Pengujian Serangan Jaringan pada Website Pemerintah

PENDAHULUAN

Keamanan jaringan computer pada zaman sekarang adalah sesuatu hal yang sangat penting karena proses-proses menjadi lebih mudah untuk dikerjakan dengan adanya internet dan komputasi. Hampir seluruh pekerjaan saat ini dikerjakan dengan komputasi dan internet seperti pendaftaran, mengobrol, mencari data, menyimpan data pada cloud dan database, dan berbagai hal lain. Karena proses menggunakan internet ini memudahkan pekerjaan, pemerintah Indonesia kerap kali mengimplementasikan aplikasi jaringan computer untuk urusan pemerintahan. Salah satunya adalah dengan pembuatan website pemerintah.

Kami melakukan survei terhadap website-website pemerintah dan setelah kami melakukan pencarian mendalam kami menemukan bahwa website-website pemerintahan sering kali vulnerable terhadap serangan akibat dari sistem passing parameter web sehingga dapat diserang dengan menggunakan local file inclusion. Local file inclusion adalah serangan dimana pihak penyerang dapat mengambil data yang tidak seharusnya dapat diambil akibat kesalahan pada sistem. Kesalahan dapat berupa menggunakan parameter get pada di URL pada saat download file. Contohnya www.aaa.com/download.php?file=namafile untuk mendownload file public bernama namafile.Apabila nama file diubah menjadi nama-nama file penting seperti /../../etc/passwd atau data-data lainnya maka pihak-pihak yang tidak seharusnya dapat mengambil file tersebut dengan mudah. Apalagi ini adalah situs pemerintahan yang mungkin saja dapat berpengaruh pada keuangan ataupun kebocoran kebijakan pemerintah.

Pada tugas ini kami mencoba melakukan penyerangan dengan mencoba melakukan download file password dan user pada server pemerintah kabupaten jembrana dengan menggunakan teknik local file inclusion.

SKENARIO PENGUJIAN

Pada awalnya kami berusaha melakukan eksplorasi dan menemukan sebuah site http://www.jembranakab.go.id/

tampilan awal situs

Situs tersebut adalah situs resmi Pemerintah Daerah Kabupaten Jembrana. Setelah mengeksplorasi situs tersebut, kami menemukan celah untuk melakukan attack dengan local file inclusion. Berikut adalah skenario pengujian usaha penyerangan kami:

Secara umum:

·         Mencari celah dari situs tersebut lewat local file inclusion dengan mendownload sembarang file.

·         Mengedit link download sedemikian hingga dapat membuktikan bahwa situs tersebut tidak melindungi berkas yang seharusnya tidak boleh diakses / diunduh oleh orang awam.

·         Mencoba run link tersebut

·         Melihat hasil run. Bila hasil run membuktikan bahwa berkas dapat diakses, mencari celah lain untuk akses berkas lain (dalam hasil pengujian kami mendapatkan nama – nama administrator dari situs). Bila belum berhasil, mencari celah lain atau situs lain untuk melakukan usaha local file inclusion. Ada kemungkinan mencari celah untuk melakukan attack jenis lain.

HASIL PENGUJIAN

Berdasarkan skenario pengujian umum:

Skenario	Hasil
Mencari celah dari situs tersebut lewat local file inclusion	Menemukan adanya celah untuk download file dengan link mengandung “files = download.php?...”
Mengedit link sedemikian rupa	Mencoba menghapus semua keterangan setelah “files = download.php?” Link awal: http://www.jembranakab.go.id/download.php?files=20130728_133833Acara%20Pilkel%20Mendoyo%20Dangin%20Tukad%20ver%2029072013.pdf&res=foto_beritaskpd/ Link edit: http://www.jembranakab.go.id/download.php?files=download.php
Mencoba run link tersebut	Link berhasil di run tanpa munculnya pemberitahuan tertentu
Melihat hasil run.	Link tersebut memungkinkan kami mengunduh berkas “download.php” dari situs tersebut:
Mengedit link sedemikian rupa	Link edit: http://www.jembranakab.go.id/download.php?files=../../../../../../../../../../../../../../../etc/passwd
Mencoba run link tersebut	Link berhasil di run tanpa munculnya pemberitahuan tertentu
Melihat hasil run.	Link tersebut memungkinkan kami mengunduh berkas “passwd” dari situs tersebut:

Dari hasil pengujian pertama, berkas “download.php” dapat diunduh karena source code dari berkas yang digunakan untuk mengunduh file tertentu (tergantung parameter dari file = )

header('Content-Disposition: attachment; filename='.basename($filename));

Source code hanya mengecek basename saja. Sebenarnya ada session, namun session tersebut telah terset saat sebelumnya kami melakukan unduh file.

Untuk passwd, kami  melakukan upaya mundur ke root dengan “/../../../..” dan shadow dengan “/etc/passwd”. Upaya ini ternyata berhasil, kelompok kami dapat menemukan user – user dari situs ini.

SIMPULAN

Website jembranakab.go.id dapat diserang dengan local file inclusion. Hal ini dikarenakan metode download yang digunakan pada web adalah implementasi sederhana download menggunakan php (panggil download.php dan memanfaatkan URL parameter sebagai input file yang akan didownload). Seharusnya file-file di-encrypt misalnya diberi hash key dan untuk mendownload file yang bersangkutan sehingga pihak-pihak yang tidak berwenang kesulitan dan tidak bisa menemukan file-file untuk didownload. Cara tambahan untuk mencegah serangan adalah menghandle kemungkinan masukan aneh dari pengguna seperti shadow /../../../ dengan tidak menerima input dengan karakter-karakter seperti itu. Penggunaan statement database yang prepared juga membantu pencegahan local file inclusion.