, 2019):

Temporal Score = Roundup (Base Score × Exploit Code Maturity ×

Remediation Level × Report Confidence)

2.4.2.5.3 Enviromental Metrics Equations

Rumus Environmental Score bergantung pada sub-rumus untuk Modified

Impact Sub-Score (MISS), Modified Impact, dan Modified Exploitability,

semuanya dapat didefinisikan seperti di bawah ini :

Modified Impact Sub-Score =

Minimum ( 1 - [ (1 – Confidentiality Requirement × Modified

Confidentiality) × (1 – Integrity Requirement × Modified Integrity) × (1 –

Availability Requirement × Modified Availability) ], 0.915)

Modified Impact =

Jika Modified Scope adalah Unchanged 6.42 × Modified Impact Sub-Score

63

Jika Modified Scope adalah Changed 7.52 × (Modified Impact Sub-Score -

0.029) - 3.25 ×(MISS × 0.9731 - 0.02)

Modified Exploitability = 8.22 × Modified Attack Vector × Modified Attack

Complexity × Modified Privileges Required ×Modified User Interaction

Environmental Score =

Jika Modified Impact <= 0 0, maka

Jika Modified Scope adalah Unchanged

Roundup (Roundup [Minimum ([Modified Impact + Modified

Exploitability], 10)] × Exploit Code Maturity × Remediation Level × Report

Confidence)

Jika Modified Scope adalah Changed

Roundup (Roundup [Minimum (1.08 × [Modified Impact + Modified

Exploitability], 10) ] × Exploit Code Maturity × Remediation Level ×

Report Confidence)

Tabel 2.13 Nilai Metrik (FIRST, 2019)

Metric Value Metric Numerical

Value

Attack Vector /

Modified Attack Vector

Network 0.85

Adjacent 0.62

Local 0.55

Physical 0.2

Attack Complexity / Low 0.77

64

Modified Attack Complexity High 0.44

Privileges Required /

Modified Privileges Required

None 0.85

Low 0.62 (atau 0.68

Jika Scope /

Modified

Scope

diset Changed)

High 0.27 (atau 0.5

Jika Scope /

Modified

Scope diset

Changed)

User Interaction /

Modified User Interaction

None 0.85

Required 0.62

Confidentiality / Integrity /

Availability / Modified

Confidentiality / Modified

Integrity / Modified Availability

High 0.56

Low 0.22

None 0

Exploit Code Maturity Not Defined 1

High 1

Functional 0.97

Proof of Concept 0.94

Unproven 0.91

Remediation Level Not Defined 1

Unavailable 1

Workaround 0.97

Temporary Fix 0.96

Official Fix 0.95

Report Confidence Not Defined 1

Confirmed 1

65

Reasonable 0.96

Unknown 0.92

Confidentiality Requirement /

Integrity Requirement /

Availability Requirement

Not Defined 1

High 1.5

Medium 1

Low 0.5

2.4.2.6 Kalkulator CVSS v3.1

Dalam membantu proses penghitungan tingkat kerentanan dapat

menggunakan kalkulator berbasis web yang telah disediakan secara gratis

oleh FIRST yang dapat diakses melalui

https://www.first.org/cvss/calculator/3.1

Gambar 2.9 CVSS Metric Groups (FIRST, 2019)

https://www.first.org/cvss/calculator/3.1

66

2.4.3 Pengertian Jaringan Komputer

Secara umum, diketahui bahwa jaringan komputer bisa berarti

penghubung antara satu komputer dengan komputer lainnya. Jaringan

komputer merupakan model lama satu komputer yang melayani semua

kebutuhan komputasi organisasi telah digantikan oleh satu komputer yang

terpisah namun saling berhubungan melakukan pekerjaan itu (Tanenbaum &

Wetherall, 2011).

Jaringan komputer adalah kumpulan beberapa komputer (dan perangkat

lain seperti router, switch, dan sebagainya) yang saling terhubung satu sama

lain melalui media perantara (Sofana, 2008).

Jaringan komputer adalah seumpulan komputer individu yang

dihubungkan satu dengan yang lainnya menggunakan protocol Transmission

Control Protocol atau Internet Protocol (TCP/IP) (Oetomo, Wibowo, Hartono,

& Prakoso, 2007).

Jadi dari penjelasan-penjelasan tentang jaringan komputer dapat

disimpulkan bahwa jaringan komputer adalah penguhubung antara satu

komputer dengan komputer lainnya yang terpisah melalui media perantara

dengan menggunakan protocol Transmission Control Protocol atau Internet

Protocol (TCP/IP).

67

2.4.4 Klasifikasi Jaringan Komputer

Komputer-komputer yang terhubung dalam jaringan dapat

diklasifikasikan lagi menurut skala jangkauannya menurut (Tanenbaum &

Wetherall, 2011) sebagai berikut :

2.4.4.1 PAN (Personal Area Networks)

PAN (Personal Area Networks) membiarkan perangkat berkomunikasi

melalui jangkauan seseorang. Contoh umum adalah jaringan nirkabel yang

menghubungkan komputer dengan perangkatnya. PAN juga dapat dibangun

dengan teknologi lain yang berkomunikasi dalam rentang pendek, seperti RFID

pada smartcard dan buku perpustakaan

Gambar 2.9 Konfigurasi Bluetooth PAN (Tanenbaum & Wetherall, 2011)

68

2.4.4.2 LAN (Local Area Network)

LAN (Local Area Network) dalah jaringan milik pribadi yang

beroperasi di dalam dan di dekat suatu gedung seperti rumah, kantor atau

pabrik. LAN banyak digunakan untuk menghubungkan komputer pribadi dan

elektronik konsumen agar memungkinkan mereka berbagi sumber daya seperti

Printer dan bertukar informasi. Lan terbagi lagi menjadi dua, yaitu wired LAN

yang tersambung dengan kabel dan Wireless LAN yang menggunakan koneksi

nirkabel.

Gambar 2.10 Wired LAN (Tanenbaum & Wetherall, 2011)

69

Gambar 2.11 Wireless LAN (Tanenbaum dan Wetherall, 2011).

2.4.4.3 MAN

MAN (Metropolitan Area Network) mencakup sebuah kota. Contoh

MAN yang paling terkenal adalah jaringan televisi kabel yang tersedia di

banyak kota.

Gambar 2.12 MAN berbasis TV Kabel (Tanenbaum & Wetherall, 2011)

70

2.4.4.4 WAN

WAN (Wide Area Network) mencakup wilayah geografis yang luas,

seringkali merupakan negara atau benua

Gambar 2.13 WAN yang menghubungkan tiga kantor cabang di

Australia (Tanenbaum & Wetherall, 2011) .

2.4.4.5 Internetworks

Banyak jaringan ada di dunia, seringkali dengan perangkat keras dan

perangkat lunak yang berbeda. Orang yang terhubung ke satu jaringan sering

ingin berkomunikasi dengan orang-orang yang terhubung dengan orang lain.

Pemenuhan keinginan ini menuntut agar jaringan yang berbeda dan sering

71

tidak kompatibel dihubungkan. Kumpulan jaringan interkoneksi disebut

internetwork atau internet.

2.4.5 Protokol Jaringan

Untuk dapat berkomunikasi dapat dilakukan dengan cara yang

mematuhi seperangkat aturan yang dikenal sebagai protokol. (Stallings, 2007).

Terdapat 3 buah fitur utama dalam protokol, yaitu :

1. Sintaks: Mempertimbangkan format blok data

2. Semantik: Meliputi informasi kontrol untuk koordinasi dan

penanganan kesalahan

3. Waktu: Termasuk kecepatan pencocokan dan urutan

2.4.5.1 Model Refrensi OSI

Model referensi Open System Interconnection (OSI) dikembangkan

oleh International Organization for Standardization (ISO) sebagai model untuk

arsitektur protocol komputer dan sebagai kerangka kerja untuk

mengembangkan standar protokol (Stallings, 2007). Terdapat 7 lapisan dalam

Model Refrensi OSI sebagai berikut :

1. Application

72

Memberikan akses ke dalam lingkungan OSI untuk

pengguna dan juga memberikan pelayanan informasi

terdistribusi.

2. Presentation

Memberikan independensi ke pengolah aplikasi dari

representasi data yang berbeda.

3. Session

Memberikan struktur kontrol untuk berkomunikasi di antara

aplikasi, membangun, mengatur, dan memusnahkan koneksi

(sessions) di antara aplikasi yang bekerja sama.

4. Transport

Menyediakan kehandalan, transparansi transfer data di

antara titik akhir, memberikan pengembalian dari kegagalan

ujung ke ujung, dan kontrol arus.

5. Network

Menyediakan lapisan ke atas dengan independensi dari

transmisi data dan peralihan teknologi yang terbiasa untuk

terhubung dalam sistem, bertanggung jawab dalam

membangn koneksi, mempertahankan dan memusnahkan

koneksi.

6. Data Link

73

Menyediakan transfer informasi yang dapat diandalkan

menuju lapisan Physical, mengirim blok (frames) dengan

sinkonrisasi yang diperlukan, kontrol eror dan kontrol arus.

7. Physical

Khawatir dengan transmisi tidak arus bit terstruktur

melewati sarana physical, berurusan dengan mekanikal,

elektrikal, fungsional dan karakteristik prosedur untuk

mengakses sarana physical.

74

Gambar 2.14 Model Refrensi OSI (Stallings, 2007)

2.4.5.2 Transmission Control Protocol / Internet Protocol (TCP/IP)

Transmission Control Protocol / Internet Protocol (TCP/IP) adalah satu

set standar aturan komunikasi data yang dipakai dalam proses transfer data dari

satu komputer ke komputer lain dalam suatu jaringan komputer. (Kozierok,

2005). Terdapat 4 layer dalam TCP/IP, sebagai berikut (Kozierok, 2005):

75

1. Aplikasi (Application)

Layer Applikasi adalah sebuah aplikasi yang mengirimkan

data ke transport layer. Misalnya FTP, email programs dan

web browsers.

2. Transport (Transport)

Layer Transport bertanggung jawab untuk komunikasi

antara aplikasi. Layer ini mengatur aluran informasi dan

mungkin menyediakan pemeriksaan error. Data dibagi

kedalam beberapa paket yang dikirim ke internet layer

dengan sebuah header. Header mengandung alamat tujuan,

alamat sumber dan checksum. Checksum diperiksa oleh

mesin penerima untuk melihat apakah paket tersebut ada

yang hilang pada rute.

3. Internet (Internet)

Layer Internetwork bertanggung jawab untuk komunikasi

antara mesin. Layer ini meg-engcapsul paket dari transport

layer ke dalam IP datagrams dan menggunakan algoritma

routing untuk menentukan kemana datagram harus dikirim.

Masuknya datagram diproses dan diperiksa kesahannya

sebelum melewatinya pada Transport layer.

4. Antarmuka Jaringan ( Networks Interface)

76

Antarmuka Jaringan adalah level yang paling bawah dari

susunan TCP/IP. Layer ini adalah device driver yang

memungkinkan datagaram IP dikirim ke atau dari pisikal

network. Jaringan dapaat berupa sebuah kabel, Ethernet,

frame relay, Token ring, ISDN, ATM jaringan, radio, satelit

atau alat lain yang dapat mentransfer data dari sistem ke

sistem. Layer network interface adalah abstraksi yang

memudahkan komunikasi antara multitude arsitektur

network.

Gambar 2.15 Model TCP/IP (Kozierok, 2005)

2.4.5.3 Ports

Agar tidak bertabrakan satu dengan yang lainnya, masing-masing

aplikasi diberi jalur khusus yang disebut port. 1 nomor port tidak bisa

77

digunakan oleh 2 aplikasi yang berbeda dalam waktu yang bersamaan. Port

digunakan untuk melakukan proses komunikasi dengan proses lain pada

jaringan TCP/IP. (Sukaridhoto & ST Ph, 2014)

Server secara umum menjalankan well known ports. Adapun contoh dari

well known ports sebagai berikut :

Tabel 2.22 Well Known Ports (Tanenbaum & Wetherall, 2011)

Port Protocol Kegunaan

20, 21 FTP Transfer file

22 SSH Remote login menggantikan telnet

25 SMTP e-mail

80 HTTP World wide web

110 POP-3 remote email access

143 IMAP remote email access

443 HTPPS Secure web (http melalui ssl/tls)

543 RTSP Media player control

631 IPP Berbagi printer

2.5 Internet

Internet merupakan sekumpulan jaringan yang terhubung satu dengan

yang lainnya, di mana jaringan menyediakan sambungan menuju global

78

informasi (Oetomo et al., 2007). Komputer yang tersambung ke internet

merupakan bagian dari jaringan. Komputer dapat tersambung dengan Internet

Service Provider (ISP), lalu ISP tersambung dengan jaringan yang lebih besar.

Tiga peran teknis dalam dimiliki oleh internet sebagai berikut (Strauss

dan Frost, 2012) :

1. Penyedia konten yang menciptakan informasi, hiburan dan sebgainya yang

berada di komputer dengan akses jaringan.

2. Pengguna (juga dikenal sebagai komputer klien) yang mengaksses konten

dan mengirim email dan data lainnya melalui jaringan.

3. Infrastruktur teknologi untuk memindahkan, menciptakan, dan melihat atau

mendengar konten (perangkat lunak dan perangkat keras).

2.6 Konsep Web

World Wide Web (WWW), lebih dikenal dengan web yang merupakan

salah satu layanan yang didapat oleh pemakai computer yang terhubung ke

internet dengan fasilitas hypertext untuk menampilkan data berupa teks, gambar,

suara, animasi dan data multimedia lainnya (Kustiyahningsih & Anamisa, 2011).

Web dapat dikategorikan menjadi dua yaitu “web statis” dan “web

dinamis”. Web statis adalah web yang menampilkan informasi-informasi yang

sifatnya statis . Disebut statis karena pengguna tidak bisa berinteraksi dengan

web tersebut. Selain web statis ada juga yang disebut web dinamis. Web dinamis

79

adalah web yang menampilkan informasi serta dapat berinteraksi dengan

pengguna. Web yang dinamis memungkinkan pengguna untuk berinteraksi

menggunakan form sehingga dapat mengolah informasi yang ditampilkan. Web

dinamis bersifat interaktif, tidak kaku dan terlihat lebih indah.

2.7 Content Management System (CMS)

Content Management System atau biasa disebut CMS dalam arti luas

adalah perangkat lunak berbasis web yang membantu menjaga, mengubah,

mengendalikan, membuat ulang dan mempublikasikan konten termasuk teks,

gambar, foto, video, audio atau konten web lainnya. Setiap CMS memiliki

kekuatan dan kelemahan yang unik, beberapa alat CMS berfokus untuk

membuat produksi konten menjadi lebih mudah. (Kirschner, 2012).

Terdapat beberapa perangkat lunak CMS (Content Management

System) berbasis open source yang popular digunakan untuk membantu dalam

pembuatan blog, yaitu Wordpress, Joomla dan Drupal. (Gozali & Lo, 2012)

2.7.1 Wordpress

Wordpress adalah sebuah perangkat Blog yang ditulis dalam Bahasa PHP

dan mendukung sistem basis data MySQL yang merupakan penerus resmi dari

b2/Cafelog yang dikembangkan oleh Michel Valdrighi (Simarmata, 2010).

80

Wordpress banyak digunakan oleh penggunanya diseluruh dunia karena

memiliki keunggulan. Adapun keunggulannya sebagai (Simarmata, 2010).

1. Cukup mudah digunakan.

2. Sederhana.

3. Akun gratis Wordpress dapat dimiliki dengan mendaftar di

wordpress.com

4. Wordpress juga dapat dijalankan di situs Web milik kita sendiri.

5. Wordpress dapat dijalankan dalam komputer lokal (localhost).

6. Banyak plugin tambahan.

7. Template dapat diubah-ubah.

8. Penggunanya kompak.

9. Mendukung Search Engine Friendly (SEF).

2.8 Pengujian Software

2.8.1 Teknik Pengujian Software

Umumnya terdapat dua macam pendekatan yang digunakan

dalam pengujian sistem, yaitu black-box testing dan white-box testing.

Kedua pendekatan tersebut pengetesan dilakukan sesuai dengan

kebutuhan.

81

1. Black-box testing

Black-box testing merupakan suatu rangkaian pengujian yang

dilakukan pada antarmuka software dan dilakukan pengujian beberapa

aspek fundamental dari sebuah sistem dengan sedikit hal untuk struktur

logika internal dari suatu software. Contohnya ketika pengujian

aplikasi baru apakah sudah berjalan sesuai fungsinya. Jadi dalam

Black-box testing merupakan pendekatan yang dilakukan untuk

menguji suatu sistem secara parsial dan mengutamakan antarmuka dan

fungsi dan penulis menjadikan ini sebagai pendekatan dalam pengujian

sistem. Dalam penelitian ini digunakan Black-box testing dikarenakan

peneliti tidak menguji source kode secara langsung tetapi peneliti

memberikan input yang sifatnya spesial ke dalam aplikasi (Cole,

2011).

2. White-box testing

White-box testing merupakan suatu rangkaian pengujian yang

sifatnya mendasarkan dari pengujian secara ketat dari tahapan-tahapan

yang mendetil. Pada pendekatan ini dilakukan pengujian jalan logika

melalui software dan kolaborasi diantara komponen-komponen diuji

oleh kasus menyediakan tes yang menguji secara spesifik kumpulan-

82

kumpulan conditions dan loops. Contohnya ketika memiliki software

baru dilihat secara mendetil hingga codes. Jadi dalam white-box testing

dilakukan pengujian secara mendalam dan menyeluruh sehingga dapat

menyajikan sistem dapat berjalan dengan sempurna. (Cole, 2011)

3. Grey-box testing

Dijelaskan oleh Grey-box testing merupakan penguji

mempunyai sebagian pengetahuan tettang pengujian jaringan. Penguji

tidak memiliki pengatahuan lengkap mengenai arsitektur jaringan, tapi

memiliki pengetahuan tentang informasi dasar dari arsitektur jaringan

dan konfigurasi sistem. Grey-box testing juga merupakan kombinasi

dari white-box testing dan black-box testing (Goel dan Mehtre, 2005) .

4. Basis Path Testing

Metode Basis Path memungkinkan penguji mengukur

kompleksitas logika dari desain procedural dan menggunakan ukuran

ini sebagai panduan untuk menggambarkan dasar eksekusi alur

aplikasi (Pressman & Maxim, 2015)

83

2.9 Perpustakaan

2.9.1 Pengertian Perpustakaan

Menurut UU RI nomor 43 tahun 2007 tentang perpustakaan,

perpustakaan adalah institusi pengelola koleksi karya tulis, karya cetak,

dan/atau karya rekam secara profesional dengan sistem yang baku guna

memenuhi kebutuhan pendidikan, penelitian, pelestarian, informasi, dan

rekreasi para pemustaka.

Perpustakaan merupakan sebuah ruangan, bagian sebuah gedung,

ataupun gedung itu seniri yang digunakan untuk menyimpan buku dan

terbitan lainnya yng biasa disimpan menurut tata susunan tertentu untuk

digunakan pembaca, bukan untuk dijual (Basuki & Pranoto, 2009).

Perpustakaan adalah tempat penyimpanan dan pengelolaanbahan

pustaka baik yang tertulis maupun yang terekam yang disusun

berdasarkan aturan tertentu secara sistematis sehingga mudah ditemukan

oleh pembacanya (Yunita & Ati, 2016)

Jadi dari penjelasan di atas, dapat disimpulkan pengertian

perpustakaan menjadi suatu institusi ataupun bagian ruangan dari institusi

yang difungsikan untuk menyimpan ataupun mengelola buku, karya tulis

dan lainnya dengan sistematis sehingga mudah ditemukan dan tidak

diperjual belikan untuk memenuhi kebutuhan anggotanya.

84

2.9.2 Pengertian OPAC (Online Public Access Catalogue)

OPAC merupakan antarmuka yang tampak sederhana yang

memfasilitasi akses ke segala yang dimiliki perpustakaan melalui

berbagai cara seperti judul subjek, kata kunci, nama pengarang, nomor

panggilan, dan seterusnya (Leckie & Buschman, 2009).

OPAC adalah katalog terpasang, yaitu suatu database dari record-

record katalog yang dapat diakses oleh umum atau pencari informasi

(Hafiah, 2011). Sedangkan menurut OPAC adalah katalog yang dapat

digunakan oleh penggunanya secara online untuk mencari informasi

sebuah buku, baik di perpustakaan, toko buku, maupun unit informasi

lainnya (Yunita & Ati, 2016).

Jadi dari uraian di atas, dapat disimpulkan bahwa OPAC

merupakan suatu sarana yang dapat mempermudah untuk melakukan

pencarian ataupun sebagai akses jembatan menuju segala yang dimiliki

perpstakaan melalui berbagai cara.

2.9.3 Tujuan OPAC

Ada beberapa tujuan yang ingin dicapai dalam pembuatan OPAC

adalah sebagai berikut (Kusmayadi & Andriaty, 2006) :

85

a. Pengguna dapat mengakses secara langsung ke dalam pangkalan data

yang dimiliki perpustakaan.

b. Mengurangi beban biaya dan waktu yang diperlukan dan yang harus

dikeluarkan oleh pengguna dalam mencari informasi.

c. Mengurangi beban pekerjaan dalam pengelolaan pangkalan data

sehingga dapat meningkatkan efisiensi tenaga kerja.

d. Mempercepat pencarian informasi.

e. Dapat melayani kebutuhan informasi masyarakat dalam jangkauan

yang luas.

2.9.4 Senayan Library Management System (SLIMS)

Senayan Library Management System atau biasa disebut SLimS

merupakan salah satu Free Open Source Software (FOSS) berbasis web

yang dapat digunakan untuk membangun sistem otomasi perpustakaan

(Azwar, 2013) . SLiMS dapat berjalan dalam jaringan lokal maupun

internet. SLiMS dapat diakses oleh umum untuk mencari informasi

berdasarkan katalog sehingga bisa disebut juga OPAC.

86

2.10 Pengujian dan Analisis

2.10.1 Zero Entry Hacking (ZEH)

Metodologi yang digunakan dalam pengujian dan analisis pada

penelitian ini ialah Zero Entry Hacking (ZEH). ZEH merupakan salah satu

metodologi yang digunakan untuk melakukan Penetration Testing. ZEH

merupakan salah satu metodologi yang cocok digunakan untuk pemula

dalam melakukan Penetration Testing karena menggunakan 4 tahapan

sederhana saja (Engebretson, 2013).

2.10.2 Tahapan ZEH

Terdapat 4 tahapan dalam ZEH yang digunakan dalam pengujian

sistem. Adapun empat tahapannya menurut yaitu (Engebretson,

2013).Pengintaian Sistem (Reconnaisance), Pemindaian (Scanning),

Eksploitasi Celah Keamanan (Exploitation) dan Pasca Eksploitasi (Post

Exploitation). Berikut ini adalah gambar dari tahapan-tahapan ZEH

Gambar 2.16 Tahapan-tahapan ZEH (Engebretson, 2013).

87

2.10.2.1 Pengintaian Sistem (Reconnaisance)

Pengintaian sistem (Reconnaisance) atau biasa disebut pengumpulan

informasi merupakan tahapan di mana seorang penguji mengumpulkan

informasi sebanyak-banyaknya mengenai objek yang diteliti . Adapun tools

yang digunakan sebagai berikut :

2.10.2.1.1 WHO IS

Layanan Whois memungkinkan kita untuk mengakses informasi

spesifik tentang target termasuk alamat IP atau nama host dari target Server,

DNS dan informasi kontak yang biasanya berisi alamat dan nomor telepon.

Who is tersedia dalam OS Linux (Engebretson, 2013).

2.10.2.1.2 The Harvester

Tools ini dimaksudkan untuk membantu penguji pada tahap awal uji

penetrasi untuk memahami jejak pelanggan di Internet. Ini juga berguna bagi

siapa saja yang ingin tahu apa yang bisa dilihat penyerang tentang organisasi

mereka. Tujuan dari program ini adalah untuk mengumpulkan email,

subdomain, host, nama karyawan, port terbuka dan spanduk dari berbagai

sumber publik seperti mesin pencari, server kunci PGP dan database

komputer (theHarvester, 2019).

2.10.2.1.3 What Web

WhatWeb mengidentifikasi situs web. Tujuannya adalah untuk

menjawab pertanyaan, “Web apa itu?”. WhatWeb mengenali teknologi web

88

termasuk sistem manajemen konten (CMS), platform blogging, paket

statistik / analitik, perpustakaan JavaScript, server web, dan perangkat yang

disematkan. WhatWeb memiliki lebih dari 1700 plugin, masing-masing

untuk mengenali sesuatu yang berbeda. WhatWeb juga mengidentifikasi

nomor versi, alamat email, ID akun, modul kerangka kerja web, kesalahan

SQL, dan banyak lagi (WhatWeb, 2019)

2.10.2.1.4 CXSecurity

CXSecurity adalah kumpulan besar informasi tentang keamanan

komunikasi data. Tujuan utama CXSecurity adalah untuk memberi

informasi tentang keamanan siber yang dikelola oleh satu orang

independent. (CXSecurity, 2019)

2.10.2.1.5 Google Directives

Google menyediakan "directives" yang mudah digunakan dan

membantu Penetration Tester untuk mendapatkan hasil maksimal dari setiap

pencarian yang memungkinkan untuk mengekstrak informasi lebih akurat

dari Google Index.(Engebretson, 2013). Dengan menggunakan Google

Directives memungkinkan untuk melakukan pencarian sesuai target dengan

memberikan perintah site:alamat target pada kolom pencarian.

Untuk dapat menggunakan Google directive dengan benar, diperlukan

tiga hal (Engebretson, 2013):

1. Alamat spesifik target pencarian.

89

2. Tanda titik dua (:).

3. Tujuan yang ingin digunakan dalam directive.

Melakukan pencarian seperti ini biasa disebut dorking (Engebretson,

2013). Untuk mendapatkan refrensi terbaru mengenai dorking dengan

bertujuan untuk mencari kerentanan suatu sistem bisa menggunakan Google

Hacking Database (GHDB).

Gambar 2.17 Google Hacking Database (Engebretson, 2013)

2.10.2.2 Pemindaian (Scanning)

Dalam tahapan setelah pengintaian, dilanjutkan dengan

pemindaian. Dalam tahapan ini, dibagi lagi menjadi tiga tahapan

(Engebretson, 2013):

1. Menentukan apakah objek tersebut dapat di ping.

Maksudnya di sini apakah target terhubung jaringan

atau tidak, apakah hanya dapat diakses dari jaringan

lokal saja atau bisa diakses dari luar, bagus atau

tidaknya kualitas koneksi target, berapa durasi yang

90

dibutuhkan target untuk membalas ping, bytes yang

dikirimkan ada hilang atau dapat diterima dengan baik,

dan apakah target dapat melakukan ping pada dirinya

sendiri.

2. Port scanning sistem menggunakan NMAP. Maksud

port scanning dengan NMAP di sini ialah penggunaan

aplikasi NMAP untuk memonitoring dan sebagai

penetration testing tool.

3. Pemindaian sistem menggunakan vulnerability

scanner. Pemindaian sistem di sini menggunakan

vulnerability scanner maksudnya adalah mengecek

vulnerability yang ada pada APISI dengan bantuan

aplikasi-aplikasi yang telah ditentukan sebelumnya.

2.10.2.3 Eksploitasi Celah Kerentanan (Exploitation)

Eksploitasi merupakan proses untuk mendapatkan

kontrol atas sistem. Jika ada celah, maka penguji dapat mencoba

untuk mengeksploitasi atau mencoba celah tersebut.

Dalam Eksploitasi, dibagi lagi menjadi dua macam :

1. Eksploitasi Social Engineering

91

Eksploitasi Social Engineering di sini merupakan

serangkaian tindakan yang dilakukan dengan

memanfaatkan kelemahan-kelemahan yang ada pada

manusia untuk mendapatkan informasi ataupun akses

yang dibutuhkan.

2. Eksploitasi Berbasis Web

Eksploitasi berbasis web di sini merupakan upaya-upaya

yang dilakukan untuk mengeksploitasi aplikasi berbasis

web berdasarkan celah keamanan yang diekspos oleh

vulnerability scanner.

2.10.2.4 Pasca Eksploitasi dan Mempertahankan Akses (Post Exploitation and

Maintaining Access)

Dalam tahapan ini, dibagi lagi menjadi dua tahaan mendetil

yakni :

1. Penguji mampu untuk mempertahankan akses yang

didapat setelah eksploitasi karena akses yang didapat

melalui eksploitasi tidaklah permanen, oleh karena itu

diperlukan cara lain untuk kembali masuk ke dalam

sistem bisa menggunakan backdoor, rootkits ataupun

meterpreter.

92

2. Penguji menuliskan laporan mengenai hasil dari uji

penetrasi. Maksudnya di sini penguji menyerahkan

laporan berupa catatan hasil dari penetration testing

mencakup kerentanan yang ada dan solusi atas

kerentanan tersebut.

2.11 Metodologi Penelitian

2.11.1 Metode Pengumpulan Data

Pengumpulan data adalah prosedur yang sistematis dan standar

untuk memperoleh data yang diperlukan (Nazir, 2011). Metode yang

digunakan dalam pengumpulan data pada penyusunan penelitian ini

diantaranya sebagai berikut:

2.11.1.1 Observasi

Pengumpulan data dengan observasi langsung adalah

cara pengambilan data dengan menggunakan mata tanpa ada

pertolongan alat standar lain untuk keperluan tersebut (Nazir,

2011). Pengumpulan data melalui pengamatan dan pencatatan

oleh pengumpul data terhadap gejala atau peristiwa yang

diselidiki pada objek penelitian.

2.11.1.2 Wawancara

Wawancara adalah proses memperoleh keterangan untuk

tujuan penelitian dengan cara tanya jawab, sambil bertatap muka

93

antara si penanya atau pewawancara dengan si penjawab atau

responden dengan menggunakan alat yang dinamakan interview

guide (panduan wawancara) (Nazir, 2011).

2.11.1.3 Studi Literatur

Studi literatur merupakan kegiatan menelusuri literatur

yang ada serta menelaahnya secara tekun (Nazir, 2011). Dengan

mencari sumber data sekunder yang mendukung penelitian yang

telah berkembang, kesimpulan dan generalisasi yang pernah

dibuat, sehingga situasi yang diperlukan dapat diperoleh.

94

BAB III

METODE PENELITIAN

3

3.1 Metode Pengumpulan Data

Penelitian ini menggunakan data dan informasi yang diperoleh dari

berbagai sumber. Oleh karena itu dibutuhkan beberapa metode yang digunakan

untuk mendapatkan informasi mengenai kerentanan sistem informasi pada

aplikasi yang dimiliki oleh APISI serta mengumpukan data mengenai objek

penelitian seperti aplikasi yang tersedia, alamat website, jaringan, hosting, dan

database . Adapun metode yang digunakan sebagai berikut:

3.1.1 Observasi

Observasi dilakukan dengan mengamati secara langsung objek penelitian

yang ada pada Asosiasi Pekerja Profesional Informasi Sekolah Indonesia (APISI)

Adapun secara spesifik kegiatan observasi ini dijelaskan sebagai berikut:

Tempat : Asosiasi Pekerja Profesional Informasi

Sekolah Indonesia (APISI)

Alamat : Rumah Ndekem d/a Tanah Tingal Jl.

Merpati Raya No.32 Sawah Baru-

Jombang Ciputat Tangerang Selatan

15413, Banten

95

Website : http://apisi.org

Waktu : Januari – Mei 2019

3.1.2 Wawancara

Untuk memperjelas proses observasi, peneliti juga melakukan

wawancara dengan salah satu staf APISI yaitu, Achmad Sofyan. Pertanyaan

yang diajukan pada wawancara ini merupakan pertanyaan yang bersifat teknis

khususnya membahas mengenai keamanan pada aplikasi APISI. Untuk lebih

detail tentang wawancara dapat dilihat pada bagian lampiran. Wawancara

dilakukan di kantor APISI wawancara dilakukan pada tanggal 20 November

2018.

Melalui wawancara ini diperoleh informasi berupa opini tentang masalah

yang terjadi pada proses keamanan APISI, diantaranya seperti telah terjadi

serangan siber terhadap web, Web menjadi tidak bisa diakses saat terjadi

serangan, Telah tercatat pernah terjadi serangan siber yang diketahui melalui

http://zone-h.org .

3.1.3 Studi Literatur

Data-data dan informasi yang digunakan sebagai studi literatur yang

dilakukan dengan mempelajari dan mengumpulkan materi-materi yang

berkaitan dengan keamanan sistem informasi yang berupa 2 dokumen skripsi,

http://apisi.org/

96

dan 3 jurnal lokal 3 jurnal internasional. Peneliti melakukan pengumpulan studi

literatur sejenis sebagai referensi.

97

Gambar 3.1 Preferred Reporting Items for Systematic Reviews and

Meta-analyses (PRISMA)

Berikut ini adalah penjabaran dari literatur-literatur sejenis dengan

penelitian yang dilakukan

Tabel 3.1 Studi Literatur

No Nama Peneliti Judul Tahun Masalah Hasil Penelitian

1. Adetya Putra

Dewanto

Penetration Testing pada

Domain http://uii.ac.id

Menggunakan OWASP

10

2018 Analisis terhadap sistem

dan jaringan yang terdapat

pada UII dari persepektif

luar atau jaringan public dan

yang akan diuji adalah 10

web yang terdiri dari 6

fakultas, 2 direktorat dan 2

badan yang menggunakan

domain uii.ac.id.

Masing-masing web

yang diuji memiliki

kerentanan mulai

dari ringan sampai

dengan berat.

2. Mehdi Dadkhah,

Seyed Amin

Hosseini Seno,

dan Glenn

Borchardt

Current and Potential

Cyber Attacks on Medical

Journals; Guidelines for

Improving Security

2016 Berbagai jenis serangan

dunia maya yang terutama

mengancam editor dan

jurnal akademik

Dalam metode

tradisional journal

hijacking, penjahat

dunia maya

membuat situs web

palsu yang mirip

dengan situs web

jurnal otentik dan

dengan mengirim

email menipu,

mereka mencoba

menipu peneliti.

http://uii.ac.id/

98


3. Andrianto

Suwignyo

Pengujian dan Evaluasi

Celah Keamanan Sistem

Infomasi Kepegawaian

Perguruan Tinggi XYZ

Menggunakan Keragka

Kerja Vulnerability

Assesment & Penetration

Testing (VAPT)

2016 Mencari kerentanan yang

ada pada Sistem Infomasi

Kepegawaian Perguruan

Tinggi XYZ

Mendapat

kerentanan Secure

Page Browser

Cache, Incomplete

or no Cache

control, Password

Auto Complete,dan

Cross Site Scripting

beserta rekomendasi

menutup kerentanan

tersebut.

4. Doda Saputra

Ahad,

Muhamad.Akbar,

dan Maria Ulfa

Analisis Kerentanan

Terhadap Ancaman

Serangan Pada Website

PDAM Tirta Musi

Palembang

2016 Terdapat penyerang yang

mencoba menyerang server

dengan cara menyisipkan

file Sql Injection setelah

sebelumnya melakukan

serangan Ddos (Distributed

Denial of Services) agar

website tersebut tumbang

untuk beberapa waktu.

Terdapat celah yang

ada pada website

www.tirtamusi.com

yang bertipe High

ataupun Critical

yang memerlukan

perhatian khusus,

sementara untuk

kerentanan lainnya

dengan kategori low

dan informasional.

5 Daljit Kaur dan

Dr. Parminder

Kaur

Empirical Analysis of Web

Attacks

2015 Analisis serangan web

dalam beberapa tahun

terakhir yang telah

membahayakan aplikasi

web, datanya, atau

penggunanya

Sepanjang 2012-

2015 terdapat 5

macam serangan

siber yang sering

dilakukan SQLi

(SQL Injection) ,

DDoS (Distributed

99


Denial of Service),

Defacement,

Account Hijacking

dan Malware

terhadap lembaga

keuangan,

pemerintah,

pendidikan, berita,

pariwisata, hiburan,

kesehatan, jejaring

sosial, e-commerce

dan perangkat lunak

/ permainan video.

6.

Andreea

Bendovschi

Cyber-Attacks –Trends,

Patterns and Security

Countermeasures

2015 Mencari gambaran tentang

kejahatan dunia maya dan

melakukan analisis

serangan yang dilaporkan di

seluruh dunia selama tiga

tahun terakhir untuk

menentukan pola dan tren

dalam kejahatan siber

Terdapat tren

serangan malicious

codes, viruses,

worms dan trojans,

malware, malicious

insiders, stolen

devices, phishing,

social engineering

dan serangan

berbasis web

100


7. Frengki Seko.W ,

Vivi Sahfitri dan

Suryayusra

Vulnerability Assesment

terhadap

http://hris.binadarma.ac.id

2014 Mencari kerentanan yang

ada pada

http://hris.binadarma.ac.id

hris.binadarma.ac.id

masih memiliki

beberapa

kerentanan dengan

tingkatan severity

high

8. Harry Purmanta

Siagian, M.

Akbar, dan Andri

Vulnerability Assesment

pada Web Server

http://binadarma.ac.id

2014 Menganalisa serta

menemukan kelemahan

pada web server

http://www.binadarma.ac.id

untuk meningkatkan

keamanan dan

kenyamanan

3.2 Pengujian dan Analisis

Metodologi yang digunakan dalam Pengujian dan Analisis pada

penelitian ini ialah Zero Entry Hacking (ZEH) (Engebretson, 2013) :

3.2.1 Roadmap Penelitian

Adapun penjelasan lebih mendetil dijelaskan dalam Tabel Roadmap yang

dapat dilihat pada Tabel 3.2 sebagai berikut :

http://hris.binadarma.ac.id/

http://hris.binadarma.ac.id/

http://binadarma.ac.id/

http://www.binadarma.ac.id/

101

Tabel 3.2 Roadmap Penelitian

No Metodologi Tahapan Tools Tujuan

1. Reconnaissance

Domain Who is

Mencari tahu

informasi domain

APISI

E-mail E-mail harvest

Menggali informasi

akun e-mail APISI

yang tersebar dalam

mesin pencari

Framework What web

Mengidentifikasi

komposisi penyusunan

web APISI

Versi Rentan CXSecurity

Menemukan

kerentanan dari versi

aplikasi yang

digunakan

Dorking

Google Hacking Data

Base (GHDB) + Google

Dorking

Menemukan daftar

celah yang tersedia

dalam GHDB, lalu

lanjut dicari dalam

mesin pencari Google

2. Scanning

Ping Terminal

Mengetahui apakah

web APISI dapat

diakses dari luar atau

tidak

Port Scanner NMAP

Mencari ports yang

terbuka dan tidak

dipergunakan dalam

APISI

102

Vulnerability

Scanner

OWASP ZAP, Uniscan

dan Acunetix

Mencari celah

kerentanan yang ada

dalam web APISI

Eksploitasi

Berbasis Web

Firefox, JSDS, dan

WPScan

Menguji kerentanan

web APISI yang

didapat dari tahapan

sebelumnya

4.

Post Exploitation

and Maintaining

Access

Pembuatan

Backdoor Weevely

Mempertahankan

akses yang didapat

Pelaporan Akhir Microsoft Word Melaporkan hasil uji

penetrasi

3.2.2 Pengintaian Sistem (Reconnaisance)

Tahapan ini merupakan tahapan pertama dalam penelitian. Tahapan ini

bertujuan untuk mengumpulkan informasi sebanyak-banyaknya mengenai

aplikasi APISI. Adapun informasi yang dicari misalnya :

1. Informasi terkait domain http://apisi.org mengenai siapa yang

mendaftarkan, waktu didaftarkan, kapan berakhir yang dapat

diketahui melalui who is.

2. Informasi mengenai e-mail yang terdaftar dalam domain

APISI.

3. Informasi mengenai framework, bahasa pemrograman,

plugin dan teknologi lainnya yang merupakan bagian dari

web APISI dengan menggunakan Whatweb.

http://apisi.org/

103

4. Mencari kerentanan aplikasi berdasarkan vendor, versi,

produk, yang terdapat dalam APISI dengan menggunakan

CXSecurity.

5. Kumpulan informasi mengenai kerentanan apa saja yang

dapat ditemukan melalui mesin pencarian Google

menggunakan Google Hacking Database kemudian kata

kunci yang tersedia dilanjut untuk menemukan kerentanan

dalam mesin pencarian Google.

3.2.3 Pemindaian (Scanning)

Dalam tahapan setelah pengintaian, dilanjutkan dengan pemindaian.

Dalam tahapan ini, dibagi lagi menjadi tiga tahapan :

1. Menentukan apakah APISI dapat di ping. Maksudnya di sini

apakah target terhubung jaringan atau tidak, apakah hanya

dapat diakses dari jaringan lokal saja atau bisa diakses dari

luar, bagus atau tidaknya kualitas koneksi target, berapa

durasi yang dibutuhkan target untuk membalas ping, bytes

yang dikirimkan ada hilang atau dapat diterima dengan baik,

dan apakah target dapat melakukan ping pada dirinya sendiri

menggunakan Terminal pada Kali Linux.

104

2. Port scanning sistem menggunakan NMAP terhadap APISI.

Maksud port scanning dengan NMAP di sini ialah

penggunaan aplikasi NMAP untuk memonitoring dan sebagai

penetration testing tool pada website APISI.

3. Pemindaian APISI menggunakan vulnerability scanner.

Pemindaian sistem di maksudnya adalah mengecek

vulnerability yang ada pada APISI dengan bantuan aplikasi.

Adapun vulnerability scanner yang digunakan sebagai

berikut :

a. Uniscan v.6.2

b. OWASP ZAP v2.5.0

c. Acunetix v.11

3.2.4 Eksploitasi Celah Kerentanan (Exploitation)

Pada tahapan ini, peneliti akan mengekploitasi kerentanan yang ada

pada aplikasi. Jika terdapat celah, maka peneliti dapat mencoba untuk

mengeksploitasi atau mencoba celah tersebut. Eksploitasi berbasis web di sini

merupakan upaya-upaya yang dilakukan untuk mengeksploitasi aplikasi

berbasis web berdasarkan celah keamanan yang diekspos saat melakukan

scan.

105

3.2.5 Pasca Eksploitasi dan Mempertahankan Akses (Post Exploitation and

Maintaining Access)

Dalam tahapan ini, dibagi lagi menjadi dua tahapan mendetil yakni:

1. Peneliti mampu untuk mempertahankan akses didapat setelah

mengeksploitasi APISI supaya bisa masuk kembali ke dalam

meskipun username dan password telah diubah.

2. Peneliti menuliskan laporan mengenai hasil dari uji penetrasi

APISI berupa hasil eksploitasi terkait header, error handling,

cookie, sensitive data, database, dan privellege escallation.

3.3 Kerangka Penelitian

Dalam melakukan penelitian ini peneliti melakukan tahapan-tahapan

kegiatan dengan mengikuti rencana kegiatan yang tertuang dalam tahapan

pelaksanaan penelitian meliputi metode pengujian analisis yang dapat dilihat

pada gambar 3.1 berikut :

106

Gambar 3.2 Tahapan Pelaksanaan Penelitian

107

BAB IV

HASIL DAN PEMBAHASAN

4

4.1 Profil Institusi

4.1.1 APISI

Asosiasi Pekerja Profesional Informasi Sekolah Indonesia

(APISI) adalah lembaga mandiri non profit yang melakukan usaha

pengembangan kepustakawanan sekolah dan berfokus pada

pengembangan kompetensi, penyebarluasan informasi, dan partisipasi

berbagai pihak dalam peningkatan kualitas perpustakaan sekolah di

Indonesia.

APISI mempromosikan perpustakaan sekolah sebagai pusat

sumber belajar serta memaksimalkan peran pekerja profesional informasi

di sekolah. Di samping itu, APISI juga hendak membangkitkan

kepedulian semua pihak tentang pentingnya perpustakaan sekolah

berkaitan dengan kegiatan belajar mengajar dan mutu pendidikan.

Keanggotaan APISI bersifat terbuka bagi semua pekerja

profesional informasi sekolah di seluruh Indonesia dan mereka yang

mempunyai kepedulian terhadap pengembangan dunia kepustakawanan

sekolah di Indonesia.

108

APISI telah tercatat sebagai asosiasi resmi berdasarkan

Keputusan Menteri Hukum dan Hak Asasi Manusia Republik Indonesia

Nomor AHU-39.AH.01.08.Tahun 2015, NPWP: 02.704.644.0-411.000.

4.1.2 Sejarah

APISI dideklarasikan secara resmi sebagai lembaga berbadan

hokum pada tanggal 26 Agustus 2006 di Bogor. APISI awalnya

merupakan kumpulan pustakawan sekolah yang kerap kali bertemu dan

berbagi pengalaman dalam kegiatan Pertemuan Informal Pustakawan

Sekolah (PIPS). Pada PIPS ke-3 di Bogor, semua peserta sepakat untuk

menggabungkan diri dalam sebuah wadah yang dapat menampung

aspirasi para pekerja professional informasi sekolah serta mendukung

pengembangan kompetensi dan posisi tawar pekerja profesional

informasi sekolah.

4.1.3 Visi dan Misi

4.1.3.1 Visi

Adapun Visi dari APISI yaitu menunjukkan eksistensi

profesional informasi sekolah melalui proses pengembangan diri

secara terus menerus, untuk menciptakan dunia kepustakawanan

sekolah yang lebih bergairah.

109

4.1.3.2 Misi

Membangun wadah dan dukungan untuk pengembangan

kompetensi pekerja informasi sekolah di Indonesia sehingga

terjadi interaksi pengetahuan yang merangsang kajian-kajian

untuk pengembangan kepustakawanan sekolah.

4.1.4 Program-program APISI

APISI memiliki program-program yang dilaksanakan, antara lain :

1. Seminar Perpustakaan Sekolah

APISI menyelenggarakan seminar perpustakaan tahunan untuk

mengangkat isu-isu terbaru di dunia kepustakawanan sekolah serta

sebagai ajang pertemuan pustakawan sekolah untuk berbagi pengalaman

praktis. Seminar akan dilaksanakan setiap bulan Oktober sebagai bentuk

partisipasi APISI dalam rangkain acara bulan perpustakaan sekolah

(International School Library Month) yang di prakarsai oleh

International Association of School Librarianship (IASL).

Tahun 2014 APISI bekerja sama dengan Sekolah Terpadu Pahoa

Summarecon Serpong telah berhasil mengadakan seminar perpustakaan

sekolah selama dua kali. Diantaranya pada tanggal 15 Maret 2014

diadakan Seminar dan Talk show dengan tema “Perpustakaan Sekolah :

Perkembangan dan Tantangannya di Era Pembelajaran Abad 21”.

110

Kemudian untuk yang kedua kalinya, tanggal 11 Oktober 2014

diangkatlah tema “Creative librarian :Teaching for meaningful

learning”.

Tahun 2015, kegiatan perayaan perpustakaan sekolah internasional ini

disatukan dengan kegiatan penguatan organisasi APISI yaitu Pelatihan

APISI – IFLA BSLA dengan tema: Leadership and Advocacy for Library

Association Leaders.

2. Kelas Pendek Pustakawan Sekolah

APISI mengadakan kursus singkat bersertifikat untuk menambah

kompetensi pustakawan sekolah dalam mengembangkan program

perpustakaan di sekolahnya. Melalui kursus ini, para pustakawan sekolah

akan diajarkan keterampilan teknis dan koseptual untuk meningkatkan

kinerja dan perannya disekolah. Kursus singkat ini akan diadakan

sepanjang satu minggu setiap bulan Januari dan satu minggu di bulan Juli

setiap tahunnya. Pustakawan sekolah dapat memilih materi kursus

berdasarkan kebutuhannya. Namun beberapa materi kursus

mengharuskan syarat tertentu untuk dapat mengikutinya.

Materi kelas pendek pustakawan sekolah yang ditawarkan antara lain:

a) Filasafat Kepustakawan Sekolah

b) Manajemen Dasar Perpustakaan Sekolah

111

c) English for School Librarian

d) Public Relation in School Library

e) Literatur Anak dan Remaja

f) Tekonologi Informasi untuk perpustakaan sekolah

g) Pendidikan

h) Literasi Informasi berbasis kurikulum nasional RI

i) Keterampilan Literasi Informasi untuk siswa

j) Manajemen Pengembangan Perpustakaan

3. Konsultasi Pengembangan Perpustakaan Sekolah

a. Pelatihan Dasar di Sekolah

APISI akan datang ke sekolah untuk memberikan materi pelatihan

yang diminta dengan atmosfir pelatihan yang menyenangkan. Adapun

materi yang ditawarkan antara lain:

1. Paradigma baru pengolahan perpustakaan sekolah

2. Merencanakan pengembangan perpustakaan sekolah

3. Merancang layanan perpustakaan sekolah

4. Pengelolaan koleksi (katalogisasi klasifikasi)

5. Menyusun dan mengajarkan Library Skill

112

6. Pemanfaatan software senayan untuk mendukung aktifitas

perpustakaan

7. Mengelola perpustakaan sekolah yang interaktif

b. Pertemuan Informal Pustakawan Sekolah (PIPS)

PIPS sudah berjalan sebelum APISI berdiri. Inisiatif kegiatan ini

muncul dari pihak penyelenggara kegiatan yang nantinya akan

menjadi tuan rumah kegiatan. PIPS sudah dilaksanakan di berbagai

kota, diantaranya: Tangerang Selatan, Bogor, Sukabumi, Surabaya,

Medan, Malang dan lainnya. Hingga saat ini PIPS sudah berjalan

sebanyk 18 kali, dan yang teakhir diadakan di sekolah terpadu Pahoa

Summarecon Serpong. Saat ini, PIPS berganti format menjadi PIPSA

yaitu Pertemuan Informal Pustakawan Sekolah Anggota APISI.

4.1.5 Struktur Organisasi

APISI memiliki struktur oranisasi sebagai berikut :

113

Gambar 4.1 Struktur Organisasi

4.2 Pembahasan

4.2.1 Pengintaian (Reconnaissance)

Dalam tahapan peningintaian ini, Penulis berusaha menggali

informasi sebanyak mungkin mengenai APISI yang tersedia dalam

internet. Adapun pengintaiannya sebagai berikut:

4.2.1.1 WHO IS

Dengan Who Is, Penulis mencoba mencari tahu

dibalik http://apisi.org

Ketua Umum

Koordinator Divisi Program

Koordinator Divisi

Keanggotaan

Koordinator Humas

Sekretaris Jendral

Kepala Kantor

114

Gambar 4.2 Pengintaian Menggunakan Who is

Dengan melalui Who is dapat diketahui mengenai

pendaftaran domain http://apisi.org yaitu sebagai berikut :

1. Domain http://apisi.org dibuat pada tanggal 16 Juli 2010 dan

akan habis masa berlakunya pada tanggal 16 Juli 2019,

sebagaimana jika admin lupa untuk memperpanjang maka

domain http://apisi.org terancam ketersediannya.

http://apisi.org/

http://apisi.org/

115

2. Domain http://apisi.org dikelola oleh Forum Indonesia

Membaca, tidak terlihat lebih detil mengenai siapa yang

mendaftarkannya.

3. Hosting yang digunakan yaitu MASTERWEB.

4. Jumlah server yang diberikan pada http://apisi.org yakni

sebanyak 1 server dan 3 sebagai cadangan sehingga 4 server

keseluruhan .

4.2.1.2 E-mail Harvester

Gambar 4.3 The Harvester

116

The Harvester melakukan penggalian informasi e-mail yang ada

dalam mesin pencarian, khususnya Google. Ditemukan dua akun

yang memang milik APISI resmi dan tidak ada pengguna non-resmi

yang muncul dalam tools the harvester.

4.2.1.3 Whatweb

Sehubungan APISI memiliki dua aplikasi, dapat

diketahui informasi sebagai berikut :

Gambar 4.4 Hasil Pengintaian Whatweb

117

Dari Whatweb dapat diketahui informasi penting

bahwa apisi.org menggunakan Bahasa pemrograman

PHP, Content Management System (CMS) Wordpress

v4.7.13 pada http://apisi.org, dan Senayan 7 untuk

http://opac.apisi.org menggunakan MasterWeb sebagai

penyedia hosting, menggunakan Apache sebagai

webserver. Informasi tersebut dapat digunakan

selanjutnya untuk dorking kerentanan Wordpress di

mesin pencarian Google.

4.2.1.4 CXSecurity

4.2.1.4.1. http://apisi.org

1. Database Configuration File Download

Gambar 4.5 Hasil Pengintaian CXSecurity Wordpress 4.7.13

http://apisi.org/


http://apisi.org/

118

Wordpress 4.7.13 memiliki kerentanan yang

memungkinkan penyerang mengunduh file

konfigurasi basis data karena aplikasi gagal

membersihkan input yang disediakan pengguna.

4.2.1.4.2. http://opac.apisi.org

1. Arbitrary File Upload

Gambar 4.6 Hasil Pengintaian CXSecurity Arbitrary File Upload

Slims 7 terdapat kerentanan yang

memungkinkan pengguna tak berotorisasi dapat

melakukan upload file yang memungkinkan

untuk melakukan upload backdoor.

2. Cross Site Scripting

Gambar 4.7 Hasil Pengintaian CXSecurity Cross Site Scripting


119

Slims 7 menggunakan data yang tidak dapat

dipercaya dalam tanpa validasi maupun

penyaringan.

4.2.1.5 Google Directives

Dalam Google Hacking Database yang diakses

melalui https://www.exploit-db.com/google-hacking-

database/ Diperoleh 0 untuk dork Senayan sebagai

aplikasi dalam subdomain APISI.

Gambar 4.8 Daftar Dork Wordpress dalam Google Hacking Database

Sedangkan untuk portal http://apisi.org

diperoleh 78 dork untuk wordpress yang

bisa diaplikasikan untuk kemudian

dilanjutkan untuk dorking dalam mesin

pencarian Google

https://www.exploit-db.com/google-hacking-database/

https://www.exploit-db.com/google-hacking-database/

http://apisi.org/

120

Gambar 4.9 Daftar Dork Wordpress dalam Google Hacking Database

pencarian-pencarian yang dilakukan

adalah sebagai berikut :

Sensitive Directory Exposed

1. Dorking WP Backup Plus

121

Gambar 4.10 Dorking WP Backup Plus

Dork yang diterbitkan pada tanggal 20-11-2018, suatu

kerentanan yang mengakibatkan terekspos nya direktori

melalui plugin wp-backup-plus dan dapat diakses oleh user

yang tidak memiliki privellage, Kerentanan tersebut tidak

ditemukan di sini.

2. Dorking WP-Json

Gambar 4.11 Dorking WP-Json


kerentanan yang mengakibatkan terekspos nya direktori json

dan dapat diakses oleh user yang tidak memiliki privellage,

Kerentanan tersebut tidak ditemukan di sini.

3. Dorking Wordpress Certifficates

122

Gambar 4.12 Dorking Wordpress Certifficates



certificates dan dapat diakses oleh user yang tidak memiliki

privellage, Kerentanan tersebut tidak ditemukan di sini

4. Database Back Up

Gambar 4.13 Dorking Database Back Up

123


kerentanan yang mengakibatkan terekspos nya direktori back

up oleh user yang tidak memiliki privellage, Kerentanan

tersebut tidak ditemukan di sini

5. WPSC

Gambar 4.14 Dorking WPSC


kerentanan yang mengakibatkan terekspos nya direktori wpsc

oleh user yang tidak memiliki privellage, Kerentanan tersebut

tidak ditemukan di sini.

6. Woocommerce E-mails

124

Gambar 4.15 Dorking Woocommerce E-mails



woocommerce, Kerentanan tersebut tidak ditemukan di sini.

7. SEO Pressor

Gambar 4.16 Dorking SEO Pressor


kerentanan yang mengakibatkan terekspos nya direktori melalui

plugin seo pressor, Kerentanan tersebut tidak ditemukan di sini.

125

8. Private Uploads

Gambar 4.17 Dorking Private Uploads


kerentanan yang mengakibatkan terekspos nya file berharga

seperti foto peengguna, Kerentanan tersebut tidak ditemukan

di sini.

9. Intext CSS

Gambar 4.18 Dorking Intext CSS

126


kerentanan yang mengakibatkan terekspos suatu akses

direktori CSS tanpa perlu memiliki privillage, Kerentanan

tersebut tidak ditemukan di sini.

10. Wordpress Back it up

Gambar 4.19 Dorking Wordpress Back it up



direktori tanpa perlu memiliki privillage akibat plugin

WPBackitup, Kerentanan tersebut tidak ditemukan di sini.

127

11. Hide My Wordpress

Gambar 4.20 Dorking Hide My Wordpress



direktori tanpa perlu memiliki privillage akibat plugin

HideMyWP, Kerentanan tersebut tidak ditemukan di sini.

Files Containing Passwords

12. Dorking Json Configuration

Gambar 4.21 Dorking Json Configuration

128


kerentanan yang mengakibatkan terekspos nya file

konfigurasi json yang di mana berisi username dan password.


13. Wp-Config

Gambar 4.22 Dorking Wp-Config



konfigurasi yang di mana berisi username dan password.


129

14. Back up WP Config

Gambar 4.23 Dorking Back up WP Config





15. Wp-Config.php

Gambar 4.24 Dorking Wp-Config.php

130





16. Back Up.txt

Gambar 4.25 Dorking Back Up.txt





131

17. WP13.txt

Gambar 4.26 Dorking WP13.txt


kerentanan yang mengakibatkan terekspos nya file konfigurasi

dasar yang di mana berisi username dan password. Kerentanan

tersebut tidak ditemukan di sini

18. WP Clone Backup

Gambar 4.27 Dorking WP Clone Backup

132


kerentanan yang mengakibatkan terekspos nya file cadangan

yang di mana berisi seperti database melalu celah aplikasi

wpclone. Kerentanan tersebut tidak ditemukan di sini.

19. DB_PASSWORD

Gambar 4.28 Dorking DB_PASSWORD


kerentanan yang mengakibatkan terekspos nya file wp-config

yang di mana berisi username dan password database,


133

20. Password Filetype:XLS

Gambar 4.29 Dorking Password Filetype:XLS


kerentanan yang mengakibatkan terekspos nya file berisikan

username dan password yang tidak sengaja di upload oleh

user di mana berisi username dan password database,


21. Backup WP-Content

Gambar 4.30 Dorking Backup WP-Content

134


kerentanan yang mengakibatkan terekspos nya backup file

berisikan database, Kerentanan tersebut tidak ditemukan di

sini.

Files Containing Juicty Info

1. User WP-Json

Gambar 4.31 Dorking User WP-Json


kerentanan karena kesalahan konfigurasi untuk mendapatkan

informasi mengenai user, kerentanan tersebut tidak ditemukan

di sini.

2. Ai1wm Backup

135

Gambar 4.32 Dorking Ai1wm Backup


kerentanan untuk menemukan back up file Wordpress melalui

kerentanan All in One Backups, kerentanan tersebut tidak

ditemukan di sini.

3. MC4WP-debug.log

Gambar 4.33 Dorking MC4WP-debug.log

136


kerentanan untuk menemukan debug log dari plugin Mail

Chimp, Kerentanan tersebut tidak ditemukan di sini.

4. Wp-links-opml.php

Gambar 4.34 Dorking Wp-links-opml.php


kerentanan untuk menemukan versi opml Wordpress,


137

5. Wp-security audit.log

Gambar 4.35 Dorking Wp-security audit.log


kerentanan untuk menemukan log audit Wordpress yang berisi

beberapa info menarik, Kerentanan tersebut tidak ditemukan di

sini.

6. File Manager Log

Gambar 4.36 Dorking File Manager Log

138


kerentanan yang mengakibatkan terekspos nya file logs yang

mungkin penting dalam Wordpress, Kerentanan tersebut tidak

ditemukan di sini.

7. API Twitter

Gambar 4.37 Dorking API Twitter


kerentanan yang mengakibatkan terekspos logs API milik

Twitter yang mengekspos private messages, credential, dan

lain-lain. Kerentanan tersebut tidak ditemukan di sini.

139

8. Admin Ajax

Gambar 4.38 Dorking Admin Ajax


kerentanan yang mengakibatkan terekspos nya file robots.txt

yang mengekspos halman-halaman yang dilarang untuk

dijelajahi mesin pencari, Kerentanan tersebut tidak ditemukan

di sini.

140

9. Wp-users

Gambar 4.39 Dorking Wp-users


kerentanan yang mengakibatkan terekspos nya file logs yang

mungkin penting dalam Wordpress, Kerentanan tersebut tidak

ditemukan di sini.

10. Semua Log

Gambar 4.40 Dorking Semua Log

141


kerentanan yang mengakibatkan terekspos nya file logs untuk

sejumlah tindakan dalam Wordpress, Kerentanan tersebut tidak

ditemukan di sini.

11. Debug.log

Gambar 4.41 Dorking Debug.log


kerentanan yang mengakibatkan terekspos nya log debug untuk

sejumlah tindakan dalam Wordpress, Kerentanan tersebut tidak

ditemukan di sini.

142

12. Wp-userss

Gambar 4.42 Dorking Wp-users


kerentanan yang mengakibatkan terekspos nya file .sql,


13. Backup Buddy

s

Gambar 4.43 Dorking Backup Buddy


kerentanan yang mengakibatkan terekspos nya file back up

143

yang dibuat oleh plugin BackupBuddy, Kerentanan tersebut

tidak ditemukan di sini.

14. Userpro

Gambar 4.44 Dorking Userpro


kerentanan yang mengakibatkan terekspos nya file berharga

semisal foto profil pengguna, Kerentanan tersebut tidak

ditemukan di sini.

144

15. Admin-Ajax.php

Gambar 4.45 Dorking Admin-Ajax.php



configuration, Kerentanan tersebut tidak ditemukan di sini.

16. File SQL

Gambar 4.46 Dorking File SQL

145



configuration, Kerentanan tersebut tidak ditemukan di sini.

17. File Dump.sql

Gambar 4.47 Dorking File Dump.sql


kerentanan yang mengakibatkan terekspos nya file dump.sql,


18. WP-Config.txt

Gambar 4.48 Dorking WP-Config.txt

146


kerentanan yang mengakibatkan terekspos nya file konfigurasi

web, Kerentanan tersebut tidak ditemukan di sini.

Pages Containing Login Portal

1. Wp-login.php

Gambar 4.49 Dorking Wp-login.php


kerentanan yang mengakibatkan terekspos nya Halaman

Login, tidak ditemukan di sini tetapi bisa dicoba langsung.

147

Footholds

1. Shell.php

s

Gambar 4.50 Dorking Shell.php


kerentanan yang mengakibatkan tereksposnya file shell.php,

kerentanan tersebut tidak ditemukan di sini.

2. AAPL Loaders

Gambar 4.50 Dorking AAPL Loaders

148


kerentanan yang memungkinkan hacker untuk melakukan

upload files, kerentanan tersebut tidak ditemukan di sini.

4.2.1.4.3. Error Messages

1. WP-Commentrss2.php

Gambar 4.51 Dorking WP-Commentrss2.php


kerentanan yang mengakibatkan error dan mengekspos

direktori, kerentanan tersebut tidak ditemukan di sini.

2. WP-DB-Backup.php

149

Gambar 4.512 Dorking WP-DB-Backup.php


kerentanan yang mengakibatkan terekspos nya file berupa log

yang berisi error. Tidak ditemukan di sini.

Advisories and Vulnerabilities

1. Setup-Config.php

Gambar 4.52 Dorking Setup-Config.php

150

Dork yang diterbitkan pada tanggal 01-08-2017, suatu dork

untuk menemukan wordpress yang belum terinstall, sehingga

siapapun dapat menginstall. Tidak ditemukan di sini.

2. SQL WP_Users

Gambar 4.53 Dorking SQL WP_Users

Dork yang diterbitkan pada tanggal 07-07-2016, suatu dork

untuk menemukan user table dari sql dump file, kerentanan


151

3. WP-Mobile-Detector

Gambar 4.54 Dorking WP-Mobile-Detector


kerentanan yang mengakibatkan terekspos nya file upload shell

yang dibuat oleh plugin WP Mobile Detector, Kerentanan


4. WPTF-Image-Gallery

Gambar 4.55 Dorking WPTF-Image-Gallery

152


kerentanan yang mengakibatkan terekspos nya direktori tanpa

perlu memiliki privillage, Kerentanan tersebut tidak ditemukan

di sini.

5. Inboundio Marketing

Gambar 4.56 Dorking Inboundio Marketing


kerentanan yang mengakibatkan terekspos suatu akses untuk

melakukan upload tanpa perlu memiliki privillage melalui

plugin inboundio marketting, Kerentanan tersebut tidak

ditemukan di sini.

153

6. Post.php

Gambar 4.57 Dorking Post.php


kerentanan yang mengakibatkan terekspos suatu akses untuk

konfigurasi post admin, Kerentanan tersebut tidak ditemukan

di sini.

7. Revslider_Ajax_Action

s

Gambar 4.58 Dorking Revslider_Ajax_Action

154


kerentanan yang mengakibatkan web dapat terkena deface yang

berasal dari plugin revslider, Kerentanan tersebut tidak

ditemukan di sini.

8. Age Verification

Gambar 4.59 Dorking Age Verification


kerentanan yang mengakibatkan web mengalihkan halaman

menuju halaman yang diinginkan penyerang, Kerentanan


155

9. WP-Content Error Log

Gambar 4.60 Dorking WP-Content Error Log


kerentanan yang mengakibatkan error log dapat diakses yang

kemungkinan dapat membocorkan informasi, Kerentanan


10. Dew-NewPHPLinks

Gambar 4.61 Dorking Dew-NewPHPLinks

156


kerentanan yang mengakibatkan terjadi sql injection melalui

plugin Dew-NewPHPLinks, Kerentanan tersebut tidak

ditemukan di sini.

11. WP-Shopping-Cart

Gambar 4.62 Dorking WP-Shopping-Cart


kerentanan yang mengakibatkan direktori terbuka tanpa

privillage akibat kesalahan plugin wp-shopping chart,


157

12. Fgallery

Gambar 4.63 Dorking Fgallery


kerentanan yang memungkinkan terjadinya SQL Injection

akibat kesalahan plugin fgallery, Kerentanan tersebut tidak

ditemukan di sini.

13. Register Username Password

Gambar 4.64 Dorking Register Username Password

158


kerentanan yang memungkinkan untuk menemukan

kerentanan instalasi wordpress, Kerentanan tersebut tidak

ditemukan di sini.

14. ST_Newsletter

Gambar 4.65 Dorking ST_Newsletter


kerentanan yang memungkinkan untuk melakukan SQL

Injection, Kerentanan tersebut tidak ditemukan di sini.

159

15. WPCeasy

Gambar 4.66 Dorking WPCeasy


kerentanan yang mengakibatkan SQL Injection akibat plugin

WPCEasy, Kerentanan tersebut tidak ditemukan di sini.

16. Register Username Password Wordpress 2.x

Gambar 4.67 Dorking Register Username Password Wordpress 2.x

160


kerentanan pada Wordpress 2.x ketika user registration

diaktifkan, Kerentanan tersebut tidak ditemukan di sini.

Vulnerable Servers

1. DBCache

Gambar 4.68 Dorking DBCache


kerentanan yang mengakibatkan dbcache terekspos,


4.2.2 Pemindaian (Scanning)

Dalam melakukan pemindaian, Penulis membagi tahapan

pemindaian ke dalam beberapa aktivitas. Adapun aktivitas-aktivitas

tersebut antara lain :

161

4.2.2.1 Ping APISI

Dalam melakukan pemindaian, perlu dilakukan

pengujian apakah APISI dapat diakses dari luar atau tidak,

Penulis melakukan ping dengan mengetik perintah ping

http://apisi.org melalui command prompt hasil sebagai berikut,

Gambar 4.70 Ping http://apisi.org

Penulis mengirimkan paket data sebesar 32 bytes

sebanyak 4 paket yang terkirim 4 paket yang diterima sukses

100% dengan durasi minimal 3ms, maksimum 20ms dengan

rata-rata 8ms. di ping oleh siapapun selama tersambung dengan

koneksi internet.

http://apisi.org/

http://apisi.org/

162

4.2.2.2 Port scanning APISI

Dalam melakukan Port Scanning, penulis menggunakan

NMAP v7.25 pemindaian, menggunakan objek http://apisi.org ,

dengan perintah nmap -v -A apisi.org.

Mendapatkan informasi yang telah diringkas sebagai

berikut :

1. IP (Internet Protocol ) Address

IP yang digunakan sebagai IP yaitu 45.64.1.113 .

2. Port yang terbuka dan Service yang berjalan

Adapun ports yang terbuka sebagai berikut :

Tabel 4.1 Ports yang Terbuka

No. Ports Protokol Status Service

1. 21 TCP Open File Transfer Protocol (FTP)

2. 22 TCP Filtered Secure Shell (SSH )

3. 25 TCP Open Simple Mail Transfer Protocol(SMTP)

4. 53 TCP Open Domain

5. 80 TCP Open (HTTP)

6. 110 TCP OPen POP31

7. 143 TCP Open IMAP

http://apisi.org/

163

No. Ports Protokol Status Service

8. 443 TCP Open SSL

9. 465 TCP Open SSL/SMTPS

10. 587 TCP Open Submission

11. 993 TCP Open SSL/IMAP

12. 995 TCP Open SSL/POP3

13. 2000 TCP Open TCPWRAPPED

14. 3306 TCP OPen MySQL

15. 5060 TCP Open TCPWRAPPED

16. 8008 TCP Open FORTINET

17. 8080 TCP Open HTTP-Proxy

Dikarenakan APISI tidak menggunakan server sendiri ,

maka manajemen ports dan services dilakukan oleh penyedia file

hosting.

4.2.2.3 Pemindaian APISI menggunakan vulnerability scanner

Dalam tahapan ini, dilakukan kegiatan pemindaian celah

keamanan (vulnerability scanning) menggunakan pemindai

celah keamanan (vulnerability scanner) yang melakukan

pemindaian aplikasi secara otomatis mencari celah keamanan

164

yang mungkin bisa dimanfaatkan untuk kepentingan yang tidak

baik.

Pemindai celah keamanan menggunakan 3 aplikasi

yang berbeda, adapun aplikasi yang digunakan sebagai berikut:

4.2.2.3.1 OWASP ZAP

Dengan menggunakan OWASP ZAP didapatkan hasil yang

telah penulis ringkas sehingga lebih mudah dipahami yaitu:

Tabel 4.2 Hasil Pemindaian OWASP ZAP terhadap http://apisi.org

No

Kategori

Celah

Keamanan

Deskripsi Tingkat

Ancaman

Dampak yang mungkin

ditimbulkan

1. Remote OS

Command

Injection

Teknik serangan

digunakan untuk

eksekusi perintah

sistem operasi yang

tidak terotorisasi

High-

Medium

(Tinggi-

Sedang)

Database bisa terekspos, bisa

menampilkan informasi yang

tidak semestinya, dan

penyerang bisa memanipulasi

database tersebut.

2. Path Traversal Teknik serangan

Path Traversal

memungkinkan

penyerang

mengakses file,

direktori, dan

perintah yang

High-

Medium

(Tinggi-

Sedang)

tercuri sumber daya sensitif

umum seperti direktori

cadangan, dump database,

halaman administrasi,

direktori sementara

165

No

Kategori

Celah

Keamanan

Deskripsi Tingkat

Ancaman

Dampak yang mungkin

ditimbulkan

berpotensi berada di

luar direktori root

dokumen web

3. XSS Reflected Aplikasi

menggunakan data

yang tidak dapat

dipercaya dalam

tanpa validasi

maupun

penyaringan.

High-

Medium

(Tinggi-

Sedang)

Dapat terjadi manipulasi,

misalnya tampilan web

mengantarkan menuju

kerentanan lain seperti, hijack

session, mencuri cookie dan

lain-lain

4. External

Redirect

Pengalih URL

mewakili fungsi

umum yang

digunakan oleh

situs web untuk

meneruskan

permintaan masuk

ke sumber daya

alternatif.

High-

Medium

(Tinggi-

Sedang)

phishing attacks seperti yang

dijelaskan di tujuan yang

sebenarnya.

5. X-Frame-

Options

Header Not Set

Aplikasi bisa dibuat

iframe ke dalam web

lain

Medium-

Medium

Jika header ini hilang,

browser mungkin salah

menangani data

166

No

Kategori

Celah

Keamanan

Deskripsi Tingkat

Ancaman

Dampak yang mungkin

ditimbulkan

(Sedang-

sedang)

6. Application

Error

Disclosure

Halaman ini berisi

pesan kesalahan /

peringatan yang

mungkin

mengungkapkan

informasi sensitif.

Medium-

Medium

(Sedang-

sedang)

Tereksposnya informasi yang

tidak seharusnya terlihat

7. Web Browser

XSS Protection

Not Enabled

Browser tidaak

menggunakan

perlindungan

terhadap serangan

XSS

(Low-

Medium)

(Menenga

h ke

Sedang)

Penyerang bisa leluasa

menjalankan perintah

berbahaya

8.

X-Content-

Type-Options

Header

Missing

Header Anti-

MIME-Sniffing X-

Content-Type-

Options tidak

disetel ke 'nosniff'.

(Low-

Medium)

(Menenga

h ke

Sedang)

Memungkinkan versi Internet

Explorer dan Chrome yang

lebih lama untuk melakukan

Mime-Sniffing

9. Cookie(s)

without

Seharusnya Cookie

hanya dapat diakses

oleh server dan

Memungkinan penyerang

mengambil alih sesi

167

No

Kategori

Celah

Keamanan

Deskripsi Tingkat

Ancaman

Dampak yang mungkin

ditimbulkan

HttpOnly flag

set

bukan oleh skrip

sisi klien.

Tabel 4.3 Hasil Pemindaian OWASP ZAP terhadap http://opac.apisi.org

No

Kategori

Celah

Keamanan

Deskripsi Tingkat

Ancaman

Dampak yang mungkin

ditimbulkan


menggunakan data

yang tidak dapat

dipercaya dalam

tanpa validasi

maupun

penyaringan.

High-

Medium

(Tinggi-

Sedang)

Dapat terjadi manipulasi,

misalnya tampilan web

mengantarkan menuju

kerentanan lain seperti, hijack

session, mencuri cookie dan

lain-lain

2. SQL Injection Penyerang

menggunakan

kelemahan ini untuk

menjalankan query

khusus dalam

database, yang

membuatnya mampu

High-

Medium

(Tinggi-

Sedang)





database tersebut.

168

No

Kategori

Celah

Keamanan

Deskripsi Tingkat

Ancaman

Dampak yang mungkin

ditimbulkan

mengambil-alih

database

3. Remote OS

Command

Injection

Teknik serangan

digunakan untuk

eksekusi perintah

sistem operasi yang

tidak terotorisasi

High-

Medium

(Tinggi-

Sedang)





database tersebut.

4.. X-Frame-

Options

Header Not

Set


iframe ke dalam web

lain

Medium-

Medium

(Sedang-

sedang)

Jika header ini hilang,

browser mungkin salah

menangani data

5. Parameter

Tampering

Ini menunjukkan

kurangnya

penanganan

pengecualian dan

area potensial untuk

dieksploitasi lebih

lanjut.

Medium-

Low

(Sedang-

Rendah)

Manipulasi parameter

menyebabkan halaman

kesalahan atau jejak

tumpukan Java ditampilkan

6. Web Browser

XSS

Protection

Not Enabled

Browser tidak

menggunakan

perlindungan

(Low-

Medium)

Penyerang bisa leluasa

menjalankan perintah

berbahaya

169

No

Kategori

Celah

Keamanan

Deskripsi Tingkat

Ancaman

Dampak yang mungkin

ditimbulkan

terhadap serangan

XSS

(Menenga

h ke

Sedang)

7. X-Content-

Type-Options

Header

Missing

Header Anti-MIME-

Sniffing X-Content-

Type-Options tidak


(Low-

Medium)

(Menenga

h ke

Sedang)

Memungkinkan versi Internet

Explorer dan Chrome yang

lebih lama untuk melakukan

Mime-Sniffing

8. Cookie no

HTTP Only

Flag Set

Seharusnya Cookie

hanya dapat diakses

oleh server dan

bukan oleh skrip sisi

klien. Ini adalah

perlindungan

keamanan penting

untuk session

(Low-

Medium)

(Menenga

h ke

Sedang)

Memungkinan penyerang

mengambil alih session

170

4.2.2.3.2 UNISCAN

Tabel 4.4 Hasil Pemindaian UNISCAN terhadap http://apisi.org

No

Kategori

Celah

Keamanan

Deskripsi

Tingkat

Ancaman

Menurut

Uniscan

Dampak yang mungkin

ditimbulkan

- - - - -

Dengan menggunakan UNISCAN terhadap http://apisi.org

menghabiskan waktu selama 3 jam 34 menit 26 detik dan

mendapatkan 0 kerentanan

Tabel 4.5 Hasil Pemindaian UNISCAN terhadap http://opac.apisi.org

No

Kategori

Celah

Keamanan

Deskripsi

Tingkat

Ancaman

Menurut

Uniscan

Dampak yang mungkin

ditimbulkan

1 SQL Injection Penyerang

menggunakan

kelemahan ini untuk

menjalankan query

khusus dalam database,

yang membuatnya

- Database bisa terekspos,

bisa menampilkan informasi

yang tidak semestinya, dan

penyerang bisa

memanipulasi database

tersebut.

171

mampu mengambil-alih

database

Dengan menggunakan UNISCAN terhadap

http://opac.apisi.org menghabiskan waktu selama 1 jam 40

menit 36 detik dan mendapatkan 1 kerentanan.

4.2.2.3.3 Acunetix

Tabel 4.5 Hasil Acunetix terhadap http://apisi.org

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

1. WordPress Plugin

NextGEN Gallery-

WordPress Gallery

Remote Code

Execution

Rentan terhadap

kerentanan eksekusi

kode jauh karena gagal

memfilter input yang

disediakan pengguna

Memungkinkan

penyerang untuk

mengeksekusi

perintah sesukanya.

2. WordPress Plugin

NextGEN Gallery-

WordPress Gallery

Rentan terhadap

kerentanan SQL

Injection karena gagal

Memungkinkan

penyerang untuk

kompromi aplikasi,

akses atau modifikasi


172

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

SQL Injection

(2.1.77)

memfilter data yang

diberikan pengguna

sebelum

menggunakannya

dalam kueri SQL.

data, atau kerentanan

tersembunyi dalam

database yang

mendasarinya.

3. WordPress Plugin

NextGEN Gallery-

WordPress Gallery

Local File Inclusion

(2.1.56)

Rentan terhadap

kerentanan Local File

Inclusion karena gagal

verifikasi input yang

diberikan pengguna .

Memungkinkan

penyerang untuk

mendapatkan

informasi sensitif

sebagai

bantuan dalam

seranganan

selanjutnya.

4. WordPress Plugin

NextGEN Gallery-

WordPress Gallery

Security Bypass

(3.1.6)

Rentan terhadap

kerentanan keamanan

bypass.

Memungkinkan

penyerang untuk

melakukan tindakan

yang sebelumnya

dibatasi dan

selanjutnya

melakukan berbagai

kontrol terhadap

plugin atau

173

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

bahkan mengambil

alih website.

5. WordPress Plugin

NextGEN Gallery-

WordPress Gallery

Cross-Site Scripting

Gagal


diberikan pengguna

dengan benar.

Penyerang dapat

memanfaatkan

masalah ini untuk

mengeksekusi kode

skrip di browser.

6. WordPress Plugin

NextGEN Gallery-

WordPress Gallery

PHP Object

Injection (3.1.5)

Aplikasi gagal


diberikan pengguna

sebelum diteruskan ke

unserialize ()

Fungsi PHP.

Penyerang mungkin

dapat memanfaatkan

ini untuk

mengeksekusi kode

PHP semaunya dalam

konteks

memperngaruhi

proses server web.

7. WordPress Plugin

NextGEN Gallery-

WordPress Gallery

Unspecified

Vulnerability

(2.2.46)

Rentan terhadap

kerentanan yang tidak

ditentukan

Tidak ada informasi

yang tersedia

ada mengenai

masalah ini dan ini

berdampak pada situs

web yang rentan.

174

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

8. WordPress Plugin

Yoast SEO Possible

Remote Code

Execution (9.1.0)

Rentan terhadap

kemungkinan

kerentanan eksekusi

kode jauh karena gagal

untuk


disediakan pengguna.

Memungkinkan

penyerang untuk

mengeksekusi

perintah sesukanya.

9. WordPress Plugin

Yoast SEO

Information

Disclosure (3.2.4)

Rentan terhadap

kerentanan

pengungkapan

informasi.

Penyerang dapat

mengeksploitasi

masalah ini untuk

diungkapkan

pengaturan plugin

dan posting metadata

relatif terhadap fokus

dan istilah kata kunci

10. WordPress Plugin

Yoast SEO Cross-

Site Scripting (2.0.1)

Gagal


diberikan pengguna

dengan benar.

Penyerang dapat

memanfaatkan

masalah ini untuk

mengeksekusi kode

skrip di browser.

175

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan


Yoast SEO Cross-

Site Request Forgery

(3.3.1)

Rentan terhadap

kerentanan pemalsuan

permintaan lintas situs.

Memungkinkan

untuk melakukan

tindakan administrasi

tertentu dan

mendapatkan akses

tidak sah ke aplikasi

yang terkena dampak


Yoast SEO

Unspecified

Vulnerability (5.9.2)

Plugin WordPress

Yoast SEO rentan

terhadap kerentanan

yang tidak ditentukan.

Tidak ada informasi

yang tersedia

mengenai masalah ini

dan itu berdampak

pada situs web yang

rentan .


bbPress SQL

Injection (2.5.14)

Rentan terhadap

kerentanan SQL

Injection karena gagal

untuk memfilter yang

disediakan pengguna

data sebelum

menggunakannya

Memungkinkan

penyerang untuk

kompromi aplikasi,

akses atau modifikasi

data, atau kerentanan

tersembunyi dalam

database yang

mendasarinya.

176

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

dalam permintaan

SQL.


bbPress Cross-Site

Scripting (2.5.8)

Gagal


diberikan pengguna

dengan benar.

Penyerang dapat

memanfaatkan

masalah ini untuk

mengeksekusi kode

skrip semaunya.


Jetpack by

WordPress.com

Multiple

Vulnerabilities

(3.7.0)

Rentan terhadap

banyak kerentanan,

termasuk skrip lintas

situs dan

kerentanan

information

disclosure.

Memungkinkan

penyerang untuk

mencuri cookie

kredensial otentikasi

atau untuk

mendapatkan

informasi sensitif

yang dapat membantu

dalam meluncurkan

serangan lebih lanjut.


Jetpack by

WordPress.com

Gagal Penyerang dapat

memanfaatkan

masalah ini untuk

177

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan


(3.4.2)


diberikan pengguna

dengan benar.

mengeksekusi kode

skrip di browser.

17. WordPress Plugin A

Page Flip Book

'pageflipbook_langu

age' Parameter

Local File Include

(2.3)

Rentan terhadap file

lokal termasuk

kerentanan karena

gagal untuk memfilter

pengguna secara

memadai

memasukkan.

Memungkinakan

melihat file dan

eksekusi skrip dalam

web server


Redirection Local

File Inclusion (2.7.3)

Rentan terhadap


Inclusion karena gagal


diberikan pengguna .

Memungkinkan

penyerang

memperoleh

informasi sensitif

yang dapat membantu

dalam serangan lebih

lanjut.


Events Calendar

'ec_management.cla

Gagal


diberikan pengguna

dengan benar.

Penyerang dapat

memanfaatkan

masalah ini untuk

178

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

ss.php' Cross-Site

Scripting (6.7.11)

mengeksekusi kode

skrip di browser.


Redirection Cross-

Site Request Forgery

(3.6.2)

Rentan terhadap

kerentanan pemalsuan

Cross-Site Request

Forgery.

memungkinkan

penyerang jauh untuk

melakukan tindakan

administratif tertentu

dan mendapatkan

akses tidak sah ke

aplikasi yang terkena

dampak; serangan

lainnya


Redirection PHP

Object Injection

Rentan terhadap

kerentanan yang

memungkinkan

penyerang jarak jauh

menyuntikkan dan

mengeksekusi kode.

Dapat mengeksekusi

kode PHP sesuai

keinginan dalam

server web yang

terpengaruh.


The Events Calendar

Open Redirect

(4.1.1)

kerentanan pengalihan

terbuka karena

aplikasi gagal

Memungkinkan

penyerang

mengarahkan

pengguna ke situs

web yang diinginkan

179

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

berfungsi dengan

benar


diberikan pengguna.

penyerang dan

melakukan

serangan phishing.

23. Login page

password-guessing

attack

Tanpa pengamanan

jika salah memasukan

username dan

password berkali-kali

Penyerang dapat

mencoba menemukan

kata kunci dengan

secara sistematis

mencoba setiap

kemungkinan

kombinasi huruf,

angka, dan symbol.

24. WordPress admin

accessible without

HTTP authentication

Disarankan untuk

membatasi akses ke

dashboard

administrasi

WordPress

menggunakan

otentikasi HTTP

Akun penyerang

berhasil mencuri

password pengguna,

mereka akan

membutuhkan

untuk melewati

hentikasi aut HTTP

untuk mendapatkan

180

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

akses ke form login

WordPress.

25. WordPress default

administrator

account

Secara default

WordPress membuat

akun pengguna

administrator bernama

admin .

Menggunakan Akun

Admin WordPress

default,

penyerang dapat

dengan mudah

meluncurkan

serangan brute force

terhadapnya.

26. WordPress REST

API User

Enumeration

WordPress

menyertakan REST

API yang dapat

digunakan untuk

membuat daftar

informasi tentang

pengguna terdaftar di

WordPress

instalasi

API REST

memaparkan data

pengguna untuk

semua pengguna yang

telah mengeposkan

posting dari jenis pos

publik .

181

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

27. WordPress user

registration enabled

Siapa pun dapat

mendaftar sebagai

pengguna.

Mendapatkan

pendaftaran user

secara massif.

28. WordPress XML-

RPC authentication

brute force

WordPress

menyediakan

antarmuka XML-RPC

melalui skrip

xmlrpc.php.

Memungkinkan

terkena serangan rute

Force Attack.

29. WordPress

Directory Traversal

(3.7 - 5.0.3)

WordPress rentan

terhadap kerentanan

lintasan direktori

karena gagal

memverifikasi data

input yang disediakan

pengguna secara

memadai.

Mengeksploitasi

masalah ini dapat

memungkinkan

penyerang mengakses

informasi sensitif

yang dapat membantu

dalam serangan

selanjutnya.

30. Password type input

with auto-complete

enabled

Saat memproses login

, nama dan kata kunci

terisi secara otomatis

Penyerang dapa

masuk ke dalam

sistem

182

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

31. Microsoft Frontpage

configuration

information

Komentar HTML

halaman ini berisi

informasi konfigurasi

untuk Microsoft

FrontPage Server

Extensions.


termasuk versi

FrontPage dan dapat

membantu penyerang

untuk mempelajari

lebih lanjut tentang

targetnya

32. Application Error

Message

Halaman ini berisi

pesan kesalahan /

peringatan yang dapat

mengungkapkan

informasi sensitif

-

Bocornya informasi

sensitif seperti lokasi

file yang

menghasilkan

pengecualian tidak

tertangani

33. Error message on

page

34. Cookie(s) without

HttpOnly flag set

Seharusnya Cookie

hanya dapat diakses

oleh server dan bukan

oleh skrip sisi klien.

Memungkinan p

enyerang mengambil

alih sesi


Secure Flag Set

Cookie ini tidak

memiliki Secure Flag

Set.

Cookie dapat sniffing.

183

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

36. Documentation file File dokumentasi

(misal Readme.txt,

log.txt,) ditemukan di

direktori ini

Memungkinkan

bocornya informasi

sensitif.

37. Possible Relative

Path Overwrite

Teknik untuk

memanfaatkan impor

CSS dengan URL-

Relative dengan

overwrite file target

mereka.

File aslinya terkena

overwrite.

38. Possible sensitive

directories

Direktori sensitif yang

mungkin telah

ditemukan

Terekspos direktori

cadangan, dump basis

data, halaman

administrasi, direktori

sementara


files

Kemungkinan file

sensitif telah

ditemukan

sumber daya sensitif

seperti file kata sandi,

file konfigurasi, file

log, termasuk file,

data statistik, basis

data.

184

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

40. Possible Virtual

Host Found

Beberapa nama

domain/website dalam

satu server

pada satu server

Jika satu aplikasi

kurang baik

keamanannya, akan

membebani aplikasi

lain yang jalan dalam

satu server.

41. Possible server path

disclosure (Unix)

Memungkinkan

penyerang untuk

melihat jalur ke

webroot / file.

Penyerang dapat

menemukan file

struktur sistem dari

server web.

42. Content Security

Policy (CSP) not

Implemented

Keamanan tambahan

yang membantu

mendeteksi dan

mengurangi jenis

serangan tertentu,

tidak terdapat di sini.

Memungkinkan

terkena Cross Site

Scripting (XSS) dan

serangan Injections.

43. Email address found Satu atau lebih alamat

email telah ditemukan

di halaman ini

Mayoritas spam

berasal dari alamat

email yang didapat

dari internet.

185

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

44. Clickjacking: X-

Frame-Options

header missing


iframe ke dalam web

lain

Ketika dipercaya oleh

klien dengan

kombinasi social

engineering maka

bisa terjadi session

hijack, session

stealing

45. Vulnerable

Javascript library

Menggunakan

javascript library yang

mengandung

kerentanan

Terjadi penyerangan

sesuai vulnerability

javascript yang

tersedia.


menggunakan data

yang tidak dapat

disetujui dalam tanpa

validasi atau

penyaringan.

Dapat terjadi

manipulasi, misalnya

tampilan web, dan

mengantarkan

menuju kerentanan

lainnya seperti hijack

session, mencuri

cookie dan lain-lain

186

Dengan menggunakan Acunetix terhadap http://apisi.org

menghabiskan waktu selama 1 hari 0 jam 17 menit 56 detik

dan mendapatkan 49 kerentanan.

Tabel 4.6 Hasil Acunetix terhadap http://opac.apisi.org

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

1. Login page

password-guessing

attack

Tanpa pengamanan

jika salah memasukan

username dan


- Penyerang dapat

mencoba menemukan

kata kunci dengan secara

sistematis mencoba

setiap kemungkinan

kombinasi huruf, angka,

dan simbol

2. Clickjacking: X-

Frame-Options

header missing


iframe ke dalam web

lain

- Ketika dipercaya oleh

klien dengan kombinasi

social engineering maka

bisa terjadi session

hijack, session stealing


HttpOnly flag set

Seharusnya Cookie

hanya dapat diakses

oleh server dan bukan

oleh skrip sisi klien.

- Memungkinan penyerang

mengambil alih session

http://apisi.org/

187

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

4. Application error

message

Halaman ini berisi

pesan kesalahan /

peringatan yang

mungkin

mengungkapkan

informasi sensitif.

- Bocornya informasi

sensitif seperti lokasi file

yang menghasilkan

pengecualian tidak

tertangani 5. Error message on

page


Secure Flag Set

Cookie ini tidak

memiliki Secure Flag

Set.

-

Cookie dapat sniffing

7. Possible Relative

Path Overwrite

Teknik untuk

memanfaatkan impor

CSS dengan URL-

Relative dengan

overwrite file target

mereka.

- File aslinya terkena

overwrite.

8. Possible Virtual

Host Found

Beberapa nama

domain/website

dalam satu server

pada satu server

Jika satu aplikasi kurang

baik keamanannya, akan

membebani aplikasi lain

yang jalan dalam satu

server.

188

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

9. Content Security

Policy (CSP) not

Implemented

Keamanan tambahan

yang membantu

mendeteksi dan

mengurangi jenis

serangan tertentu,


-

Memungkinkan terkena

Cross Site Scripting

(XSS) dan serangan

Injections.

10. Password type input

with auto-complete

enabled

Saat formulir login

ditampilkan, nama

dan kata kunci terisi

secara otomatis

- Penyerang dapat masuk

ke dalam sistem

11. Possible Server Path

Disclosure

Memungkinkan

penyerang untuk

melihat jalur ke

webroot / file.

-

Penyerang dapat

menemukan file

struktur sistem dari

server web.

12. Vulnerable

Javascript library

Menggunakan

javascript library

yang mengandung

vulnerability

- Terjadi penyerangan

sesuai vulnerability

javascript yang tersedia.


menggunakan data

yang tidak dapat

- Dapat terjadi manipulasi,

misalnya tampilan web,

dan mengantarkan

189

No Kategori Celah

Keamanan Deskripsi

Tingkat

Ancaman

Menurut

Acunetix

Dampak yang

ditimbulkan

dipercaya dalam tanpa

validasi maupun

penyaringan.

menuju kerentanan

lainnya seperti hijack

session, mencuri cookie

dan lain-lain

Dengan menggunakan Acunetix terhadap http://opac.apisi.org

menghabiskan waktu selama 126 menit 32 detik dan

mendapatkan 13 kerentanan. Setelah dilakukan pemindaian

melalui OWASP ZAP, Uniscan dan Acunetix, ada celah

kerentanan yang terdeteksi ataupun tidak terdeteksi dari

masing-masing vulnerability scanner. Berdasarkan gabungan

hasil pemindaian (scan) dari OWASP ZAP, Uniscan dan

Acunetix, beberapa kerentanan yang duplikasi dieleminasi

vulnerability scanner, ternyata banyak memiliki kesamaan atau

duplikasi antara satu dengan yang lainnya karena hanya

berbeda dalam penamaan sehingga perlu difilter kembali agar

hasilnya tidak duplikasi. Adapun kerenatanan-kerentanan yang

difilter untuk mengurangi duplikasi sebagai berikut :


190

Tabel 4.7 Hasil Gabungan Pemindaian terhadap http://apisi.org

No Vulnerabilities

Vulnerability Scanners

OWASP ZAP Uniscan Acunetix

1. Remote OS Command

Injection

✓ - -

2. Path Traversal ✓ - ✓

3. Cross Site Scripting (XSS) ✓ - ✓

4. External Redirect

✓ -

5. X-Frame-Options Header

Not Set

✓ - ✓

6. Application Error

Disclosure

✓ - ✓

7. Web Browser XSS

Protection Not Enabled

✓ - -

8. X-Content-Type-Options

Header Missing

✓ - -

9. Cookie no HTTP Only Flag

Set

✓

-

✓

191

No Vulnerabilities



10. WordPress Plugin NextGEN

Gallery-WordPress Gallery

Remote Code Execution

- - ✓



SQL Injection (2.1.77)

- - ✓



Local File Inclusion (2.1.56)

- - ✓



Security Bypass (3.1.6)

- - ✓




- - ✓



PHP Object Injection (3.1.5)

- - ✓



- - ✓

192

No Vulnerabilities



Unspecified Vulnerability

(2.2.46)

17. WordPress Plugin Yoast

SEO Possible Remote Code

Execution (9.1.0)

- - ✓


SEO Information Disclosure

(3.2.4)

- - ✓


SEO Cross-Site Scripting

(2.0.1)

- - ✓


SEO Cross-Site Request

Forgery (3.3.1)

- - ✓


SEO Unspecified

Vulnerability (5.9.2)

- - ✓

22. WordPress Plugin bbPress


- - ✓

193

No Vulnerabilities



23. WordPress Plugin bbPress

Cross-Site Scripting (2.5.8)

- - ✓

24. WordPress Plugin Jetpack

by WordPress.com Multiple

Vulnerabilities (3.7.0)

- - ✓

25. WordPress Plugin Jetpack

by WordPress.com Cross-

Site Scripting (3.4.2)

- - ✓

26. WordPress Plugin A Page

Flip Book

'pageflipbook_language'

Parameter Local File

Include (2.3)

- - ✓


Redirection Local File

Inclusion (2.7.3)

- - ✓

28. WordPress Plugin Events

Calendar

'ec_management.class.php'


- - ✓

194

No Vulnerabilities




Redirection Cross-Site

Request Forgery (3.6.2)

- - ✓


Redirection PHP Object

Injection

- - ✓

31. WordPress Plugin The

Events Calendar Open

Redirect (4.1.1)

- - ✓

32. Login page password-

guessing attack

- - ✓

33. WordPress admin accessible

without HTTP

authentication

- - ✓

34. WordPress default

administrator account

- - ✓

35. WordPress REST API User

Enumeration

- - ✓

36. WordPress user registration

enabled

- - ✓

195

No Vulnerabilities



37. WordPress XML-RPC

authentication brute force

- - ✓

38. Password type input with

auto-complete enabled

- - ✓

39. Microsoft Frontpage

configuration information

- - ✓

40. Cookie(s) without Secure

Flag Set

- - ✓

41. Documentation file - - ✓

42. Possible Relative Path

Overwrite

- - ✓


directories

- - ✓

44. Possible sensitive files - - ✓

45. Possible Virtual Host Found - - ✓

46. Possible server path

disclosure (Unix)

- - ✓

196

No Vulnerabilities



47. Content Security Policy

(CSP) not Implemented

- - ✓

48. Email address found - - ✓

49. Vulnerable Javascript

library-

- - ✓

Berdasarkan gabungan hasil pemindaian (scan) dari OWASP

ZAP, Uniscan dan Acunetix, beberapa kerentanan yang

duplikasi dieleminasi sehingga semua menjadi 18 kerentanan

seperti dalam Tabel 4.8

Tabel 4.8 Hasil Gabungan Pemindaian terhadap http://opac.apisi.org

No Vulnerabilities



1. Cross Site Scripting (XSS) ✓ - ✓

2. SQL Injection ✓ ✓ -


197

3. Remote OS Command

Injection

✓ - -

4. X-Frame-Options Header Not

Set

✓ - ✓

5. Parameter Tampering ✓ - -

6. Web Browser XSS Protection

Not Enabled

✓ - -

7. X-Content-Type-Options

Header Missing

✓ - -

8. Cookie no HTTP Only Flag

Set

✓ - ✓

9. Login page password-

guessing attack

- - ✓

10. Application Error Message - - ✓

11. Error message on page - - ✓

12. Cookie(s) without Secure Flag

Set

- - ✓

13. Possible Relative Path

Overwrite

- - ✓

14. Possible Virtual Host Found - - ✓

198

4.2.3 Eksploitasi Celah Kerentanan (Exploitation)

Pada tahapan ini akan dilakukan pengujian celah kerentanan

yang telah ditemukan pada tahapan-tahapan sebelumnya terhadap

aplikasi berbasis web APISI.

4.2.3.1 Eksploitasi http://apisi.org

4.2.3.1.1 Eksploitasi Berbasis Web

Setelah mendapatkan celah kerentanan yang ada pada

http://apisi.org, tahapan selanjutnya ialah melakukan validasi kerentanan

yang ditemukan oleh vulnerability scanner. Adapun kerentanan-kerentanan

yang diuji sebagai berikut :

1. Remote OS Command Injection

15. Content Security Policy


- - ✓

16. Password type input with

auto-complete enabled

- - ✓

17. Possible Server Path

Disclosure

- - ✓

18. Vulnerable Javascript library - - ✓

http://apisi.org/

http://apisi.org/

199

Gambar 4.69 Remote OS Command Injection http://apisi.org

Pengujian terhadap celah ini dilakukan digunakan untuk

eksekusi perintah sistem operasi yang tidak terotorisasi,

peneliti menggunakan payload : query';start-sleep -s 15

yang dimodifikasi dengan url menjadi http://apisi.org/wp-

content/uploads/2012/apisionline.blogspot.com/apisionlin

e.blogspot.com?query=query%27%3Bstart-sleep+-s+15

namun tidak ada pengaruh apa-apa.

http://apisi.org/wp-content/uploads/2012/apisionline.blogspot.com/apisionline.blogspot.com?query=query%27%3Bstart-sleep+-s+15



200

2. Path Traversal

Gambar 4.70 Path Traversal http://apisi.org

Teknik serangan Path Traversal memungkinkan penyerang

mengakses file, direktori, dan perintah yang berpotensi

berada di luar direktori root dokumen web. Adapun payload

yang digunakan ../../../../ dan %252e%252e%252f sehingga

bila ditambah url menjadi http://apisi.org/wp-

login.php?action=lostpassword../../../../ namun direktori

tidak terbuka yang didapat halaman awalanya Lost

Password menjadi halaman Login.

http://apisi.org/

http://apisi.org/wp-login.php?action=lostpassword../../../../

http://apisi.org/wp-login.php?action=lostpassword../../../../

201

3. Cross Site Scripting (XSS)

Gambar 4.71 Cross Site Scripting (XSS) http://apisi.org

Aplikasi menggunakan data yang tidak dapat dipercaya

dalam tanpa validasi maupun penyaringan. Adapun payload

yang digunakan yaitu ;alert(1), /"><svg onload=alert(1)>

dan <script>alert</script> sehingga bila ditambah url

menjadi http://apisi.org/page/4/?s=%3Balert%281%29

menghasilkan halaman tidak ditemukan, sehingga tidak

ditemukan kerentanan XSS.

4. External Redirect

Pengalih URL mewakili fungsi umum yang digunakan oleh

situs web untuk meneruskan permintaan masuk ke sumber

daya alternatif. External Redirect memungkinkan pengguna

untuk berpindah ke halaman luar tanpa konfirmasi.

Perpindahan antar external Link . Web APISI belum

memberikan batasan pada perpindahan ke halaman luar.

http://apisi.org/

http://apisi.org/page/4/?s=%3Balert%281%29

202

5. X-Frame-Options Header Not Set

Gambar 4.72 X-Frame-Options Header Not Set

Aplikasi bisa dimuat ke dalam web lain sehingga rawan

terkena serangan social engineering. Adapun payload

yang digunakan <iframe src=http://apisi.org></iframe>

menghasilkan dapat dimuat dalam web lain. Mengatur

header X-Frame-Options:DENY.

6. Application Error Disclosure

Gambar 4.73 Application Error Disclosure http://apisi.org

Halaman ini berisi pesan kesalahan / peringatan yang

mungkin mengungkapkan informasi sensitif. Adapun

payload yang digunakan berasal dari themes sehingga

didapatkan error disclosure melalui http://apisi.org/wp-

http://apisi.org/

http://apisi.org/wp-content/themes/GamesWP/

203

content/themes/GamesWP/ dan menampilkan kerentanan

Possible Servre Path Disclosure yaitu menampilkan

struktur web dan username konfigurasi Virtual Hosting.

7. Web Browser XSS Protection Not Enabled

Gambar 4.74 Web Browser XSS Protection Not Enabled http://apisi.org

Aplikasi tidak memungkin browser menggunakan

perlindungan terhadap serangan XSS . Kerentanan ini dapat

diketahui melalui response header pada Google Chrome.

8. X-Content-Type-Options Header Missing


http://apisi.org/

204

Gambar 4.75 X-Content-Type-Options Header Missing http://apisi.org

Header Anti-MIME-Sniffing X-Content-Type-Options

tidak disetel ke 'nosniff', sehingga file yang di upload

dilakukan sniff (pengecekan) gambar ataupun script

sehingga rawan menjalankan backdoor. Kerentanan ini

dapat diketahui melalui response header pada Google

Chrome.

9. Cookie no HTTP Only Flag Set

Gambar 4.76 Cookie no HTTP Only Flag Set http://apisi.org

http://apisi.org/

http://apisi.org/

205

Seharusnya Cookie hanya dapat diakses oleh server dan

bukan oleh skrip sisi klien sehingga memungkinkan cookie

tercuri melalui kerentanan Cross Site Scripting.

Kerentanan ini dapat diketahui melalui response header

pada Google Chrome.

10. WordPress Plugin NextGEN Gallery-WordPress Gallery

Remote Code Execution

Gambar 4.77 WordPress Plugin NextGEN Gallery-WordPress

Code Execution http://apisi.org

Rentan terhadap kerentanan eksekusi kode jauh karena

gagal memfilter input yang disediakan pengguna yang

memiliki akses basic privellege, karena dapat

melakukan tampering data sehingga tercipta file php

baru rce.php walau hanya basic privellege karena ada

kerentanan WordPress Plugin NextGEN Gallery-

WordPress Gallery Remote Code Execution melalui

pengaturan

http://apisi.org/wpadmin/admin.php?page=ngg_other_o

http://apisi.org/

http://apisi.org/wpadmin/admin.php?page=ngg_other_options

206

ptions dan berhasil menambahkan file rce.php dengan

mengganti value Default Styles.



Gambar 4.78 WordPress Plugin NextGEN Gallery-WordPress Gallery SQL

Injection (2.1.77)

Rentan terhadap kerentanan SQL Injection karena gagal

memfilter data yang diberikan pengguna sebelum

menggunakannya dalam kueri SQL. Adapun payload yang

digunakan yaitu OR 1 = 1 dengan memodifikasi url

menjadi http://apisi.org/2017/01/17/new-

one/nggallery/tags/test%251%24%25s))%20or%201=1%

2 yang semestinya menampilkan struktur kueri database

namun disini tidak berhasil.

http://apisi.org/wpadmin/admin.php?page=ngg_other_options

http://apisi.org/2017/01/17/new-one/nggallery/tags/test%251%24%25s))%20or%201=1%252



207


Local File Inclusion (2.1.56)

Gambar 4.79 WordPress Plugin NextGEN Gallery-WordPress Gallery Local


Rentan terhadap kerentanan Local File Inclusion karena

gagal verifikasi input yang diberikan pengguna sehingga

memungkinkan penguna dengan basic privellege dapat

melakukan kendali penuh atas direkotri. Adappun payload

yang digunakan yaitu ../../../../ sehingga bila digabungkan

menjadi http://apisi.org/wp-

admin/admin.php?page=nggallery-manage-gallery/../../../

yang semestinya menampilkan direotri namun tidak

berhasil.



http://apisi.org/wp-admin/admin.php?page=nggallery-manage-gallery/../../../

http://apisi.org/wp-admin/admin.php?page=nggallery-manage-gallery/../../../

208

Gambar 4.80 WordPress Plugin NextGEN Gallery-WordPress Gallery


Rentan terhadap kerentanan keamanan bypass yang

memungkinkan penyerang dapat mengaktifkan kembalik

user registration yang sebelumnya dinonaktifkan. Adapun

payload yang digunakan http://yourlink.com/wp-

admin/admin-

ajax.php?action=fs_set_db_option&option_name=users_

can_register&option_value=1 menjadi

http://apisi.org/wp-admin/admin-

ajax.php?action=fs_set_db_option&option_name=users_

can_register&option_value=1 sehingga berhasil

mengaktifkan registrasi.



http://yourlink.com/wp-admin/admin-ajax.php?action=fs_set_db_option&option_name=users_can_register&option_value=1




http://apisi.org/wp-admin/admin-ajax.php?action=fs_set_db_option&option_name=users_can_register&option_value=1



209

Gambar 4.81 WordPress Plugin NextGEN Gallery-WordPress Gallery Cross-Site

Scripting

Plugin WordPress Plugin NextGEN Gallery menggunakan

data yang tidak dapat dipercaya tanpa validasi sehingga

bila tidak bisa menyerang server secara langsung dapat

melakukan penyerangan dari sisi klien. Adapun payload

yang digunakan yaitu Payload :

‘></a><script>alert(1)</script> pada kolom entry data

pada http://apisi.org/wp-

admin/admin.php?page=nggallery-manage-

gallery&mode=edit&gid=1&_wpnonce=276fc9b409

yang semestinya keluar alert namun tidak berhasil.

http://apisi.org/wp-admin/admin.php?page=nggallery-manage-gallery&mode=edit&gid=1&_wpnonce=276fc9b409



210



Gambar 4.82 WordPress Plugin NextGEN Gallery-WordPress Gallery


Aplikasi gagal memfilter input yang diberikan pengguna

sebelum diteruskan ke unserialize () Fungsi PHP sehingga

dapat membuat album dengan hanya level user paling

rendah. Adapun payload yang digunakan curl

'http://local.target/wp-admin/admin.php?page=nggallery-

manage-album&act_album=1' --data

'_wpnonce=0576380f03&_wp_http_referer=%2Fwpm%2

Fwp5rc%2Fwp-

admin%2Fadmin.php%3Fpage%3Dnggallery-manage-

album%26act_album%3D1&sortorder=gid%3Da:1:{i:0;

O:15:"simple_html_dom":1:{s:5:"nodes";C:33:"Requests

_Utility_FilteredIterator":100:{x:i:0;a:3:{i:0;i:1;i:1;i:1;i:2

;i:1;};m:a:1:{S:11:"\00\2A\00\63\61\6C\6C\62\61\63\6B"

;s:7:"phpinfo";}}}}&act_album=1&update=Update' –

211

compressed sehingga menjadi curl http://apisi.org/wp-

admin/admin.php?page=nggallery-manage-

album&act_album=1%27%20--

data%20%27_wpnonce=0576380f03&_wp_http_referer=

%2Fwpm%2Fwp5rc%2Fwp-

admin%2Fadmin.php%3Fpage%3Dnggallery-manage-

album%26act_album%3D1&sortorder=gid%3Da:1:{i:0;

O:15:%22simple_html_dom%22:1:{s:5:%22nodes%22;C

:33:%22Requests_Utility_FilteredIterator%22:100:{x:i:0;

a:3:{i:0;i:1;i:1;i:1;i:2;i:1;};m:a:1:{S:11:%22\00\2A\00\63

\61\6C\6C\62\61\63\6B%22;s:7:%22phpinfo%22;}}}}&a

ct_album=1&update=Update%27%20--compressed dan

diharakan dapat tercipta album gambar baru walau hanya

memiliki akses dasar, namun kerentanan ini tidak

ditemukan di sini.


Unspecified Vulnerability (2.2.46)

Rentan terhadap kerentanan yang tidak ditentukan

sehingga kerentanan ini tidak diuji karena tidak dirinci

dengan jelas jenis kerentanannya.

http://apisi.org/wp-admin/admin.php?page=nggallery-manage-album&act_album=1%27%20--data%20%27_wpnonce=0576380f03&_wp_http_referer=%2Fwpm%2Fwp5rc%2Fwp-admin%2Fadmin.php%3Fpage%3Dnggallery-manage-album%26act_album%3D1&sortorder=gid%3Da:1:%7bi:0;O:15:%22simple_html_dom%22:1:%7bs:5:%22nodes%22;C:33:%22Requests_Utility_FilteredIterator%22:100:%7bx:i:0;a:3:%7bi:0;i:1;i:1;i:1;i:2;i:1;%7d;m:a:1:%7bS:11:%22/00/2A/00/63/61/6C/6C/62/61/63/6B%22;s:7:%22phpinfo%22;%7d%7d%7d%7d&act_album=1&update=Update%27%20--compressed












212

17. WordPress Plugin Yoast SEO Possible Remote Code

Execution (9.1.0)

Gambar 4.83 WordPress Plugin Yoast SEO Possible Remote Code

Execution (9.1.0)

Rentan terhadap kemungkinan kerentanan eksekusi kode

jauh karena gagal untuk memfilter input yang disediakan

pengguna namun kerentanan ini tidak dilakukan pengujian

karena error terhadap aplikasi.

18. WordPress Plugin Yoast SEO Information Disclosure

(3.2.4)

Plugin ini rentan terhadap kerentanan pengungkapan

informasi. Kerentanan ini tidak dilakukan pengujian


19. WordPress Plugin Yoast SEO Cross-Site Scripting

(2.0.1)

Plugin ini gagal memfilter input yang diberikan pengguna

dengan benar. Kerentanan ini tidak dilakukan pengujian


213

20. WordPress Plugin Yoast SEO Cross-Site Request

Forgery (3.3.1)

Plugin ini rentan terhadap kerentanan pemalsuan

permintaan lintas situs (Cross-Site Request Forgery).

Kerentanan ini tidak dilakukan pengujian karena error

terhadap aplikasi.

21. WordPress Plugin Yoast SEO Unspecified Vulnerability

(5.9.2)

Plugin WordPress Yoast SEO rentan terhadap kerentanan

yang tidak ditentukan. Kerentanan ini tidak diuji karena

tidak dirinci dengan jelas jenis kerentanannya.

22. WordPress Plugin bbPress SQL Injection (2.5.14)

Gambar 4.84 WordPress Plugin bbPress SQL Injection (2.5.14)

214

Plugin bbPress rentan terhadap kerentanan SQL Injection

karena gagal untuk memfilter yang disediakan pengguna

data sebelum menggunakannya dalam permintaan SQL jika

fitur siapa saja (aanonymous) dapat posting ke dalam forum

Adapun payload yang digunakan yaitu or 1 = 1))#

dimasukan ke dalam forum http://apisi.org/forum namun

tidak berhasil.

Gambar 4.85 WordPress Plugin bbPress Cross-Site Scripting (2.5.8)

Plugin bbPress gagal memfilter input yang diberikan

pengguna dengan benar. Adapun payload yang

digunakan

user1"onmouseover="alert(1);remove()"style="position

:absolute;left:0;top:0;margin-top:-100%;margin-left:-

100%;width:5000px;height:5000px" ke dalam forum

http://apisi.org/forum

215

APISI http://apisi.org/forum yang semestinya

menampilan alert namun tidak berhasil.

23. WordPress Plugin Jetpack by WordPress.com Multiple


Gambar 4.86 WordPress Plugin Jetpack by WordPress.com Multiple


Plugin ini rentan terhadap banyak kerentanan, termasuk

skrip lintas situs dan kerentanan information disclosure.

Kerentanan jenis ini tidak bisa dilakukan pengujian karena

Jetpack belum bisa digunakan.

24. WordPress Plugin Jetpack by WordPress.com Cross-Site

Scripting (3.4.2)


dengan benar. Kerentanan jenis ini tidak bisa dilakukan

pengujian karena Jetpack belum bisa digunakan.

http://apisi.org/forum

216

25. WordPress Plugin A Page Flip Book

'pageflipbook_language' Parameter Local File Include

(2.3)


dengan benar. Kerentanan ini tidak dilakukan pengujian


26. WordPress Plugin Redirection Local File Inclusion

(2.7.3)

Plugin ini rentan terhadap kerentanan Local File Inclusion

karena gagal verifikasi input yang diberikan pengguna jika

penyerang masuk sebagai administrator di situs mana pun

Gambar 4.87 WordPress Plugin A Page Flip Book

'pageflipbook_language' Parameter Local File Include (2.3)

Gambar 4.88 WordPress Plugin Redirection Local


217

dengan menggunakan halaman pengaturan untuk

pengalihan plugin Anda dapat menjalankan kode arbitrer

dan sepenuhnya membahayakan sistem. Peneliti masuk ke

dalam sistem dan menyalin url gambar yang ada, lalu

dilalukan redirecting dengan menjadikannya /test Payload :

Pengalihan halaman / redirecting memberikan permission

“Pass-through” dan mengunjungi http://apisi.org/test

sehingga memunculkan directory upload namun hanya

mengeluarkan isi pesan tidak dapat diketahui.

27. WordPress Plugin Events Calendar

'ec_management.class.php' Cross-Site Scripting (6.7.11)

Gambar 4.89 WordPress Plugin Events Calendar 'ec_management.class.php'



dengan benar, sehingga memungkinkan timbul kerentanan

218

Cross Site Scripting. Adapun Payload yang digunakan

<script>alert(document.cookie)</cookie> dalam

http://apisi.org/wp-admin/admin.php?page=events-

calendar&EC_action=edit&EC_id=%

22%3E%3Cscript%3Ealert%28document.cookie%29;%3

C/script%3E semestinya memunculkan alert namun tidak

jalan script alert tersebut.

28. WordPress Plugin Redirection Cross-Site Request

Forgery (CSRF)(3.6.2)

Kerentanan ini tidak dilakukan pengujian karena kolom

komentar tidak bisa diaktifkan. Untuk melakukan

pengujian kerentanan ini diperlukan mengaktifkan kolom

komentar untuk serangan satu klik (one click attack)

CSRF.

29. WordPress Plugin Redirection PHP Object Injection

Gambar 4.90 WordPress Plugin Redirection PHP Object Injection


dengan benar sehingga terjadi injection ke dalam database

walau hanya memiliki akses low privellege. Dengan

219

mengunjungi /wp-admin/tools.php?page=redirection.php

dan membuat redirection baru “/boo”,

“https://www.dxw.com/”, dan “Redirections”. Dengan

berasumsi redirect ini masuk ke dalam

wp_redirection_items table dengan value 1 . Kemudian

JavaScript dapat dieksekusi melalui browser console dan

berhasil masuk ke dalam database.

30. WordPress Plugin The Events Calendar Open Redirect

(4.1.1)

Gambar 4.91 WordPress Plugin The Events Calendar Open Redirect (4.1.1)

Plugin ini kemungkinan memiliki kerentanan pengalihan

terbuka karena aplikasi gagal berfungsi dengan benar

verifikasi input yang diberikan pengguna sehingga

nengeksploitasi kerentanan ini dapat memungkinkan

penyerang mengarahkan pengguna ke situs web

sewenang-wenang dan melakukan serangan phishing.

220

Dengan mengirim POST request ke URL: tribe-bar-

view=http://www.evil.com&submit-bar=Find+Events

web browser will mengarahkan menuju to www.evil.com

Payload yang digunakan yaitu dengan meridirect kembali

ke web itu sendiri namun tidak berhasil.

31. Login page password-guessing attack

Gambar 4.92 Brute Force Attack http://apisi.org

Tanpa pengamanan jika salah memasukan username dan

password berkali-kali yang dikenal dengan serangan

Brute Force Attack. Brute Force Attack adalah upaya

untuk menemukan kata sandi dengan secara sistematis

mencoba setiap kombinasi huruf, angka, dan simbol

yang mungkin sampai Anda menemukan kombinasi

yang benar yang berfungsi. http://apisi.org yang

http://apisi.org/

http://apisi.org/

221

menggunakan wordpress dapat diserang melalui tool

wpscan yang kemudian dilakukan brute force dalam 9

jam 6 menit 22 detik dan berhasil menemukan

password.

32. WordPress admin accessible without HTTP

authentication

Gambar 4.93 WordPress admin accessible without HTTP authentication

Lapisan tambahan yang melindungi dasbor admin

WordPress melalui lapisan HTTP authentication adalah

suatu yang efektif untuk Brute Force Attack. Situs APISI

ini tidak dibatasi sehingga http://apisi.org/wp-admin.php

Dapat diserang Brute Force.

33. WordPress default administrator account

http://apisi.org/wp-admin.php

222

Secara default WordPress membuat akun pengguna

administrator bernama admin. Setelah diverifikasi, benar

adanya username adalah admin.

34. WordPress REST API User Enumeration

WordPress menyertakan REST API yang dapat digunakan

untuk membuat daftar informasi tentang pengguna

terdaftar di WordPress instalasi. Kerentanan ini

memungkinkan untuk penyerang menemukan kombinasi

username saja, namun username sudah diketahui melalui

pendeteksian WordPress default administrator account.

35. WordPress user registration enabled

Gambar 4.94 WordPress user registration enabled

Siapa pun dapat mendaftar sebagai pengguna dan tidak ada

yang membatasi. Dengan mengunjungi

223

http://apisi.org/wp-login.php?action=register sehingga

akun yang dibuat tercatat dalam database walaupun belum

disetujui.

36. WordPress XML-RPC authentication brute force

WordPress menyediakan interface XML-RPC melalui

script xmlrpc.php. Kerentanan ini memungkinkan

serangan Login page password-guessing attack atau Brute

Force yang sebelumnya telah dilakukan.

37. Password type input with auto-complete enabled

Gambar 4.95 Password type input with auto-complete enabled

Kerentanan ini memungkinan saat memproses login, nama

dan kata kunci terisi secara otomatis. Kerentanan ini

memungkinkan penyerang mendapatkan akses penuh

ketika mengakses perangkat yang menyimpan akun

APISI. Kerentanan tersebut ada pada web APISI.

http://apisi.org/wp-login.php?action=register

224

38. Microsoft Frontpage configuration information

Gambar 4.96 Microsoft Frontpage configuration information

Komentar HTML halaman ini berisi informasi konfigurasi

untuk Microsoft FrontPage Server Extensions yang

memungkinkan mengekspos informasi sensitif. File

tersebut _Vti_inf.html namun tidak terdapat informasi

sensitif ditemukan di sini.

39. Cookie(s) without Secure Flag Set

Gambar 4.97 Cookie(s) without Secure Flag Set http://apisi.org

Header ini tidak memiliki Secure Flag Set sehingga

memungkinkan penyerang yang tersambung dalam

jaringan APISI dan melancarkan man in the middle attack

untuk sniffing cookie dan berhasil di sniffing.

http://apisi.org/

225

40. Documentation file

Gambar 4.98 Readme.html http://apisi.org

File dokumentasi (misal Readme.txt, log.txt,) ditemukan

di direktori ini adapun file yang ditemukan yaitu

readme.html dengan mengakses

http://apisi.org/readme.html yang memuat file

dokumentasi instalasi yang belum dihapus, namun tidak

terdapat informasi sensitif ditemukan di sini. .

41. Possible Relative Path Overwrite

Teknik untuk memanfaatkan impor CSS dengan URL-

Relative dengan overwrite file target mereka. Kerentanan

ini tidak dilakukan pengujian, karena tidak ada informasi

mengenai detailnya.

42. Possible sensitive directories

http://apisi.org/

http://apisi.org/readme.html

226

Direktori sensitif yang mungkin telah ditemukan, semisal

halaman admin. Kerentanan ini tidak dilakukan pengujian,

karena tidak ada informasi mengenai detailnya,

kemungkinan besar adalah halaman admin.

43. Possible sensitive files

Kemungkinan file sensitif telah ditemukan. Kerentanan ini

tidak dilakukan pengujian, karena tidak ada informasi

mengenai detailnya, kemungkinan besar adalah error_log

dan readme.html yang tidak mengekspos informasi

sensitif.

44. Possible Virtual Host Found

Beberapa nama domain/website ada dalam satu server

pada satu server kerentanan ini tidak diuji karena 1 Virtual

Hosting digunakan untuk http://apisi.org dan


45. Possible server path disclosure

Memungkinkan penyerang untuk melihat jalur ke webroot

/ file Adapun payload yang digunakan berasal dari themes

sehingga didapatkan error disclosure melalui

http://apisi.org/wp-content/themes/GamesWP/ dan

http://apisi.org/



227

menampilkan kerentanan Possible Servre Path Disclosure

yaitu menampilkan struktur web dan username konfigurasi

Virtual Hosting. Sebelumnya telah dibahas dalam

Application Error Disclosure.

46. Content Security Policy (CSP) not Implemented

Gambar 4.99 X-Content-Security-Policy http://apisi.org

Header X-Content-Security-Policy belum diterapkan.

Lapisan keamanan tambahan yang membantu

mendeteksi dan mengurangi jenis serangan tertentu,


47. Email address found

Satu atau lebih alamat email telah ditemukan di halaman

ini. Kerentanan ini tidak dilakukan pengujian karena telah

dilakukan dalam tahapan reconnaissance.

228

48. Vulnerable Javascript library

Gambar 4.100 Vulnerable Javascript library

http://apisi.org

Menggunakan javascript library yang mengandung

kerentanan. Javascript di sini dicek melalui Damn Small

JS Scanner dan terdapat beberapa library javascript

belum update.

http://apisi.org/

229

Pengukuran Nilai Kerentanan http://apisi.org

Pengujian yang telah dilakukan terhadap http://apisi.org, direpresntasikan ke dalam bentuk angka melalui

Common Vulnerability Scoring System (CVSS). Adapun kerentanan yang diukur adalah kerentanan yang berhasil

diuji sehingga tidak semua kerentanan masuk dalam pengukuran. Dengan begitu dapat diketahui kerentanan mana

yang memiliki skor tinggi dan menjadi prioritas untuk dilakukan perbaikan. Adapun hasil pengukuran tersebut :

Tabel 4.12 Hasil Pengkuran Kerentanan terhadap http://apisi.org

No

Vulner

abilities Vektor String

Skor Kerentanan

B

as

e

Tem

pora

l

Enviro

mental Rata

-rata

Peringkat

Kualitatif

1.

WordPr

ess user

registra

tion

enabled

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H/E:H/RL:W 9.

1 8.9 8.9 9.0 High

2.

Possibl

e

Virtual

Host

Found

CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H 8.

1 8.1 8.2 8.1 High

3.

WordPr

ess

XML-

RPC

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/E:H/RL:W 8.

1 7.9 7.9 8.0 High

http://apisi.org/

http://apisi.org/

http://apisi.org/

230

authent

ication

brute

force

4.

Login

page

passwo

rd-

guessin

g attack

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/E:H/RL:W/R

C:C

8.

1 7.9 7.9 8.0 High

5.

WordPr

ess

default

adminis

trator

account

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N/E:H/RL:O 7.

5 7.2 7.2 7.3 High

6.

WordPr

ess

Plugin

NextGE

N

Gallery

-

WordPr

ess

Gallery

Securit

y

Bypass

(3.1.6)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N/E:P/RL:O 7.

5 6.7 6.7 7.0 High

231

7.

Cookie

no

HTTP

Only

Flag

Set

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 7.

5 7.5 7.5 7.5 High

8.

X-

Content

-Type-

Options

Header

Missing

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N 6.

5 6.5 6.5 6.5 Medium

9.

WordPr

ess

Plugin

Redirec

tion

PHP

Object

Injectio

n

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:N/I:H/A:N/E:P/RL:O 6.

3 5.7 5.7 5.9 Medium

10.

Passwo

rd type

input

with

auto-

complet

e

enabled

CVSS:3.1/AV:P/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H 6.

1 6.1 6.1 6.1 Medium

232

11.

Content

Securit

y

Policy

(CSP)

not

Implem

ented

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N 5.

8 5.8 5.8 5.8 Medium

12.

Vulnera

ble

Javascr

ipt

library

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N 5.

3 5.3 5.3 5.3 Medium

13.

Email

address

found


3 5.3 5.3 5.3 Medium

14.

Possibl

e server

path

disclos

ure


3 5.3 5.3 5.3 Medium

15.

Possibl

e

sensitiv

e files


3 5.3 5.3 5.3 Medium

16.

Possibl

e

sensitiv

e

director

ies


3 5.3 5.3 5.3 Medium

233

17.

Docum

entatio

n file


3 5.3 5.3 5.3 Medium

18.

Micros

oft

Frontp

age

configu

ration

informa

tion


3 5.3 5.3 5.3 Medium

19.

WordPr

ess

admin

accessi

ble

without

HTTP

authent

ication

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N/E:H/RL:W 5.

3 5.2 5.2 5.2 Medium

20.

WordPr

ess

Plugin

Redirec

tion

Local

File

Inclusio

n

(2.7.3)

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N/E:P/RL:O 5.

3 4.8 4.8 5.0 Medium

234

21.

WordPr

ess

Plugin

NextGE

N

Gallery

-

WordPr

ess

Gallery

Remote

Code

Executi

on

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N/E:P/RL:O 5.

3 4.8 4.8 5.0 Medium

22.

Web

Browse

r XSS

Protecti

on Not

Enable

d

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N/E:F/RL:W/CR

:L/MAV:N/MAC:L/MPR:N/MUI:N/MS:U/MC:L/MI:N/MA:N

5.

3 5 4.4 4.9 Medium

23.

Applica

tion

Error

Disclos

ure

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N/E:P/RL:W 5.

3 4.9 4.9 5.0 Medium

24.

X-

Frame-

Options

Header

Not Set

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N 5.

3 5.3 5.3 5.3 Medium

235

25.

Externa

l

Redirec

t

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N/E:H/RL:W 4.

7 4.6 4.6 4.6 Medium

26.

Cookie(

s)

without

Secure

Flag

Set

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:N/A:N 4.

0 4 4 4.0 Medium

27.

WordPr

ess

REST

API

User

Enumer

ation

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N/E:P/RL:W 3.

7 3.4 3.4 3.5 Low

236

4.2.3.2 Eksploitasi http://opac.apisi.org

4.2.3.2.1 Eksploitasi Berbasis Web

Setelah mendapatkan celah kerentanan yang ada pada

http://opac.apisi.org, tahapan selanjutnya ialah melakukan validasi

kerentanan yang ditemukan oleh vulnerability scanner. Adapun kerentanan-

kerentanan yang diuji sebagai berikut :

1. Cross Site Scripting (XSS)

Gambar 4.101 Cross Site Scripting (XSS) http://opac.apisi.org

Aplikasi menggunakan data yang tidak dapat dipercaya

dalam tanpa validasi maupun penyaringan. Apapun

payload yang digunakan

</script><script>alert(1);</script><script> sehingga

menjadi

http://opac.apisi.org/index.php?id=17&keywords=%3C

%2Fscript%3E%3Cscript%3Ealert%281%29%3B%3C




http://opac.apisi.org/index.php?id=17&keywords=%3C%2Fscript%3E%3Cscript%3Ealert%281%29%3B%3C%2Fscript%3E%3Cscript%3E&p=show_detail


237

%2Fscript%3E%3Cscript%3E&p=show_detail script

alert dapat dieksekusi.

2. SQL Injection

Gambar 4.102 SQL Injection http://opac.apisi.org

Rentan terhadap kerentanan SQL Injection karena gagal

memfilter data yang diberikan pengguna sebelum

menggunakannya dalam kueri SQL. Adapun payload

yang digunakan : “, " or 1=1- dan “;-- menjadi

http://opac.apisi.org/index.php?title=&search=search&a

uthor=&subject=%22+or+1%3D1-

&isbn=&gmd=0&colltype=0&location=0# namun tidak

berhasil

3. Remote OS Command Injection


http://opac.apisi.org/index.php?title=&search=search&author=&subject=%22+or+1%3D1-&isbn=&gmd=0&colltype=0&location=0



238

Gambar 4.103 Remote OS Command Injection http://opac.apisi.org

1. Pengujian terhadap celah ini dilakukan digunakan

untuk eksekusi perintah sistem operasi yang tidak

terotorisasi, peneliti menggunakan payload :

query';start-sleep -s 15 yang dimodifikasi dengan url

menjadi

http://opac.apisi.org/index.php?page=2%27%3Bstart

-sleep+-

s+15&resultXML=true&search=Search&subject=%2

2Fiksi+-+Novel+-+Bahasa+Indonesia%22 namun

tidak ada pengaruh apa-apa.

4. X-Frame-Options Header Not Set


http://opac.apisi.org/index.php?page=2%27%3Bstart-sleep+-s+15&resultXML=true&search=Search&subject=%22Fiksi+-+Novel+-+Bahasa+Indonesia%22




239

Gambar 4.104 X-Frame-Options Header Not Set

http://opac.apisi.org

Aplikasi bisa dimuat ke dalam web lain sehingga rawan

terkena serangan social engineering. Adapun payload

yang digunakan <iframe src=http://opac.

apisi.org></iframe> menghasilkan dapat dimuat dalam

web lain. Mengatur header X-Frame-Options:DENY.

5. Parameter Tampering

Gambar 4.105 Parameter Tampering


240

Ini menunjukkan kurangnya penanganan pengecualian

dan area potensial untuk dieksploitasi lebih lanjut

Adapun payload = <option value=”Textbook”> menjadi

<option value=”Fiction”> sehingga value dapat diubah

sesuai hasil yang diinginkan.

6. Web Browser XSS Protection Not Enabled

Gambar 4.106 Web Browser XSS Protection Not Enabled

Aplikasi tidak memungkin browser menggunakan

perlindungan terhadap serangan XSS . Kerentanan ini dapat

diketahui melalui response header pada Google Chrome.

7. X-Content-Type-Options Header Missing

241

Gambar 4.107 X-Content-Type-Options Header Missing http://opac.apisi.org

Header Anti-MIME-Sniffing X-Content-Type-Options

tidak disetel ke 'nosniff', sehingga file yang di upload

dilakukan sniff (pengecekan) gambar ataupun script

sehingga rawan menjalankan backdoor. Kerentanan ini

dapat diketahui melalui response header pada Google

Chrome.

8. Cookie no HTTP Only Flag Set

Gambar 4.108 Cookie no HTTP Only Flag Set http://opac.apisi.org


242

Seharusnya Cookie hanya dapat diakses oleh server dan

bukan oleh skrip sisi klien sehingga memungkinkan

cookie tercuri melalui kerentanan Cross Site Scripting.

Kerentanan ini dapat diketahui melalui response header

pada Google Chrome.

9. Login page password-guessing attack

Tanpa pengamanan jika salah memasukan username dan

password berkali-kali yang dikenal dengan serangan

Brute Force Attack. Brute Force Attack adalah upaya

untuk menemukan kata sandi dengan secara sistematis

mencoba setiap kombinasi huruf, angka, dan simbol

yang mungkin sampai menemukan kombinasi yang

benar yang berfungsi. Biasanya satu username dan

password digunakan dibeberapa akun, sehingga

http://apisi.org dan http://opac.apisi.org memiliki

username dan password yang sama.

10. Application Error Message

Gambar 4.109 Application Error Message

http://apisi.org/


243

Halaman ini berisi pesan kesalahan / peringatan yang

mungkin mengungkapkan informasi sensitif. Adapun

payload yang digunakan berasal dari themes sehingga

didapatkan error disclosure melalui http://apisi.org/wp-

content/themes/GamesWP/ dan menampilkan kerentanan

Possible Servre Path Disclosure yaitu menampilkan

struktur web dan username konfigurasi Virtual Hosting.

11. Cookie(s) without Secure Flag Set

Gambar 4.110 Cookie(s) without Secure Flag Set

Header ini tidak memiliki Secure Flag Set sehingga

memungkinkan penyerang yang tersambung dalam

jaringan APISI dan melancarkan man in the middle

attack untuk sniffing cookie dan berhasil di sniffing.



244

12. Possible Relative Path Overwrite

Teknik untuk memanfaatkan impor CSS dengan URL-

Relative dengan overwrite file target mereka.

Kerentanan ini tidak dilakukan pengujian, karena tidak

ada informasi mengenai detailnya.

13. Possible Virtual Host Found

Beberapa nama domain/website ada dalam satu

serverpada satu server kerentanan ini tidak diuji karena

Virtual Hosting digunakan untuk http://apisi.org dan


14. Content Security Policy (CSP) not Implemented

Gambar 4.111 Content Security Policy (CSP) not Implemented

http://opac.apisi.org

http://apisi.org/



245

Header X-Content-Security-Policy belum diterapkan.

Lapisan keamanan tambahan yang membantu

mendeteksi dan mengurangi jenis serangan tertentu,


15. Password type input with auto-complete enabled

Kerentanan ini memungkinan saat memproses login,

nama dan kata kunci terisi secara otomatis. Kerentanan

ini memungkinkan penyerang mendapatkan akses penuh

ketika mengakses perangkat yang menyimpan akun

APISI. Kerentanan tersebut ada pada web APISI.

16. Possible Server Path Disclosure

Memungkinkan penyerang untuk melihat jalur ke

webroot / file Adapun payload yang digunakan berasal

dari themes sehingga didapatkan error disclosure

melalui http://apisi.org/wp-content/themes/GamesWP/

dan menampilkan kerentanan Possible Servre Path

Disclosure yaitu menampilkan struktur web dan

username konfigurasi Virtual Hosting. Sebelumnya

telah dibahas dalam Application Error Disclosure.


246

17. Vulnerable Javascript library

Gambar 4.112 Vulnerable Javascript library http://opac.apisi.org

Menggunakan javascript library yang mengandung

kerentanan. Javascript di sini dicek melalui Damn Small

JS Scanner dan terdapat beberapa library javascript

belum update.


247

Pengukuran Nilai Kerentanan

Pengujian yang telah dilakukan terhadap http://opac.apisi.org, direpresntasikan ke dalam bentuk angka

melalui Common Vulnerability Scoring System (CVSS). Adapun kerentanan yang diukur adalah kerentanan yang

berhasil diuji sehingga tidak semua kerentanan masuk dalam pengukuran. Dengan begitu dapat diketahui

kerentanan mana yang memiliki skor tinggi dan menjadi prioritas untuk dilakukan perbaikan. Adapun hasil

pengukuran tersebut :

Tabel 4.9 Hasil Pengkuran Kerentanan terhadap http://opac.apisi.org

N

o

Vulnerabili

ties Vektor String

Score

Ra

ta-

rat

a

Tingk

at

Kepa

rahan

B

as

e

Tem

poral

Enviro

mental

1

.

Arbitrary

File Upload CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

9.

8 9.8 9.9 9.8

Critic

al



248

2

.

Possible

Virtual

Host Found

CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H 8.

1 8.1 8.2 8.1 High

3

.

Login page

password-

guessing

attack

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H 8.

1 8.1 8.1 8.1 High

4

.

Cookie no

HTTP Only

Flag Set

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 7.

5 7.5 7.5 7.5 High

5

.

X-Content-

Type-

Options

Header

Missing

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N 6.

5 6.5 6.5 6.5

Mediu

m

6

.

Password

type input

with auto-

complete

enabled

CVSS:3.1/AV:P/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H 6.

1 6.1 6.1 6.1

Mediu

m

249

7

.

Content

Security

Policy

(CSP) not

Implemente

d

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N 5.

8 5.8 5.8 5.8

Mediu

m

8

.

Parameter

Tampering

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N/E:F/RL:U/IR:L/MA

V:N/MAC:L/MPR:N/MUI:N/MS:C/MC:N/MI:L/MA:N

5.

8 5.7 4.8 5.4

Mediu

m

9

.

X-Frame-

Options

Header Not

Set

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N 5.

3 5.3 5.3 5.3

Mediu

m

1

0

.

Application

Error

Message

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 5.

3 5.3 5.3 5.3

Mediu

m

250

1

1

Possible

Server Path

Disclosure

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 5.

3 5.3 5.3 5.3

Mediu

m

1

2

.

Vulnerable

Javascript

library


3 5.3 5.3 5.3

Mediu

m

1

3

.

Cross Site

Scripting

(XSS)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N/E:H/RL:O/RC:C/IR

:L

5.

8 5 4.7 5.2

Mediu

m

1

4

.

Web

Browser

XSS

Protection

Not

Enabled

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N/E:F/RL:W/CR:L/M

AV:N/MAC:L/MPR:N/MUI:N/MS:U/MC:L/MI:N/MA:N

5.

3 5 4.4 4.9

Mediu

m

1

5

.

Cookie(s)

without

Secure Flag

Set

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:N/A:N 4.

0 4 4 4.0

Mediu

m

251

4.2.4 Post Exploitation and Maintaining Access

4.2.4.1 Pembuatan Backdoor

Pada tahapan ini, dibuat backdoor dengan menggunakan

weevely, yang di upload ke dalam http://opac.apisi.org yang

kerentanan arbitrary file upload.

Setelah di upload dan weevely diaktifkan Penulis berhasil

mendapatkan akses kendali penuh atas direktori APISI.

Gambar 4.113 backdoor dengan menggunakan

weevely, yang di upload ke dalam http://opac.apisi.org



252

4.2.4.2 Pelaporan Akhir

Setelah dilakukan eksploitasi, maka dibuat summary untuk mempermudah dalam melihat keseluruhan kerentanan

mana saja yang merupakan akibat dari kegagalan Confidentiality, Integrity, dan Availability, memprioritaskan

kerentanan mana yang paling berat sehingga harus didahulukan perbaikannya, dan rekomendasi untuk

perbaikannya.

4.2.4.2.1 Hasil Pengujian http://apisi.org

Hasil Pengujian Kerentanan http://apisi.org dari Kegagalan Confidentiality

Tabel 4.10 Hasil Pengujian http://apisi.org dari Kegagalan Confidentiality

No Vulnerabilities Dampak Serangan Hasil Pengujian Rekomendasi

Skor Kerentanan

Rata-

rata

Peringkat

Kualitatif

1

Login page

password-

guessing attack

Tanpa pengamanan

jika salah

memasukan

username dan


Berhasil dapat

melakukan brute

force attack.

Menambahkan CAPTCHA 8.0 High

2

WordPress XML-

RPC

authentication

brute force

WordPress

menyediakan

antarmuka XML-

Berhasil dapat

melakukan brute

force attack.

Menambahkan CAPTCHA 8.0 High

http://apisi.org/

http://apisi.org/

http://apisi.org/

253


Skor Kerentanan

Rata-

rata

Peringkat

Kualitatif

RPC melalui skrip

xmlrpc.php.

3

Cookie no HTTP

Only Flag Set

Seharusnya Cookie

hanya dapat diakses

oleh server dan

bukan oleh skrip sisi

klien.

Berhasil, Header

belum diatur

menjadi HttpOnly

Mengatur Header menjadi

HttpOnly 7.5 High

4

WordPress

default

administrator

account

Secara default

WordPress membuat

akun pengguna

administrator

bernama admin .

Berhasil di brute

force dengan

username admin.

Mengganti username 7.3 High

5

Password type

input with auto-

complete enabled

Saat memproses

login , nama dan kata

kunci terisi secara

otomatis

Berhasil, username

dan password yang

telah disimpan

dapat dimasukan

secara otomatis

autocomplete="off" ke

dalam <form> 6.1 Medium

6

Microsoft

Frontpage

configuration

information

Komentar HTML

halaman ini berisi


untuk Microsoft

FrontPage Server

Extensions.

Berhasil namun

tidak dapat

informasi apa-apa.

Hapus file _Vti.inf.html 5.3 Medium

254


Skor Kerentanan

Rata-

rata

Peringkat

Kualitatif

7

Documentation

file

File dokumentasi

(misal Readme.txt,

log.txt,) ditemukan di

direktori ini

Berhasil, terdapat

file dokumentasi

instalasi yang

belum dihapus

Menghapus file tersebut 5.3 Medium

8

Possible sensitive

directories

Direktori sensitif

yang mungkin telah

ditemukan

Kerentanan ini

tidak dilakukan

pengujian, karena

tidak ada informasi

mengenai

detailnya,

kemungkinan besar

adalah halaman

admin

- 5.3 Medium

9

Possible sensitive

files

Kemungkinan file

sensitif telah

ditemukan

Kerentanan ini

tidak dilakukan

pengujian, karena

tidak ada informasi

mengenai

detailnya,

kemungkinan besar

adalah error_log.

- 5.3 Medium

10

Possible server

path disclosure

Memungkinkan

penyerang untuk

melihat jalur ke

webroot / file.

Berhasil

menampilkan error

server path

Melakukan

pembaruan/mengganti

themes

5.3 Medium

255


Skor Kerentanan

Rata-

rata

Peringkat

Kualitatif

11

Vulnerable

Javascript library

Menggunakan

javascript library

yang mengandung

kerentanan

Terdapat beberapa

library yang sudah

using.

Update 5.3 Medium

12

WordPress admin

accessible

without HTTP

authentication

Disarankan untuk

membatasi akses ke

dashboard

administrasi

WordPress

menggunakan

otentikasi HTTP

Halaman admin

dapat diakses siapa

saja

Menambahkan HTTP

Authentication pada

halaman login

5.2 Medium

13

Application Error

Disclosure

Halaman ini berisi

pesan kesalahan /

peringatan yang

mungkin

mengungkapkan

informasi sensitif.

Berhasil

menampilkan error

server path

(kerentanan no.34).

Melakukan

pembaruan/mengganti

themes

5.0 Medium

14

WordPress

Plugin NextGEN

Gallery-

WordPress

Gallery Remote

Code Execution

Rentan terhadap

kerentanan eksekusi

kode jauh karena

gagal memfilter input

yang disediakan

pengguna

Berhasil

menambahkan file

rce.php dengan

mengganti value

Default Styles.

Melakukan pembaruan 5.0 Medium

256


Skor Kerentanan

Rata-

rata

Peringkat

Kualitatif

15

WordPress

Plugin

Redirection Local

File Inclusion

(2.7.3)

Rentan terhadap


Inclusion karena

gagal verifikasi input

yang diberikan

pengguna .

Berhasil, namun isi

pesan tidak dapat

diketahui

Melakukan pembaruan 5.0 Medium

16

Web Browser

XSS Protection

Not Enabled

Browser tidaak

menggunakan

perlindungan

terhadap serangan

XSS

Berhasil, Header

XSS Protection

belum diaktifkan

Mengatur Header menjadi

X-XSS-Protection : 1 4.9 Medium

17

External Redirect

Pengalih URL

mewakili fungsi

umum yang

digunakan oleh situs

web untuk

meneruskan

permintaan masuk ke

sumber daya

alternatif.

Berhasil, dapat

berpindah ek

halaman luar tanpa

ada konfirmasi.

Menambahkan konfirmasi

sebelum perpindahan

halaman

4.6 Medium

18

Cookie(s) without

Secure Flag Set

Cookie ini tidak

memiliki Secure Flag Set.

Berhasil

melakukan sniffing.

Set-Cookie : Secure 4.0 Medium

257


Skor Kerentanan

Rata-

rata

Peringkat

Kualitatif

19

WordPress REST

API User

Enumeration

WordPress

menyertakan REST

API yang dapat

digunakan untuk

membuat daftar

informasi tentang

pengguna terdaftar di

WordPress instalasi

Tidak dicoba

karena sudah tahu

dari WordPress

default

administrator

account.

Menambahkan CAPTCHA 3.5 Low

Rata-rata skor kerentanan

5.6 Medium

Hasil Pengujian Kerntanan http://apisi.org dari Kegagalan Integrity

Tabel 4.11 Hasil Pengujian http://apisi.org dari Kegagalan Integrity


Skor Kerentanan

Rata-

rata

Peringkat

Kualitatif

http://apisi.org/

http://apisi.org/

258

1

WordPress user

registration enabled

Siapa pun dapat

mendaftar sebagai

pengguna.

Berhasil

meregistrasi akun

secara acak dan

masif

Menambahkan

HTTP

Authentication

pada halaman login

9.0 High

2

WordPress Plugin

NextGEN Gallery-

WordPress Gallery

Security Bypass

(3.1.6)

Rentan terhadap

kerentanan keamanan

bypass.

Berhasil

mengaktifkan

registrasi.

Melakukan

pembaruan. 7.0 Medium

3

X-Content-Type-

Options Header

Missing

Header Anti-MIME-

Sniffing X-Content-

Type-Options tidak


Berhasil, Header

Content Type

belum di set no-

sniff.

Mengatur header

x-content-type-

option nosniff.

6.5 Medium

4

WordPress Plugin

Redirection PHP

Object Injection

Rentan terhadap

kerentanan yang

memungkinkan

penyerang jarak jauh

menyuntikkan dan

mengeksekusi kode.

Berhasil, objek

dapat masuk

database

Melakukan

pembaruan 5.9 Medium

5

Content Security

Policy (CSP) not

Implemented

Keamanan tambahan

yang membantu

mendeteksi dan

mengurangi jenis

serangan tertentu, tidak

terdapat di sini.

Berhasil, X-

Content-Security-

Policy Header

belum Diterapkan

X-Content-

Security-policy :

default-src.

5.8 Medium

259

6

X-Frame-Options

Header Not Set


iframe ke dalam web lain

Berhasil, website

dapat dimuat

dalam web lain.

Mengatur header

X-Frame-

Options:DENY

5.3 Medium

Rata-rata skor kerentanan

6.6 Medium

Hasil Pengujian Kerentanan http://apisi.org dari Kegagalan Availability

Tabel 4.12 Hasil Pengujian http://apisi.org dari Kegagalan Availability


Skor Kerentanan

Rata-

rata

Peringkat

Kualitatif

1

Possible Virtual

Host Found

Beberapa nama

domain/website dalam

satu server pada satu

server

Tidak dicoba karena

memang 1 virtual host

didiami 2 aplikasi

yang berbeda.

Memisahkan aplikasi

dalam server yang

berbeda 8.1 High

http://apisi.org/

http://apisi.org/

260

4.2.4.2.2 Hasil Pengujian http://opac.apisi.org

Hasil Pengujian Kerentanan http://opac.apisi.org dari Kegagalan Confidentiality

Tabel 4.13 Hasil Pengujian http://opac.apisi.org dari Kegagalan Confidentiality

No Vulnerabilities Dampak Serangan Hasil

Pengujian Rekomendasi

Skor Kerentanan

Rata-rata Peringkat

Kualitatif

1

Login page

password-

guessing

attack

Tanpa pengamanan jika

salah memasukan username

dan password berkali-kali

Username dan

password sama

Memberi

captcha. 8.1 High

2

Cookie no

HTTP Only

Flag Set

Seharusnya Cookie hanya

dapat diakses oleh server

dan bukan oleh skrip sisi

klien. Ini adalah

perlindungan keamanan

penting untuk session

Berhasil, skrip

alert cookie

dapat

dieksekusi.

Menutup

kerentanan

XSS dan

mengatur

cookie

menjadi

HttpOnly.

7.5 High




261



Skor Kerentanan

Rata-rata Peringkat

Kualitatif

3

Password type

input with

auto-complete

enabled

Saat formulir login

ditampilkan, nama dan kata

kunci terisi secara otomatis

Berhasil,

username dan

password yang

telah disimpan

dapat dimasukan

secara otomatis

- 6.1 Medium

4 Application

Error Message

Halaman ini berisi pesan

kesalahan / peringatan yang

mungkin mengungkapkan

informasi sensitif.

Berhasil saat

melakukan

pengujian SQL

Injection dan

Possible Server

Path Disclosure.

Membuat

error handling 5.3 Medium

5

Possible

Server Path

Disclosure

Memungkinkan penyerang

untuk melihat jalur ke

webroot / file.

Telah dibahas

pada no. 8 - 5.3 Medium

6

Vulnerable

Javascript

library

Menggunakan javascript

library yang mengandung

vulnerability

Terdapat

beberapa library

yang sudah

using.

Update 5.3 Medium

262



Skor Kerentanan

Rata-rata Peringkat

Kualitatif

7

Cookie(s)

without Secure

Flag Set

Cookie ini tidak memiliki

Secure Flag Set.

Berhasil di

sniffingBerhasil,

Cookie dapat

terlihat melalui

serangan xss.

Set-Cookie :

Secure 4.0 Medium

Rata-rata skor kerentanan 5.9 Medium

Hasil Pengujian Kerentanan http://opac.apisi.org dari Kegagalan Integrity

Tabel 4.14 Hasil Pengujian http://opac.apisi.org dari Kegagalan Integrity

No Vulnerabilities Dampak

Serangan

Hasil


Skor Kerentanan

Rata-rata Peringkat

Kualitatif

1 Arbitrary File Upload

Pengguna tanpa

otorisasi dapat

upload

dokumen

Dapat

melakukan

upload file

Memperbaiki

privellege 9.8 Critical



263


Serangan

Hasil


Skor Kerentanan

Rata-rata Peringkat

Kualitatif

2 X-Content-Type-Options

Header Missing

Header Anti-

MIME-Sniffing

X-Content-

Type-Options

tidak disetel ke

'nosniff'.

Berhasil,

Header

Content Type

belum di set

no-sniff.

Mengatur

header x-

content-type-

option nosniff.

6.5 Medium

3 Content Security Policy


Keamanan

tambahan yang

membantu

mendeteksi dan

mengurangi

jenis serangan

tertentu, tidak

terdapat di sini

Berhasil,

mendapatkan

kerentanan

XSS.

X-Content-

Security-

policy :

default-src.

5.8 Medium

4 Parameter Tampering

Ini

menunjukkan

kurangnya

penanganan

pengecualian

dan area

potensial untuk

dieksploitasi

lebih lanjut.

Berhasil,

value dapat

diubah sesuai

hasil yang

diinginkan

5.4 Medium

264


Serangan

Hasil


Skor Kerentanan

Rata-rata Peringkat

Kualitatif

5 X-Frame-Options Header Not

Set

Aplikasi bisa

dibuat iframe

ke dalam web

lain

Berhasil, bisa

dijadikan

frame ke

dalam web

lain

Mengatur

header X-

Frame-

Options:DENY

5.3 Medium

7 Cross Site Scripting (XSS)

Aplikasi

menggunakan

data yang tidak

dapat dipercaya

dalam tanpa

validasi

maupun

penyaringan.

Berhasil, skrip

dapat

dieksekusi

tanpa

memerlukan

akses admin.

Menambahkan

header X-XSS

Protection 1

5.2 Medium

8 Web Browser XSS Protection

Not Enabled

Browser tidak

menggunakan

perlindungan

terhadap

serangan XSS

Berhasil,

header tidak

terdapat

perlindungan

xss

Menambahkan

header X-XSS

Protection 1

4.9 Medium

Rata-rata skor kerentanan 5.4 Medium

265

Hasil Pengujian Kerentanan http://opac.apisi.org dari Kegagalan Availability

Tabel 4.15 Hasil Pengujian http://apisi.org dari Kegagalan Availability


Serangan

Hasil


Skor Kerentanan

Rata-rata Peringkat

Kualitatif

1

Possible

Virtual Host

Found

Beberapa nama

domain/website

dalam satu

server

Terdapat dua

domain dalam

satu server.

Memisahkan

aplikasi dalam

server yang

berbeda

8.1 High


http://apisi.org/

266

4.2.4.2.3 Skor Akhir Tingkat Kerentanan APISI

Setelah masing-masing hasil pengujian kerentanan diketahui rata-ratanya,

maka perlu dilakukan penghitungan Confidentility, Integrity dan Availability

secara keseluruhan, adapun hasil akhirnya sebagai berikut :

Tabel 4.16 Skor Akhir Tingkat Kerentanan APISI

No Web Confidentiality Integrity Availability Rata-

Rata

Peringkat

Kualitatif

1 http://apisi.org 5.6 6.6 8.1 6.8 Medium

2 http://opac.apisi.org 5.9 5.4 8.1 6.5 Medium

Level Kerentanan 5.8 6.0 8.1 6.6 Medium

Dari penghitungan rata-rata, dapat diketahui bahwa website APISI

memiliki tingkat kerentanan 6.6 yang merupakan kategori tingkat

menengah.

http://apisi.org/


267

BAB V

KESIMPULAN DAN SARAN

5

5.1 Kesimpulan

Setelah melakukan pengujian kerentanan terhadap website Asosiasi

Pekerja Profesional Informasi Sekolah Indonesia (APISI), dapat disimpulkan

bahwa :

1. Kerentanan Sistem Infomasi pada website APISI dapat

diketahui dengan menggunakan metodologi Zero Entry Hacking

(ZEH) dengan tahapan Pengintaian (Reconnaissance),

Pemindaian (Scanning), Eksploitasi (Exploitation) dan Setelah

Eksploitasi dan Mempertahankan Akses (Post Exploitation and

Maintaining Access) kemudian tingkat kerentanannya diukur

menggunakan Common Vulnerability Scoring System (CVSS)

sehingga dapat dipetakan tingkat kerentanannya ke dalam

kategori none, low, medium, high dan critical.

2. Setelah dilakukan pengujian kerentanan dan analisis, website

APISI memiliki 41 kerentanan yang dapat dieksploitasi. Dari

41 kerentanan tersebut ada 2 yang masuk kategori Critical dan

9 yang masuk kategori High sehingga perlu segera diperbaiki.

Adapun kerentanan tersebut ialah Login page password-

268

guessing attack, WordPress XML-RPC authentication brute

force, Cookie no HTTP Only Flag Set, WordPress default

administrator account, Wordpress Registration Enabled,

WordPress Plugin NextGEN Gallery-WordPress Gallery

Security Bypass dan Possible Virtual Host Found yang

ditemukan dalam http://apisi.org dan Login page password-

guessing attack, Cookie no HTTP Only Flag Set, Arbitrary File

Upload dan Possible Virtual Host Found yang ditemukan dalam

http://opac.apisi.org. Meskipun APISI memiliki 2 kerentanan

kritis dan 9 kerentanan tinggi, skor tingkat kerentanan secara

keseluruhan berada di angka 6.6 yang masuk dalam kategori

medium

5.2 Saran

Berdasarkan kesimpulan dan analisis yang telah dilakukan, maka penulis

memberikan saran sebagai berikut:

1. Melakukan peningkatan keamanan sistem informasi dengan membuat

Standar Operational Prosedur (SOP) tentang keamanan sistem

informasi.

2. Melakukan pengujian kerentanan dan analisis menggunakan Sistem

Operasi dan tools yang lebih baik lagi.

http://apisi.org/


269

3. Melakukan penelitian terkait Social Engineering untuk meningkatkan

keamanan sistem informasi APISI.

4. Menyesuaikan dan menerapkan rekomendasi untuk menutup

kerentanan sistem informasi yang sebelumnya telah diberikan.

270

DAFTAR PUSTAKA

APISI. (2018). apisi.org | Asosiasi Pekerja Profesional Informasi Sekolah Indonesia.

Retrieved July 1, 2019, from http://apisi.org/

Azwar, M. (2013). Membangun Sistem Otomasi Perpustakaan dengan Senayan Library

Management System (SLiMS). Khizanah Al-Hikmah: Jurnal Ilmu

Perpustakaan, Informasi, Dan Kearsipan, 1(1), 19–33.

Baloch, R. (2014). Ethical hacking and penetration testing guide. Auerbach

Publications.

Basuki, H., & Pranoto, E. (2009). Manajemen Perpustakaan Sekolah. Jakarta:

Universitas Terbuka.

Cole, E. (2011). Network security bible (Vol. 768). John Wiley & Sons.

Engebretson, P. (2013). The basics of hacking and penetration testing: ethical hacking

and penetration testing made easy. Elsevier.

Gozali, F., & Lo, B. (2012). Pemanfaatan Teknologi Open Source Dalam

Pengembangan Proses Belajar Jarak Jauh di Perguruan Tinggi. Jurnal

Nasional Pendidikan Teknik Informatika (JANAPATI), 1(1), 47–57.

Hafiah. (2011). Ensiklopedia Perpustakaan. Padang: Hayfa Press Padang.

Jogiyanto, H. M. (2008). Metodologi penelitian sistem informasi. Yogyakarta:

Penerbit Andi.

Ketaren, E. (2017). Cybercrime, Cyber Space, Dan Cyber Law. Jurnal Times, 5(2), 35–

42.

Kirschner, L. J. (2012). Choosing a Web Content Management System.

271

Kozierok, C. M. (2005). The TCP/IP guide: a comprehensive, illustrated Internet

protocols reference. No Starch Press.

Kusmayadi, E., & Andriaty, E. (2006). Kajian Online Public Access Catalogue

(OPAC) dalam pelayanan perpustakaan dan penyebaran teknologi

pertanian. Jurnal Perpustakaan Pertanian, 15(2), 51–58.

Kustiyahningsih, Y., & Anamisa, D. R. (2011). Pemrograman Basis Data Berbasis

Web Menggunakan PHP & MySQL. Yogyakarta: Graha Ilmu.

Leckie, G. J., & Buschman, J. (2009). Information technology in librarianship: New

critical approaches. ABC-CLIO.

Mulyanto, A. (2009). Sistem Informasi konsep dan aplikasi. Yogyakarta: Pustaka

Pelajar, 1, 1–5.

Nazir, M. (2011). Metodologi Penelitian. cetakan ketujuh. Bogor: Ghalia Indonesia.

NMAP. (2017). Nmap, 2017.

O’Brien, J. A., & Marakas, G. M. (2010). Management System Information. New York:

McGraw Hill.

Oetomo, B. S. D., Wibowo, E., Hartono, E., & Prakoso, S. (2007). Pengantar Teknologi

Informasi Internet: Konsep dan Aplikasi. Yogyakarta: Andi.

OWASP. (2017). OWASP. Retrieved July 1, 2019, from

https://www.owasp.org/index.php/Main_Page

Pressman, R. S., & Maxim, B. R. (2015). SOFTWARE ENGINEERING: A

PRACTITIONER’S APPROACH, EIGHTH EDITION (Eighth edi).

New York: McGraw-Hill Education.

Sarma, S. (2017). A Study on Common Web Based Hacking and Preventive Measure.

Simamarta, J. (2006). Pengenalan Teknologi Komputer dan Informasi. Yogyakarta:

272

Andi.

Simarmata, J. (2010). Rekayasa web. Penerbit Andi.

Sofana, I. (2008). Membangun jaringan komputer. Bandung: Informatika.

Solomon, M. G., & Chapple, M. (2009). Information security illuminated. Jones &

Bartlett Publishers.

Stallings, W. (2007). Komunikasi dan jaringan Nirkabel, jilid 1. Edisi Kedua,

Erlangga, Jakarta.

Sukaridhoto, S., & ST Ph, D. (2014). Buku Jaringan Komputer I. Surabaya: Pens,

2014, 11–12.

Sutabri, T. (2012). Analisis sistem informasi. Penerbit Andi.

Sutarman, M. (2009). Kom. 2009.“pengantar teknologi informasi”, Edisi pertama.

Bumi Aksara. Jakarta.

Tanenbaum, A. S., & Wetherall, D. J. (2011). Computer networks. Pearson.

theHarvester. (2019). theHarvester | Penetration Testing Tools. Retrieved July 1, 2019,

from https://tools.kali.org/information-gathering/theharvester

Warsita, B. (2008). Teknologi pembelajaran landasan dan aplikasinya. Jakarta: Rineka

Cipta, 135.

Weidman, G. (2014). Penetration testing: a hands-on introduction to hacking. No

Starch Press.

Yunita, R. A., & Ati, S. (2016). Pengaruh Promosi E-journal Terhadap Pemanfaatan

Koleksi E-journal Di Perpustakaan Universitas Pancasakti Tegal. Jurnal

Ilmu Perpustakaan, 5(3), 301–310.

273

LAMPIRAN – LAMPIRAN

HASIL WAWANCARA

Berikut adalah hasil wawancara yang penulis telah lakukan dengan staff bagian umum

Asosiasi Pekerja Profesional Informasi Sekolah Indonesia (APISI) yaitu Bapak Achmad Sofyan

S.Fil.i yang dilakukan pada tanggal 20 November 2018 di kantor Pusat APISI :

Peneliti : Apakah nama alamat lengkap website APISI?

Sofyan : Nama alamat website APISI adalah http://www.apisi.org

Peneliti : Siapakah penanggung jawab website dari APISI ?

Sofyan : Saya sebagai staff umum merangkap sebagai penanggung jawab website dari APISI.

Peneliti : Apakah website APISI pernah terkena serangan cyber ?

Sofyan : Website APISI pernah terkena serangan cyber yang mengakibatkan akun web terkena

tidak bisa diakses.

Peneliti : Bagaimana kronologis serangan cyber tersebut?

Sofyan : Saat itu terdapat banyak e-mail masuk yang berisi terdaftarnya akun-akun acak dan

masif yang mengakibatkan kapasitas hosting menjadi penuh dan berakhir menjadi

tidak bisa diakses karena suspend.

Peneliti : Apakah solusi yang diterapkan saat terkena serangan cyber tersebut?

Sofyan : Saya hanya mengontak penyedia jasa hosting untuk meminta kepada mereka untuk

mengaktifkan kembali web kami dan melakukan pengembalian data.

Peneliti : Apakah website APISI sudah pernah melakukan penetration testing atau pengujian

keamanan sistem?

Sofyan : Website APISI belum pernah dilakukan pengujian keamanan sistem.

Peneliti : Apakah APISI tertarik agar website yang dimiiki APISI diuji keamanan sistemnya?

http://www.apisi.org/

Sofyan : Menurut saya, itu sangat bagus sekali bila website APISI diuji keamanan sistemnya

supaya ke depannya tidak terjadi hal seperti tadi.

ZAP Scanning ReportSummary of Alerts

Risk Level Number of Alerts

High 4

Medium 2

Low 3

Informational 0

Alert Detail

High (Medium) Remote OS Command Injection

Description Attack technique used for unauthorized execution of operating system commands. This attack is possible when an application accepts untrusted input to build operating system commands in aninsecure manner involving improper data sanitization, and/or improper calling of external programs.

URL http://apisi.org/wp-content/uploads/2012/apisionline.blogspot.com/apisionline.blogspot.com?query=query%27%3Bstart-sleep+-s+15

Method GET

Parameter query

Attack query';start-sleep -s 15

URL http://apisi.org/wp-content/uploads/2012/apisionline.blogspot.com?query=query%27%3Bstart-sleep+-s+15

Method GET

Parameter query

Attack query';start-sleep -s 15

Instances 2

Solution

If at all possible, use library calls rather than external processes to recreate the desired functionality.

Run your code in a "jail" or similar sandbox environment that enforces strict boundaries between the process and the operating system. This may effectively restrict which files can be accessed ina particular directory or which commands can be executed by your software.

OS-level examples include the Unix chroot jail, AppArmor, and SELinux. In general, managed code may provide some protection. For example, java.io.FilePermission in the JavaSecurityManager allows you to specify restrictions on file operations.

This may not be a feasible solution, and it only limits the impact to the operating system; the rest of your application may still be subject to compromise.

For any data that will be used to generate a command to be executed, keep as much of that data out of external control as possible. For example, in web applications, this may require storing thecommand locally in the session's state instead of sending it out to the client in a hidden form field.

Use a vetted library or framework that does not allow this weakness to occur or provides constructs that make this weakness easier to avoid.

For example, consider using the ESAPI Encoding control or a similar tool, library, or framework. These will help the programmer encode outputs in a manner less prone to error.

If you need to use dynamically-generated query strings or commands in spite of the risk, properly quote arguments and escape any special characters within those arguments. The mostconservative approach is to escape or filter all characters that do not pass an extremely strict whitelist (such as everything that is not alphanumeric or white space). If some special characters arestill needed, such as white space, wrap each argument in quotes after the escaping/filtering step. Be careful of argument injection.

If the program to be executed allows arguments to be specified within an input file or from standard input, then consider using that mode to pass arguments instead of the command line.

If available, use structured mechanisms that automatically enforce the separation between data and code. These mechanisms may be able to provide the relevant quoting, encoding, andvalidation automatically, instead of relying on the developer to provide this capability at every point where output is generated.

Some languages offer multiple functions that can be used to invoke commands. Where possible, identify any function that invokes a command shell using a single string, and replace it with afunction that requires individual arguments. These functions typically perform appropriate quoting and filtering of arguments. For example, in C, the system() function accepts a string that containsthe entire command to be executed, whereas execl(), execve(), and others require an array of strings, one for each argument. In Windows, CreateProcess() only accepts one command at a time.In Perl, if system() is provided with an array of arguments, then it will quote each of the arguments.

Assume all input is malicious. Use an "accept known good" input validation strategy, i.e., use a whitelist of acceptable inputs that strictly conform to specifications. Reject any input that does notstrictly conform to specifications, or transform it into something that does. Do not rely exclusively on looking for malicious or malformed inputs (i.e., do not rely on a blacklist). However, blacklistscan be useful for detecting potential attacks or determining which inputs are so malformed that they should be rejected outright.

When performing input validation, consider all potentially relevant properties, including length, type of input, the full range of acceptable values, missing or extra inputs, syntax, consistency acrossrelated fields, and conformance to business rules. As an example of business rule logic, "boat" may be syntactically valid because it only contains alphanumeric characters, but it is not valid if youare expecting colors such as "red" or "blue."

When constructing OS command strings, use stringent whitelists that limit the character set based on the expected value of the parameter in the request. This will indirectly limit the scope of anattack, but this technique is less important than proper output encoding and escaping.

Note that proper output encoding, escaping, and quoting is the most effective solution for preventing OS command injection, although input validation may provide some defense-in-depth. This isbecause it effectively limits what will appear in output. Input validation will not always prevent OS command injection, especially if you are required to support free-form text fields that could containarbitrary characters. For example, when invoking a mail program, you might need to allow the subject field to contain otherwise-dangerous inputs like ";" and ">" characters, which would need to beescaped or otherwise handled. In this case, stripping the character might reduce the risk of OS command injection, but it would produce incorrect behavior because the subject field would not berecorded as the user intended. This might seem to be a minor inconvenience, but it could be more important when the program relies on well-structured subject lines in order to pass messages toother components.

Even if you make a mistake in your validation (such as forgetting one out of 100 input fields), appropriate encoding is still likely to protect you from injection-based attacks. As long as it is not donein isolation, input validation is still a useful technique, since it may significantly reduce your attack surface, allow you to detect some attacks, and provide other security benefits that properencoding does not address.

Referencehttp://cwe.mitre.org/data/definitions/78.html

https://www.owasp.org/index.php/Command_Injection

CWE Id 78

WASC Id 31

Source ID 1

High (Medium) Path Traversal

Description

The Path Traversal attack technique allows an attacker access to files, directories, and commands that potentially reside outside the web document root directory. An attacker may manipulate aURL in such a way that the web site will execute or reveal the contents of arbitrary files anywhere on the web server. Any device that exposes an HTTP-based interface is potentially vulnerable toPath Traversal.

Most web sites restrict user access to a specific portion of the file-system, typically called the "web document root" or "CGI root" directory. These directories contain the files intended for useraccess and the executable necessary to drive web application functionality. To access files or execute commands anywhere on the file-system, Path Traversal attacks will utilize the ability ofspecial-characters sequences.

The most basic Path Traversal attack uses the "../" special-character sequence to alter the resource location requested in the URL. Although most popular web servers will prevent this techniquefrom escaping the web document root, alternate encodings of the "../" sequence may help bypass the security filters. These method variations include valid and invalid Unicode-encoding("..%u2216" or "..%c0%af") of the forward slash character, backslash characters ("..\") on Windows-based servers, URL encoded characters "%2e%2e%2f"), and double URL encoding ("..%255c")of the backslash character.

Even if the web server properly restricts Path Traversal attempts in the URL path, a web application itself may still be vulnerable due to improper handling of user-supplied input. This is a commonproblem of web applications that use template mechanisms or load static text from files. In variations of the attack, the original URL parameter value is substituted with the file name of one of theweb application's dynamic scripts. Consequently, the results can reveal source code because the file is interpreted as text instead of an executable script. These techniques often employadditional special characters such as the dot (".") to reveal the listing of the current working directory, or "%00" NULL characters in order to bypass rudimentary file extension checks.

URL http://apisi.org/wp-login.php?action=lostpassword

Method POST

Parameter redirect_to

Attack wp-login.php

Instances 1

ZAP Scanning ReportSummary of Alerts

Risk Level Number of Alerts

High 3

Medium 2

Low 3

Informational 0

Alert Detail

High (Medium) Cross Site Scripting (Reflected)

Description

Cross-site Scripting (XSS) is an attack technique that involves echoing attacker-supplied code into a user's browser instance. A browser instance can be a standardweb browser client, or a browser object embedded in a software product such as the browser within WinAmp, an RSS reader, or an email client. The code itself isusually written in HTML/JavaScript, but may also extend to VBScript, ActiveX, Java, Flash, or any other browser-supported technology.

When an attacker gets a user's browser to execute his/her code, the code will run within the security context (or zone) of the hosting web site. With this level of privilege,the code has the ability to read, modify and transmit any sensitive data accessible by the browser. A Cross-site Scripted user could have his/her account hijacked(cookie theft), their browser redirected to another location, or possibly shown fraudulent content delivered by the web site they are visiting. Cross-site Scripting attacksessentially compromise the trust relationship between a user and the web site. Applications utilizing browser object instances which load content from the file systemmay execute code under the local machine zone allowing for system compromise.

There are three types of Cross-site Scripting attacks: non-persistent, persistent and DOM-based.

Non-persistent attacks and DOM-based attacks require a user to either visit a specially crafted link laced with malicious code, or visit a malicious web page containing aweb form, which when posted to the vulnerable site, will mount the attack. Using a malicious form will oftentimes take place when the vulnerable resource only acceptsHTTP POST requests. In such a case, the form can be submitted automatically, without the victim's knowledge (e.g. by using JavaScript). Upon clicking on themalicious link or submitting the malicious form, the XSS payload will get echoed back and will get interpreted by the user's browser and execute. Another technique tosend almost arbitrary requests (GET and POST) is by using an embedded client, such as Adobe Flash.

Persistent attacks occur when the malicious code is submitted to a web site where it's stored for a period of time. Examples of an attacker's favorite targets ofteninclude message board posts, web mail messages, and web chat software. The unsuspecting user is not required to interact with any additional site/link (e.g. anattacker site or a malicious link sent via email), just simply view the web page containing the code.

URL http://opac.apisi.org/index.php?page=1&search=Search&subject=%22+onMouseOver%3D%22alert%281%29%3B

Method GET

Parameter subject

Attack " onMouseOver="alert(1);

Evidence " onMouseOver="alert(1);

URL http://opac.apisi.org/index.php?search=Search&subject=%22+onMouseOver%3D%22alert%281%29%3B

Method GET

Parameter subject



URL http://opac.apisi.org/index.php?author=ZAP&colltype=Fiction&gmd=Art+Original&isbn=ZAP&location=My+Library&search=search&subject=%22+onMouseOver%3D%22alert%281%29%3B&title=ZAP

Method GET

Parameter subject



URL http://opac.apisi.org/index.php?author=ZAP&colltype=Fiction&gmd=%22+onMouseOver%3D%22alert%281%29%3B&isbn=ZAP&location=My+Library&search=search&subject=ZAP&title=ZAP

Method GET

Parameter gmd



URL http://opac.apisi.org/index.php?author=ZAP&colltype=%22+onMouseOver%3D%22alert%281%29%3B&gmd=Art+Original&isbn=ZAP&location=My+Library&search=search&subject=ZAP&title=ZAP

Method GET

Parameter colltype



URL http://opac.apisi.org/index.php?id=17&keywords=%3C%2Fscript%3E%3Cscript%3Ealert%281%29%3B%3C%2Fscript%3E%3Cscript%3E&p=show_detail

Method GET

Parameter keywords

Attack </script><script>alert(1);</script><script>

Evidence </script><script>alert(1);</script><script>

URL http://opac.apisi.org/index.php?author=%22+onMouseOver%3D%22alert%281%29%3B&search=Search

Method GET

Parameter author



URL http://opac.apisi.org/index.php?author=ZAP&colltype=Fiction&gmd=Art+Original&isbn=%22+onMouseOver%3D%22alert%281%29%3B&location=My+Library&search=search&subject=ZAP&title=ZAP

Method GET

Parameter isbn

SCAN TIME

Scan Started: 10/4/2019 11:8:27

TARGET

Domain http://apisi.org/

Server Banner: Apache

Target IP: 45.64.1.113

CRAWLING

Crawling finished, found: 590 URL's

Web Backdoors:

FCKeditor File Upload:

E-mails:E-mail Found: [email protected] Found: [email protected] Found: [email protected] Found: [email protected] Found: [email protected] Found: [email protected] Found: [email protected] Found: [email protected] Found: [email protected] Found: [email protected] Found: [email protected] Found: [email protected] Found: [email protected] Found: [email protected] Found: [email protected] Found: [email protected] Found: [email protected]

File Upload Forms:

Timthumb:

PHPinfo() Disclosure:

Source Code Disclosure:

External hosts:http://www.ahmatessofyanos.blogspot.comhttp://www.suaramerdeka.comhttp://www.facebook.comhttp://www.pestablogger.comhttp://isipii-librarian-indonesia.blogspot.comhttps://drive.google.comhttp://www.iasl-online.orghttp://www.ifla.orghttp://www.tanahtingal.comhttps://docs.google.comhttp://www.perpustakaan47.sch.idhttp://www.pnri.go.idhttp://www.sla.org.uk

SCAN TIME

Scan Started: 10/4/2019 9:23:31

TARGET

Domain http://opac.apisi.org/

Server Banner: Apache

Target IP: 45.64.1.113

CRAWLING

Crawling finished, found: 18 URL's

Web Backdoors:

FCKeditor File Upload:

E-mails:

File Upload Forms:

Timthumb:

PHPinfo() Disclosure:

Source Code Disclosure:

External hosts:

Ignored Files:

DYNAMIC TESTS

Learning New Directories: 0 New directories added.

FCKeditor tests:Skipped because http://opac.apisi.org/testing123 did not return the code 404

Timthumb < 1.33 vulnerability:

Backup Files:Skipped because http://opac.apisi.org/testing123 did not return the code 404

Blind SQL Injection:http://opac.apisi.org/index.php?p=librarian+AND+1=1Keyword: Pustakawan

Local File Include:

PHP CGI Argument Injection:

Remote Command Execution:

Remote File Include:

SQL Injection:

Scan of apisi.org

Scan details

Scan information

Start time 10/04/2019, 17:35:49

Start url http://apisi.org

Host apisi.org

Scan time 1457 minutes, 56 seconds

Profile Full Scan

Server information Apache

Responsive True

Server OS Unknown

Server technologies PHP

Threat level

Acunetix Threat Level 3

One or more high-severity type vulnerabilities have been discovered by the scanner. A malicious user can exploit thesevulnerabilities and compromise the backend database and/or deface your website.

Alerts distribution

Total alerts found 1661

High 56

Medium 483

Low 21

Informational 1101

Scan of opac.apisi.org

Scan details

Scan information

Start time 10/04/2019, 17:06:49

Start url http://opac.apisi.org

Host opac.apisi.org

Scan time 26 minutes, 32 seconds

Profile Full Scan

Server information Apache

Responsive True

Server OS Unknown

Server technologies PHP

Threat level

Acunetix Threat Level 3

One or more high-severity type vulnerabilities have been discovered by the scanner. A malicious user can exploit thesevulnerabilities and compromise the backend database and/or deface your website.

Alerts distribution

Total alerts found 67

High 19

Medium 39

Low 6

Informational 3

SKRIPSIrepository.uinjkt.ac.id/dspace/bitstream/123456789/48282...skripsi ini. Shalawat serta salam...

Documents

Transcript of SKRIPSIrepository.uinjkt.ac.id/dspace/bitstream/123456789/48282...skripsi ini. Shalawat serta salam...