Belajar Cyber Security - Web Security Fundamentals & Methodology

#Pendahuluan

Recon kita sudah cukup: kita tahu service yang berjalan dan kerentanan potensialnya. Sekarang kita masuk fase web security — salah satu area paling produktif dalam karir pentester, karena hampir setiap organisasi modern punya aplikasi web dan API.

Episode ini adalah fondasinya: memahami anatomi HTTP secara mendalam, session & cookies, CORS/CSP, dasar API testing, dan yang paling penting — metodologi. Kalian akan sering mendengar bahwa web security bukan menghafal exploit, melainkan cara berpikir: "bagaimana aplikasi mempercayai input user, dan di mana kepercayaan itu salah tempat?". Metodologi ini menjadi kerangka untuk episode 11-15.

#Anatomi HTTP Request dan Response

#Request

Setiap request HTTP punya struktur yang harus kalian baca seperti membaca cetak biru:

http

POST /api/login HTTP/1.1
Host: target.com
User-Agent: Mozilla/5.0
Cookie: session=abc123
Content-Type: application/json
 
{"username":"admin","password":"secret"}

Empat elemen kunci: method (apa aksinya), path (apa sumbernya), headers (metadata), dan body (datanya). Perubahan sekecil apa pun di salah satu elemen bisa mengubah perilaku server — dan di sanalah kerentanan biasanya hidup.

#Response

http

HTTP/1.1 200 OK
Content-Type: text/html
Set-Cookie: session=xyz789; HttpOnly
Access-Control-Allow-Origin: *
 
<html>...</html>

Perhatikan header: Set-Cookie membuat session, Access-Control-Allow-Origin mengatur CORS (episode 12), dan status code menentukan hasil. Setiap header bisa menjadi petunjuk miskonfigurasi.

#Session dan Cookies

HTTP tidak punya memori — setiap request berdiri sendiri. Cookies memberi status: server mengirim Set-Cookie dengan token, browser mengirimkannya kembali di request berikutnya. Ini juga membawa risiko:

Cookie tanpa HttpOnly: bisa dibaca JavaScript → target XSS (episode 12).
Cookie tanpa Secure: bisa dikirim lewat HTTP plaintext → penyadapan.
Session yang mudah ditebak: bisa diprediksi penyerang → session hijacking (episode 14).

Saat testing, periksa atribut cookie sejak awal:

Ambil Set-Cookie

curl -sI http://target.com/login

#CORS dan CSP

#CORS

CORS menentukan apakah browser boleh membaca respons untuk domain lain. Konfigurasi yang terlalu longgar adalah kerentanan:

CORS yang aman vs bermasalah

AMAN    : Access-Control-Allow-Origin: https://app.example.com
BERISIKO: Access-Control-Allow-Origin: *
BERISIKO: Access-Control-Allow-Origin: null
BERISIKO: Access-Control-Allow-Origin: https://app.example.com.evil.com

Pola * atau refleksi origin memungkinkan situs jahat membaca data aplikasi. Kita eksploitasi ini di episode 12.

#CSP

CSP (Content Security Policy) membatasi sumber yang boleh dimuat browser. Situs tanpa CSP atau dengan unsafe-inline jauh lebih mudah diserang XSS:

CSP contoh

Content-Security-Policy: default-src 'self'; script-src 'self'

#Dasar API Testing

API adalah web tanpa UI — permintaan dan respons langsung dalam JSON/XML. Cara testing API mirip web, dengan tambahan: fokus pada autentikasi (token, API key), authorization (endpoint mana boleh diakses user mana), dan validasi input. Request API yang menarik untuk diperiksa:

Cek endpoint API

curl -s http://target.com/api/v1/users/1

Jika endpoint mengembalikan data user lain tanpa cek otorisasi, itu IDOR — topik episode 14. Kebiasaan memeriksa setiap endpoint API secara manual adalah keterampilan yang paling sering membedakan pentester web senior dari junior.

#OWASP Top 10 2025

OWASP Top 10 2025 adalah daftar risiko web paling umum. Ini peta jalan fase web security kita:

Rank	Risiko	Episode
1	Broken Access Control	14
2	Cryptographic Failures	5
3	Injection	11
4	Insecure Design	2
5	Security Misconfiguration	4, 9
6	Vulnerable and Outdated Components	9
7	Identification and Authentication Failures	14
8	Software and Data Integrity Failures	15
9	Security Logging and Monitoring Failures	2, 16
10	Server-Side Request Forgery (SSRF)	13

Note

Perhatikan bahwa posisi #1 di OWASP Top 10 2025 adalah Broken Access Control — bukan injection. Ini mencerminkan realitas: banyak aplikasi modern sudah cukup tahan SQLi, tapi otorisasi sering terlewat. Episode 14 akan menjadi episode paling penting di fase ini.

#Workflow Burp Suite

Burp Suite Community adalah tool paling penting untuk web testing. Alur kerjanya:

#Intercept: Menghentikan Request

Proxy Burp menangkap semua request browser sehingga bisa diinspeksi dan diubah sebelum sampai server:

Setup proxy Burp

Browser (proxy 127.0.0.1:8080) -> Burp Intercept -> Target server

#Repeater: Mengulang dengan Modifikasi

Repeater mengirim request berulang dengan modifikasi manual — ideal untuk menguji parameter satu per satu (dasar episode 11-15).

#Intruder: Otomasi Fuzzing

Intruder memfuzz banyak nilai sekaligus — parameter injection, wordlist username/password, dan payload XSS. Di episode 11 kita akan memakai pola ini untuk menguji SQLi.

Tip

Siapkan browser yang terisolasi (Firefox dev profile) yang proxy-nya diarahkan ke Burp. Sebelum testing apa pun, pastikan kalian paham setiap request yang lewat: apa parameternya, dari mana asalnya, dan apa yang bisa dimodifikasi tanpa merusak state aplikasi.

#Penutup

Pada episode 10 ini, kalian telah membangun fondasi metodologi web security.

Inti yang harus dibawa pulang:

Baca request/response seperti cetak biru: method, path, headers, body, cookie, status.
Cookies harus diperiksa atributnya (HttpOnly, Secure); CORS/CSP yang longgar adalah risiko.
API diuji sama seperti web, dengan fokus authn/authz dan validasi input.
OWASP Top 10 2025 adalah peta jalan — Broken Access Control kini peringkat #1.
Burp Suite workflow: Intercept → Repeater → Intruder.

Di episode 11 selanjutnya kita membahas injection attacks: SQLi in-band/error-based, blind boolean & time-based, union-based dengan sqlmap, command injection (RCE), dan SSTI, lengkap dengan mitigasinya. Sampai jumpa di episode 11!