12-22-2014, 03:23 AM
LAPORAN PENETRATION TESTING
SISTEM INFORMASI TERPADU (SISTER) UNEJ
https://sisterp.unej.ac.id
Nama Peserta : Abdillah Muhammad…………………………………
Sistem Operasi
Windows 7 Ultimate…………………….
Utility :
1. Google Chrome
2. Tor Browser
Jenis aplikasi yang digunakan untuk membantu proses penetration testing misal: BurpSuite, Nmap, Metasploit, dll. Penggunaan tool yang diijinkan adalah tool yang bersifat open source dan/atau freeware
IP number : 202.62.xx.xx.
Tuliskan IP number yang dikenali misalnya melalui whatsmyip.org. Pencantuman IP number sangat dianjurkan bagi peserta yang menggunakan anonymous proxy & service sejenis yang mampu untuk menyamarkan IP asli. IP number akan digunakan untuk mencocokkan dengan log sister.unej.ac.id
MAC address : 2C-D0-xx-xx-xx-xx
Video POC
http://youtu.be/i9VRpDH5WjU
http://youtu.be/O6_RO_cJmio
Tutorial Bikin Blog
Untuk penetration testing yang berhasil, sebagai salah satu bukti pendukung – peserta diharapkan untuk melakukan video capture proses penetration testing yang selanjutnya akan dijadikan pertimbangan orisinalitas karya. Video diupload melalui situs video sharing seperti youtube, dll
Teknik eksploitasi :
1. XSS Attack
2. Bad Password
3. Poodle (SSL v3)
Sebutkan teknik eksploitasi yang digunakan, misalnya: XSS attack, SQL injection, Blind SQL, dll.
Deskripsi teknis:
Gambarkan secara jelas rangkaian prosedur penetration testing yang dilakukan. Dilengkapi dengna screenshoot.
1. Dibagian wirausaha saya menemukan kerentanan xxs mungkin lewat vulnerable dari situ bisa di explore lagi untuk mencapai tujuan mengganti nilai tapi saya baru hanya mendapatkan xxs low impact
![[Image: persistent-xss.png]](http://www.hasnydes.us/wp-content/uploads/2014/12/persistent-xss.png)
2. Kemudian saya mencoba untuk melihat tutorial cara membuat blog manual dan saya menemukan hal yang agak aneh .. di situ sebenarnya tutorial membuat blog untuk domain .student tapi yang ada di dalam video tersebut adalah url dari http://uptti.blog.unej.ac.id/ setelah saya mengetahui username dari login yang di praktekkan di dalam video kemudian saya mencoba untuk login dan menebak passwordnya
![[Image: login.png]](http://www.hasnydes.us/wp-content/uploads/2014/12/login.png)
Dan ternyata benar password yang saya tebak adalah “uptti” di sini termasuk vulnerability “ Bad Password “ dan kemudian saya akan lakukan maintening access untuk merubah nilai seperti tugas yang di perintahkan di lomba ini
![[Image: dashboard.png]](http://www.hasnydes.us/wp-content/uploads/2014/12/dashboard.png)
3. Maintening acess setelah saya login saya akan menanam backdoor dengan menuju ke bagian Appereance > Themes > Editor Saya Pilih 404.php dan saya ganti dengan shell code php
![[Image: add-shell.png]](http://www.hasnydes.us/wp-content/uploads/2014/12/add-shell.png)
Kemudian saya akses shell saya
![[Image: masuk-shell1.png]](http://www.hasnydes.us/wp-content/uploads/2014/12/masuk-shell1.png)
tetapi dengan setelah saya analisis dan mencoba untuk berpindah ke sister tidak bisa dan yang saya duga adalah blog yang saya tanam shell itu berbeda dengan server sisterp.unej.ac.id kemudian saya mencari cara lain lagi untuk menembus sisterp.unej.ac.id
4.kemudian saya mencoba mencari vulnerability lagi di website sisterp dan saya menemukan celah poodle
![[Image: poodle-test.png]](http://www.hasnydes.us/wp-content/uploads/2014/12/poodle-test.png)
Dari hasil scan vulnerability tersebut menunjukan bahwa website sisterp.unej.ac.id memiliki kerentanan terhadap poodle (CVE-2014-3566) tetapi saya belum menemukan cara untuk mengexploitasi poodle
5. bebas mengubah judul tugas akhir adalah kelemahan lagi yang saya temukan di sini .ketika field itu memang benar” tidak boleh di ganti seharusnya dilakukan filter ketika form submit dijalankan tetapi ini bisa di tembus(bypass) dengan menghapus parameter readonly
![[Image: inspect-element.png]](http://www.hasnydes.us/wp-content/uploads/2014/12/inspect-element.png)
poodle sangat berbahaya karena bisa mengambil cookie dari akun dosen untuk merubah nilai jadi patch kerentanan poodle sslv3
Demikian laporan ini dibuat dengan sebenar-benarnya, dan saya yang bertanda tangan dibawah ini bertanggung jawab terhadap keabsahan isi laporan.
[Jakarta], 26/10/2014
ttd
Abdillah Muhamad
http://www.hasnydes.us/2014/12/report-lo...as-jember/
http://uptti.unej.ac.id/index.php/92-divisi-news/berita-sisteminformasi/136-pemenang-lomba-penetration-test-universitas-jember-2014 Hmmmmmm !
SISTEM INFORMASI TERPADU (SISTER) UNEJ
https://sisterp.unej.ac.id
Nama Peserta : Abdillah Muhammad…………………………………
Sistem Operasi
Windows 7 Ultimate…………………….
Utility :
1. Google Chrome
2. Tor Browser
Jenis aplikasi yang digunakan untuk membantu proses penetration testing misal: BurpSuite, Nmap, Metasploit, dll. Penggunaan tool yang diijinkan adalah tool yang bersifat open source dan/atau freeware
IP number : 202.62.xx.xx.
Tuliskan IP number yang dikenali misalnya melalui whatsmyip.org. Pencantuman IP number sangat dianjurkan bagi peserta yang menggunakan anonymous proxy & service sejenis yang mampu untuk menyamarkan IP asli. IP number akan digunakan untuk mencocokkan dengan log sister.unej.ac.id
MAC address : 2C-D0-xx-xx-xx-xx
Video POC
http://youtu.be/i9VRpDH5WjU
http://youtu.be/O6_RO_cJmio
Tutorial Bikin Blog
Untuk penetration testing yang berhasil, sebagai salah satu bukti pendukung – peserta diharapkan untuk melakukan video capture proses penetration testing yang selanjutnya akan dijadikan pertimbangan orisinalitas karya. Video diupload melalui situs video sharing seperti youtube, dll
Teknik eksploitasi :
1. XSS Attack
2. Bad Password
3. Poodle (SSL v3)
Sebutkan teknik eksploitasi yang digunakan, misalnya: XSS attack, SQL injection, Blind SQL, dll.
Deskripsi teknis:
Gambarkan secara jelas rangkaian prosedur penetration testing yang dilakukan. Dilengkapi dengna screenshoot.
1. Dibagian wirausaha saya menemukan kerentanan xxs mungkin lewat vulnerable dari situ bisa di explore lagi untuk mencapai tujuan mengganti nilai tapi saya baru hanya mendapatkan xxs low impact
2. Kemudian saya mencoba untuk melihat tutorial cara membuat blog manual dan saya menemukan hal yang agak aneh .. di situ sebenarnya tutorial membuat blog untuk domain .student tapi yang ada di dalam video tersebut adalah url dari http://uptti.blog.unej.ac.id/ setelah saya mengetahui username dari login yang di praktekkan di dalam video kemudian saya mencoba untuk login dan menebak passwordnya
Dan ternyata benar password yang saya tebak adalah “uptti” di sini termasuk vulnerability “ Bad Password “ dan kemudian saya akan lakukan maintening access untuk merubah nilai seperti tugas yang di perintahkan di lomba ini
3. Maintening acess setelah saya login saya akan menanam backdoor dengan menuju ke bagian Appereance > Themes > Editor Saya Pilih 404.php dan saya ganti dengan shell code php
Kemudian saya akses shell saya
tetapi dengan setelah saya analisis dan mencoba untuk berpindah ke sister tidak bisa dan yang saya duga adalah blog yang saya tanam shell itu berbeda dengan server sisterp.unej.ac.id kemudian saya mencari cara lain lagi untuk menembus sisterp.unej.ac.id
4.kemudian saya mencoba mencari vulnerability lagi di website sisterp dan saya menemukan celah poodle
Dari hasil scan vulnerability tersebut menunjukan bahwa website sisterp.unej.ac.id memiliki kerentanan terhadap poodle (CVE-2014-3566) tetapi saya belum menemukan cara untuk mengexploitasi poodle
5. bebas mengubah judul tugas akhir adalah kelemahan lagi yang saya temukan di sini .ketika field itu memang benar” tidak boleh di ganti seharusnya dilakukan filter ketika form submit dijalankan tetapi ini bisa di tembus(bypass) dengan menghapus parameter readonly
poodle sangat berbahaya karena bisa mengambil cookie dari akun dosen untuk merubah nilai jadi patch kerentanan poodle sslv3
Demikian laporan ini dibuat dengan sebenar-benarnya, dan saya yang bertanda tangan dibawah ini bertanggung jawab terhadap keabsahan isi laporan.
[Jakarta], 26/10/2014
ttd
Abdillah Muhamad
http://www.hasnydes.us/2014/12/report-lo...as-jember/
http://uptti.unej.ac.id/index.php/92-divisi-news/berita-sisteminformasi/136-pemenang-lomba-penetration-test-universitas-jember-2014 Hmmmmmm !
, 
