Presentasi tentang Keamanan Blog yang membahas bagaimana cara mengamankan Blog. Presentasi ini digunakan untuk acara roadblog Blogilicious IdBlognetwork

1. Blog Security Mari amankan Blog Kita Oleh : Frenavit Putra

2. Sayaadalah? Nama : Frenavit KusmanSetia Putra NamaBeken : Frenavit Putra & Bodrex Alamat : Ds. Beratwetan. Gedeg. Mojokerto AlamatSementara : GebangWetan 23 B, Sby No Telp : 085 648 506 364 Blog : http://frenavit.com Email : mail[at]frenavit[dot]com Frenavit Putra @frenavit @frenavit @frenavitputra frenavit

3. Securty Blog itu.. Blog = Rumah Internet

5. SQL Injection

6. Cross-site Scripting (XSS)

7. SpamingKomentar

8. Deface

10. Algoritmabrute forcememecahkanmasalahdengansangatsederhana, langsungdandengancara yang jelas(obvious way).Brute Force

12. Adanya “Bug” pada OS Hosting atau CMS yang kitapakaiPembobolan Account (1)

15. SQL Injection adalahsebuahteknikpenyerangan yang memanfaatkansebuah“celah”keamanan yang adadalamlapisan database sebuahaplikasi. Celah Database yang dimaksuddiatastersebutadalahsebuahcelah yang ketikaseorangpenggunamemasukkanisiankarakterkedalam form input yang manatidakada filter secarabenardarikarakter-karakterbebas yang adadi SQL. Beberapakarakterbebas : ‘/”[]^,. dll SQL Injection

16. XSSatauCross Site Scriptingadalahteknik yang digunakanuntukmenambahkandanmenanamkan script padasebuah website atau blog yang akandieksekusioleh user lain pada browser user lain tersebut. XSSatauCross Site Scripting umumnyamenggunakanHTML/JavaScript, ataubahkanVBScript, ActiveX, Java, Flash, dllyang diinputkanmelalui input form sepertikolomkomentarpada Blog Cross Site Scripting (1)

17. Cross Site Scripting (2) Cara cekapakahbisadilakukan Cross Site Scripting Blog kita: Silahkanmasukkan tag script via form komen, misal : <script>alert(‘sayacakep');</script> Jikaternyatakeluar alert “sayacakep” ketikahalamandi refresh makabisadipastikan Blog kitabisadilakuan Cross Site Scripting. Cross Site Scripting Redirect

20. DoS Attacks (denial-of-service attacks) adalahseranganterhadapsebuahkomputeratau server didalamjaringan internet dengancaramenghabiskansumber (resource) yang dimilikiolehkomputertersebutsampaikomputertersebuttidakdapatmenjalankanfungsinyadenganbenarsehinggasecaratidaklangsungmencegahpengguna lain untukmemperolehakseslayanandarikomputer yang diserangtersebut. DoS Attacks

21. DoS Attacks Skema

22. KemungkinanAncamanKeamanan Blog

23. Solusi??

24. Ganti Username “Admin”, Hal inidigunakanuntukmenghindari Brute Force yang dilakukan Hacker. GunakankombinasiHuruf, angka, danspesialkarakteruntuk username dan password Blog yang powerfull. Ganti Username dan Password secaraBerkala. Amankan Blog

25. Gunakan password yang kuat. Segera update CMD danPluginswordpresskeversiterbaru. Sembunyikanhalaman Login Standard (http://site.com/wp-admin) denganurllain. Menyembunyikanversiwordpress Pindahkan File wp-config.php. Gunakan Secret Keys. RubahWordPress table prefix. .htaccesslockdown Buat file .htaccess di dalam folder wp-admin. SembunyikanPlugin yang defaultnyaterletakpada http://site.com/wp-content/plugins. Amankan Blog Wordpress

27. Janganmengandungkata yang adadi Username.

28. Terdapatkombinasiantaraangka, huruf, dankarakter. Kombinasikanjugadenganhurufbesarkecil.

29. Gunakan Password generator.MudahdiIngat

30. Update CMS danPluginsWordpress Update Engine CMS WordpressdanPluginswordpress yang itagunakanmutlak “wajib” dilakukankarena update keversiterbaruakanmenutupcelah (bug) yang adadiversi lama.

31. MenyembunyikanHalaman Login Standard Tujuanuntukmenyembunyikanhalaman Login wordpress standard (http://site.com/wp-admin) dilakukanuntukmenghindariadanya Brute Force. Untukmenyembunyikanhalaman Login inibisamenggunakanPlugins Stealth Login

32. UntukmenyembunyikanVersiWordpressdapatdilakukandengan 2 cara, yaitu : Menambahkan script berikutdi functions.php. function hide_wp_vers() { return ''; } add_filter('the_generator',' hide_wp_vers'); MenggunakanPlugins Secure Wordpress MenyembunyikanVersiWordpress

33. Pindahkan File wp-config.php Wp-configmerupakan file yang mengonfigurasi database setting (database username dan password), table prefix, secret keys, bahasa, dan ABSPATH. Tanpa file ini, WordPresstidakakanberfungsi. File inidapatdisimpandiluar root direktoriWordPress. Caranyapindahkan file wp-config.php satu level diatas root direktoriWordPress. WordPresssecaraotomatisakanmencari file inibilatidakmenemukannyadi root direktorinya.

34. Gunakan Secret Key Secret Keys dibuatuntuklebihmenjamininformasi yang tersimpanpada cookies terenkripsisecaralebihbaik. Caranyagunakan online generator padahttp://api.wordpress.org/secret-key/1.1/. Di sanaakanterlihat 4 Secret Keys yang secaraacakterbentuk. Copy Secret Keys tersebutkemudianbuka file wp-config.php dan paste keposisidimanakeempat Secret Keys inidiletakkan.

35. Ubah Table Prefix Standard Table Perfix Table Perfixmodif ‘wp_’ $table_prefix BilakitamenggantinyasetelahmenginstallWordPress, kitabisamemanfaatkanplugin WP Security Scan atautabel prefix changer. Janganlupa back up terlebihdahulusebelummelakukannya.

36. .htaccess lockdown Cara iniakanmelindungiwp-admin direktorimelalui .htaccess. Cara inibekerjadenganmengunciaksesterhadapwp-admin melalui IP address. Jadi, hanya IP address tertentu yang dapatmengakseswp-admin kita. Dan hampirtidakmungkinorang lain dengan IP address yang berbedabisamengakseswp-admin. Kode yang harusdibuatpada file .htaccess AuthUserFile /dev/null AuthGroupFile/dev/null AuthName“Access Control” AuthTypeBasic order deny,allow deny from all #IP address to Whitelist allow from xxx.xxx.xxx.xxx Isidenganip yang dikehendaki login

37. Buat file .htaccess di dalam folder wp-admin # BEGIN WordPress RewriteEngineOn RewriteBase/ RewriteCond%{REQUEST_FILENAME} !-f RewriteCond%{REQUEST_FILENAME} !-d RewriteRule. /index.php [L] # END WordPress

38. Sembunyikan Plugin Kenapaharusdisembunyikan? Jikatidakdisembunyikan, bisadimanfaatkanpara hacker/cracker bilaada 404 error page. Caranyabuat file .htaccessdantempatkandi folder /wp-content/pluginsdengankodesepertiini : # BEGIN WordPress RewriteEngineOn RewriteBase/ RewriteCond%{REQUEST_FILENAME} !-f RewriteCond%{REQUEST_FILENAME} !-d RewriteRule. /index.php [L] # Prevents directory listing IndexIgnore* # END WordPress

39. Cara LainSembunyikan Plugin Cara lain untukmenyembunyikanpluginsyaitudenganmembuat file index.html yang isinyakosongkemudian upload kewp-content/plugin. Ataucara lain untukmembuat file .htaccessuntukmelindungidirektoriwp-admin, wp-includes, dll. Bagi yang menggunakan hosting dengan CPANEL, bisamemanfaatkanfasilitas Leech Protect dariCpaneltempatanda hosting wordpress.

40. Plugins Wordpress untuk kemanan Blog (1) Limit Login Attempts Plugininidapatmelakukanblokterhadap user selama 20 menitsetelahsalahmemasukan password sebanyak 4 kali (dapatdiubah manual). Hal inimenjadijalanterbaikuntukmengatasiseranganberupa Brute Force. Download plugin limit login attempts dihttp://wordpress.org/extend/plugins/limit-login-attempts/

41. Plugins Wordpress untuk kemanan Blog (2) WP Security Scan Plugininimenawarkanbeberapafiturgandasepertifile permission, menyembunyikanversiwordpress, database securitydanproteksiterhadap admin. Pluginini, jugadapatmelakukan scanning terhadapdirektory web danmemberi report menganai file permission yang seharusnya. Download pluginwp security scan dihttp://wordpress.org/extend/plugins/wp-security-scan/

42. Plugins Wordpress untuk kemanan Blog (3) Sabre Fungsiplugininidapatmenghentikanpendaftaranpenggunapalsu yang dilakukanoleh bots. PluginSabredapatmenambahkangambarverifikasiatauujimatematikauntukprosesregistrasi agar dapatmemastikanpengguna yang sudahterdaftartidakpalsu.

43. Plugins Wordpress untuk kemanan Blog (4) Semisecure Login Plugininibergunauntukmeningkatkankeamanandariproses login denganmenggunakankuncipublikuntukmengenkripsipassword padasisiklien.

45. Menambahkan indeks.html ke-direktoriplugin (virtual)

46. Menghapus Really Simple Discovery

47. Menghapuswp-versi, kecualididaerah-admin

48. Menghapustema-update informasibagi non-admin

49. Menghapus Windows Live Writer

50. Menambahkan string untukdigunakan WP Scanner

51. Menghapusintimemperbaruiinformasiuntuk non-admin

53. Sekian & Terimakasih