Web Hacking merupakan salah satu serangan untuk menghack web dengan cara:
1. Defacing situs web
2. SQL injection
3. Memanpaatkan kelemahan script seperti script php,html,java script.
1. Defacing situs web
2. SQL injection
3. Memanpaatkan kelemahan script seperti script php,html,java script.
A. Deface
adalah salah satu serangan dengan mengubah isi dari situs sesuai dengan keinginan dari penyerang.
Yang paling sering mengalami serangan deface adalah situs e-commerce yang memakai Microsoft IIS. Karena IIS memiliki bug yang dikalangan internet di kenal dengan unicode bug. dengan adanya bug ini hacker bisa mengakses command prompt (cmd.exe ).
Teknik-teknik deface web :
1. Secara umumnya yaitu: Memasukkan input data yang ilegal
tujuannya agar user keluar dari file server web setelah itu hacker masuk ke root direktory untuk menjalankan cmd.exe dan mengamati struktur direktory server sasaran.
2. TFTP (Trivial File Transfer Protocol) adalah protokol berbasis UDP yang listen pada port 69 dan sangat rawan keamanannya dan kebanyakan web server menjalankan servis TFTP.
3. Dengan FTP yang telah diisi bahan deface. Pada tiap windows server memiliki file ftp.exe untuk melakukan FTP upload ataupun FTP download (dari dan ke sever itu).
Mengamankan Server IIS dari deface:
Selalu mengupdate dengan service pack dan hotfix terbaru.
Melindungi dengan firewall dan IDS (intrusion detection system).
Menghilangkan Opsi write pada Protokol HTTP (HTTP 1.0 atau HTTP 1.1)
Perintah-perintah yang didukung HTTP 1.0 dan HTTP 1.1
CONNECT*, DELETE*, GET, HEAD, OPTIONS, POST, PUT,TRACE
b. SQL injection
Yang paling sering mengalami serangan deface adalah situs e-commerce yang memakai Microsoft IIS. Karena IIS memiliki bug yang dikalangan internet di kenal dengan unicode bug. dengan adanya bug ini hacker bisa mengakses command prompt (cmd.exe ).
Teknik-teknik deface web :
1. Secara umumnya yaitu: Memasukkan input data yang ilegal
tujuannya agar user keluar dari file server web setelah itu hacker masuk ke root direktory untuk menjalankan cmd.exe dan mengamati struktur direktory server sasaran.
2. TFTP (Trivial File Transfer Protocol) adalah protokol berbasis UDP yang listen pada port 69 dan sangat rawan keamanannya dan kebanyakan web server menjalankan servis TFTP.
3. Dengan FTP yang telah diisi bahan deface. Pada tiap windows server memiliki file ftp.exe untuk melakukan FTP upload ataupun FTP download (dari dan ke sever itu).
Mengamankan Server IIS dari deface:
Selalu mengupdate dengan service pack dan hotfix terbaru.
Melindungi dengan firewall dan IDS (intrusion detection system).
Menghilangkan Opsi write pada Protokol HTTP (HTTP 1.0 atau HTTP 1.1)
Perintah-perintah yang didukung HTTP 1.0 dan HTTP 1.1
CONNECT*, DELETE*, GET, HEAD, OPTIONS, POST, PUT,TRACE
b. SQL injection
merupakan serangan web untuk mendapatkan akses pada database server microsoft
Teknik SQL injection memampaatkan kelemahan bahasa SQL dalam mengakses database.
Misalkan memasukkan karakter 1=1 pada username atau menggunakan boolean OR pada situs tertentu.
Trik sederhana mengatasi SQL injection
Gunakan string tertentu saja yang boleh diinput.
kemudian jika ada string yang tidak sah ( bukan string yang kita tentukan ) langsung saja tolak. ok...
c. Pemampaatan kelemahan script
Teknik SQL injection memampaatkan kelemahan bahasa SQL dalam mengakses database.
Misalkan memasukkan karakter 1=1 pada username atau menggunakan boolean OR pada situs tertentu.
Trik sederhana mengatasi SQL injection
Gunakan string tertentu saja yang boleh diinput.
kemudian jika ada string yang tidak sah ( bukan string yang kita tentukan ) langsung saja tolak. ok...
c. Pemampaatan kelemahan script
java script merupakan script untuk situs web yang bisa dieksekusi di sisi komputer user (client) sehingga penggunaan java script untuk transaksi sangat rawan terhadap manipulasi dari sisi user.Contoh scripting language yang bekerja di sisi user (client):
-JavaScript
-Client side VB Script
Adapun scripting language di sisi server:
- ASP (Active Server Pages)
- JSP (Java Server Pages)
- PHP (Personal Home page)
kelemahan script html yaitu menggunakan parameter GET dan POST untuk metode pengisian sebuah form. Masalahnya dengan menggunakan GET, variabel yang digunakan akan terlihat pada kotak URL, yang memungkinkan pengunjung langsung memasukkan karakter pada form process, selain juga perintah GET dibatasi oleh string sepanjang 2047 karakter. Variabel juga dapat diambil dengan Request QueryString.
POST biasa digunakan untuk mengirim data dalam jumlah besar ke aplikasi di sisi server, sehingga tidak menggunakan URL query string yang terbatas. POST juga lebih aman sebab variabel tidak terlihat oleh pengunjung, sehingga lebih sulit dimainkan lewat perubahan nama variabel. Namun variabel tetap dapat diambil dengan RequestForm.
Tidak ada komentar:
Posting Komentar