XSS Attack, Sepele Tapi Mematikan

Beranda

...

Website, Webmaster, Webdeveloper
XSS Attack, Sepele Tapi Mematikan

IchensThea

11-04-2013 22:35

XSS Attack, Sepele Tapi Mematikan

Pertama-tama saya panjatkan puji dan syukur kepada Allah SWT... kaya yg mau ceramah aja emoticon-Ngakak

bekicot langsung saja ke inti pembicaraan "XSS Attack, Sepele Tapi Mematikan". Tapi sebelumnya ane ngelanggar Rules ga ya ? ane mau share dikit salah satu ngegunain cara hack dengan XSS Attack.

Buat suhu-suhu yang udah ngerti, Ane cuma share aja buat yang ga ngerti apa itu XSS Attack

Spoiler for Dear Hansip:

Hapus aja theat ini kalo ngelanggar RULES

Apa itu XSS Attack ?

Spoiler for Tentang XSS Attack:

XSS merupakan kependekan yang digunakan untuk istilah cross site scripting.

XSS merupakan salah satu jenis serangan injeksi code (code injection attack). XSS dilakukan oleh penyerang dengan cara memasukkan kode HTML atau client script code lainnya ke suatu situs. Serangan ini akan seolah-olah datang dari situs tersebut. Akibat serangan ini antara lain penyerang dapat mem-bypass keamanan di sisi klien, mendapatkan informasi sensitif, atau menyimpan aplikasi berbahaya.

Alasan kependekan yang digunakan XSS bukan CSS karena CSS sudah digunakan untuk cascade style sheet.

Type XSS Attack

Spoiler for Type XSS Attack:

Reflected atau nonpersistent

Spoiler for Reflected:
Reflected XSS merupakan tipe XSS yang paling umum dan yang paling mudah dilakukan oleh penyerang. Penyerang menggunakan social engineering agar tautan dengan kode berbahaya ini diklik oleh pengguna. Dengan cara ini penyerang bisa mendapatkan cookie pengguna yang bisa digunakan selanjutnya untuk membajak session pengguna.

Mekanisme pertahanan menghadapi serangan ini adalah dengan melakukan validasi input sebelum menampilkan data apapun yang di-generate oleh pengguna. Jangan percayai apapun data yang dikirim oleh pengguna.
Stored atau persistent

Spoiler for Stored:
Stored XSS lebih jarang ditemui dan dampak serangannya lebih besar. Sebuah serangan stored XSS dapat berakibat pada seluruh pengguna. Stored XSS terjadi saat pengguna diizinkan untuk memasukkan data yang akan ditampilkan kembali. Contohnya adalah pada message board, buku tamu, dll. Penyerang memasukkan kode HTML atau client script code lainnya pada posting mereka.

Serangan ini lebih menakutkan. Mekanisme pertahanannya sama dengan reflected XSS: jika pengguna diizinkan untuk memasukkan data, lakukan validasi sebelum disimpan pada aplikasi.

Quote:

Nah Loh gimana maksudnya ? Ane masih bingung, kok bisa mematikan ?

Masih ga ngerti juga nih liat contohnya :

Spoiler for Contoh 1:

Coba Agan Liat URLnya ..../search=bla bla bla

Itu kelemahan saat pencarian, agan coba sendiri, ulik ulik sendiri aja emoticon-Ngakak

tapi perdalam dulu HTMLnya.. kalo udah bisa kan bisa PAMER ma temen yg udik emoticon-Ngakak

Spoiler for contoh 2:

Ini web sekolahan swasta di bandung, loh apa nya yg berubah ? coba deh agan klik dimana aja emoticon-Ngakak

Kalo agan klik dimana aja di web sekolahan itu hasilnya kaya gini :

Spoiler for hasil:

Quote:

Mau "KLIK" gimana... agan ga ngasih Urlnya...

Itu kan keliatan kali di gambarnya.... emoticon-Marah

hehehe

XSS Attack ga cuma bisa gitu aja.. coba agan cari web web di google yg misal URLnya kaya gini ".../page.php=about.php", nah coba deh aboutnya diganti sama apa gitu terserah agan..

XSS Attack bisa ngambil cookies, ngambil cendol juga bisa, XSS Attack banyaaaaaakkkkk ragamnya, kaya kebudayaan indonesia aja emoticon-Matabelo

Buat Programer Web Pemula

XSS Attack sering di anggap sepele.. contohnya aja ada temen ane wahh kalo di tanyain koding PHP, HTML, CSS, JS pasti dia bisa jawab, nah suatu ketika dia nunjukin hasil web nya sama ane...

Gini ceritanta : ( yeeh malah cerita... emoticon-Ngakak

)

Spoiler for cerita:

Temen : Chen, coba liat web baru gw, bagus ga ?
Ane : Wah bener bagus, Securitynya bagus juga ga ?
Temen : Masalah security mah udah semua, SQLinjection, validasi, dlll udah semua, gimana ? bagus ga ? kalo bagus mau gw upload langsung ke webHosting..
Ane : Udah bagus kok.. apload aja..

~Ceritanya dia selesai upload
Temen : chen udah ane upload, lu isi dong di buku tamu.. biar ga sepi..
Ane : ya udah ane nurut aja... ane isi tuh buku tamunya.. isinya kaya gini :

Code:

<h1>Hello</h1><br><br><br><span style="font-size:500px">Horeee PertamaxxxxXXXX</span>

ehh ternyata wahahaha XSS Attack nya masih bisa..
Taukan 500px segede apa ? NGAJEBLAG BADAG emoticon-Ngakak

Security itu cuma ga di SQlinjection atau validasi ada.. masih banyak lagi salah satunya XSS Attack..

Logikanya kaya gini :
Agan ngadain pesta, CCTV dipasang di setiap sudut ruangan.. tapi para tapi bisa masuk ke ruangan pengatur CCTV kapan aja, yaa sama aja bo'ong.. kalo tamu nya iseng, CCTV bisa dimatiin. nah gitu....

Kesimpulan

Spoiler for kesimpulan:

Jadi, Agan yg baru belajar pemograman web jangan cuma jago di pemogramannya aja, tapi securitynya juga di jagoin, minimal XSS Attak lah.. kalo di PHP ada kok scriptnya buat ngilangin Tag Tag HTML. belajar itu sampe kita ke alam kubur. ga usah takut web agan terkena hack, kalo terkena hack, agan mau apa ? pasti benerin security webnya kan.. jadi ga usah takut.. Hacker itu memberitau dimana kelemahan kita, beda sama kracker yg kerjaannya NGERUSAK... HACK FOR SECURITY

Buat suhu-suhu kalo ada yang mau nambahin, silahkan emoticon-Smilie