Session Hijacking

nama  : mizan saputra
nim     : 141460005
kelas   : TD5A

HijackingHijacking adalah suatu kegiatan yang berusaha untuk memasuki penyusup kedalam sistem melalui operasional layanan dijalankan oleh
seseorang (pelaku/hacker) sistem ini dapat berupa server jarinagn/networking LAN/WAN, situs web sofware atau bahkan kombinasi beberapa sistem tersebut.
Pengertian  Session Hijacking
Session Hijacking session hijacking merupakan aksi pengambilan kendali session milik user lain setelah sebelumnya pembajakan berhasil memperoeh autentifikasi id session yang biasa tersimpan dalam cookies.

Pengertian Cookies
Cookies merupakan file data yang ditulis ke dalam harddisk komputer user/kline yang biasanya dilakukan oleh web server guna kepentingan 
mengidentifikasikan user pada situs tersebut sehingga sewaktu user kembali mengunjungi situs tersebut itu akan dapat segera mengenalinya jadi dapat situs-situs aktif melalui internet.
Aspek-aspek ketidakamanan (serangan) yang sering terjadi antara lain :
1. Interruption
     suatu asset yang padat suatu sistem diserang sehingga menjadi tidak          tersedia atau dapat dipakai oleh yang berwenang 
     contoh : perusahan/modifikasi terhadap piranti keras atau saluran              jarinagn.
2. Interception
      suatu pihak yang tidak berwenang mendapatkan akses pada aset. yang       dimaksud bisa berupa program atau sistem lain 
      contoh penyebap terhadap data dalam suatau jaringan.
3. Modification
     suatu pihak yang tidak berwenang dapat melakukan perubahan                    terhadap suatu aset
     contoh : perubahan nilai pada file data modifikasi program sehingga          berjalan dengan tidak semestinya. 

Contoh Kasus Hijacking

contoh kasus Hijacking
berdasarkan laporan business sofware alliance (BSA) dan internasional data corporation (IDC) dalam annual global software piracy study 2007, indonesia adalah negara terbesar ke 12 di dunia dengan tingkat pembajakan software.

"Vulnerability Assessment"

NAMA : MIZAN SAPUTRA
NIM      : 141460005
KELAS : TD5A




OpenVAS dikenal sebagai Open Vulnerability Assessment System adalah software kerentanan open source yang bisa dipakai untuk mengetes server apakah terdapat kerentanan dengan menggunakan database (Network Vulnerability Tests). OpenVAS adalah software gratis, komponennya berlisensi GNU General Public License (GNU GPL)
cara instal openVAS 

menginstall Openvas di Linux sebagai alternatif pengganti nessus

openvas ==>> free dan Open Source

#buat direktori tempat bekerja
mozartklik@ubuntu:~$ mkdir openvas
mozartklik@ubuntu:~$ cd openvas

#menginstal beberapa library yang kita perlukan :
mozartklik@ubuntu:~$ sudo apt-get install build-essential libgtk2.0-dev libglib2.0-dev libssl-dev htmldoc libgnutls-dev libpcap0.8-dev bison libgpgme11-dev libsmbclient-dev snmp pnscan
[sudo] password for mozartklik:

#download / ekstrak source code
mozartklik@ubuntu:~openvas$ wget http://wald.intevation.org/frs/download.php/717/openvas-libraries-3.0.4.tar.gz
mozartklik@ubuntu:~openvas$ wget http://wald.intevation.org/frs/download.php/696/openvas-scanner-3.0.1.tar.gz
mozartklik@ubuntu:~openvas$ wget http://wald.intevation.org/frs/download.php/685/openvas-client-3.0.0.tar.gz

mozartklik@ubuntu:~openvas$ tar -zxf openvas-libraries-3.0.4.tar.gz
mozartklik@ubuntu:~openvas$ tar -zxf openvas-scanner-3.0.1.tar.gz
mozartklik@ubuntu:~openvas$ tar -zxf openvas-client-3.0.0.tar.gz

#install source code
mozartklik@ubuntu:~openvas$ cd openvas-libraries-3.0.4
mozartklik@ubuntu:~/openvas/openvas-libraries-3.0.4$ sudo ./configure
mozartklik@ubuntu:~/openvas/openvas-libraries-3.0.4$ make
mozartklik@ubuntu:~/openvas/openvas-libraries-3.0.4$ sudo make install
mozartklik@ubuntu:~/openvas/openvas-libraries-3.0.4$ sudo ldconfig
mozartklik@ubuntu:~/openvas/openvas-libraries-3.0.4$ cd ../

mozartklik@ubuntu:~openvas$ cd openvas-scanner-3.0.1
mozartklik@ubuntu:~/openvas/openvas-scanner-3.0.1$ sudo ./configure
mozartklik@ubuntu:~/openvas/openvas-scanner-3.0.1$ make
mozartklik@ubuntu:~/openvas/openvas-scanner-3.0.1$ sudo make install
mozartklik@ubuntu:~/openvas/openvas-scanner-3.0.1$ sudo ldconfig
mozartklik@ubuntu:~/openvas/openvas-scanner-3.0.1$ cd ../

mozartklik@ubuntu:~openvas$ cd openvas-client-3.0.0
mozartklik@ubuntu:~/openvas/openvas-client-3.0.0$ sudo ./configure
mozartklik@ubuntu:~/openvas/openvas-client-3.0.0$ make
mozartklik@ubuntu:~/openvas/openvas-client-3.0.0$ sudo make install
mozartklik@ubuntu:~/openvas/openvas-client-3.0.0$ sudo ldconfig
mozartklik@ubuntu:~/openvas/openvas-client-3.0.0$ cd ../

#membuat sertifikat
mozartklik@ubuntu:~openvas$ sudo openvas-mkcert
#isi pada konsole informasi sertifikat, kalau bingun tekan ENTER saja dan akan disetting secara default
jika berhasil kurang lebih tampilannya seperti ini :

——————————————————————————-
Creation of the OpenVAS SSL Certificate
——————————————————————————-

Congratulations. Your server certificate was properly created.

/usr/local/etc/openvas/openvassd.conf updated
The following files were created:

. Certification authority:
Certificate = /usr/local/var/lib/openvas/CA/cacert.pem
Private key = /usr/local/var/lib/openvas/private/CA/cakey.pem

. OpenVAS Server :
Certificate = /usr/local/var/lib/openvas/CA/servercert.pem
Private key = /usr/local/var/lib/openvas/private/CA/serverkey.pem

Press [ENTER] to exit
——————————————————————————–
#membuat user pada openvas agar bisa dijalankan
mozartklik@ubuntu:~openvas$ sudo openvas-adduser

Using /var/tmp as a temporary file holder.

Add a new openvassd user
———————————

Login : mozartklik //username kamu
Authentication (pass/cert) [pass] : #biarkan kosong dan tekan “enter”
Login password : //password kamu
Login password (again) : //ulangi password kamu

User rules
—————
openvassd has a rules system which allows you to restrict the hosts that mozartklik has the right to test.
For instance, you may want him to be able to scan his own host only.

Please see the openvas-adduser(8) man page for the rules syntax.

Enter the rules for this user, and hit ctrl-D once you are done:
(the user can have an empty rules set)

Login : mozartklik
Password : ***********

Rules :

Is that ok? (y/n) [y]
user added.
——————————————————————————————————–
#ok selanjutnya kita akan menginstal NVTs yang akan di gunakan untuk melakukan scanning, dan menginstal plugin – pluginnya, perintah ini juga untuk melakukan update plugin…..//
mozartklik@ubuntu:~openvas$ sudo openvas-nvt-sync

#menjalankan OpenVAS scanner
mozartklik@ubuntu:~openvas$ sudo openvassd

#menjalankan OpenVAS client
mozartklik@ubuntu:~openvas$ OpenVAS-Client

kemudian akan muncul box baru, untuk memulai silahkan klik file –>> Connect dan masukkan username serta password yang tadi anda telah setting

#Demikian cara install openvas di box linux

Retina CS Community adalah konsol berbasis web yang menyederhanakan dan memusatkan manajemen kerentanan dan patching hingga 256 aset tanpa biaya. Mengurangi waktu, tenaga, dan biaya pengelolaan risiko keamanan dengan Retina CS Community untuk peroses penginstalan sebagai berikut menginstall Openvas di Linux sebagai alternatif pengganti nessus

Nikto merupakan web scanner Open Source (GPL), yang melakukan tes komprehensif terhadap web server. Nikto memiliki kemampuan mendeteksi 3500 file yang berpotensi mendatangkan bahaya / CGIS. Nikto dapat menguji web server dengan cepat, tetapi mudah dilihat pada log. berikut peroses peng instalan 

Pertama-tama mari kita lihat pilihan yang kita miliki di nikto. Untuk mendapatkan bantuan dan pilihan dalam singkat Anda dapat menjalankan perintah sebagai:

Untuk mendapatkan intro singkat tentang pilihan atau muka bantuan Anda dapat menggunakan perintah seperti yang ditunjukkan pada gambar di bawah:Mari sekarang menggunakan Nikto pada beberapa webserver dan melihat apa jenis hal-hal yang dapat dilakukan. Mari kita coba tes terhadap website di testbed saya. Url yang sebenarnya tidak akan ditampilkan dalam output

 OWASP atau Buka Proyek Keamanan Aplikasi Web adalah sebuah organisasi nirlaba di seluruh dunia yang berfokus pada peningkatan keamanan aplikasi web, untuk lebih lanjut tentang OWASP Bisa di cari di gogle.. Ada alat otomatis yang tersedia untuk menguji keamanan aplikasi web, dan ada alat yang berbeda untuk serangan berbasis proxy tapi kali ini kita akan membahas tentang ZAP atau Zed Attack Proxy. The Attack Zed Proxy (ZAP) adalah mudah untuk menggunakan alat uji penetrasi terpadu untuk menemukan kerentanan dalam aplikasi web. Ini memiliki fungsi pemindaian otomatis dan memiliki satu set alat yang memungkinkan Anda untuk menemukan kerentanan secara manual. ZAP menyediakan port scanner dasar yang menunjukkan port yang terbuka pada sites.ZAP target adalah proxy mencegat. Hal ini memungkinkan Anda untuk melihat semua permintaan yang Anda buat untuk aplikasi web dan semua jawaban yang Anda terima dari itu. Diantara hal-hal lain ini memungkinkan Anda untuk melihat panggilan AJAX yang mungkin tidak sebaliknya jelas. ZAP pasif memindai semua tanggapan dari aplikasi web yang diuji. Pasif pemindaian tidak mengubah respon dengan cara apapun dan karena itu aman untuk Anda perlu Java untuk menjalankan aplikasi tersebut, setelah download dan instalasi mengatur browser anda ke proxy localhost dan dari terminal terbuka dan mencari direktori mana ZAP telah diinstal sebelumnya, sekarang pada jenis terminal. Proses keseluruhan adalah sama seperti Paros Proxy, karena ZAP adalah pencabangan dari proxy Paros.