TUGAS RPL TESTING TOOL DENGAN MENGGUNAKAN APLIKASI ATTACT DAN AUDIT FRAMEWORK (W3AF)

Transkripsi

1 TUGAS RPL TESTING TOOL DENGAN MENGGUNAKAN APLIKASI ATTACT DAN AUDIT FRAMEWORK (W3AF) Disusun Untuk Memenuhi Tugas Mata Kuliah Rekayasa Perangkat Lunak NAMA :MOHAMAD IQBAL NIM : KELAS : XL DOSEN : Samidi, M.M, M.Kom Pascasarjana Magister Komputer UniveristasBudiluhur Jakarta 2014

2 I. Pendahuluan w3af adalah Web Application Attack dan Audit Framework. Dapat digunkan untuk menciptakan sebuah kerangka dan menemukan serta mengeksploitasi kerentanan aplikasi web. Jadi, dengan applikasi ini kita dapat dengan mudah meng-audit(scan) suatu website sehingga dapat mengetahui celah keamanan suatu website. Applikasi ini mempunyai GUI(Graphical User Interface) nya, baik itu untuk Linux (Backtrack sudah ada dalam paket instalasi) maupun Windows. (Hanya ada pada versi beta) Software tersebut dapat didownload dari halaman ada dua cara untuk menginstal w3af: dari paket rilis (w3af setup untuk jendela dan paket tgz untuk sistem berbasis Unix) atau dari SVN. Pertama kalinya pengguna harus menggunakan paket terbaru, sedangkan pengguna yang lebih maju harus melakukan checkout SVN untuk mendapatkan versi terbaru dari framework. Untuk yang akan menggunakannya dengan window maka link download sudah tidak disediakan pada website resminya, kita bisa mendapatkan versi windowsnya dengan browsing dibeberapa website lain yang masih menyediakan menyediakan link download ke file intalasi windows seperti pada II. Instalasi W3af ini dapat bekerja pada semua platform yang didukung Python. dan telah berhasil diinstal dan digunakan pada Linux, Windows XP, Windows Vista, FreeBSD serta OpenBSD. Paket yang dibutuhkan untuk menjalankan w3af adalah sebagai berikut : Python 2.6 fpconst nltk SOAPpy pypdf Binding Python untuk perpustakaan libxml2 Python OpenSSL json.py scapy

3 pysvn python sqlite3 graphviz (GUI) pygtk 2.0 (GUI) gtk 2.12 (GUI) dengan paket diatas kita dapat menjalankannya pada mode konsol atau grafis untuk antarmuka pengguna grafis hanya diperlukan jika akan digunakan GTK + untuk membuat proses instalasi lebih mudah bagi pengguna pemula maka telah disertakan pada file terdistribusi dapat ditemukan di dalam direktori extlib. Sebagian besar file library dapat dijalankan dari direktori tersebut, untuk istalasi dengan menggunakan console dapat menggunakan proses seperti berikut namun sebelumnya kita harus login sebagai root. /cd w3af /cd extlib /cd fpconst /python setup.py install /cd.. /cd SOAPpy /python setup.py install /cd.. /cd pypdf /python setup.py install III. Penggunaan Sebelum w3af ada baiknya kita tahu tentang dasar bagaimana aplikasi bekerja di belakang layar. Hal ini akan memungkinkan pengguna untuk lebih efisien dalam proses mengidentifikasi dan mengeksploitasi kerentanan, software ini memiliki tiga jenis plugin yaitu : discovery, audit dan menyerang. Discovery berfungsi untuk menemukan URL baru, form, dan "titik injeksi" lainnya. Sebagai contoh sepertu pada spider web. discovery membutuhkan URL sebagai masukan dan mengembalikan satu atau lebih titik injeksi. Bila penggunaan software ini menggunakan lebih dari satu plugin, maka mereka akan berjalan dalam proses loop sehingga jika sebuah plugin A menemukan URL baru

4 dalam jangka pertama, core program w3af akan mengirim URL itu untuk plugin B. Jika Plugin B kemudian menemukan URL baru, itu akan dikirim ke plugin A. proses ini akan berlangsung sampai semua plugin dijalankan dan tidak menemukan celah keamanan lagi. Sedangkan Plugin Audit mengambil poin injeksi yang ditemukan oleh plugin discover dan mengirim data khusus untuk target url yang ditemukan untuk menguji kerentan dalam sebuah halaman web. Sebagai contoh untuk plugin Audit adalah kerentanan pada SQL Injection. Serangan plugin bertujuan untuk mengeksploitasi kerentanan ditemukan oleh plugin audit. dan biasanya server yang diexploit akan mengembalikan data dalam bentuk shell atau dump table pada kasus SQL Injection ini. Berikut adalah tampilan awal saat program dijalankan Didalam tools ini tersedia beberapa mode scanner diantaranya : -w3af mode audit menemukan celah vuln dari target untuk mengatur mode serangan -w3af mode bruteforce memecakhkan jejak admin kedalam bentuk md5 / SHM1 -w3af mode discovery membongkar semua url yg ada d website

5 -w3af mode evasion untuk memotong deteksi IPS -w3af mode grep unuk menemukan error, coockies,dan yang ada pada web target -w3af mode mangle editor stream untuk permintaan web dan tanggapan. (contohnya akan seperti SQLI manual) IV. Test pada website Dalam tugas kali ini saya menggunakan website sebagai media test yang akan di kenakan aksi scaning hanya pada mode discovery, untuk melakukannya saya mendaftarkan url tersebut kedalam URL target dan memilih audit saja sebagai parameter plugin yang digunakan, untuk lebih jelasnya dapet dilihat pada gambar berikut

6 Pada tester kali ini di dapatkan beberapa vulnerability yang terdapat pada website yang dapat dilihat padfa tab Log pada program w3af ini seperti yang terlihat pada gambar berikut Celah ini ditemukan hanya dengan menggunakan mode audit, kemungkinan akan bisa banyak yang didapat celah keamanan yang lain jika menggunakan multiple mode yang terdapat pada program w3af ini. V. Penutup Demikian tugas tester software W3AF ini di buat sebagai pemenuhan nilai UTS pada mata kuliah Rekayasa Perangkat Lunak, penggunaan software ini untuk kepentingan yang lain diluar tanggungjawab penulis.