LAPORAN
UJIAN AKHIR SEMESTER
KEAMANAN INFORMASI
“DVWA”
Dosen Pengampu :
Hario Jati Setyadi, [Link]., [Link].
Disusun Oleh :
Muhammad Dwi Refansyah
NIM : 2109116113
SI/C/2021
PROGRAM STUDI SISTEM INFORMASI
FAKULTAS TEKNIK
UNIVERSITAS MULAWARMAN
2023
KATA PENGANTAR
Puji syukur kita panjatkan kehadiran Allah SWT, yang atas rahmat-Nya dan
karunianya kita dapat menyelesaikan Laporan ini tepat pada waktunya.
Pada kesempatan ini penyusun mengucapkan terima kasih yang sebesar-besarnya
kepada bapak Hario Jati Setyadi, [Link]., [Link]. selaku dosen mata kuliah Keamanan
Informasi yang telah memberikan tugas terhadap penyusun.
Adapun tema dari Laporan ini adalah “DVWA”. Laporan ini disusun dan dibuat
berdasarkan materi-materi yang ada yang bertujuan agar dapat menambah pengetahuan dan
wawasan kita dalam belajar serta agar kita juga dapat memahami nilai-nilai dasar yang
dikembangkan dalam berpikir dan bertindak.
Mudah-mudahan dengan mempelajari Laporan ini, para mahasiswa akan mampu
menghadapi masalah-masalah atau kesulitan-kesulitan yang timbul dalam belajar. Dan
dengan harapan semoga kita mampu berinovasi dan berkreasi dengan potensi yang dimiliki.
Penyusun menyadari bahwa dalam pembuatan Laporan Keamanan Informasi yang ini
masih ada kekurangan sehingga penyusun berharap saran dan kritik dari pembaca sekalian
agar penyusun dapat meningkatkan dan memperbaiki penyajian Laporan yang lebih baik dari
sebelumnya. Akhir kata penyusun mengucapkan terima kasih.
Samarinda, 6 Juni 2023
Penyusun
ii
DAFTAR ISI
KATA PENGANTAR..............................................................................................................ii
DAFTAR ISI...........................................................................................................................iii
BAB I PENDAHULUAN.........................................................................................................1
1.1 Latar Belakang...................................................................................................................1
1.2 Rumusan Masalah..............................................................................................................2
1.3 Tujuan.................................................................................................................................2
BAB II PEMBAHASAN..........................................................................................................5
2.1 CSRF.................................................................................................................................12
2.2 XSS....................................................................................................................................12
2.2.1 XSS DOM...................................................................................................................8
2.2.2 XSS Reflected.............................................................................................................8
2.2.3 XSS Stored...............................................................................................................11
2.3 File Upload........................................................................................................................12
2.4 Sql Injection......................................................................................................................12
2.5 Metasploit..........................................................................................................................12
BAB III PENUTUP................................................................................................................12
3.1 Kesimpulan.......................................................................................................................12
DAFTAR PUSTAKA.............................................................................................................13
iii
BAB I
PENDAHULUAN
1.1 Latar Belakang
Semakin hari teknologi semakin berkembang dan menuntut penggunanya
untuk semakin berkembang mengikut teknologi terkini, teknologi semakin
berkembang pastilah teknologi tersebut akan diperhatikan juga dari sisi
keamanannya. Keamanan merupakan suatu usaha yang dilakukan untuk
melindungi informasi yang terdapat didalamnya yang mengacu pada kerahasiaan.
Damn Vulnerable Web Application (DVWA) adalah aplikasi spesial untuk uji
celah keamanan, berjalan menggunakan service apache web server yang berjalan
pada protokol HTTP. Tujuan utamanya adalah menjadi bantuan bagi para pemula
dan profesional keamanan untuk menguji skill mereka dalam lingkungan hukum
serta membantu web developer agar lebih memahami proses keamanan
aplikasi web serta dapat membantu guru / murid / mahasiswa untuk mempelajari
keamanan aplikasi web didalam kelas.
Vulnerability adalah suatu point kelemahan dimana suatu sistem rentan
terhadap serangan. Sistem keamanan komputer dapat dikatakan sebuah cara yang
dibuat untuk mengamankan fungsi, data, performa, atau proses yang ada pada
sebuah komputer. Sebuah percobaan harus dilakukan untuk mengetahui apakah
sebuah laman aman atau tidak dari aksi-aksi berbahaya yang dilakukan oleh
penyerang. Salah satu cara untuk mengetahui apakah sistem kita aman atau tidak
ialah dengan melakukan uji keamanan.
Keamanan informasi (information security) berperan penting dalam upaya
melindungi informasi yang bersifat penting dan rahasia. Keamanan dilakukan
untuk melindungi informasi penting dari ancaman dan serangan yang bisa datang
kapan saja. Karena dengan semakin berkembanganya teknologi informasi,
ancaman dan serangan juga ikut meluas. Teknologi dalam keamanan informasi
dapat membantu seorang administrator dalam melakukan monitoring dan analisa
jaringan pada suatu perusahaan terhadap ancaman dan serangan yang terjadi.
Ancaman dan serangan yang dilakukan oleh pihak yang tidak bertanggung
jawab tidak dapat dideteksi secara keseluruhan. Ancaman dan serangan ini
1
memberikan dampak negatif seperti kebocoran dan kehilangan data penting,
kerusakan pada server seperti kerusakan logic dan sistem komputer yang tentunya
1
dapat merugikan instansi terkait. Oleh karena itu dibutuhkan suatu teknologi
keamanan yang dapat membantu dalam membaca dan menganalisa serangan yang
masuk ke dalam sebuah server.
Damn Vulnerable Web Application (DVWA) adalah aplikasi spesial untuk
uji celah keamanan, berjalan menggunakan service apache web server yang
berjalan pada protokol HTTP (Kamilah dan Hendri, 2019).
Berdasarkan latar belakang permasalahan yang ada diatas, maka penyusun
tertarik untuk mengangkat tema Laporan ini dengan judul DVWA dan metasploit
yang berisi beberapa metode yaitu :
CSRF
XSS
File Upload
Sql Injection
Metasploit
1.2 Rumusan Masalah
Berdasarkan latar belakang diatas, maka diketahui beberapa rumusan permasalah-
permasalahan, yaitu :
1. Bagaimana implementasi CSRF?
2. Bagaimana implementasi XSS?
3. Bagaimana implementasi File Upload?
4. Bagaimana implementasi Sql Injection?
5. Bagaimana implementasi Metasploit?
1.3 Tujuan
Adapun tujuan dari penulisan Laporan ini, yaitu :
1. Mengetahui berbagai alur dari metode-metode dvwa dan metasploit.
2. Mengetahui cara mengimplementasi fitur metode-metode dvwa dan metasploit.
3. Menganalisis berbagai sintaks untuk menguji fitur metode-metode dvwa dan
metasploit.
2
BAB II
REFERENSI TERKAIT
Berikut adalah beberapa referensi yang dapat Anda gunakan untuk mempelajari lebih lanjut
tentang XSS (Cross-Site Scripting):
2.1 OWASP
- OWASP (Open Web Application Security Project) XSS Cheat Sheet:
[Link]
Cheat_Sheet.html
Sumber daya ini menyediakan panduan lengkap tentang cara mencegah dan
melindungi aplikasi web dari serangan XSS. Cheat sheet ini juga mencakup teknik
sanitasi input, kebijakan keamanan, dan langkah-langkah mitigasi lainnya.
- OWASP XSS Filter Evasion Cheat Sheet:
[Link]
Cheat sheet ini membahas tentang teknik penghindaran filter XSS yang umum
digunakan oleh penyerang. Ini akan membantu Anda memahami bagaimana
serangan XSS dapat mencoba mengelabui metode pengamanan yang umum
digunakan.
2.2 Mozilla Developer Network
- Mozilla Developer Network (MDN) - Cross-Site Scripting (XSS):
[Link]
Halaman ini memberikan penjelasan mendalam tentang XSS, jenis-jenisnya, dan
langkah-langkah pencegahan yang dapat diambil untuk melindungi aplikasi web.
2.3 PortSwigger
- PortSwigger - Cross-Site Scripting (XSS):
[Link]
PortSwigger menawarkan tutorial dan artikel informatif tentang XSS, termasuk
penjelasan tentang jenis-jenis serangan XSS dan teknik mitigasi yang dapat
diterapkan.
3
- Web Security Academy - Cross-Site Scripting (XSS): [Link]
security/cross-site-scripting
Web Security Academy adalah platform pembelajaran interaktif yang disediakan
oleh PortSwigger. Ini mencakup modul khusus tentang serangan XSS, termasuk
skenario praktis untuk menguji dan mempelajari lebih lanjut tentang serangan
tersebut.
2.1
3
BAB III
PEMBAHASAN
2.1 CSRF
5
5
5
5
5
5
2.2 XSS
2.2.1 XSS DOM
Pertama – tama buka DVWA Security lalu pilih level “medium”.
5
Lalu buka XSS DOM.
Mengecek dulu sintaks dari xss dom level medium di view source.
Apabila memilih Bahasa inggris maka tidak terjadi apa-apa
5
Membuka web portswigger untuk mencari sintaks karena apabila menggunakan “<script”
maka perintah tidak akan muncul.
Setelah mendapat sintaks baru yaitu “<img src/onerror=alert(1)>” lalu diinput ke link dan cek
di inspect apakah telah terinput
7
Setelah terinput akan muncul popup alert yaitu “1”. Dan hasil dari dropdown akan keluar.
2.2.2 XSS Reflected
Selanjutnya buka XSS Reflected.
8
Mengecek dulu sintaks dari xss reflected level medium di view source.
Masukkan sesuai perintah yaitu mengganti ke huruf besar menjadi
<SCRIPT>alert(“hai”)</SCRIPT>.
8
Setelah terinput akan muncul popup alert yaitu “hai”.
2.2.3 XSS Stored
Mengecek dulu sintaks dari xss stored level medium di view source.
8
Selanjutnya buka XSS Stored lalu lgsng buka inspect untuk mengubah maxlength menjadi
“10000” agar bisa menaruh sintaks.
Setelah itu inputkan sintaks di nama dan message.
8
Setelah diinputkan maka pertama akan muncul popup alert yaitu “HACKER DI SINI”.
Selanjutnya setelah menekan ok pada popup akan muncul pesan berupa gambar
dengan nama, nim dan prodi.
12
2.3 File Upload
12
12
12
2.4 Sql Injection
Saya akan menjelaskan cara exploit sql injection di DVWA pada security level medium
Pada level medium tidak terdapat input field seperti pada level low ,Disini saya menggunakan
Burp Suite untuk mencegat permintaan dan memanipulasinya sebelum meneruskan ke server
Tampilan Source Code DVWA Sql Injection level medium
12
Selanjutnya menggunakan Teknik GROUP BY untuk mengetahui jumlah kolom yang terlibat dalam
query.
Sekarang kita mengetahui bahwa terdapat 2 kolom
12
Menampilkan nama tabel menggunakan UNION
12
Saya akan menggunakan nama tabel “users”, selanjutnya untuk nama kolom nya
Untuk nama kolom menggunakan “password”
Menggunakan UNION untuk menampilkan user dan password
12
Disini saya akan menggunakan user “gordonb” untuk menampilkan password yang ter enkripsi
menggunakan Hash Cracker
12
Maka hasilnya akan muncul seperti di atas.
12
2.5 Metasploit
12
BAB III
PENUTUP
3.1 Kesimpulan
Kesimpulan untuk XSS adalah sebagai berikut:
1. XSS terjadi ketika aplikasi web tidak memvalidasi atau menyaring input
pengguna secara memadai sebelum menampilkannya ke halaman web.
2. Ada tiga jenis XSS: Stored XSS, Reflected XSS, dan DOM-based XSS.
Masing-masing memiliki cara kerja dan dampak yang berbeda.
3. DOM-based XSS terjadi ketika skrip berbahaya memanipulasi struktur
dokumen secara langsung melalui model DOM.
4. Reflected XSS terjadi ketika skrip berbahaya disisipkan ke dalam parameter
URL dan kemudian diproses oleh aplikasi web. Skrip ini kemudian tercermin
kembali ke halaman web yang dilihat oleh pengguna.
5. Stored XSS terjadi ketika skrip berbahaya disimpan dan ditampilkan kepada
pengguna secara permanen, seperti pada komentar, pesan, atau entri dalam
database.
6. Dampak serangan XSS dapat beragam, termasuk pencurian informasi
pengguna, pengalihan ke situs web berbahaya, manipulasi halaman web, dan
eksekusi aksi berbahaya pada peramban pengguna.
7. Untuk mencegah serangan XSS, penting untuk melakukan validasi dan
sanitasi input pengguna secara menyeluruh, menggunakan metode pengkodean
yang tepat, dan mengimplementasikan kebijakan keamanan yang kuat, seperti
Content Security Policy (CSP).
8. Penggunaan teknologi yang dapat mencegah serangan XSS, seperti
mekanisme penyaringan, pemeriksaan tipe data, dan pengkodean karakter,
juga dianjurkan.
9. Pendidikan dan kesadaran terhadap serangan XSS sangat penting, baik bagi
pengembang maupun pengguna, agar dapat mengenali tanda-tanda serangan
dan mengambil langkah-langkah yang diperlukan untuk melindungi diri
mereka sendiri.
13
10. Secara umum, penerapan praktik keamanan yang baik, pengujian keamanan
secara berkala, dan pembaruan perangkat lunak yang teratur adalah langkah-
langkah penting untuk melindungi aplikasi web dari serangan XSS.
13
DAFTAR PUSTAKA
DVWA. Damn Vulnerable Web Application. From [Link]
I. Kamilah dan A. Hendri Hendrawan. Analisis Keamanan Vulnerability pada
Server Absensi Kehadiran Laboratorium di Program Studi Teknik Informatika.
Pros. Semnastek, vol. 16, no. 0, hal. 1–9, 2019, [Daring]. Tersedia pada:
[Link]
MDN. Mozilla Developer Network (MDN) - Cross-Site Scripting (XSS):. From
[Link]
OWASP. OWASP (Open Web Application Security Project) XSS Cheat Sheet. From
[Link]
PortSwigger. PortSwigger - Cross-Site Scripting (XSS). From
[Link]
14