DASAR WEB HACKING

Pengertian

Web hacking adalah aktivitas mengeksploitasi kelemahan dalam aplikasi web untuk mendapatkan akses tidak sah, memodifikasi data, atau merusak fungsi dari aplikasi tersebut. Pelaku web hacking bisa disebut sebagai hacker dan tujuan mereka bisa bervariasi, mulai dari iseng hingga ke tujuan yang lebih serius seperti mencuri informasi sensitif atau melakukan sabotase.

Tujuan

Tujuan web hacking bisa beragam, antara lain:

• Mengakses Data Rahasia: Hacker bisa berusaha mendapatkan data sensitif seperti informasi pribadi pengguna, data keuangan, atau rahasia perusahaan.
• Mendapatkan Keuntungan Finansial: Dengan mencuri data kartu kredit atau mengakses rekening bank.
• Merusak atau Memodifikasi Data: Mengubah atau merusak data di server untuk menimbulkan kerugian pada target.
• Mendapatkan Ketertarikan Media: Beberapa hacker mungkin melakukan hacking untuk mendapatkan perhatian media dan menunjukkan keahlian mereka.
• Pengujian Keamanan (Ethical Hacking): Melakukan hacking untuk mengidentifikasi dan memperbaiki kelemahan keamanan dalam sistem, biasanya dilakukan oleh pen-testers atau ethical hackers.

Motivasi

• Financial Gain: Mencari keuntungan finansial melalui pencurian data atau pemerasan.
• Political or Social Activism: Menggunakan hacking sebagai alat untuk menyuarakan pendapat politik atau sosial (hacktivism).
• Personal Grudge: Menyerang target tertentu karena dendam pribadi.
• Curiosity and Learning: Hacker sering kali termotivasi oleh rasa ingin tahu dan keinginan untuk belajar tentang sistem baru.
• Revenge: Untuk membalas dendam terhadap individu atau organisasi.

Jenis dan Metode

Beberapa jenis dan metode umum dalam web hacking meliputi:

• SQL Injection (SQLi): Mengeksploitasi kelemahan dalam query SQL untuk mengakses atau memanipulasi database.
• Cross-Site Scripting (XSS): Menyisipkan skrip jahat ke dalam halaman web yang dilihat oleh pengguna lain.
• Cross-Site Request Forgery (CSRF): Memaksa pengguna yang terautentikasi untuk melakukan tindakan yang tidak diinginkan.
• Remote File Inclusion (RFI): Menyisipkan file eksternal ke dalam server untuk mendapatkan akses atau menjalankan kode berbahaya.
• Local File Inclusion (LFI): Memasukkan file lokal dari server itu sendiri untuk mendapatkan informasi sensitif atau menjalankan skrip.
• Directory Traversal: Mengeksploitasi kelemahan untuk mengakses direktori dan file di luar root web.
• Brute Force Attack: Mencoba berbagai kombinasi username dan password hingga menemukan yang benar.
• Session Hijacking: Mencuri sesi pengguna untuk mendapatkan akses yang tidak sah ke akun pengguna.

Teknik Dasar

Berikut adalah beberapa teknik dasar dalam web hacking:

• Information Gathering (Reconnaissance): Mengumpulkan informasi tentang target menggunakan alat seperti WHOIS, DNS lookup, dan Google Dorking.
• Scanning and Enumeration: Menggunakan alat seperti Nmap, Nikto, atau Burp Suite untuk memindai kelemahan dalam sistem target.
• Exploitation: Mengeksploitasi kelemahan yang ditemukan untuk mendapatkan akses ke sistem atau data.
• Post-Exploitation: Melakukan tindakan lebih lanjut setelah mendapatkan akses, seperti menginstal backdoor atau mencuri data.
• Covering Tracks: Menghapus jejak agar aktivitas hacking tidak terdeteksi oleh pemilik sistem.

XSS

Cross-Site Scripting (XSS) adalah salah satu jenis serangan terhadap aplikasi web di mana penyerang menyisipkan skrip jahat ke dalam halaman web yang kemudian dieksekusi oleh browser pengguna lain. Skrip ini biasanya ditulis dalam bahasa JavaScript, namun bisa juga menggunakan HTML, VBScript, Flash, atau bentuk lain dari konten aktif.

Contoh dari XSS:

Pada contoh file disini terlihat scenario untuk mencoba XSS

Saat di input coding di atas akan mengasilkan seperti ini

Saat kita coba dengan memasukan <script>alert('Hacked!');</script> maka hasilnya akan seperti ini:

Tujuan kita, adalah membuat pop-up tersebut, agar tidak dapat di jalankan, maka kita perlu melakukan perubahan terhadap coding di atas, maka dapat di tambahkan seperti ini:

Maka hasilnya akan seperti ini:

Sudah tidak ada lagi pop-up yang muncul

Dengan menambahkan pada baris if sebuah script:

if (isset($_POST['nama']) && isset($_POST['pesan'])) {

            $name = htmlspecialchars($_POST['nama'], ENT_QUOTES, 'UTF-8');

            $pesan = htmlspecialchars($_POST['pesan'], ENT_QUOTES, 'UTF-8');

            echo "<p><strong>$name</strong>: $pesan</p>";

        }

Penjelasan:

• Fungsi htmlspecialchars() mengubah karakter khusus seperti &, ", ', <, dan > menjadi entitas HTML yang aman, mencegah eksekusi kode berbahaya.
• Parameter ENT_QUOTES memastikan bahwa baik tanda kutip tunggal (') maupun ganda (") dikonversi menjadi entitas HTML.
• UTF-8 adalah pengkodean karakter yang direkomendasikan untuk menghindari masalah dengan berbagai set karakter.

Dampak dari serangan XSS

• Pencurian Data Pengguna: Penyerang dapat mencuri informasi sensitif seperti cookie sesi, data login, atau informasi pribadi.
• Pengambilalihan Akun: Penyerang dapat menggunakan cookie yang dicuri untuk mengambil alih akun pengguna.
• Distribusi Malware: Penyerang dapat mengarahkan pengguna ke situs berbahaya yang menginstal malware.
• Manipulasi Konten Web: Penyerang dapat mengubah konten halaman web untuk menipu pengguna, seperti menampilkan form login palsu (phishing).
• Penurunan Kepercayaan Pengguna: Serangan XSS dapat mengurangi kepercayaan pengguna terhadap situs web yang terkena dampak.
• Kerugian Finansial dan Reputasi: Serangan XSS dapat menyebabkan kerugian finansial dan merusak reputasi organisasi.

Pencegahan dari serangan XSS

• Validasi dan Penyaringan Input: Memastikan semua input pengguna divalidasi dan disaring dengan benar sebelum diproses atau disimpan.
• Enkode Output: Menggunakan enkode yang sesuai saat menampilkan data pengguna kembali ke halaman web untuk mencegah eksekusi skrip.
• Content Security Policy (CSP): Menggunakan CSP untuk membatasi sumber daya mana yang dapat dimuat dan dijalankan oleh browser.
• Sanitasi Data: Menggunakan library atau fungsi sanitasi untuk membersihkan input pengguna dari karakter atau skrip berbahaya.

Kesimpulan 

Serangan XSS memiliki dampak yang luas dan serius, mulai dari pencurian data pengguna hingga kerusakan reputasi perusahaan. Oleh karena itu, sangat penting bagi pengembang web untuk memahami dan mengimplementasikan langkah-langkah pencegahan yang efektif untuk melindungi aplikasi web mereka dari serangan XSS. Pencegahan yang tepat meliputi validasi dan penyaringan input, penggunaan mekanisme keamanan seperti Content Security Policy (CSP), dan edukasi pengguna tentang praktik keamanan yang baik.