4. Administrasi Server - Keamanan Web Sistem / Server

Keamanan Web Sistem / Server

Pengertian Server atau Web server

Server atau Web server adalah sebuah software yang memberikan layanan berbasis data dan berfungsi menerima permintaan dari HTTP atau HTTPS pada klien yang dikenal dan biasanya kita kenal dengan nama web browser (Mozilla Firefox, Google Chrome) dan untuk mengirimkan kembali yang hasilnya dalam bentuk beberapa halaman web dan pada umumnya akan berbentuk dokumen HTML.

Fungsi Server atau Web Server

Fungsi utama Server atau Web server adalah untuk melakukan atau akan mentransfer berkas permintaan pengguna melalui protokol komunikasi yang telah ditentukan sedemikian rupa. halaman web yang diminta terdiri dari berkas teks, video, gambar, file dan banyak lagi. pemanfaatan web server berfungsi untuk mentransfer seluruh aspek pemberkasan dalam sebuah halaman web termasuk yang di dalam berupa teks, video, gambar dan banyak lagi.

Jenis-Jenis Web Server

Web server ternyata tidak hanya ada satu jenis saja, melainkan ada beraneka ragam dengan berbagai trademark, namun fungsinya tetap sama yaitu memproses data-data dari klient dan mengonversikannya mejadi — umumnya — dokumen HTML. Berikut ini adalah jenis-jenis web server yang ada di dunia.

1.    1.Apache

Adapun Apache merupakan salah satu web server yang paling banyak digunakan di internet, dan merupakan salah satu web server yang didesain untuk sistem operasi UNIX. Apache sendiri memiliki beberapa macam dukungan seperti kontrol akses, PHP, dan SSL. Web server ini termasuk dalam kategori freeware, sekaligus dapat diinstal dengan mudah dan utamanya dapat beroperasi di berbagai sistem operasi komputer maupun mobile.

2.      2. Nginx

Nginx (dibaca engine x) merupakan salah satu web server selain Apache yang ternyata juga menggunakan lisensi open source. Selain itu, Nginx bisa dikaitkan sebagai salah satu web server yang menjadi saingain dari Apache. Adapun kelebihan Nginx yang tidak dapat dilakukan oleh web server lain, yakni adalah dapat menangani kebutuhan web server dengan trafik yang sangat tinggi, sekaligus mengepankan performa, kemudahan, dan kecepatan. Hal itulah sedikit keunggulan Nginx, dan berikut ini adalah kelebihan yang diunggulkan oleh Nginx:

Arsitektur Event-Based: Apache menggunakan process based, sedangkan Nginx menggunakan arsitektur event-based sehingga dinilai lebih mampu meminimalkan thread untuk memproses permintaan dari klien.

Kinerja Luar Biasa: Nginx sengaja didesain oleh pengembangnya untuk dapat menangani banyak permintaan dari klien, bahkan dapat menangani hingga sepuluh juta permintaan setiap harinya.

Kaya Akan Fitur: Nginx menyediakan berbagai macam fitur yang umumnya banyak dicari. Adapun fitur tersebut seperti static file serving, virtual hosts, reverse proxying, access control, URL rewriting, dan lain sebagainya.

3.      3. IIS (Internet Information Services)

Windows versi lawas, seperti Windows 2000 dan Windows 2003 umumnya akan menggunakan web server berjenis IIS. Web server IIS ternyata didukung banyak macam fitur dan komponen seperti TCP/IP, DNS, hingga software untuk membuat situs web. Dan hebatnya, IIS merupakan satu-satunya web server yang mendukung platform .NET dari Windows.

Meskipun demikian, sayangnya IIS merupakan web server yang berbayar, dan rumornya juga mengatakan bahwa web server ini mudah diserang oleh para hacker.

4.      4. Lighttpd

Lighttpd (dibaca Lightly) merupakan web server open source yang hanya dapat bekerja pada komputer yang menggunakan sistem operasi Linux dan Unix beserta turunanannya. Keunggulan Lighttpd yang membedakan dari banyak web server lainnya, yaitu mampu mengatur CPU load yang dinilai lebih efisien, serta memiliki fitur lainnya seperti SCGI, FastCGi, Output-Compression dan URL-Writing.

W.W.W.

World Wide Web merupakan bagian dari Internet yang paling popular, sehingga serangan paling banyak terjadi lewat port 80, atau yang dikenal sebagai Web Hacking, berupa :

1.      Deface situs

2.      SQL injection

3.      Memanfaatkan kelemahan scripting maupun HTML form

Deface adalah suatu aktifitas mengubah halaman depan atau isi suatu situs Web sehingga tampilan atau isinya sesuai dengan yang anda kehendaki.

Secara garis besarnya deface ini dapat dilakukan dengan 3 cara yaitu :

1.      Memasukkan Input Illegal

2.      Dengan TFTP

3.      Dengan FTP

Mengamankan server IIS dari deface yaitu dengan cara selalu mengupdate dengan service pack dan hotfix terbaru, melindungi dengan oleh firewall dan IDS, menghilangkan opsi tulis pada protocol HTTP.

SQL injection adalah salah satu teknik dalam melakukan web hacking untuk menggapai akses pada sistem database berbasis Microsoft SQL Server.

JavaSript yaitu suatu scripting language di sisi client sehingga suatu transaksi yang menggunakan JavaScipt dapat dipastikan sangat rawan terhadap manipulasi dari sisi pemakai.

Contoh scripting language yang bekerja disisi client :

•        JavaScript

•        Client side VB Script

Adapun scripting language di sisi server :

•        Active Server Pages

•        Java Server Pages

•        Personal Home Pages

Kelemahan dasar pada HTML Form yaitu :

•        Formulir dalam format HTML

•        Setiap HTML form harus menggunakan salah satu metode pengisian formulir

•        Melalui kedua metode HTTP ini (GET atau POST)

Kita dapat mencari informasi mengenai Web Server dengan menggunakan www.google.com, google dapat mencari semua URL dalam sebuah situs contohnya antara lain allinuri:.co.nz/admin.asp, allinuri:.co.id atau net, orang dan id, allinuri:.co.fr/admin.asp

Tool untuk memeriksa Vuinerabilities diantaranya :

Ø  Happy Browser adalah Software yang digunakan sebagai tool untuk memeriksa, mencari, atau melacak komputer – komputer server yang security-nya sangat lemah

Ø  Hacking Tool : Instant Source, Wget, WebSleuth, Black Widow, Window Bomb

Teknik-teknik Deface Situs Web

Secara garis besarnya deface ini dapat dilakukan dengan 3 cara yaitu :

1.       Secara umum, Memasukkan Input Illegal

Tujuan adalah agar user terlempar keluar dari direktori file-file web server dan masuk ke root directory untuk kemudian menjalankan cmd.exe dan mengamati struktur direktori pada NT server sasaran.

2.      Dengan TFTP (Trivial File Transfer Protocol)

Adalah protokol berbasis UDP yang listen pada port 69 dan sangat rawan keamanannya dan kebanyakan web server menjalankan servis TFTP ini.

3.      Dengan FTP dengan Web yang telah diisi bahan deface.

Setiap NT server memiliki file ftp.exe untuk melakukan FTP upload ataupun FTP download (dari dan ke sever itu).

NETCAT

Netcat memungkinkan anda membentuk port filter sendiri yang memungkinkan file transfer tanpa menggunakan FTP. Lebih jauh lagi, Netcat dapat digunakan untuk menghindari port filter pada kebanyakan firewall, men-spoof IP address, sampai melakukan session hijacking

Mengamankan server IIS dari deface :

Ø  Selalu mengupdate dengan service pack dan hotfix terbaru.

Ø  Melindungi dengan oleh firewall dan IDS (intrusion detection system).

Ø  Menghilangkan Opsi Tulis pada Protokol HTTP (HTTP 1.0 atau HTTP 1.1)

Perintah-perintah yang didukung HTTP 1.0 dan HTTP 1.1 :

CONNECT*, DELETE*, GET, HEAD, OPTIONS, POST, PUT,TRACE

SQL INJECTION

SQL Injection attack merupakan salah satu teknik dalam melakukan web hacking untuk menggapai akses pada sistem database berbasis Microsoft SQL Server.

Teknik ini memanfaatkan kelemahan dalam bahasa pemograman scripting pada SQL dalam mengolah suatu sistem database yang memungkinkan seseorang tanpa account dapat masuk dan lolos verifikasi dari MS SQL server.

Contoh :             

1. Memasukkan karakter ‘ OR ‘ ‘= pada username dan password pada suatu situs.

Untuk mengatasi hal ini, atur agar:

•        Hanya karakter tertentu yang boleh diinput.

•        Jika terdeteksi adanya illegal character, langsung tolak permintaan.

Java  Client Side Scripting

JavaScript sendiri merupakan suatu scripting language yang dieksekusi di sisi client (komputer pengguna), sehingga suatu transaksi yang menggunakan JavaScript sebagai scripting language-nya dapat dipastikan sangat rawan terhadap manipulasi dari sisi pemakai.

Contoh scripting language yang bekerja di sisi client:

•        JavaScript

•        Client side VB Script

Adapun scripting language di sisi server:

•        ASP (Active Server Pages)

•        JSP (Java Server Pages)

•        PHP (Personal Home Page)

Kelemahan Dasar HTML Form :

1.  Formulir dalam format HTML (HTML Form) adalah tampilan yang digunakan untuk menampilkan jendela untuk memasukkan username dan password.

2.   Setiap HTML form harus menggunakan salah satu metode pengisian formulir, yaitu GET atau POST.

3.   Melalui kedua metode HTTP ini (GET atau POST) parameter disampaikan ke aplikasi di sisi server.

4.      Masalahnya dengan menggunakan GET, variabel

Yang digunakan akan terlihat pada kotak URL, yang memungkinkan pengunjung langsung memasukkan karakter pada form process, selain juga perintah GET dibatasi oleh string sepanjang 2047 karakter. Variabel juga dapat diambil dengan Request.QueryString.

•      POST biasa digunakan untuk mengirim data dalam jumlah besar ke aplikasi di sisi server, sehingga tidak menggunakan URL query string yang terbatas. POST juga lebih aman sebab variabel tidak terlihat oleh pengunjung, sehingga lebih sulit dimainkan lewat perubahan nama variabel. Namun variabel tetap dapat diambil dengan RequestForm.

Mencari informasi mengenai Web Server

Ø  Menggunakan www.google.com

Memasukan keyword allinurl dengan memodifikasi ke berbagai bentuk karena Google akan mencari semua URL dalam sebuah situs.

Contoh :

-          allinurl:.co.nz/admin.asp

-          allinurl:.co.id atau net atau org, or.id

-          allinurl:.fr/admin.asp

Tool untuk memeriksa Vulnerabilities

o   Happy Browser

Adalah Software yang digunakan sebagai tool untuk memeriksa, mencari, atau melacak komputer-komputer server yang security-nya sangat lemah (vulnerabilities). Di ciptakan pada akhir tahun 1999 oleh Doc Holiday dan Ganymed.

o   Hacking Tools