Jurnal Informatika Universitas Pamulang ISSN: 2541-1004

Penerbit: Program Studi Teknik Informatika Universitas Pamulang e-ISSN: 2622-4615

Vol. 7, No. 1, Maret 2022 (151-156) 10.32493/informatika.v7i1.17590

Systematic Literature Review: Preventing SQL Injection Attacks Using Tools

OWASP CSR Web Application Firewall
Ahmad Mutedi1, Budi Tjahjono2

FASILKOM, Universitas Esa Unggul, Jakarta, Indonesia 11510

e-mail: 1mutedy00@[Link], [Link]@[Link]*

Submitted Date: January 19th, 2022 Reviewed Date: February 01st, 2022
Revised Date: February 02nd, 2022 Accepted Date: March 31st, 2022

Abstract

SQL Injection Attacks are a common threat for web-based applications that use insecure input
validation to target database attacks. This becomes a very serious problem in web-based applications
because successful execution causes loss of integrity and confidentiality and this makes it a very sensitive
software security issue. This study presents a Systematic Literature Review (SLR) using PICOC Method
on Preventing SQL Injection Attacks Using OWASP Tools. This study provides an overview of SQL
Injection Attacks, detection, and prevention techniques. In the end, an evaluation of the effectiveness of
detection and prevention using the OWASP CSR Web Application firewall was carried out. It should be
noted that the OWASP Tools can also detect and prevent SQL Injection Attacks.

Keywords: SQL Injection; Prevent; OWASP CSR; Systematic Literature Review; WAF

Abstrak

SQL Injection Attacks adalah ancaman umum untuk aplikasi berbasis web yang menggunakan
validasi input yang kurang aman untuk dijadikan target serangan pada database. Ini menjadi masalah yang
sangat serius dalam aplikasi berbasis web karena eksekusi yang berhasil menyebabkan hilangnya integritas
dan kerahasiaan dan ini menjadikannya masalah keamanan perangkat lunak yang sangat sensitif. Studi ini
menyajikan Review Literatur Sistematis (SLR) menggunakan Metode PICOC tentang Preventing SQL
Injection Attacks Using Tools OWASP. Penelitian ini memberikan tinjauan tentang SQL Injection Attacks,
teknik deteksi dan pencegahan. Pada akhirnya dilakukan evaluasi Kembali ke efektifan Deteksi dan
pencegahan menggunakan OWASP CSR Web Application firewall. Harus dicatat bahwa Tools OWASP
juga dapat mendeteksi dan mencegah SQL Injection Attacks.

Kata Kunci: SQL Injection; Prevent; OWASP CSR; Systematic Literature Review; WAF

1. Introduction Menurut (Jemal et al., 2020) Serangan

SQL Injection Attack adalah sebuah jenis Structured Query Language Injection (SQLI)
serangan yang targetnya adalah aplikasi berbasis dianggap sebagai serangan paling berbahaya dari
web yang terhubung ke database tempat dimana kategori injeksi karena membahayakan layanan
kode berbahaya akan dimasukkan, diproses, dan keamanan utama: kerahasiaan, otentikasi, otorisasi,
dijalankan. Kerentanan ini terjadi ketika aplikasi dan integritas.
web tidak melakukan validasi input yang tepat. Berdasarkan studi (Robinson et al., 2018)
Aplikasi web yang dirancang dengan buruk dapat Aplikasi web atau website banyak digunakan untuk
diserang dengan memasukkan kode berbahaya menyediakan fungsionalitas yang memungkinkan
untuk mendapatkan akses ke dalam database. perusahaan membangun dan memelihara hubungan
Ada banyak prosedur keamanan di sisi dengan pelanggannya. Informasi yang disimpan
server tetapi tidak membantu dalam skala besar oleh aplikasi web seringkali bersifat rahasia dan,
dikarenakan kerumitan dalam penerapan, dan di jika diperoleh oleh penyerang jahat, hal ini dapat
sisi klien, menginstal aplikasi keamanan mengakibatkan kerugian besar bagi konsumen dan
memperburuk kondisi klien. perusahaan. (Mate Vibhakti, 2014). Ada banyak

[Link] 151
Jurnal Informatika Universitas Pamulang ISSN: 2541-1004
Penerbit: Program Studi Teknik Informatika Universitas Pamulang e-ISSN: 2622-4615
Vol. 7, No. 1, Maret 2022 (151-156) 10.32493/informatika.v7i1.17590

teknik yang biasa digunakan oleh para penyerang ▪ RQ2: Apa saja Tools Web Application
seperti SQL Injection, Cross Site Scripting, Brute Firewall dalam keamanan website dari
Force, Worm, deface, dll untuk menyusup ke serangan SQL Injection.
aplikasi web. Dengan menggunakan metode yang ▪ RQ3: Apakah Tools OWASP CSR Web
secara khusus ditujukan untuk mengeksploitasi Application Firewall Dapat mendeteksi SQL
potensi titik lemah dalam aplikasi web, para Injection Attack
penyerang dapat dengan mudah dideteksi oleh ▪ RQ4: Seberapa Efektif jenis Web
Sistem dengan akurasi yang cukup. SQL Injection Application Firewall OWASP CSR dalam
adalah serangan yang bertujuan kerentanan menangkal SQL Injection Attack?
database aplikasi web.
Pada studi (Riadi et al., 2018) Aplikasi 3. Planing Phase
Website sangat rentan terhadap berbagai serangan Demi kelancaran dalam systematic literature
salah satunya menggunakan SQL Injection, jika review dibutuhkan eksekusi perencanaan yang
sebuah website terdapat celah maka penyerang matang. Research questions adalah bagian penting
dapat mengakses database. Situs web yang tidak dari systematic literature review. Sesuai dengan
memiliki keamanan yang baik memiliki potensi pedoman yang diusulkan oleh Petticrew dan
risiko keamanan yang dapat digunakan oleh Roberts (2006), kriteria untuk merangkum
penyerang. Ada sepuluh kerentanan yang terdapat pertanyaan penelitian adalah berdasarkan PICOC.
dalam situs web yang dirilis oleh Open Web Untuk studi ini, PICOC didefinisikan seperti
Application Security Project (OWASP) 10-2017 berikut ini:
teratas, kurangnya pengembang situs web pada
keamanan situs web menimbulkan risiko besar Table 1. Planing Phase PICOC
yang akan dieksploitasi oleh penyerang untuk
Population (P): Structured Query Language (SQL)
menghancurkan, mengambil atau menghapus basis Database
data di situs web.
Intervention (I) Serangan Injection untuk mendapatkan
Berdasarkan kesimpulan dari studi akses ke dalam database
(Mukhtar & Azer, 2020), telah melakukan tes Comparison Teknik deteksi dan Teknik pencegahan
ModSecurity Web Application Firewall melawan (C) menggunakan tools
SQL Injaction dan terbukti efisien untuk Outcomes (O) Efektifitas Deteksi dan Pencegahan pada
memblokir serangan kami berdasarkan iterasi tools OWASP untuk menghindari
SQLMAP. Perlu dikatakan bahwa teknik SQLI Serangan SQL Injection
berkembang terus menerus. Untuk mencapai Context (C) Review atas studi yang ada tentang
perlindungan yang diperlukan, perlu memperbarui Serangan SQL Injection
aturan ModSecurity secara teratur untuk dapat
memblokir teknik baru serangan injeksi SQL yang Mengenai RQ1, studi ini akan melihat
berkembang setiap hari. berbagai metode yang digunakan dalam
Namun metode tersebut tidaklah cukup, menjalankan serangan terhadap database dengan
sehingga sampai saat ini masih diperlukan memanfaatkan kolom input pengguna pada aplikasi
peningkatan ModSecurity dan membutuhkan berbasis web.
Web Application Firewall yang efektif dalam Pada RQ2, studi ini akan membahas Apa saja
mecegah SQL Injection Attack pada Aplikasi Tools Web Application firewall yang sudah ada
Website perusahaan atau client terutama pada untuk keamanan website dari Serangan SQL
Windows Server. Injection.
Tujuan dari penelitian ini adalah untuk Pada RQ3, studi ini akan membahas Tools
mengkaji masalah deteksi dan pencegahan OWASP CSR Web Application Firewall dapat
serangan SQL Injection. Ulasan ini didasarkan mendeteksi Serangan SQL Injection.
pada empat pertanyaan yang diajukan dan dijawab. Dan yang terakhir dalam pertanyaan
penelitian RQ4 studi ini memeriksa tingkat
2. Method efektifitas tools OWASP CSR Web Application
Research questions: Penelitian ini mencoba Firewall Untuk mencegah beberapa Serangan SQL
menjawab pertanyaan penelitian: Injection tertentu yang tertera pada RQ1.
▪ RQ1: Teknik SQL Injection Attack apa yang
saat ini dan banyak digunakan?

[Link] 152
Jurnal Informatika Universitas Pamulang ISSN: 2541-1004
Penerbit: Program Studi Teknik Informatika Universitas Pamulang e-ISSN: 2622-4615
Vol. 7, No. 1, Maret 2022 (151-156) 10.32493/informatika.v7i1.17590

4. Search Procedure No Faktor Paper Penelitian Jumlah

(Bisht et al., 2018),(Gautam et al.,
Studi yang digunakan untuk SLR diperoleh 2018),(Riadi et al., 2018),(Mukhtar &
Azer, 2020),(Laksono & Santoso,
melalui pencarian online Jurnal International pada 2021)
Google Scholar. Pencarian dilakukan dengan kata 2 Detection (Robinson et al., 2018),(Jemal et al., 11
kunci: (Preventing OR Detection OR OWASP) and 2020),,(Olalere et al., 2018),(D. Chen
Prevention et al., 2021),(Li et al.,
AND SQL Injection attacks. Hanya journals dan 2019),(Myrutenko & Oksiiuk, 2020),
(Z. Chen & Guo, 2018),(Castillo et
conferences relevan yang disimpan untuk tinjauan al., 2019),(Fang et al., 2018),(Bisht et
lebih lanjut. al., 2018),(Gautam et al., 2018)
3 Using (Robinson et al., 2018),(Riadi et al., 4
Inclusion and exclusion criteria Inclusion OWASP 2018),(Mukhtar & Azer, 2020),
Inclusion: (Laksono & Santoso, 2021)

• Artikel dengan judul yang berkaitan dengan

deteksi atau pencegahan SQL Injection Attack B. Berdasarkan Tahun.
using OWASP.
• Artikel yang diterbitkan pada tahun 2018-2021
Exclusion:
• Artikel yang diterbitkan sebelum tahun 2018
• Artikel yang dalam judulnya tidak berkaitan
dengan deteksi atau pencegahan SQL Injection
Attack
• Artikel diterbitkan dalam bahasa selain Bahasa
Inggris.
Figure 2. Pemetaan Jurnal Berdasarkan Tahun
5. Pembahasan
Jurnal yang dipilih berdasarkan kriteria
berkaitan dengan Prevention SQL Injection yang
berhubungan dengan menggunakan OWASP, dari
20 jurnal yang dipilih paling banyak tahun 2018
yaitu 7 jurnal dan 2020 sebanyak 6 jurnal, tahun
2019 4 jurnal, sedangkan 2021 hanya 3 jurnal yang
dipilih.

RQ1, Teknik SQL Injection Attack apa yang

saat ini dan banyak digunakan?
Menurut Open Web Application Security
Project (OWASP), kerentanan injeksi terus
menjadi kerentanan yang paling banyak ditemukan
di aplikasi web.
Tautologies: Pernyataan Query ini selalu
benar karena telah ditambahkan oleh pernyataan
Figure 1. Kerangka Berpikir tautologi ('a' = 'a'). Tanda hubung ganda “-”
menginstruksikan parser SQL bahwa pernyataan
PEMETAAN JURNAL lainnya adalah komentar dan tidak boleh
A. Berdasarkan faktor dijalankan.

Table 2. Pemetaan Jurnal Berdasarkan Faktor.

No Faktor Paper Penelitian Jumlah
1 SQL (Robinson et al., 2018),(Jemal et al., 20
Injection 2020),(Olalere et al., 2018),(D. Chen
Attacks et al., 2021),(Muttaqin &
Yaddarabullah, 2020),(Alenezi et al.,
2021),
(Zhang et al., 2019),(Hubskyi et al.,
2020),(Harshavardhan &
Maheshwari, 2020),(Xie et al., 2019),
(Li et al., 2019),(Myrutenko &
Oksiiuk, 2020),(Z. Chen & Guo,
2018),(Castillo et al., 2019),(Fang et Figure 3. Tautologies
al., 2018),

[Link] 153
Jurnal Informatika Universitas Pamulang ISSN: 2541-1004
Penerbit: Program Studi Teknik Informatika Universitas Pamulang e-ISSN: 2622-4615
Vol. 7, No. 1, Maret 2022 (151-156) 10.32493/informatika.v7i1.17590

Malformed Queries: Pesan kesalahan Prosedur yang disimpan adalah kode yang
menyebabkan penyerang secara tepat membedakan disimpan dalam database dan dijalankan langsung
parameter mana yang rentan dalam aplikasi dan oleh mesin database.
garis besar total database yang mendasarinya.
Situasi ini disalahgunakan oleh token SQL buatan RQ2, Apa saja Tools Web Application Firewall
penyerang atau input sampah yang menyebabkan dalam keamanan website dari serangan SQL
kesalahan sintaks, jenis campur aduk, atau Injection?
kesalahan logika ke dalam database. Untuk Open Web Application Security Project
mengenali parameter yang dapat diinjeksi, (OWASP) ModSecurity Core Rule Set (CRS)
kesalahan sintaks dapat digunakan. Jenis kesalahan adalah firewall aplikasi web yang dapat membantu
dapat diterapkan untuk menyimpulkan jenis administrator mengamankan server web.
informasi dari atribut tertentu atau untuk OWASP beroperasi dengan memblokir
menghapus informasi. Kesalahan logika bisa keluar Alamat IP yang mencoba melanggar aturan
nama tabel dan nama atribut yang menyebabkan keamanan, memantau lalu lintas jaringan, dan
kesalahan atau error tersebut. mencegah permintaan jaringan yang mencurigakan
Union Query: Dalam teknik ini, penyerang dari luar. ModSecurity bekerja dengan
menyuntikkan pernyataan tidak valid digabungkan mengumpulkan muatan berbahaya dari berbagai
dengan Query yang valid dengan menggunakan sumber web dan menggabungkannya ke dalam
kata kunci UNION. Penyerang menyalahgunakan daftar hitam. Aturan ModSecurity kemudian
pernyataan Query dari struktur "UNION <injected menggunakan algoritma pencocokan pola cepat
query>" sebisa mungkin membuatnya menjadi untuk memeriksa html keluar untuk tanda-tanda
statement yang sah. Hal ini membuat aplikasi kode berbahaya ini. ModSecurity kemudian dapat
mengembalikan informasi dari hasil Query asli dan memperingatkan /memblokir /membersihkan kode
juga informasi dari tabel lain. Kemudian penyerang berbahaya untuk mencegah menginfeksi aplikasi
akan menggabungkan Statement yang ada dengan web.
dengan tanda hubung ganda “- -” untuk meng Atomic ModSecurity Rules: Tools ini
comment Query yang tidak dia perlukan. adalah aturan Web Application Firewall (WAF)
komprehensif yang ditetapkan dengan ratusan
SELECT name FROM member WHERE aturan WAF ModSecurity untuk melindungi
username=''UNION SELECT password aplikasi dari serangan web dan didukung penuh
FROM member WHERE username='admin' - oleh dukungan ahli.
- AND password='' Atomicorp mengembangkan kumpulan
aturan ModSecurity pertama dan mempertahankan
Piggy-backed Queries: Dalam serangan jumlah terbesar aturan WAF aktif yang mendukung
berbasis kueri yang didukung piggy, penyerang jenis server dari Tomcat dan Nginx hingga IIS,
mencoba menambahkan kueri tambahan ke dalam LightSpeed, dan Apache.
string pertanyaan pertama. Ini menyalahgunakan Aturan ModSecurity Atom adalah aturan
database dengan pemisah kueri, misalnya, ";" untuk WAF paling komprehensif yang ditetapkan di
menambahkan kueri tambahan ke kueri pertama. industri, memiliki tingkat kualitas tertinggi dan
Jika serangan itu berhasil, database mendapatkan didukung penuh oleh dukungan ahli.
dan menjalankan pernyataan kueri yang berisi
banyak pertanyaan tertentu. Query pertama adalah RQ3, Apakah Tools OWASP CSR Web
query asli yang sah, yaitu untuk mengeksekusi Application Firewall Dapat mendeteksi SQL
database sedangkan query kedua, query jahat Injection Attack?
adalah menyalahgunakan database. Berdasarkan hasil dari jurnal (Robinson et
Inference: Database berperilaku berbeda al., 2018) OWASP ModSecurity berhasil 100%
bergantung pada hasil Query yang dihasilkannya. mendeteksi dan mengamankan aplikasi web dari
Ada dua jenis serangan inferensi yaitu blind SQL Injection setelah 15 kali pengujian
injection dan timing attacks menggunakan 3 Sistem Operasi Linux yang
Stored Procedure Queries: Dalam berbeda.
pendekatan ini, prosedur tersimpan menjadi korban
bagi penyerang untuk mengeksploitasi database. RQ4, Seberapa Efektif jenis Web Application
Firewall OWASP CSR dalam menangkal SQL
Injection Attack?

[Link] 154
Jurnal Informatika Universitas Pamulang ISSN: 2541-1004
Penerbit: Program Studi Teknik Informatika Universitas Pamulang e-ISSN: 2622-4615
Vol. 7, No. 1, Maret 2022 (151-156) 10.32493/informatika.v7i1.17590

Dalam Jurnal (Robinson et al., 2018), Telah

dilakukan penelitian. Setelah 15 kali pengujian
serangan untuk setiap jenis SQL Injection
menggunakan 3 perbedaan pada kedua web server,
hasilnya akan ditampilkan pada table:

Table 3, SQL Injection Attack Result

(Robinson et al., 2018)

Figure 4. Hasil Test OWASP (Robinson et al., 2018)

Dari Tabel di atas:

• Status Failed: berarti OWASP ModSecurity
berhasil mengamankan web server dan
mendeteksi log serangan/ Hit List dari
serangan tersebut.
• Status Success berarti penyerang berhasil
menyuntikkan kueri SQL ke server web. Figure 5. Hasil Test OWASP (Robinson et al., 2018)
• MYSQL Countered berarti kueri SQL tersebut
telah ditambal oleh MySQL itu sendiri. 6. Conclusion
Penelitian ini dibuat berdasarkan Systematic
Dan pengujian kedua menggunakan Literatur Review. Berbagai jenis teknik SQL
SQLmap Exploitation, Pengujian serangan kedua injection attacks telah diidentifikasi dan dijelaskan.
menggunakan alat eksploitasi SQLmap yang akan Selanjutnya, tools Web Application Firewall telah
memindai server web dan menyuntikkan ribuan disebutkan salah satunya OWASP CSR, kemudian
kueri SQL ke server web. Setiap serangan Efektifitas OWASP CSR dalam mencegah SQL
dilakukan 10 kali ( OWASP 10 kali, NOOWASP Injection sudah ada dan telah di uji pada 3 Server
10 kali ) pada 3 macam Sistem Operasi. Hasilnya Linux berbeda. Akhirnya perlu dilakukan
akan ditampilkan di Tabel berikut: penelitian lebih lagi terkait deteksi dan pencegahan
SQL Injection menggunakan tools OWASP CSR
Table 4, SQLMap Exploitation Result Web Application Firewall Running On IIS
(Robinson et al., 2018) ModSecurity. Current Issu yang perlu dibahas lebih
lanjut lagi dari penelitian ini berdasarkan pemetaan
jurnal yang didapat:
▪ Menguji deteksi dan pencegahan
menggunakan tools OWASP CSR Web
Application Firewall (WAF) running on IIS
ModSecurity.
Hasilnya menunjukkan bahwa OWASP ▪ Evaluasi keefektifan pencegahan tools
berhasil mengamankan web server dari semua OWASP CSR running on IIS terhadap SQL
eksploitasi SQLmap dan mendeteksi serangan pada injection attacks.
Hit List seperti yang ditunjukkan pada Gambar
berikut: References
Alenezi, M., Nadeem, M., & Asif, R. (2021). SQL
injection attacks countermeasures assessments.
In Indonesian Journal of Electrical ….
[Link].
[Link]

[Link] 155
Jurnal Informatika Universitas Pamulang ISSN: 2541-1004
Penerbit: Program Studi Teknik Informatika Universitas Pamulang e-ISSN: 2622-4615
Vol. 7, No. 1, Maret 2022 (151-156) 10.32493/informatika.v7i1.17590

Alenezi- [Link]
2/publication/344597081_SQL_Injection_Attac [Link]/[Link]/ijics/article/view/320
ks_Countermeasures_Assessments/links/5fcc5c 8
6345851568d142b19a/SQL-Injection-Attacks- Li, Q., Li, W., Wang, J., & Cheng, M. (2019). A SQL
[Link] injection detection method based on adaptive
Bisht, P., Pant, D., & Rauthan, M. S. (2018). Analyzing deep forest. IEEE Access.
and Defending Web Application Vulnerabilities [Link]
through Proposed Security Model in Cloud 54182/
Computing. Journal of Graphic …. Mukhtar, B. I., & Azer, M. A. (2020). Evaluating the
[Link] Modsecurity Web Application Firewall Against
hp/JGEU/article/view/2592 SQL Injection Attacks. 2020 15th International
Castillo, R. E., Caliwag, J. A., Pagaduan, R. A., & ... Conference on ….
(2019). Prevention of SQL injection attacks to [Link]
login page of a website application using 34626/
prepared statement technique. Proceedings of the Muttaqin, M. F., & Yaddarabullah, S. (2020).
2019 …. Implementation of AES-128 and Token-Base64
[Link] to Prevent SQL Injection Attacks via HTTP. In
Chen, D., Yan, Q., Wu, C., & Zhao, J. (2021). Sql International Journal. [Link].
injection attack detection and prevention [Link]
techniques using deep learning. Journal of [Link]
Physics: Conference …. Myrutenko, L., & Oksiiuk, O. (2020). Detection of SQL
[Link] Injection Attack Using Neural Networks. … and
6596/1757/1/012055/meta Simulation of Systems (MODS’2020 ….
Chen, Z., & Guo, M. (2018). Research on SQL injection [Link]
detection technology based on SVM. MATEC =jw36DwAAQBAJ&oi=fnd&pg=PA277&dq=p
Web of Conferences. [Link] revent+sql+injection+attack+using+owasp&ots
[Link]/articles/matecconf/abs/2018/32/ =qEAmOU_HB6&sig=pffwDMT8gNa0DaVuq
matecconf_smima2018_01004/matecconf_smim yvI52BBMZg
a2018_01004.html Olalere, M., Egigogo, R. A., Umar, R., & Abdulhamid,
Fang, Y., Peng, J., Liu, L., & Huang, C. (2018). S. M. (2018). A Systematic Literature Review on
WOVSQLI: Detection of SQL injection Detection, Prevention and Classification with
behaviors using word vector and LSTM. … of the Machine Learning Approach.
2nd International Conference on …. [Link].
[Link] [Link]
Gautam, B., Tripathi, J., & Singh, S. (2018). A secure dle/123456789/10422
coding approach for prevention of SQL injection Riadi, I., Umar, R., & Sukarno, W. (2018). Vulnerability
attacks. In International Journal of Applied …. of Injection Attacks Against The Application
[Link]. Security of Framework Based Bebsites Open
[Link] Web Access Security Project (OWASP). In J.
11_158.pdf Inform. [Link].
Harshavardhan, G., & Maheshwari, M. (2020). SQL [Link]
Injection-Biggest vulnerability of the era. Robinson, Akbar, M., & Ridha, M. A. F. (2018). SQL
[Link]. injection and cross site scripting prevention using
[Link] OWASP web application firewall. International
nt_download/mptV Journal on Informatics Visualization.
Hubskyi, O., Babenko, T., Myrutenko, L., & ... (2020). [Link]
Detection of sql injection attack using neural Xie, X., Ren, C., Fu, Y., Xu, J., & Guo, J. (2019). Sql
networks. International Scientific …. injection detection for web applications based on
[Link] elastic-pooling cnn. IEEE Access.
Jemal, I., Cheikhrouhou, O., Hamam, H., & Mahfoudhi, [Link]
A. (2020). SQL Injection Attack Detection and 77739/
Prevention Techniques Using Machine Learning. Zhang, H., Zhao, B., Yuan, H., Zhao, J., Yan, X., & ...
International Journal of Applied Engineering (2019). SQL injection detection based on deep
Research. belief network. Proceedings of the 3rd ….
Laksono, A. T., & Santoso, J. D. (2021). Analysis of [Link]
Website Security of SMKN 1 Pangandaran
Against SQL Injection Attack Using OWASP
Method. … of Informatics and ….

[Link] 156