PENDETEKSI CELAH KEAMANAN PADA APLIKASI WEB DENGAN PENETRATION TESTING MENGGUNAKAN DATA VALIDATION TESTING SKRIPSI INDRA M.

Transkripsi

1 PENDETEKSI CELAH KEAMANAN PADA APLIKASI WEB DENGAN PENETRATION TESTING MENGGUNAKAN DATA VALIDATION TESTING SKRIPSI INDRA M. NABABAN PROGRAM STUDI S1 TEKNOLOGI INFORMASI FAKULTAS ILMU KOMPUTER DAN TEKNOLOGI INFORMASI UNIVERSITAS SUMATERA UTARA MEDAN 2014

2 PENDETEKSI CELAH KEAMANAN PADA APLIKASI WEB DENGAN PENETRATION TESTING MENGGUNAKAN DATA VALIDATION TESTING SKRIPSI Diajukan untuk melengkapi tugas dan memenuhi syarat memperoleh ijazah Sarjana Teknologi Informasi INDRA M. NABABAN PROGRAM STUDI S1 TEKNOLOGI INFORMASI FAKULTAS ILMU KOMPUTER DAN TEKNOLOGI INFORMASI UNIVERSITAS SUMATERA UTARA MEDAN 2014

3 ii PERSETUJUAN Judul : PENDETEKSI CELAH KEAMANAN PADA APLIKASI WEB DENGAN PENETRATION TESTING MENGGUNAKAN DATA VALIDATION TESTING Kategori : SKRIPSI Nama : INDRA M. NABABAN Nomor Induk Mahasiswa : Program Studi : S1 TEKNOLOGI INFORMASI Departemen : TEKNOLOGI INFORMASI Fakultas : ILMU KOMPUTER DAN TEKNOLOGI INFORMASI UNIVERSITAS SUMATERA UTARA Komisi Pembimbing : Pembimbing 2 Pembimbing 1 Baihaqi Siregar S.Si., M.T Romi Fadillah Rahmat, B.Comp.Sc M.Sc NIP NIP Diketahui/disetujui oleh Program Studi S1 Teknologi Informasi Ketua, Muhammad Anggia Muchtar, ST., MM.IT NIP

4 iii PERNYATAAN PENDETEKSI CELAH KEAMANAN PADA APLIKASI WEB DENGAN PENETRATION TESTING MENGGUNAKAN DATA VALIDATION TESTING SKRIPSI Saya mengakui bahwa skripsi ini adalah hasil karya saya sendiri, kecuali beberapa kutipan dan ringkasan yang masing-masing telah disebutkan sumbernya. Medan, 14 Oktober 2014 Indra M. Nababan

5 iv UCAPAN TERIMA KASIH Puji dan syukur penulis sampaikah kehadirat Tuhan Yang Maha Esa yang telah memberikan rahmat serta restu-nya sehingga penulis dapat menyelesaikan skripsi ini sebagai syarat untuk memperoleh gelar Sarjana Teknologi Informasi. Pertama, penulis ingin mengucapkan terima kasih kepada Bapak Romi Fadillah Rahmat, B.Comp.Sc. M.Sc selaku pembimbing pertama dan Bapak Baihaqi Siregar S.Si., M.T, selaku pembimbing kedua yang telah membimbing penulis dalam penelitian serta penulisan skripsi ini. Tanpa inspirasi serta motivasi yang diberikan dari kedua pembimbing, tentunya penulis tidak akan dapat menyelesaikan skripsi ini. Penulis juga mengucapkan terima kasih kepada Sarah Purnawati, ST., M.Sc sebagai dosen pembanding pertama dan Bapak Drs. Sawaluddin, M. IT sebagai dosen pembanding kedua yang telah memberikan masukan serta kritik yang bermanfaat dalam penulisan skripsi ini. Ucapan terima kasih juga ditjukan kepada semua dosen serta semua pegawai pada program studi S1 Teknologi Informasi, yang telah membantu serta membimbing penulis selama proses perkuliahan. Penulis tentunya tidak lupa berterima kasih kepada kedua orang tua penulis, Bapak penulis M. Nababan, serta M. Hutagaol yang telah membesarkan penulis dengan sabar dan penuh cinta. Penulis juga berterima kasih kepada seluruh anggota keluarga penulis yang namanya tidak dapat disebutkan satu satu. Terima kasih juga penulis ucapkan kepada seluruh teman-teman angkatan 2010 yang telah bersama-sama penulis melewati perkuliahan pada program studi S1 Teknologi Informasi, serta teman-teman mahasiswa Teknologi Informasi lainnya. Secara khusus, penulis juga mengucapkan terima kasih kepada Sarah Hutagaol yang selalu memotivasi dan memberikan perhatiannya kepada penulis.

6 v ABSTRAK Kejahatan baru di bidang komputer muncul sejak berkembang pesatnya teknologi informasi dengan adanya internet. Aplikasi web masih sering diserang untuk mendapatkan informasi sensitif dari aplikasi web tersebut seperti pencurian informasi, pembajakan akun dan lain sebagainya. Resiko ini disebabkan kesalahan aplikasi web dalam menangani input yang datang dari pengguna. Input validation vulnerability ini dieksploitasi para cracker dengan cara yang paling sering seperti SQL Injection, Cross Site Scripting, dan File Inclusion. Untuk membantu para developer dan pemilik website untuk menemukan kelemahan-kelemahan ini pada aplikasi adalah dengan menggunakan aplikasi pendeteksi celah keamanan. Metode yang digunakan dalam penelitian ini adalah penggunaan Penetration Testing yang difokuskan untuk menguji validasi input dengan menggunakan Data Validation Testing untuk mendeteksi celah keamanan pada aplikasi web. Data Validation Testing yang digunakan untuk menguji dalam bentuk injeksi karakter-karakter biasa ataupun karakter yang di-encode ke dalam karakter hex untuk melewati beberapa filter para developer website. Aplikasi ini mendeteksi celah keamanan yang rentan terhadap SQL Injection, Blind SQL Injection, Cross Site Scripting, dan File Inclusion. Pada penelitian ini ditunjukkan bahwa metode yang diajukan mampu mendeteksi celah keamanan pada aplikasi web. Kata Kunci : celah keamanan, Data Validation Testing, Penetration Testing, SQL Injection, Cross Site Scripting.

7 vi WEB APPLICATION VULNERABILITY DETECTOR WITH PENETRATION TESTING USING DATA VALIDATION TESTING ABSTRACT New crime in field computer have emerged since the rapid growth of information technology with the internet. The web application is still often attacked to obtain sensitive information from web applications such as information theft, account hijacking, and so forth. This risk is due to errors in the web application handles input coming from the user. Input validation vulnerability is exploited by crackers most often attack such as SQL Injection, Cross Site Scripting and File Inclusion. To helping developers and website owners to find vulnerability in their application is using vulnerability detection applications. In this study Penetration Testing with using Data Validation Testing is focused to testing input validation is used to detect vulnerability in web applications. Data Validation Testing is used to test the injectable forms of ordinary characters, or characters that are encoded into hex characters to pass through several filters the developers website. This application detects vulnerability that are vulnerable to SQL Injection, Blind SQL Injection, Cross Site Scripting and File Inclusion. In this study indicated that the proposed method is able to detect vulnerability in web applications. Keywords: vulnerability, Data Validation Testing, Penetration Testing, SQL Injection, Cross Site Scripting.

8 vii DAFTAR ISI Hal. Persetujuan Pernyataan Ucapan Terima Kasih Abstrak Abstract Daftar Isi Daftar Tabel Daftar Gambar ii iii iv v vi vii xi xii BAB 1 Pendahuluan Latar Belakang Rumusan Masalah Tujuan Penelitian Batasan Masalah Manfaat Penelitian Metodologi Penelitian Sistematika Penulisan 4 BAB 2 Landasan Teori Keamanan Informasi Keamanan Web 7

9 viii 2.3. Aplikasi Web dan Keamanan Aplikasi Web Aplikasi web Keamanan aplikasi web Celah Keamanan /Vulnerability Celah keamanan pada aplikasi web Identifikasi Jenis Serangan pada Aplikasi web SQL Injection Cross Site Scripting Remote File inclusion Local File Inclusion Penetration Testing Tipe Penetration Testing Tahapan Penetration Testing Penetration Testing Aplikasi Website P enelitian Terdahulu 22 BAB 3 Analisis dan Perancangan Identifikasi Masalah Analisis Sistem Tahap crawling Proses attack scenario Proses vulnerability discovery Proses Menguji Celah Keamanan Aplikasi Web Proses menguji serangan SQL Injection Proses menguji serangan Cross Site Scripting 35

10 ix Proses menguji serangan File Inclusion Perancangan Sistem Fungsi utama Batasan- batasan Data yang digunakan Analisis pengguna Diagram use case Diagram aktivitas Perancangan User Interface Rancangan halaman utama Rancangan halaman tutorial aplikasi Rancangan halaman about Rancangan halaman testing 47 BAB 4 Implementasi dan Pengujian Implementasi Sistem Spesifikasi perangkat keras dan perangkat lunak yang digunakan Implementasi penetration testing menggunakan data validation testing Implementasi perancangan antarmuka pengguna Pengujian Sistem Pengujian kinerja antarmuka pengguna Pengujian Sistem Secara Menyeluruh dan Hasil Penetration Testing Hasil penetration testing 59

11 x Hasil pengujian aplikasi web dan solusi terhadap SQL Injection Hasil pengujian aplikasi web dan solusi terhadap Cross Site Scripting Hasil pengujian aplikasi web dan solusi terhadap Cross Site Scripting 65 BAB 5 Kesimpulan dan Saran Kesimpulan Saran 69 Daftar Pustaka 70 Lampiran A : Tabel 73 Lampiran B : Potongan Source Code Aplikasi 79

12 xi DAFTAR TABEL Hal. Tabel 2.1 WHID top 10 attacks methods (Krawczyk, 2013) 12 Tabel 2.2 Penelitian Terdahulu 23 Tabel 3.1 Use case spesifikasi untuk use case pendeteksi vulnerability 42 Tabel 4.1 Rencana pengujian 54 Tabel 4.2 Hasil pengujian halaman utama 54 Tabel 4.3 Hasil pengujian halaman tutorial aplikasi 54 Tabel 4.4 Hasil pengujian halaman about 56 Tabel 4.5 Hasil pengujian halaman testing 56 Tabel 4.6 Sampel alamat website 57 Tabel 4.11 Hasil penetration testing 59

13 xii DAFTAR GAMBAR Hal. Gambar 2.1 Contoh Website Tradisional yang Hanya Berisi Informasi Statis (Stuttard, 2011)) 8 Gambar 2.2 Arsitektur Sederhana 3 tier (Clarke, 2009) 13 Gambar 2.3 Contoh Kode PHP (Clarke, 2009) 14 Gambar 2.4 Contoh Halaman Terinfeksi ( Grossman et all, 2007) 15 Gambar 3.1 Arsitektur Umum Aplikasi 25 Gambar 3.2 Gambaran Umum Metode Penetration Testing 27 Gambar 3.3 Flowchart Crawling URL Website 28 Gambar 3.4 Flowchart Skenario Penyerangan Secara Umum 30 Gambar 3.5 Flowchart Vulnerability Discovery Secara Umum 31 Gambar 3.6 Flowchart Testing SQL Injection 32 Gambar 3.7 Flowchart Testing Cross Site Scripting 36 Gambar 3.8 Flowchart Testing File Inclusion 40 Gambar 3.9 Diagram Use Case Pendeteksi Celah Keamanan 42 Gambar 3.10 Diagram Aktivitas Sistem 44 Gambar 3.11 Rancangan Halaman Utama 45 Gambar 3.12 Rancangan Halaman Tutorial 46 Gambar 3.13 Rancangan Halaman About 47 Gambar 3.14 Rancangan Halaman Testing 48 Gambar 4.1 Halaman Utama 50

14 xiii Gambar 4.2 Halaman Tutorial Aplikasi 51 Gambar 4.3 Halaman About 52 Gambar 4.4 Halaman Tutorial Aplikasi 53 Gambar 4.4 Sample 1 Pengujian SQL Injection Situs 58 Gambar 4.5 Contoh Halaman Sampel 1 yang terdapat error default database SQL 60 Gambar 4.6 Contoh Halaman Sampel 2 yang terdapat error default database SQL 61 Gambar 4.7 Contoh Halaman Sampel 4 yang terdapat error default database SQL 61 Gambar 4.8 Contoh Halaman Sampel 1 yang terdapat tag injeksi HTML 64 Gambar 4.9 Contoh Halaman Sampel 2 yang terdapat tag injeksi HTML 65 Gambar 4.10 Contoh Halaman Sampel 4 yang terdapat tag injeksi HTML 65