Halo, Apa kabar?
Melalui artikel ini, saya ingin berbagi pengetahuan tentang Cross Site Scripting atau bisa disebut dengan XSS, semoga dapat menambah ilmu yang ingin belajar XSS.
Jika kamu ketahui, serangan XSS biasanya digunakan untuk mencuri cookie, session hijacking, menyebarkan malware, dan lain sebagainya.
Nah, XSS merupakan serangan yang sangat berbahaya dan paling banyak ditemukan diwebsite.
Jika kamu ketahui, website sekelas Google, Yahoo, Facebook, Amazon, Paypal dan lain sebagainya. Jika kamu cek pada laporan bug, sebagian besar melaporkan serangan xss. Wowwwwww!
Apa Sih XSS Itu?
XSS adalah merupakan kode HTML atau Client Script yang diinjeksikan penyerang pada suatu website/situs.
Dampak XSS?
Nah, dampak atau bahaya XSS adalah akibatnya penyerang/attacker dapat melewati keamanan disisi klien, menyisipkan script xss alert berbahaya, dan bahkan bisa mendapatkan sebuah informasi yang sangat sensitive.
Tipe Serangan XSS?
Menurut apa yang sudah saya pelajari, kalau jenis-jenis serangan XSS itu dikategorikan berbeda-beda, penjelasanya kurang lebih seperti ini:
Reflected XSS (Non-Persistent XSS)
Metode serangan ini dikenal sebagai serangan non-persistent, maksudnya terjadi ketika script berbahaya dipantulkan dari aplikasi web ke browser korban. Dan ini bersifat sementara atau tidak permanen.
Stored XSS (Persistent XSS)
Jenis serang ini yang paling merusak, karena apa? Script jahat yang disuntikan ke web korban akan disimpan secara permanen di server tersebut. Misal contohnya seperti database, visitor log, dan lain sebagainya.
DOM-based XSS
Tipe serangan ini, terjadi jika web aplikasi menulis data ke sebuah Document Object Model (DOM) tanpa adanya sanitization yang tepat.
Akibatnya penyerang/attacker dapat memanipulasi data ini untuk memasukan konten XSS pada halaman website seperti kode Javascript yang berbahaya.
Nahh, jadi kurang lebih ya seperti itu penjelasan mengenai ciri-ciri serangan XSS, semoga dapat membantu ya.
Testing XSS
Untuk memantapkan apa yang sudah kamu pelajari, disini saya sudah menyiapkan bahan percobaan untuk belajar XSS.
Udah kamu kunjungi? Apakah kamu tahu apa yang harus kamu lakukan? Nah, jika kamu tidak tahu, berikut solusinya serta ulasanya:
CHAPTER 1:
Di chapter pertama kita disediakan sebuah web, lalu disitu terdapat sebuah form input dan jika kita mengisinya maka tampilanya akan seperti pada gambar berikut:
Jika kita pahami, ditampilan tersebut terdapat sebuah kata "cannot find maqloheker" yakan? Jadi intinya kurang lebih gini, ketika user menginput nama maka akan ditampikan pada bagian "cannot find $keyword" sudah kebayang kalau kita bisa mencoba melakukan serangan XSS.
Sebelum melakukan serangan XSS, kita lakukan view-source terlebih dahulu, hal ini berguna untuk mengetahui dimana query/keyword kita berada.
Nah, disini kewywordnya berada pada bagian baris ke 32.
Karena kita sudah tahu letaknya, sekarang kita bisa memasukan/injeksi payload xss kita pada bagian form input.
Script XSS: <script>alert("XSS")</script>
Dan kalau berhasil, maka tampilanya akan seperti pada gambar berikut ini:
Keren sekali bukan? Selamat kamu sudah berhasil melakukan serangan Reflected XSS.
Untuk chapter selanjutnya kamu bisa pelajari sendiri, saya tidak bisa tulis disini maaf ya hehe.
Bagaimana Cara Mengatasinya?
Jika kamu sudah paham tentang dasar-dasar mengenai serangan XSS, alangkah baiknya kalau kita juga pelajari tentang cara patch atau mengatasi dari serangan XSS tersebut.
Oke, simak berikut tips solusi atau mencegah Vulnerability XSS:
- Menggunakan htmlspecialchars()
- Validasi
- Encoding
- Filtering
Hanya itu saja, selebihnya kembangkan lagi dengan bisa kamu cari referensi.
REFERENSI:
Semoga, dengan mencamtumkan web tersebut dapat untuk mencari informasi ataupun sebagai referensi bug/vulnerability XSS pada website ya, agar lebih tahu dan kamu bisa berkreasi.
Sebenarnya masih banyak lagi, tapi segini cukup lah buat referensi kalo kurang ya use google search oke.
Demikian tulisan sederhana saya ini, tentang Belajar Bareng: Cross Site Scripting (XSS) kurang lebih seperti itu yang bisa saya sampaikan, semoga dapat membantu pemahaman kalian semua yang sedang belajar tentang XSS.
Ohiyaa, jika kamu ingin bertanya atau apalah, silahkan tuliskan dikolom komentar yang sudah disediakan, no spam ya saya tidak suka!
Dan maaf banget kalo ada salah dalam penjelasan tutorial ini ya, mohon dimaklumi *awwmlubnget
Terimakasih, maturnuwun. Enjoy!
Comments
Post a Comment