Bagaimana mencegah SQL Injection dengan berpikir sebagai seorang attacker yang melakukan serangan. SQL Injection akan dilakukan pada lingkungan simulasi yang legal yaitu abwh.rioastamal.net

1. SQL NJECT ON
BELAJAR MENGHINDARI
MELALUI SIMULASI
RIO ASTAMAL
02 Februari 2021 19:00
Founder BelajarAWS.com
PHPID-OL#52

2. DISCLAIMER
MATERI DALAM PRESENTASI INI HANYA DITUJUKAN UNTUK MENINGKATKAN
PENGETAHUAN TENTANG KEAMANAN WEB. SEGALA BENTUK
PENYALAHGUNAAN AKSI AKIBAT DARI INFORMASI YANG ADA PADA MATERI
INI BUKANLAH TANGGUNG JAWAB PEMATERI/PENYELENGGARA.
WEB SIMULASI HACKING YANG DIGUNAKAN ADALAH ABWH.RIOASTAMAL.NET
MILIK DARI RIO ASTAMAL DAN WEBSITE TERSEBUT MEMANG DIDESAIN
SEBAGAI LINGKUNGAN LEGAL UNTUK MENCOBA WEB HACKING.

3. RIO ASTAMAL
2020 Writer TeknoCerdas.com (ID)*
2017 Lead Backend @ClearView.team (US)
2016 Founder BelajarAWS.com (ID)*
2015 Lead Dev @DominoPOS (SG)
2014 System Engineer @WowRack (US/ID)
2004 Freelance Web Developer
*) Masih aktif hingga sekarang

4. APA YANG DIPELAJARI?
+ Pengertian SQL Injection
+ Kenapa SQL Injection bisa terjadi
+ Contoh SQL Injection
+ Mencegah SQL Injection
+ Simulasi web hacking menggunakan
teknik Blind SQL Injection pada
RM6 abwh.rioastamal.net
beginner - intermediate

5. APA ITU
SQL NJECT ON?

6. SQL INJECTION
TEKNIK PENYERANGAN YANG MEMASUKKAN ATAU “MENGINJEKSI”
PERINTAH KE SEBUAH QUERY SQL YANG DIJALANKAN OLEH APLIKASI
TARGET.
SERANGAN SQL INJECTION YANG SUKSES DAPAT MEMBACA INFORMASI
SENSITIF* PADA DATABASE, BAHKAN MENGUBAH DATA ATAU DAPAT
MENGEKSEKUSI PERINTAH ADMINISTRATOR JIKA ROLE YANG DIDAPAT
SESUAI.
*) Password, Kartu Kredit, Info Pengguna atau lain-lain.

7. SEBERAPA BAHAYA
SQL NJECT ON?

8. SQL NJECT ON
#OWASP TOP 10 2010, 2013, 2017
MENEMPATKAN
SEBAGAI
ANCAMAN #1

9. SAYA MASIH BINGUNG
BERI SAYA CONTOH!

10. CONTOH
TAMPILKAN PRODUK BERDASARKAN KATEGORI
URL
http://example.com/products/?categori=X
SQL QUERY
SELECT * FROM `products` WHERE `catid`=‘X’ LIMIT 0,10
PARAMETER INJECTION
http://example.com/products/?categori='%20OR%201=1%23
SELECT * FROM `products` WHERE `catid`=‘‘ OR 1=1 #LIMIT 0,10
MENGHASILKAN SQL INJECTION

11. CONTOH TADI SEPERTINYA TIDAK TERLIHAT
BERBAHAYA!
OH BEGITU. MARI KITA COBA LAKUKAN DEMO
SQL INJECTION.

12. DEMO
SQL NJECT ON
SIMULASI HACKING PADA
REALISTIC MISSION 6
ABW
H.RIOASTAMAL.NET
FOR
EDUCATION
ONLY!

13. TUJUAN DARI REALISTIC MISSION 6
+ MENGGUNAKAN TEKNIK BLIND SQL INJECTION UNTUK MENGGALI
INFORMASI DARI DATABASE
+ MENGUJI PEMAHAMAN PENGGUNAAN KLAUSA “UNION” UNTUK
MENGGABUNGKAN HASIL QUERY PADA SAAT INVESTIGASI
+ MENGUJI PEMAHAMAN TENTANG TABEL SPESIAL PADA MYSQL
YAITU “INFORMATION_SCHEMA”

14. BLIND SQL INJECTION
SERANGAN SQL INJECTION YANG MENGANDALKAN RESPONSE TRUE/
FALSE DARI APLIKASI.
ATTACKER AKAN MENCOBA MELAKUKAN SQL INJECTION PADA
HALAMAN TARGET DENGAN MENGIRIM PARAMETER TERTENTU
UNTUK MELIHAT HASILNYA.
DARI MANA KITA TAHU HASILNYA TRUE ATAU FALSE?

15. CONTOH BLIND SQL INJECTION
http://example.com/products/?categori=X
SQL QUERY NORMAL
SELECT * FROM `products` WHERE CatID=‘X’ LIMIT 0,10
SQL INJECTION DENGAN TARGET TRUE
http://example.com/products/?categori=X'%20AND%201=1%23
SELECT * FROM `products` WHERE CatID=‘X’ AND 1=1 #LIMIT 0,10
MENGHASILKAN QUERY
SQL INJECTION DENGAN TARGET FALSE
http://example.com/products/?categori=X'%20AND%201=2%23
SELECT * FROM `products` WHERE CatID=‘X’ AND 1=2 #LIMIT 0,10
MENGHASILKAN QUERY

16. PERINTAH UNION PADA SQL
MENGGABUNGKAN HASIL DARI SATU ATAU LEBIH STATEMENT SELECT.
JUMLAH KOLOM DARI MASING-MASING SELECT STATEMENT HARUS SAMA.
SELECT Website, Owner FROM websites;
+-----------------+-------------+
| Website | Owner |
+-----------------+-------------+
| BelajarAWS.com | Rio Astamal |
| TeknoCerdas.com | Rio Astamal |
+-----------------+-------------+
SELECT Website, Owner FROM websites
UNION
SELECT 1, 2;
+-----------------+-------------+
| Website | Owner |
+-----------------+-------------+
| BelajarAWS.com | Rio Astamal |
| TeknoCerdas.com | Rio Astamal |
| 1 | 2 |
+-----------------+-------------+

17. TABEL INFORMATION_SCHEMA
TABEL YANG BERISI METADATA DARI DATABASE PADA MYSQL
SEPERTI NAMA TABEL DAN KOLOM.
SELECT TABLE_NAME,TABLE_TYPE FROM
INFORMATION_SCHEMA.TABLES;
+-----------------+-------------+
| TABLE_NAME | TABLE_TYPE |
+-----------------+-------------+
| table_abc | BASE_TABLE |
| table_xyz | BASE_TABLE |
+-----------------+-------------+
SELECT COLUMN_NAME,DATA_TYPE FROM
INFORMATION_SCHEMA.COLUMNS
WHERE TABLE_NAME=“table_abc”;
+-----------------+-------------+
| COLUMN_NAME | DATA_TYPE |
+-----------------+-------------+
| column_abc | VARCHAR |
| column_xyz | VARCHAR |
+-----------------+-------------+

18. BAGAIMANA MENCEGAH
SQL NJECT ON?

19. #1 JANGAN PERNAH MEMPERCAYAI INPUT DARI USER
SELALU LAKUKAN SANITASI PADA INPUTAN DARI USER JIKA
MEMANG TERPAKSA MENGGUNAKAN RAW QUERY.
// Jika mengharap inputan berupa angka saja
$catId = (int)($someData); // atau
$catId = filter_var($someData, FILTER_VALIDATE_INT);
// Jika mengharap inputan alphanumeric
if (preg_match(‘/[^0-9A-Za-z]/‘, $someData) {
exit(1);
}
// Jika mengharap semua karakter maka escape atau quote
$someData = $pdo->quote($someData);

20. #2 SELALU GUNAKAN PREPARED STATEMENT
GUNAKAN PDO ATAU DRIVER YANG MENDUKUNG PREPARED STATEMENT
$catId = $_GET[‘cat’] ?? 0;
$query = ‘SELECT * FROM products WHERE categoryId = :id’
$stmt = $pdo->prepare($query);
$stmt->execute([‘:id’ => $catId]);

21. #3 GUNAKAN FRAMEWORK
FRAMEWORK UMUMNYA MENYEDIAKAN PUSTAKA ORM YANG OTOMATIS MELAKUKAN
SANITASI DAN HAL-HAL YANG DIPERLUKAN UNTUK MENGHINDARI SQL INJECTION.
// Laravel
$products = Product::where(‘CatId’, $catId)
->take(10)
->get();

22. #4 LAKUKAN CODE REVIEW BERKALA
CARA PALING EFEKTIF SEBENARNYA ADALAH PENCEGAHAN. YAITU DENGAN
MELAKUKAN CODE REVIEW BERKALA. KADANG DEVELOPER BERPENGALAMAN PUN
MELAKUKAN KESALAHAN ENTAH KARENA DIBURU WAKTU ATAU TERLUPA SEHINGGA
ASPEK SECURITY TERABAIKAN.
AKAN LEBIH BAIK LAGI JIKA DILAKUKAN INTERNAL PENETRATION TESTING SENDIRI
UNTUK MENGETAHUI CELAH KEAMANAN YANG ADA.
ATAU MENAMBAHKAN TOOLS PENTESTING SEPERTI SQLMAP PADA CI/CD PIPELINE.
$ git push master:pentesting

23. ./END
Rio Astamal
rioastamal
rioastamal.net
rio@rioastamal.net
Gambar icon diambil dari Flaticon.com
Presentasi ini juga dapat dilihat pada https://rioastamal.net/presentasi/2021/02/