APLIKASI WEB VULNERABILITY SCANNER UNTUK SERANGAN SQL INJECTION MEMANFAATKAN GOOGLE DORK INURL TUGAS AKHIR. Oleh : MASYITHA

Transkripsi

1 APLIKASI WEB VULNERABILITY SCANNER UNTUK SERANGAN SQL INJECTION MEMANFAATKAN GOOGLE DORK INURL TUGAS AKHIR Oleh : MASYITHA JURUSAN TEKNIK INFORMATIKA FAKULTAS TEKNOLOGI INDUSTRI UNIVERSITAS PEMBANGUNAN NASIONAL VETERAN JAWA TIMUR 2012 Dilarang mengutip sebagian atau seluruh k

2 APLIKASI WEB VULNERABILITY SCANNER UNTUK SERANGAN SQL INJECTION MEMANFAATKAN GOOGLE DORK INURL TUGAS AKHIR Diajukan Untuk Memenuhi Sebagian Persyaratan Dalam Memperoleh Gelar Sarjana Komputer Jurusan Teknik Informatika Oleh : MASYITHA JURUSAN TEKNIK INFORMATIKA FAKULTAS TEKNOLOGI INDUSTRI UNIVERSITAS PEMBANGUNAN NASIONAL VETERAN JAWA TIMUR 2012 Dilarang mengutip sebagian atau seluruh k

3 ABSTRAKSI Hingga saat ini tindakan penyerangan pada suatu web semakin tinggi. Sering terlihat di media cetak,dan media elektronik begitu banyak berita yang memuat aksiaksi penyerangan terhadap suatu situs web. Salah satu contoh faktor timbulnya tindakan hacking adalah kesalahan dalam scripting pembuatan web adalah hal terbanyak yang dimanfaatkan oleh para attacker, sehingga rata-rata web yang berhasil diserang melalui lubang ini. Kelemahan-kelemahan scripting yang ditemukan pada proses vulnerabilities scanning misalnya, SQLi. Untuk mencegah tindakan tersebut dapat menggunakan jasa perusahaan audit keamanan web. Dan tentunya akan menghabiskan banyak biaya, untuk menghindari hal tersebut, dalam proyek akhir ini akan dibangun aplikasi web vulnerability scanner yang berfungsi untuk mendeteksi suatu kelemahan web terhadap kelemahan SQLi. Maka dengan menggunakan aplikasi web vulnerability scanner dapat dideteksi suatu kelemahan web terhadap kelemahan SQLi dengan lebih dini sehingga dapat dicegah. Kedepannya aplikasi ini dapat melihat isi dari database website yang ditarget mempunyai kelemahan SQL Injection.. Kata kunci : SQLi,Web Vulnerability Scanner. Dilarang mengutip sebagian atau seluruh k i

4 PEMBUATAN APLIKASI WEB VULNERABILITY SCANNER TERHADAP KELEMAHAN XSS (Cross Site Scripting) MENGGUNAKAN JAVA. Disusun Oleh : MOCHAMAD TRI JOKO NPM Telah disetujui mengikuti Ujian Negara Lisan Gelombang I Tahun Akademik 2010 / 2011 Pembimbing Utama Pembimbing Pendamping Achmad Junaidi, S.Kom NPT Chrystia Aji P, S.Kom, NPT Mengetahui, Ketua Program Studi Sistem Informasi Universitas Pembangu nan Nasional Veteran Jawa Timur Basuki Rahmat, S.Si, MT NPT Dilarang mengutip sebagian atau seluruh k

5 LEMBAR PENGESAHAN PEMBUATAN APLIKASI WEB VULNERABILITY SCANNER TERHADAP KELEMAHAN XSS (Cross Site Scripting) MENGGUNAKAN JAVA. Disusun Oleh : MOCHAMAD TRI JOKO NPM Telah dipertahankan di hadapan dan diterima oleh Tim Penguji Tugas Akhir Jurusan Teknik Informatika Fakultas Teknologi Industri Universitas Pembangunan Nasional Veteran Jawa Timur Pada Tanggal Februari 2010 Pembimbing : 1. Tim Penguji : 1 Achmad Junaidi, S.Kom NPT Ir. Edi Purnomo Sasongko, MP NIP Chr ystia Aji P, S.Kom, NPT Barry Nuqoba, S.Si, M.Kom 3. Achmad Junaidi, S.Kom NPT Mengetahui Dekan Fakultas Teknologi Industri Universitas Pembangunan Nasional Veteran Jawa Timur Surabaya Ir. Sutiyono, MT NIP Dilarang mengutip sebagian atau seluruh k

6 KATA PENGANTAR Alhamdulillah, dengan mengucapkan puji dan syukur kehadirat Allah SWT atas rahmat dan hidayah-nya sehingga penulis dapat menyelesaikan tugas akhir ini dengan judul APLIKASI WEB VULNERABILITY SCANNER UNTUK SERANGAN SQL INJECTION MEMANFAATKAN GOOGLE DORK INURL. yang merupakan persyaratan dalam memperoleh gelar Sarjana Komputer di Universitas Pembangunan Nasional VETERAN Jatim. Penulis mengucapkan terima kasih yang sebesar-besarnya kepada pihakpihak yang telah membantu baik materiil maupun dorongan spirituil untuk menyelesaikan penulisan tugas akhir ini, terutama kepada: 1. Bapak Prof. Dr. Ir. Teguh Soedarto, MP, selaku Rektor UPN Veteran Jatim. 2. Bapak Ir. Sutiyono, MT, selaku DEKAN FTI UPN VETERAN Jatim. 3. Ibu Dr.Ir.Ni Ketut Sari, MT selaku Ketua Jurusan Teknik Infomatika UPN VETERAN Jatim. 4. Bapak Hudan Studiawan, S.Kom, M.Kom selaku Dosen Pembimbing yang telah meluangkan waktu untuk memberikan bimbingan selama proses pelaksanaan Tugas Akhir penulis. 5. Special to: Orang Tua dan keluarga tercinta atas motivasi dan doanya sehingga semua yang dikerjakan dapat berjalan lancar. 6. Dosen-dosen Teknik Informatika, staff dan segenap civitas akademika UPN VETERAN Jatim. Dilarang mengutip sebagian atau seluruh k ii

7 7. My best Friends: JOHN FAMILIEZ (Tini, Lebrina, Elly, Mita, Muji, Arvian, Awal), MAKCOMM (Fillah, Ika, Tika) dan tak lupa juga untuk seluruh teman-teman TF angkatan 2008.Tidak lupa penulis ucapkan terima kasih kepada teman-teman yang tidak dapat disebutkan satu persatu atas segala bantuannya dalam menyelesaikan Tugas Akhir ini. Penulis menyadari sepenuhnya masih banyak terdapat kekurangan dalam penulisan Tugas Akhir ini. Oleh sebab itu kritik serta saran yang membangun dari pembaca sangat membantu guna perbaikan dan pengembangan di masa yang akan datang. Akhirnya dengan ridho Allah penulis berharap semoga Tugas Akhir ini dapat memberikan manfaat bagi pembaca sekalian terutama mahasiswa di bidang komputer. Surabaya, Juni 2012 Penulis Dilarang mengutip sebagian atau seluruh k iv

8 DAFTAR ISI Halaman HALAMAN JUDUL LEMBAR PENGESAHAN LEMBAR PENGESAHAN DAN PERSETUJUAN KETERANGAN REVISI MOTTO ABSTRAKSI KATA PENGANTAR.. DAFTAR ISI DAFTAR TABEL DAFTAR GAMBAR i ii iv vii viii BAB I PENDAHULUAN Latar Belakang Perumusan Masalah Batasan Masalah Tujuan Manfaat Metodelogi Penelitian Sistematika Penelitian BAB II TINJAUAN PUSTAKA.. 6 Dilarang mengutip sebagian atau seluruh k iv

9 2.1 Web SQL injection Default Setting SQL Mencari Target Lokasi SQL Injecksion PHP MySQL HTML (Hyper Text Markup Language) Struktur HTML Web Server Cara Kerja Web Server Flowchart Google Dork Java Script Google Api BAB III PERANCANGAN Desain Sistem Perancangan Sistem Perancangan Data Input Data Input Web vulnerability Berbasis Online Perancangan Proses Proses Scanning Perancangan Antar Muka BAB IV IMPLEMENTASI Dilarang mengutip sebagian atau seluruh k iv

10 4.1 Implementasi Sistem. 49 BAB V PENGUJIAN DAN ANALISA Lingkungan Pengujian Uji Coba Aplikasi Web Vulnerability Scanner Proses Scanning ANALISIS Analisis Scan SQL Injection.. 64 BAB VI PENUTUP Kesimpulan Saran DAFTAR PUSTAKA Dilarang mengutip sebagian atau seluruh k vi

11 DAFTAR TABEL Halaman Tabel 2.1 Perbandingan Antara Web Statis Dengan Web Dinamis... 9 Tabel 2.2 Tipe Data Dalam My SQL Tabel 2.3 Simbol Flowchart Dilarang mengutip sebagian atau seluruh k iv

12 DAFTAR GAMBAR Halaman Gambar 2.1 Data Tipikal Untuk Halaman Web Yang Statis Gambar 2.2 Contoh Alur Data Pada Halaman Web Yang Dinamis. 10 Gambar 2.3 Contoh Ilustrasi SQLi Pada admin login area.. 12 Gambar 2.4 Cara kerja Web Server Gambar 3.1 Perancangan Sistem Secara Global Gambar 3.2 Diagram Alur Scan SQLi Gambar 3.3 Hasil pencarian pada mesin bing bersarkan inputan Google dork inurl:article.php?id= Gambar 3.4 Website target belum terinjeksi Gambar 3.5 Website target sudah terinjeksi Gambar 3.6 Antarmuka Aplikasi WVS Gambar 4.1 Tampilan Utama Aplikasi Gambar 4.2 Tampilan laporan scan sql injection Gambar 5.1 Halaman Utama Aplikasi WVS Gambar 5.2 Tampilan awal aplikasi Gambar 5.3a Proses Scanning Gambar 5.3b Proses Scanning Gambar 5.4 Report Scanning Gambar 5.5 Tampilan Website Sebelum di Injeksi Gambar 5.6 Tampilan website sesudah di injeksi Gambar 5.7 Proses scanning Google dork inurl:staff_id= viii Dilarang mengutip sebagian atau seluruh k

13 Gambar 5.8 Laporan scanning Google dork inurl:staff_id=.. 60 Gambar 5.9 Tampilan website sebelum di injeksi Gambar 5.10 Tampilan website sesudah di injeksi Gambar 5.11 Proses scanning Google dork inurl:gallery.php?id= 61 Gambar 5.12 Laporan scanning Google dork inurl:gallery.php?id= 62 Gambar 5.13 Tampilan website sebelum di injeksi Gambar 5.14 Tampilan website sesudah di injeksi Gambar 5.15 Halaman URL yang telah di injeksi Dilarang mengutip sebagian atau seluruh k iv

14 BAB I PENDAHULUAN 1.1 Latae Belakang Perkembangan dalam dunia maya terjadi sangat pesat. Teknologi baru dirancang dan diimplementasikan untuk memenuhi kebutuhan pengguna yang semakin beragam. Teknologi halaman web termasuk didalamnya. Teknologi yang ada kini telah revolusi menuju ke tingkatan yang berbeda. Halaman web kini tidak lagi statis namun juga dinamis. Kini halaman web yang dinamis merupakan pemandangan yang biasa dilihat ketika melakukan surfing menggunakan internet. Halaman web yang dinamis merupakan teknologi yang memberi perubahan penyediaan informasi, layanan, dan tampilan secara signifikan. Halaman web yang dinamis memungkinkan interaksi yang lebih baik antara penyedia layanan dengan penggunanya. Dengan menggunakan teknologi ini, halaman web akan terlihat lebih manusiawi. Penyedia layanan dapat menambahkan konten yang sebelumnya masih merupakan impian belaka. Dalam computer system security, istilah vulnerability merupakan suatu kelemahan yang memungkinkan seseorang untuk masuk dan mendapatkan hak akses ke dalam komputer yang dituju (target). Vulnerability adalah kelemahan yang dikarenakan kesalahan setting ataupun ketidaktahuan administrator. (Prayitno Ahmad, 2009) Hingga saat ini angka kejahatan di dunia maya tetap tinggi dan terus meningkat. Sebuah penelitian yang dilakukan oleh Corsaire menunjukkan bahwa sekitar 25% aplikasi berbasis web memiliki celah yang membuatnya jadi rentan Dilarang mengutip sebagian atau seluruh k 1

15 2 terhadap serangan yang dilakukan oleh para cracker. Corsaire mendasarkan hasil temuan ini pada penelitian selama enam tahun terakhir. Dalam menganalisis, Corsaire menggunakan sampel dari perusahaanperusahaan besar di beberapa tempat termasuk Inggris, Australia, Eropa, Asia dan tentu saja Amerika Serikat. Hasil analisis menunjukkan bahwa meski ada usaha untuk memperbaiki aplikasi berbasis web ini. Namun setidaknya masih ada sekitar 25% yang memiliki resiko tinggi. Menurut berita yang dilansir ITNews hari Selasa (09/12/08) disebutkan bahwa 25% aplikasi yang digolongkan dalam kategori resiko tinggi ini memiliki celah yang membuat aplikasi tersebut rentan terhadap serangan yang bisa mengakibatkan pencurian data dan pembobolan jenis lain. Sedangkan 75% sisanya masih dipecah lagi dalam kategori medium dan low yang artinya masih memiliki celah namun tak terlalu parah. Berikut merupakan data dari (Joe McCormack, 2009) tentang statistik serangan terhadap aplikasi Web: Gambar 1.1 Data Statistik Serangan terhadap Aplikasi Web Dari Gambar 1.1 diatas diketahui bahwa serangan XSS dan SQL Injection menempati urutan 2 besar. Para hacker berkonsentrasi melakukan eksploitasi pada Dilarang mengutip sebagian atau seluruh k

16 3 web-web di internet. Web yang tidak aman memberikan kemudahan akses kepada hacker untuk memanipulasi informasi dan melakukan aktivitas ilegal dengan menggunakan situs yang telah diserang. Situs yang menjadi korban dapat disalahgunakan untuk melakukan aktivitas criminal. Misalnya saja melakukan phishing, pencurian informasi sensitif milik pengguna, memanen pengguna untuk keperluan spamming, dan lain-lain. Dalam kondisi ini, attacker dapat membuat agar pemilik sah-nya yang bertanggung jawab atas tindak kejahatan tersebut. Para hacker telah memiliki banyak daftar serangan yang secara rutin dilakukan pada situs-situs di internet termasuk SQL Injection. Dan para hacker selalu memiliki update serangan-serangan terbaru terhadap situs-situs di internet. Dilatarbelakangi permasalahan di atas, dalam proyek akhir ini dibangun sebuah aplikasi yang berfungsi sebagai pendeteksi terhadap kelemahan SQL Injection pada suatu aplikasi web, sehingga dengan bantuan aplikasi tersebut suatu aplikasi web dapat dideteksi lebih dini terhadap kelemahan SQL Injection. Selain itu, aplikasi ini juga memberikan info letak kelemahan suatu web terhadap serangan SQL Injection. Dengan aplikasi ini, pengguna bisa mendeteksi apakah web memiliki kelemahan SQL Injection atau tidak. 1.2 Rumusan Masalah Dari latar belakang masalah yang telah dipaparkan, maka akan dibangun aplikasi web vulnerability scanner untuk serangan SQL Injection memanfaatkan Google. Adapun beberapa rumusan permasalahan yang ada dalam membangun aplikasi web vulnerability scanner ini yaitu: Dilarang mengutip sebagian atau seluruh k

17 4 a) Bagaimana membangun web vulnerability scanner berdasarkan data masukan dari pengguna untuk web vulnerability scanner berbasis online. b) Bagaimana mengolah informasi dan menampilkan hasil scanning yang dibutuhkan oleh pengguna. 1.3 Batasan Masalah Sedangkan batasan masalah pada proyek akhir ini, antara lain yang digunakan: a) Bahasa yang digunakan adalah PHP dan software development yang digunakan adalah Adobe Macromedia Dreamwaver. b) Aplikasi web yang dapat dipindai adalah aplikasi web yang dibangun dengan menggunakan bahasa pemrograman PHP dengan MySQL sebagai DBMS. c) Kelemahan yang dibahas adalah SQL Injection. 1.4 Tujuan Tujuan proyek akhir ini adalah untuk membangun aplikasi web vulnerability scanner menggunakan PHP. Adapun manfaat dengan dibangunnya aplikasi ini adalah untuk mendeteksi kelemahan web terhadap serangan SQL Injection. 1.5 Manfaat Berdasarkan dari latar belakang diatas maka dapat dirumuskan masalah sebagai berikut: Dilarang mengutip sebagian atau seluruh k

18 5 a. Membangun web secara secure. Membuat website dengan tingkat kemanan yang tinggi sehingga tidak mudah untuk dirusak atau dimasuki oleh pihak pihak tertentu. b. Terhindar dari defacer website. Website bebas dari para perusak tampilan pada website yang telah dibangun, bahkan menghapus seluruh data yang ada di dalam database. c. Mendeteksi kelemahan web terhadap serangan SQL Injection. Mendeteksi salah satu jenis serangan web yang dilakukan dengan memanfaatkan kelemahan pada suatu aplikasi web sehingga memungkinkan aplikasi untuk menginjeksikan suatu tag HTML pada aplikasi web tersebut dikarenakan adanya variabel yang tidak disanitasi dengan baik. 1.6 Metodologi Penelitian Dalam pengerjaan proyek akhir ini meliputi langkah-langkah sebagai berikut: 1. Studi Literatur Pada tahap ini dilakukan studi literatur dari beberapa referensi baik itu dari buku atau internet. 2. Perancangan Sistem Pada tahap ini dilakukan perancangan sistem yang akan dibangun, meliputi perancangan database, perancangan sistem dan pembuatan user interface. Dilarang mengutip sebagian atau seluruh k

19 6 3. Persiapan Data Data-data penunjang yang didapatkan berupa suatu kesimpulan, faktafakta dan aturan yang mengatur proses pencarian data yang saling berhubungan satu sama lain disimpan ke dalam basis data RDBMS (Relational DataBase Management System) sebagai media penyimpanan. 4. Pengujian dan Analisa Pengujian dan analisa dimaksudkan untuk mengetahui sejauh mana sistem yang dibuat pada proyek akhir ini dapat berfungsi sesuai dengan proses sistem yang diharapkan. 5. Kesimpulan Dibuat kesimpulan dari pengujian sistem proyek akhir dengan membandingkan apakah hasilnya seperti yang diharapkan pada tujuan proyek akhir sebelumnya. 6. Pembuatan Laporan Membuat dokumentasi dari semua tahapan proses diatas berupa laporan yang berisi tentang dasar teori, hasil proyek akhir dan hasil analisis. 1.7 Sistematika Penelitian Sistematika pembahasan yang akan diuraikan dalam buku laporan proyek akhir ini terbagi dalam beberapa bab yang akan dibahas sebagai berikut: BAB I PENDAHULUAN Bab ini berisi tentang pendahuluan yang terdiri dari latar belakang, perumusan masalah, batasan masalah, tujuan dan sasaran, metodologi, serta sistematika pembahasan dari proyek akhir ini. Dilarang mengutip sebagian atau seluruh k

20 7 BAB II TEORI PENUNJANG Bab ini membahas mengenai teori-teori yang berkaitan dengan penyelesaian proyek akhir, yang didapatkan dari berbagai macam buku serta sumber-sumber terkait lainnya yang berhubungan dengan pembuatan proyek akhir ini. BAB III PERANCANGAN SISTEM Bab ini membahas mengenai perancangan sistem, meliputi perancangan hirarki, perancangan proses, dan perancangan user interface. BAB IV IMPLEMENTASI Bab ini membahas mengenai implementasi sistem. BAB V UJI COBA DAN ANALISA Bab ini menyajikan dan menjelaskan seluruh hasil dan analisa dalam pembuatan proyek akhir ini dan bagaimana penyelesaian dari setiap permasalahan error yang terjadi pada sistem operasi Windows. BAB VI PENUTUP Bab ini berisi kesimpulan dari uji coba perangkat lunak, dan saran untuk pengembangan, perbaikan serta penyempurnaan terhadap aplikasi yang telah dibuat. Dilarang mengutip sebagian atau seluruh k