BAB IV IMPLEMENTASI
5.2 Uji Coba
5.2.2 Proses Scanning Secara Online
Proses ini dilakukan dengan syarat aplikasi harus terhubung dengan koneksi internet untuk melakukan pencarian kesalahan terhadap website yang akan dikehendaki:
A. Uji Coba Tingkat Ringan (Low Level)
Yang dimaksud dengan Tingkat Ringan (Low Level) bahwa sang attacker menginjeksikan script clientside yang sangat sederhana yakni menampilkan text atau tulisan yang hanya biasa dilihat oleh komputer sang attacker saja.
1. Contoh uji coba Website dinamis standart
Ini adalah tampilan awal website sebelum dilakukan proses pencarian kelemahan terhadap serangan XSS
52
Tahap berikutnya ini adalah dimana aplikasi melakukan proses pencarian kesalahan dengan cara menekan tombol Scan XSS lalu masukkan alamat website target:
Gambar 5. 3 Form Scanning XSS
Pada Gambar 5.3 diatas merupakan proses dimana aplikasi mencari semua kelemahan file-file html yang ada di dalam url website tersebut secara online (aplikasi terkoneksi kepada internet). Jadi apabila didalam website tersebut mempunyai file-file html sebanyak 100 file html maka aplikasi secara otomatis akan melakukan pencarian kepada ke 100 file html tersebut dan pada saat itulah aplikasi menginjeksikan script XSS di setiap tag-tag
html yang dimiliki website tersebut Berikut jika proses Scan XSS telah selesai :
Gambar 5. 4 Proses Scan XSS telah selesai
Setelah proses scanning XSS Online selesai akan muncul Report seperti berikut :
54
Ini merupakan report kesalahan yang terdapat di website target. Jadi apabila di setiap tag-tag html terdapat kesalahan maka akan muncul di form report ini. Dan hasil akhir proses scanning yang telah dilakukan oleh aplikasi ini adalah :
Vulnerability
Gambar 5. 6 Tampilan awal website yang sudah terinjeksi XSS
Pada tampilan awal website tidak terdapat kata jo_spyro, dikarenakan aplikasi dengan sukses menginjeksikan XSS maka kini tampilan website tersebut terdapat kata jo_spyro.
2. Contoh uji coba Website PHP + JavaScript
Ini adalah tampilan awal website sebelum dilakukan proses pencarian kelemahan terhadap serangan XSS
Gambar 5. 7 Tampilan awal website target
Tahap berikutnya ini adalah dimana aplikasi melakukan proses pencarian kesalahan dengan cara menekan tombol Scan XSS lalu masukkan alamat website target:
56
Pada Gambar 5.8 diatas merupakan proses dimana aplikasi mencari semua kelemahan file-file html yang ada di dalam url website tersebut secara online (aplikasi terkoneksi kepada internet). Jadi apabila didalam website tersebut mempunyai file-file html sebanyak 100 file html maka aplikasi secara otomatis akan melakukan pencarian kepada ke 100 file html tersebut dan pada saat itulah aplikasi menginjeksikan script XSS di setiap tag-tag
html yang dimiliki website tersebut Berikut jika proses Scan XSS
telah selesai :
Gambar 5. 9 Proses Scan XSS telah selesai
Setelah proses scanning XSS Online selesai akan muncul Report seperti berikut :
Gambar 5. 10 Laporan Scan XSS
Ini merupakan report kesalahan yang terdapat di website target. Jadi apabila di setiap tag-tag html terdapat kesalahan maka akan muncul di form report ini. Dan hasil akhir proses scanning yang telah dilakukan oleh aplikasi ini adalah :
Vulnerability
58
Pada tampilan awal website tidak terdapat kata jo_spyro, dikarenakan aplikasi dengan sukses menginjeksikan XSS maka kini tampilan website tersebut terdapat kata jo_spyro.
3. Contoh uji coba Website PHP + AJAX
Ini adalah tampilan awal website sebelum dilakukan proses pencarian kelemahan terhadap serangan XSS
Gambar 5. 12 Tampilan awal website target
Tahap berikutnya ini adalah dimana aplikasi melakukan proses pencarian kesalahan dengan cara menekan tombol Scan XSS lalu masukkan alamat website target:
Gambar 5. 13 Form Scanning XSS
Pada Gambar 5.13 diatas merupakan proses dimana aplikasi mencari semua kelemahan file-file html yang ada di dalam url
website tersebut secara online (aplikasi terkoneksi kepada internet).
Jadi apabila didalam website tersebut mempunyai file-file html sebanyak 100 file html maka aplikasi secara otomatis akan melakukan pencarian kepada ke 100 file html tersebut dan pada saat itulah aplikasi menginjeksikan script XSS di setiap tag-tag
html yang dimiliki website tersebut Berikut jika proses Scan XSS
60
Gambar 5. 14 Proses Scan XSS telah selesai
Setelah proses scanning XSS Online selesai akan muncul Report seperti berikut :
Gambar 5. 15 Laporan Scan XSS
Ini merupakan report kesalahan yang terdapat di website target. Jadi apabila di setiap tag-tag html terdapat kesalahan maka akan
muncul di form report ini. Dan hasil akhir proses scanning yang telah dilakukan oleh aplikasi ini adalah :
Vulnerability
Gambar 5. 16 Tampilan awal website yang sudah terinjeksi XSS
Pada tampilan awal website tidak terdapat kata jo_spyro, dikarenakan aplikasi dengan sukses menginjeksikan XSS maka kini tampilan website tersebut terdapat kata jo_spyro.
B. Uji Coba Tingkat Sedang (Medium Level)
Yang dimaksud dengan Tingkat Ringan (Medium Level) bahwa sang attacker menginjeksikan script clientside yang sangat sederhana yakni mengabungkan website lain dengan halaman website target dalam satu halaman page html yang hanya biasa dilihat oleh komputer sang
62
1. Contoh uji coba Website PHP + AJAX
Ini adalah tampilan awal website sebelum dilakukan proses pencarian kelemahan terhadap serangan XSS
Gambar 5. 17 Tampilan awal website target
Tahap berikutnya ini adalah dimana aplikasi melakukan proses pencarian kesalahan dengan cara menekan tombol Scan XSS lalu masukkan alamat website target:
Gambar 5. 18 Form Scanning XSS
Pada Gambar 5.18 diatas merupakan proses dimana aplikasi mencari semua kelemahan file-file html yang ada di dalam url
website tersebut secara online (aplikasi terkoneksi kepada internet).
Jadi apabila didalam website tersebut mempunyai file-file html sebanyak 100 file html maka aplikasi secara otomatis akan melakukan pencarian kepada ke 100 file html tersebut dan pada saat itulah aplikasi menginjeksikan script XSS di setiap tag-tag
html yang dimiliki website tersebut Berikut jika proses Scan XSS
telah selesai :
64
Setelah proses scanning XSS Online selesai akan muncul Report seperti berikut :
Gambar 5. 20 Laporan Scan XSS
Ini merupakan report kesalahan yang terdapat di website target. Jadi apabila di setiap tag-tag html terdapat kesalahan maka akan muncul di form report ini. Dan hasil akhir proses scanning yang telah dilakukan oleh aplikasi ini adalah :
Vulnerability
Pada tampilan awal website tidak terdapat tampilan halaman blog Tutorial dan Artikel, dikarenakan aplikasi dengan sukses menginjeksikan XSS maka kini tampilan halaman blog Tutorial dan Artikel .
C. Uji Coba Tingkat Sulit (Hard Level)
Yang dimaksud dengan Tingkat Berat (Hard Level) bahwa sang attacker menginjeksikan script clientside untuk membuat Phising(web palsu) yang nantinya web palsu tersebut akan dikirimkan sang attacker kepada korban lewat email dengan beribu bujuk rayuan agar supaya sang korban mengakses web palsu tersebut. Contoh uji coba kali ini dilakukan secara localhost :
1. Ini adalah tampilan awal website sebelum dilakukan proses pencarian kelemahan terhadap serangan XSS
66
Tahap berikutnya ini adalah dimana aplikasi melakukan proses pencarian kesalahan dengan cara menekan tombol Scan XSS lalu masukkan alamat website target:
Gambar 5. 23 Form Scanning XSS
Pada Gambar 5.23 diatas merupakan proses dimana aplikasi mencari semua kelemahan file-file html yang ada di dalam url
website tersebut secara online (aplikasi terkoneksi kepada internet).
Jadi apabila didalam website tersebut mempunyai file-file html sebanyak 100 file html maka aplikasi secara otomatis akan melakukan pencarian kepada ke 100 file html tersebut dan pada saat itulah aplikasi menginjeksikan script XSS di setiap tag-tag
html yang dimiliki website tersebut Berikut jika proses Scan XSS
Gambar 5. 24 Proses Scan XSS telah selesai
Setelah proses scanning XSS Online selesai akan muncul Report seperti berikut :
Gambar 5. 25 Laporan Scan XSS
Ini merupakan report kesalahan yang terdapat di website target. Jadi apabila di setiap tag-tag html terdapat kesalahan maka akan
68
muncul di form report ini. Dan hasil akhir proses scanning yang telah dilakukan oleh aplikasi ini adalah :
Vulnerability
Gambar 5. 26 Tampilan awal website yang sudah
terinjeksi XSS
Pada tampilan awal website tidak terdapat kata jo_spyro, dikarenakan aplikasi dengan sukses menginjeksikan XSS maka kini tampilan website tersebut terdapat kata jo_spyro. Setelah diketahui bahwa web local tersebut terdapat kelemahan maka sang attacker melanjutkan tahap exploitasi lebih dalam dengan pembuatan
phising atau web tiruan untuk mengacau sang admin dengan cara
sang attacker mengirim email palsu kepada sang admin bahwa terdapat kekacauan infrastuktur web local tersebut disertai link yang mengarah ke web tiruan yang sudah dibuat oleh sang
attacker.
bahwa telah terjadi Error pada Database sehingga user perlu untuk melakukan aktivasi ulang secepatnya. Jika tidak, maka data-data user terancam hilang. Untuk melakukan Aktivasi, klik link yang ada dibawah ini.
Link : http://localhost/webstester/daftar2.php
Ketika sang admin web local tersebut terdapat tampilan phising dengan syarat halaman phising ini telah diupload didalam website sang attacker seperti gambar dibawah ini :
Gambar 5. 27 Tampilan web tiruan
Begitu sang admin web local memasukkan username dan password secara otomatis tersimpan didalam database website sang attacker dan sang attacker bebas melakukan perubahan hingga menghapus semua isi file yang ada di cpanel website itu sendiri.
70