Step-step untuk memanfaatkan vulnerability applikasi

Oleh: Benfano Soewito

Langkah langkah attacker melancarkan aksinya

1. Reconnaissance

Sebelum meluncurkan serangan, hacker pertama tama mengidentifikasi target yang rentan dan mengeksplorasi kerentanan tersebut denagan cara terbaik sesuai dengan tool yang cocok. Target awal bisa siapa saja dalam sebuah organisasi, apakah eksekutif atau admin. Para penyerang hanya perlu satu titik masuk untuk memulai. Pengiriman Email phishing kepada target adalah umum di langkah ini, sebagai metode yang efektif penyebaran malware. Jadi reconnaissance adalah sebuah kegiatan untuk mendapatkan informasi sebanyak-banyaknya dari target. Pada tahap ini sebenarnya yang akan menentukan sukses atau tidak nya sebuah serangan, oleh karena itu waktu yang digunakan pada saat kegiatan pertama akan sangat panjang. Tool yang paling sering digunakan pada kegiatan adalah search engine. Dengan search engine attacker dapat mengetahui sekilas tentang organisasi target atau bahkan dapat mengetahui system atau topologi jaringan target. Selain serach engine attacker juga dapat menggunakan informasi dari grup online, artikel atau berita tentang perusahaan target, social media, vendor yang memberikan informasi klien, sampah dokumen yang dibuang dan sebagainya.

2. Scanning

Setelah target diidentifikasi, dan mengetahui informasi mengenai target maka langkah berikutnya adalah untuk mengidentifikasi titik lemah yang memungkinkan penyerang untuk mendapatkan akses. Proses ini disebut scanning yaitu suatu kegiatan mencari segala kemungkinan yang dapat dijadikan akses masuk atau mengirimkan malware. Hal ini biasanya dicapai dengan memindai jaringan organisasi dengan menggunakan tool yang mudah ditemukan di Internet. Langkah ini atau proses ini biasanya akan perlahan-lahan, kadang-kadang berlangsung berbulan bulan, sebagai upaya penyerang mencari kerentanan. Umumnya yang dilakukan hacker adalah port scanning. Tujuan dari port scanning ini adalah untuk mengetahui service atau aplikasi yang ada pada semua computer dalam perusahaan. Melalui service dan aplikasi tersebut biasanya seorang hacker akan mencari vulnerability atau kerentanan dari service atau aplikasi tersebut. Kerentanan dari sebuah aplikasi juga dapat di cari di internet dengan menggunakan search engine.

3. Access and Escalation

Setelah mengetahui kelemahan dalam jaringan atau sistem target diidentifikasi, langkah berikutnya melakukan serangan cyber untuk mendapatkan akses dan kemudian melakukan apa yang attacker inginkan. Dalam hampir semua kasus tersebut, penyusup atau hacker mencuri kredensial, sehingga bisa mendapatkan hak istimewa untuk admin, dan kemudian masuk ke sistem pada jaringan yang dapat diakses melalui akun administrator. Setelah penyerang mendapatkan hak yang tertinggi atau hak admin, maka secara efektif hacker mengambil alih system jaringan.

4. Maintain Access

Setelah penyerang mendapatkan akses masuk, langkah berikutnya adalah mempertahankan akses. Penyerang diam-diam akan menginstal malware seperti root kit yang memungkinkan penyerang untuk mendapatkan akses masuk kedalam sistem kapan saja sesuai dengan kebutuhan attacker.

5. Hide Tracks

Langkah terakhir adalah untuk menyembunyikan trek, penyerang akan mencoba untuk membersihkan trek untuk menghindari pemeriksaan forensik. Karena sesuatu hal kadang kadang penghapusan jejak ini dilupakan oleh attacker. Proses penghapusan jejak ini tidak mudah dilakukan, sering sekali ada saja jejak yang terlupakan. Sehingga orang yang melakukan forensic juga biasanya mempunyai cara cara dan trik khusus untuk mencari jejak attacker.

Untuk mencari informasi mengenai target, selain search engine juga dapat digunakan aplikasi seperti whois, paros, Nessus dan sebagainya. Dengan menggunakan tool tool tersebut attacker dapat mengetahui ip address dan file file atau folder yang ada di web server. Proses mencari informasi ini kadang juga disebut footprinting. Untuk mendapatkan email dari orang orang yang ada di perusahaan bisa juga di dapat dari groups.google.com, bahkan kadang kadang attacker bisa mendapatkan spesifikasi dari server server pada perusahaan target. Selain itu kode error juga dapat dianalisa oleh attacker untuk mencari tahu informasi target atau bahkan keretanan dari computer target.

Aktivitas untuk kegiatan reconnaissance dapat dilakukan secara aktif, yaitu dengan menggunakan teknik social engineering. Ada sebagian attacker yang mengatakan, mengapa melakukan hal sulit untuk mengetahui username dan password, padahal kita bisa menanyakan langsung dengan teknik social engineering. Ada empat cara untuk melakukan social engineering yaitu bujukan, intimidasi, paksaan dan pemerasan. Salah satu contoh social engineering adalah attacker langsung menelpon orang yang mengetahui user name dan password computer target dan berpura pura menjadi pimpinan di perusahaan tersebut. Dengan berbagai macam cara attacker akan langsung menanyakan user name dan password. Kemungkinan orang yang di telpon attacker ini akan memberi tahu username dan password karena dipikir adalah pimpinan yang sebenarnya.

Cara lain untuk melakukan reconnaissance atau fingerprint adalah dengan mencari informasi pada sampah yang dibuang atau disebut  “The Art of Dumpster Diving”. Sampah yang sering dicari oleh attacker adalah:

–    Discarded computer manuals

–    Jot down passwords

–    Telephone directories

–    Calendars with schedules

–    Financial reports

–    Interoffice memos

–    Company policy

–    Utility bills

–    Resumes of employees

Oleh karena itu untuk membuang sampah yang berbentuk dokumen seharusnya dihancurkan dulu sebelum dibuang. Demikian juga apabila membuang hard disk atau flash drive, sebaiknya di format dulu paling tidak 7 kali format.