SQL Injection and Cross Site Scripting Prevention using OWASP ModSecurity Web Application Firewall

Abstract

Web Application or website are widely used to provide functionality that allows companies to build and maintain relationships with their customers. The Information stored by web applications is often confidential and, if obtained by malicious attackers. Its exposure could result in substantial losses for both consumers and companies. SQL Injection and Cross Site Scripting are attacks that aiming web application database vulnerabilities. Its can allow malicious attackers to manipulate web server database that can cause various data lost, information thieving, and inconsistent of data. Therefore, this research propose the Open Web Application Security Project (OWASP) ModSecurity Core Rule Set which can help administrator securing the web servers. OWASP operate by blocking IP Address which try to breaking the security rule, monitoring network traffic and preventing suspicious network requesting from outside.

Analisis Kerentanan XSS dan Rate Limiting Pada Website SMAN 8 Denpasar Menggunakan Framework OWASP ZAP

“…OWASP ZAP ini dapat dimanfaatkan untuk menguji kerentanan sebuah website dengan cara melakukan pemindaian (scanner), terutama dalam menguji Cross Site Scripting (XSS). Melalui OWASP ZAP, nantinya akan diketahui kerentanan-kerentanan apa saja yang terdapat pada website yang bersangkutan, dimana kerentanan tersebut akan terangkum dalam sebuah report [9]. Sementara itu, untuk menguji kerentanan Rate Limiting pada sebuah website akan dilakukan cara manual, yakni memasukkan username dan password secara berulang.…”

Implementasi Web Application Firewall Dalam Mencegah Serangan SQL Injection Pada Website

“…Pada penelitian ini penulis menggunakan metode Web Application Firewall. Web Application Firewall [13] dapat digunakan sebagai system yang dapat mencegah serta 247 mendeteksi serangan SQL injection degan menggunakan detection rules yang telah ditetapkan untuk dapat memblokir akses bagi penyerang yang menginputkan permintaan berbahaya ataupun penyerang yang mengeksekusi serangan SQL injection menggunakan tools kedalam website [14]. Penelitian ini ditulis dengan tujuan untuk mengatasi serta melakukan pencegahan terhadap serangan SQL injection yang dieksekusi oleh attacker kedalam website, sehingga data yang tersimpan pada database website menjadi lebih aman dan terhindar dari sabotase serta pencurian data yang dilakukan oleh attacker, dengan adanya penelitian ini juga bertujuan untuk meminimalisir terjadinya serangan SQL injection yang saat ini serangan tersebut masih menjadi salah satu serangan web populer yang sering digunakan, karena pada dasarnya SQL injection masih tergolong sebagai salah satu masalah yang apabila terus dibiarkan dan tidak dicegah maka akan mengakibatkan dampak yang merugikan terhadap pengguna maupun pihak pengelola website.…”

“…Adapun payload yang dikirimkan oleh SQLMap yaitu "id=51 AND (SELECT 7913 FROM (SELECT(SLEEP(5) 9,mid((select+concat(group_concat(0x04,r,0x05,1,0x04+order+by+r+separator+0x06),0x0103 0307)from(select+cast (TABLE_NAME+as+char)r,cast(ifnull(table_rows,0x30) 1,1,1,1-- Dari hasil pengujian tersebut dapat dilihat bahwa load time dari website meningkat dari sebelum menggunakan mod security WAF dan sesudah menggunakan mod security WAF. Berbeda dengan penelitian yang dilakukan oleh robinson et all [14] bahwa load time dari menggunakan OWASP WAF didapatkan average sekitar 5,028Ms dengan menggunakan 100 user simulasi selama 1 menit.…”

“…Hasil pengujian oleh Robinsin et all [14] dengan menggunakan OWASP WAF juga mendapatkan hasil yang sama dengan penelitian ini bahwa serangan SQL injection dapat di tangani dengan baik, begitu juga pengujian yang di lakukan oleh risma et all [19] bahwa dengan menggunakan WAF Naxsi untuk linux mint dapat mengidentifikasi serangan pada web.…”

“…Hasil yang didapatkan pada pengujian tahap dua menjadi lebih lama, hal ini disebabkan karena adanya factor pengecekan pada setiap permintaan yang menuju ke website yang dilakukan oleh Web Application Firewall sehingga waktu yang dibutuhkan sedikit lebih lama. Ini sama dengan hasil penelitian yang dilakukan oleh Robinson et all [14] bahwa pada OWASP WAF ada perbedaan waktu pada loadtime HTTP. Hal ini dibuktikan pada grafik berikut ini.…”