Scanning XSS vulnerability Scanning

5

2. Scanning

Proses scanning yang dilakukan menggunakan beberapa tool yang disajikan pada Tabel 1. Tabel 1 Tool yang digunakan pada proses scanning Tool Fungsi Nikto Web server vulnerability scanner Wikto Web server vulnerability scanner yang bekerja pada sistem operasi Windows saja. Acunetix Web Vulnerability Scanner XSS vulnerability scanner Nessus web aplication testing, dan penetration testing Scrawlr SQL Injection Scanner Proses scanning dilakukan dengan menggunakan tool yang disebutkan pada Tabel 1 secara berurutan dari tool pertama hingga terakhir. Server yang digunakan pada penelitian kali ini merupakan komputer di lab jaringan. Komputer tersebut disamakan jenis sistem operasinya serta software yang di install sesuai dengan komputer server pada untuk website perguruan tinggi.

2.1 Scanning XSS vulnerability

Scanning terhadap XSS vulnerability dilakukan menggunakan tool Nikto, Nessus, Wikto, dan Acunetix Web Vulnerability Scanner. Hasil scanning yang diperoleh dari ketiga tool adalah sebagai berikut: • Celah Cross-site Tracing XST muncul pada saat melakukan scanning menggunakan Nikto, Nessus, dan Wikto. Hasil dari ketiga tool tersebut ditunjukkan pada Tabel 2. Celah keamanan ini dapat dimanfaatkan oleh hacker untuk memperoleh informasi berharga seperti cookie dan authentication credential dari sebuah website melalui metode TRACE yang didukung oleh web server. Tabel 2 Hasil scanning Nikto, Nessus, dan Wikto yang menunjukan celah XST Tool Hasil Keterangan Nikto + OSVDB-877: HTTP TRACE method is active, suggesting the host is vulnerable to XST Hasil tersebut menunjukan aktifnya metode TRACE yang dapat menyebabkan XST Nessus HTTP TRACE TRACK Methods Allowed Hasil tersebut menunjukan aktifnya metode TRACE Wikto ,TRACE HTTP1.,generic, TRACE option appears to allow XSS or credential theft Hasil tersebut menunjukan aktifnya metode TRACE yang memungkinkan dilakukan serangan XSS • Informasi tentang tipe dan versi web server muncul. Vulnerability jenis ini sebenarnya tidak terlalu berbahaya, namun informasi yang didapatkan pada tahapan tersebut dapat dipakai oleh hacker untuk menentukan jenis serangan yang akan dilakukan terhadap server target. Celah keamanan tersebut dapat terjadi dikarenakan oleh: • Tipe dan versi web server diketahui Tipe dan versi dari web server dapat diketahui dari hasil scanning menggunakan tool Nikto, Nessus, dan Wikto. Hasil scanning dari ketiga tool disajikan pada Tabel 3. Tabel 3 Hasil scanning Nikto, Nessus, dan Wikto yang menunjukkan tipe dan versi web server yang digunakan Tool Hasil Keterangan Nikto Server: Apache2.2.8 LinuxSUSE Tipe dan versi web server diketahui Nessus Apache Banner 6 Linux Distribution Disclosure Wikto server- status,200,apache ,This gives a lot of Apache information • Web server manual Web server manual ditemukan pada hasil scanning dengan menggunakan Nikto dan Wikto. Hasil dari kedua tool tersebut ditunjukkan pada Tabel 4. Tabel 4 Hasil scanning Nikto, dan Wikto Tool Hasil Keterangan Nikto OSVDB- 3092: manual: Web server manual found Directory yang berisi manual dari web server dapat ditemukan Wikto manual,200,gen eric,Web server manual • Directory indexing Directory indexing dari web server dapat diketahui dari hasil scanning menggunakan tool Nikto, Nessus, dan Wikto. Hasil scanning dari ketiga tool disajikan pada Tabel 5. Tabel 5 Hasil scanning Nikto, Nessus, dan Wikto yang menunjukkan adanya directory indexing Tool Hasil Keterangan Nikto + OSVDB- 3268: icons: Directory indexing is enabled: icons Directory icons yang berisi file default sebuah web server dapat ditemukan Wikto icons,200,apache Directory indexing dari ,Directory indexing is enabled web server di aktifkan sehingga file default web server dapat ditemukan Nessus Web Server Directory Enumeration Directory icons yang berisi file default sebuah web server dapat ditemukan • Terdapat kode program yang dapat di injeksi dengan script. Injeksi tersebut menggunakan teknik XSS. Scanning dilakukan dengan menggunakan tool Acunetix Web Vulnerability Scanner. Hasil scanning dapat dilihat pada Lampiran 1.

2.2 Scanning SQL Injection vulnerability