Implementasi Teknik
Serangan XSS (Crosssite Scripting)
Menggunakan DVWA
Muhammad Rasyad Trialgi (F1B020097)
Table of contents
01
02
03
Pendahuluan
Gambaran Umum
Pelaksanaan PKL
04
Penutup
1. Pendahuluan
Selama PKL di UPT PUSTIK Universitas Mataram, penulis mempelajari berbagai
aspek teknologi informasi, terutama keamanan siber, serta terlibat dalam kegiatan
operasional. Sebagai tugas akhir, penulis mengerjakan studi kasus implementasi
teknik serangan XSS (Cross-site Scripting) menggunakan DVWA berbasis kernel
Linux untuk menguji kerentanan aplikasi web. Studi ini bertujuan meningkatkan
pemahaman tentang keamanan aplikasi web sekaligus menjadi bukti kontribusi
penulis selama pelaksanaan PKL.
Tujuan
Tujuan dari praktik kerja lapangan ini adalah :
1. Untuk belajar dan mendapatkan pengalaman kerja nyata dan merasakan proses
adaptasi dalam suasana lingkungan kerja di UPT PUSTIK Universitas Mataram.
2. Untuk mengetahui pengaplikasian materi perkuliahan dalam lingkungan kerja di
UPT PUSTIK Universitas Mataram.
3. Untuk menjadi tenaga kerja tambahan bagi UPT PUSTIK Universitas Mataram.
Manfaat
Adapun manfaat yang didapatkan dari praktik kerja lapangan ini sebagai berikut :
1. Mendapatkan pengalaman nyata dan kemampuan beradaptasi dalam lingkungan
pekerjaan nyata
2. Mendapatkan ilmu baru dan mampu mengaplikasikan materi perkuliahan dalam
lingkungan pekerjaan nyata.
3. Memberi tenaga kerja tambahan pada UPT PUSTIK dan mendapatkan kenalan,
pembelajaran, dan pengalaman selama masa praktik kerja lapangan.
2. Profil UPT Pustik Unram
UPT PUSTIK Universitas Mataram merupakan unit pelaksana teknis yang
bertugas mengelola data dan informasi serta menyediakan layanan teknologi
informasi untuk mendukung pendidikan, penelitian, dan pengabdian masyarakat.
UPT PUSTIK juga berperan sebagai fasilitator pembelajaran berbasis komputer dan
memberikan solusi pemanfaatan TIK guna mewujudkan pengelolaan perguruan
tinggi yang efisien, efektif, transparan, serta mendukung kebutuhan masyarakat,
industri, dan bisnis.
Visi dan Misi
Visi
Menjadi Lembaga Pendidikan tinggi berbasis riset berdaya saing internasional tahun
2015
Misi
1. Melaksanakan proses pendidikan tinggi yang berkualitas dan relevan dengan
kebutuhan masyarakat.
2. Mengembangkan penelitian yang inovatif dan aplikatif untuk kemajuan ilmu
pengetahuan, teknologi, dan seni.
3. Meningkatkan peran serta dalam pengabdian kepada masyarakat sebagai upaya
penerapan ilmu pengetahuan dan teknologi.
4. Memperkuat tata kelola universitas yang transparan, akuntabel, dan berkeadilan.
2.1 Pengetahuan Umum
Cybersecurity, atau keamanan siber, adalah praktik melindungi sistem,
jaringan, perangkat, dan data dari ancaman digital seperti akses tidak sah, peretasan,
pencurian data, atau serangan berbahaya lainnya. Tujuan utama dari cybersecurity
adalah menjaga kerahasiaan, integritas, dan ketersediaan (Confidentiality, Integrity,
and Availability, disingkat CIA) dari informasi yang dikelola oleh sebuah sistem.
Jaringan komputer adalah sekumpulan komputer dan perangkat lain yang
saling terhubung melalui media komunikasi untuk berbagi sumber daya, seperti data,
perangkat keras, atau perangkat lunak. Jaringan komputer memungkinkan
komunikasi antarperangkat secara efisien dan mendukung berbagai aplikasi, seperti
email, berbagi file, dan akses internet.
Pemrograman web adalah proses pembuatan aplikasi atau situs web yang
dapat diakses melalui browser menggunakan teknologi berbasis internet. Proses ini
mencakup penulisan kode, desain antarmuka, dan pengelolaan basis data untuk
menciptakan pengalaman yang interaktif dan dinamis.
Serangan Cross-Site Scripting (XSS) merupakan salah satu bentuk serangan
keamanan pada aplikasi web yang terjadi ketika penyerang berhasil menyisipkan
kode berbahaya yang menggunakan bahasa JavaScript, ke dalam halaman web yang
kemudian dijalankan oleh browser. Serangan ini memanfaatkan celah pada aplikasi
web yang tidak melakukan validasi dan penyaringan input pengguna dengan baik.
Pelaksanaan PKL
Terdapat delapan minggu waktu PKL yang dilakukan oleh penulis di
UPT PUSTIK Universitas Mataram, minggu pertama diisi untuk pengenalan
lingkungan kerja, dua minggu berikutnya diisi dengan pembelajaran tentang
pembagian fokus kegiatan yang akan dilakukan selama masa PKL kedepannya.
Fokus pembelajaran yang akan ditekuni yaitu meliputi cyber security, jaringan
komputer, dan programming.
Untuk satu minggu terakhir, penulis diberikan tugas untuk membuat
sebuah studi kasus dan memilih salah satu dari ketiga bidang yang telah
dipelajari sebagai tahap akhir untuk menguji hasil pembelajaran yang sudah
dilakukan. Studi kasus yang dipilih adalah pada bidang cybersecurity dengan
judul “Implementasi Teknik serangan XSS (Cross-site Scripting) Menggunakan
DVWA”.
Pembelajaran Cybersecurity
Pembelajaran Cyber Scurity dilaksanakan pada minggu ke-2 dan
minggu ke-3 yang dibina oleh pembimbing lapangan selama masa PKL. Topik
yang dipelajari selama 2 minggu tersebut dapat diperhatikan pada table 3.1
berikut.
Pembalajaran Jaringan Komputer
Pembelajaran Jaringan Komputer dilaksanakan pada minggu ke-4 dan
minggu ke-5 yang dibina oleh pembimbing lapangan selama masa PKL. Topik
yang dipelajari selama 2 minggu tersebut dapat diperhatikan pada table 3.2
berikut.
Pembalajaran Programming
Pembelajaran programming dilaksanakan pada minggu ke-6 dan
minggu ke-7 yang dibina oleh pembimbing lapangan selama masa PKL. Topik
yang dipelajari selama 2 minggu tersebut dapat diperhatikan pada table 3.3
berikut.
Studi Kasus
Pada minggu ke-8, penulis diberikan tugas untuk menyelesaikan
sebuah studi kasus yang dipilih sendiri dari salah satu tema pembelajaran
yang telah dipelajari, dan penulis memilih tema jaringan komputer dengan
judul studi kasus “Implementasi Teknik Serangan XSS (Cross-site Scripting)
Menggunakan DVWA”. Berikut adalah proses pengerjaan studi kasus
tersebut.
Proses Instalasi dan setup DVWA
Studi kasus ini ingin meng-implementasikan sebuah serangan Cross-site
Scripting (XSS) menggunakan DVWA, Damn Vulnerable Web Application (DVWA)
merupakan sebuah aplikasi web berbasis PHP dan MySQL yang sengaja dirancang
memiliki berbagai celah keamanan. Aplikasi ini digunakan sebagai media
pembelajaran dan pengujian dalam bidang keamanan aplikasi web, khususnya
untuk memahami teknik-teknik serangan seperti Cross-Site Scripting (XSS). Proses
instalasi diawali dengan mengunduh source code pada repository digininja melalui
halaman web github, setelah itu buka file DVWA lalu masuk ke folder config.
Proses Instalasi dan setup DVWA
Tahap kedua, masuk ke mysql lalu buatlah database menggunakan
perintah create database dvwa;, setelah itu gunakan perintah create user
‘admin’@’127.0.0.1’ identified by ‘password’; untuk membuat akun DVWA,
proses selanjutnya gunakan perintah grant all privileges on dvwa .* to
‘admin’@’127.0.0.1’; untuk memberikan hak akses kepada user yang telah
dibuat sebelumnya.
Langkah terkahir yaitu, masuk ke folder apache2, setelah itu lakukan
konfigurasi menggunakan perintah mousepad pada file php.ini. Ubah baris ke
870 dari Off menjadi On. Setelah semua Langkah selesai gunakan perintah
systemctl start mariadb dan systemctl start apache2.
Implementasi Teknik Serangan XSS
Tahap pertama yaitu buka browser lalu masuk ke localhost
127.0.0.1/DVWA. Login menggunakan akun yang telah dibuat sebelumnya,
setelah itu terdapat beberapa pilihan celah keamanan yang siap di uji coba.
Implementasi Teknik Serangan XSS
Implementasi Teknik Serangan XSS
Pilih bagian XSS (Reflected) untuk melakukan uji coba, XSS
(Reflected) merupakan jenis serangan XSS yang terjadi ketika input
berbahaya dari pengguna langsung dikembalikan oleh server dalam
respons halaman web tanpa melalui proses penyimpanan terlebih dahulu.
Serangan ini biasanya dieksekusi melalui URL, parameter query, atau data
form yang dikirimkan oleh penyerang, kemudian dipantulkan kembali
(reflected) ke dalam halaman web.
Implementasi Teknik Serangan XSS
untuk melihat source code yang digunakan bisa dilihat pada bagian kanan
bawah yang dapat dilihat pada gambar dibawah.
Implementasi Teknik Serangan XSS
Sebagai contoh, penulis akan menggunakan perintah bahasa JavaScript
untuk melakukan penyerangan, yaitu <script>alert(“Rasyad”)</script> setelah
memasukkan perintah ini pada kolom yang berada pada bagian XSS (reflected) maka
akan muncul pop up yang bertuliskan kata “Rasyad” yaitu bagian dari perintah alert.
Implementasi Teknik Serangan XSS
Implementasi Teknik Serangan XSS
Untuk kasus yang lebih krusial XSS dapat digunakan untuk mencuri suatu
cookie atau Session ID yang bisa disalahgunakan oleh penyerang untuk melakukan
kerusakan pada suatu web. Untuk mencuri cookie pada suatu web dapat digunakan
perintah <script>alert(document.cookie)</script> setelah diinput maka akan
memunculkan pop up yang berisi session id dari web tersebut
Implementasi Teknik Serangan XSS
Implementasi Teknik Serangan XSS
Pada baris $name = str_replace('<script>', '', $_GET['name']); berfungsi
sebagai penyaringan untuk mencegah adanya tag <script> dalam input pengguna.
Baris kode ini bekerja dengan cara mengganti adanya string <script> pada data yang
diterima melalui parameter name dengan string kosong, sehingga tag tersebut
dihapus sebelum data diproses atau ditampilkan kembali ke halaman web
Implementasi Teknik Serangan XSS
Untuk bisa melewati atau menghindari penyaringan ini digunakan perintah
yang sangat sederhana yaitu menggunakan huruf kapital pada salah satu
huruf <Script>alert(document.cookie)</script> karena pada level medium
hanya melakukan penyaringan terhadap tag <script> dalam bentuk huruf
kecil, sehingga ketika penyerang menggunakan variasi huruf besar dan
kecil seperti <Script>, sistem gagal mengenali pola tersebut sebagai tag
yang ingin dihilangkan.
Implementasi Teknik Serangan XSS
Kesimpulan
Berdasarkan kegiatan praktik kerja lapangan yang telah penulis
laksanakan, dapat disimpulkan bahwa kegiatan berjalan dengan baik tanpa
adanya kendala yang berarti. Praktik kerja lapangan yang penulis lakukan
berhasil memberikan pengalaman kerja nyata dan beradapatasi pada
lingkungan pekerjaan nyata, selain itu pembelajaran yang diajarkan oleh
pembina lapangan selama masa PKL berhasil diserap dan diterapkan dalam
bentuk studi kasus tugas akhir
