Menganalisa Kemanan Website Menggunakan Websecurify

Perkembangan teknologi informasi khususnya internet sangat luar biasa pesatnya. Hampir semua sistem informasi dibangun berbasis web. Namun, sayangnya tidak semua website dibangun dengan aman. Ada beberapa website (mungkin ribuan bahkan jutaan) yang mempunyai banyak kelemahan (vulnerabilities). Bahkan website resmi salah satu kampus di Indonesia terdapat bayak sekali kelemahan (eror), yang jika tidak diperbaiki bisa dimanfaatkan orang-orang yang tidak bertanggung jawab untuk melakukan perusakan. Salah satu tool yang bisa digunakan untuk menganalisa keamanan website adalah websecurify. Tool ini bisa dijanlankan di berbagai sistem operasi baik windows, linux maupun mac os. Websecurify bisa didownload di sini. 

Cara menginstalnya pun cukup mudah. Untuk sistem operasi Windows tinggal mendownload file dengan ekstensi .exe. Setelah selesai didwonload jalankan file tersebut dengan cara klik dua kali, sama seperti program-program yang lain. Kemudian dijalankan melalui start menu. 

Untuk sistem operasi Linux khususya Ubuntu, download file websecurify yang berekstensi .tar.gz. Setelah selesai download ekstrak file tersebut. Jika anda tidak terbiasa menggunakan terminal, cukup dengan klik kanan pada file tersebut pilih ekstract here. Untuk menjalankanya melalui terminal, masuk ke folder tempat dimana websecurify diekstrak. Misal saya ekstrak di Documents/Websecurify. Menggunakan perintah 'cd /Documents/Websecurify' untuk masuk ke folder tempat hasil ekstrak. Untuk menjalankanya menggunakan perintah 'xulrunner --app application.ini' tanpa tanda petik. Maka akan tampil websecurify berbasis GUI. 

Tool ini juga tersedia pada Backtrack 4 ke atas. Untuk Backtrack 3 harus menginstal secara manual.

Setelah antarmuka websecurify tampil, pilih File, Start Test, kemudian masukkan alamat website yang akan dianalisa. websecurify akan menganalisa kelemahan (error) website serta mnegambil screenshoot pada bagian yang error. Disamping itu websecurify akan memberikan solusi. Berikut contoh hasil analisa kemanan website resmi salah satu kampus di Indonesia. 

 

Tulisan ini sengaja dibuat untuk kepentingan pendidikan semata agar kita bisa mengetahui celah keamanan sebuah website. Penulis tidak bertanggung jawab terhadap kerusakan yang diakibatkan oleh orang-orang yang tidak bertanggung jawab setelah membaca tulisan ini. Semoga bermanfaat.

Ethical Hacking

Seringkali kita mendengar istilah hacking. Hacking berasal dari Bahasa Inggris hack yang berarti mengakses komputer secara ilegal (http://www.merriam-webster.com/dictionary/hack). Pelakunya disebut dengan hacker. Dalam Bahasa Indonesia hacker diterjemahkan sebagai peretas menurut wikipedia, peretas adalah orang yang mempelajari, memodifikasi dan menerobos komputer dan jaringan komputer untuk mendapatkan keuntungan atau sekedar tantangan. Bayangan kita hacker adalah orang yang sangat jahat, dia mencuri informasi, merubah tampilan website dan lain sebagainya. Anggapan kita tersebut tidaklah salah namun juga tidak sepenuhnya benar. 

Kegiatan hacking tidak semuanya merugikan, walaupun kenyataanya kegiatan hacking banyak yang menimbulkan kerugian. Contoh hacking yang tidak merugikan seperti apa yang dilakukan oleh Linus Trovald, ketika melakukan hack ke dalam sistem operasi minix (minimal unix). Dari kegiatan hackingnya tersebut terciptalah sistem operasi yang berkembang sampai sekarang, Linux. Konon katanya kata Linux diambilkan dari nama penemunya Linus. Namun, kegiatan hacking banyak juga yang merugikan diantaranya pemalsuan kartu kredit, pembobolan website, penyerangan ke sebuah website sehingga website tersebut tidak bisa diakses dan lain sebagainya. Kegiatan inilah, oleh para ahli IT disebut dengan cracker, kegiatan hacking yang merusak atau merigukan orang lain. 

Dewasa ini hacking tidak hanya dilakukan oleh orang-seorang namun dilakukan oleh sekelompok orang bahkan oleh negara. Contohnya negara Cina yang disinyalir mempunyai tentara-tentara cyber. Tengok juga beberapa waktu lalu, fasilitas nuklir Iran pernah disusupi virus stuxnet, yang dibuat dan disebarkan oleh Amerika Serikat. Beberapa waktu yang lalu ketika Israel menyerang Palestina, banyak website-website Israel yang tidak bisa diakses karena diserang oleh sekelompok hacker yang menamakan diri Anonimous. Namun sejatinya kegiatan hacking tidaklah selalu merugikan. Yang membuat kegiatan hacking menjadi merugikan adalah manusia yang menggunakanya.

Belakangan ini berkembang istilah dalam dunia hacking yaitu ethical hacking atau hacking yang beretika. Apa maksudnya? Kenapa hacking harus memakai etika. Alasanya ketika hacking tidak menggunakan etika, maka hacking akan menyebabkan perusakan atau kerugian bagi orang lain, seperti yang dicontohkan di atas. Ethical hacking disini dimaksudkan sebagai kegiatan hacking misalnya untuk tujuan pendidikan, tanpa merugikan orang lain atau menimbulkan kerusakan. Termasuk juga untuk menangkap para cracker. Hal ini berdasarkan pemikiran kalau kita akan menangkap pencuri maka kita harus berpikiran seperti pencuri. Kalau kita ingin menangkap cracker kita harus berpikir seperti cracker. Jadi ethical hacking benar-benar melakukan kegiatan seperti cracker namun untuk tujuan yang berbeda. Tahapan-tahapan yang dilakukan sama seperti cracker. 

Contoh dari ethical hacking, misalnya si A diminta oleh sebuah Bank untuk menyerang keamanan sistem komputer bank tersebut. Tujuanya untuk mengetahui kelemahan dari sistem komputer bank tersebut, sehingga setelah mengetahui kelemahanya, kelemahan tersebut bisa dihilangkan atau diminimalisasi. Maka si A akan melakukan penyerangan ke Bank tersebut layaknya seorang cracker beneran. Dia akan menggunakan tool-tool yang mungkin digunakan oleh seorang cracker, untuk mengetahui celah keamananya. Kalaupun harus menggunakan virus, maka virus yang digunakan adalah virus beneran. Menggunakan social engineering dan sebagainya sampai ditemukan celah keamananya. Tentu setelah si A tersebut menemukan celah keamananya dan berhasil masuk ke sistem komputer bank tersebut, dia tidak mencuri informasi yang ada di dalamnya. Kalau dia mencuri dia sudah termasuk cracker bukan ethical hacking lagi. Kemudian dia memberitahu celah keamanan sistem komputer tersebut ke pihak bank untuk diperbaiki. Inilah yang disebut ethical hacing atau hacking beretika, hacking untuk mengetahui kelemahan atau celah dalam sistem jaringan komputer ataupun untuk tujuan pendidikan tanpa menimbulkan kerugian ataupun kerusakan pada pihak lain.

Cara yang disebutkan di atas sering juga disebut penetration testing atau disingkat pentesting. Orangnya disebur pentester. Penetration testing adalah usaha untuk membobol keamanan sebuah jaringan komputer yang bertujuan untuk mengetahui kelemahanya. Tahapan-tahapan dalam penetration testing akan dijelaskan pada posting-posting selanjutnya.