Sudah baca majalah Underground Info ? Di majalah itu ada artikel yang ditulis oleh S’to tentang XSS di halaman login klikbca.com. Dalam tulisan ini saya bahas lebih jauh lagi dan saya berikan contoh exploit yang cukup berbahaya dari vulnerability yang ditemukan S’to di majalah tersebut.
Maaf artikel ini bukan XSS basics, tentang apa itu XSS nanti saya akan bahas di artikel khusus.
Sebenarnya XSS termasuk bug yang gawat dan susah diantisipasi, namun XSS juga bug yang paling sering diremehkan. Karena berbeda dengan bug lain seperti SQL Injection yang menyerang server, bug ini tidak berpengaruh sama sekali terhadap server. XSS hanya menyerang client, yaitu pengguna web application.
Mungkin mereka berpikir apa sih hal terburuk yang bisa menimpa server dengan XSS? Memang tidak secara langsung, namun ingat satu bug bisa di-exploit dengan 1001 macam cara yang semakin lama semakin efektif. Anda akan terkejut menyadari bahwa bug “seremeh” ini ternyata bisa diexploit sedemikian rupa.
The Vulnerability
xss bug
Bug XSS ini akan muncul bila kita memasukkan username dan password yang salah. Ketika kita salah mengisi password, maka akan muncul dialog box yang memberitahu bahwa password kita salah.
URL ketika password kita salah adalah:
https://ibank.klikbca.com/authentication.do?value(actions)=logout&value(strError)=Mohon masukkan User ID/Password Anda yg benar \n (Please enter Your correct User ID/Password)
URL tersebut akan menghasilkan source html sebagai berikut:
Perhatikan bahwa setelah var err ditutup dengan karakter kutip (‘). Jadi kalau kita ingin meng-injeksikan tag html atau javascript lain, kita harus tutup dulu dengan karakter (‘). Mari kita coba untuk menampilkan dialog box berisi cookie dengan URL berikut:
https://ibank.klikbca.com/authentication.do?value(actions)=logout&value(strError)=TEST';alert(document.cookie);
56 Comments
Webmentions
Bca Internet Banking Login - InfoFlorida July 14, 2020
[…] […]
Session Hijacking Basics | Basic Concept | IlmuHacking.com July 14, 2020
[…] XSS dilakukan dengan cara meng-injeksi code javascript (client side script) yang akan dieksekusi oleh browser korban. Code javascript ini bertujuan mengirimkan cookie ke server yang sudah disiapkan attacker. Baca contoh PoC-nya di menjaring password klikBCA dengan XSS. […]
Membajak Session Https PermataNet | Web Security | IlmuHacking.com July 14, 2020
[…] dalam CSRF adalah dengan memanfaatkan tag image (saya gunakan tag ini juga dalam artikel saya menjaring password klikBCA ). Bila browser menemukan tag image, maka serta merta dia akan melakukan request ke isi dari […]
ibank Vs www (Trusted vs Untrusted klikBCA) | Web Security | IlmuHacking.com July 14, 2020
[…] ibank.klikbca.com yang telah diberi “racun” XSS (lihat artikel saya yang berjudul: menjaring password klikbca dengan XSS ). Screenshot ini hanyalah simulasi man-in-the-middle di komputer saya sendiri. […]
klo cmn key bca token Cman maenan adik2 đ
Intinya bukan berapa banyak username dan password yang terkumpul,
tetapi kenyataan bahwa menganggap remeh bugs yang “sederhana”,
apapun itu, adalah suatu anggapan yang sangat keliru.
Bugs “sesederhana” apapun bisa jadi masalah serius jika “digarap” oleh tangan yang tepat.
SALUT, buat Mas Ngadimin.
mantab jiwa om, saya gak kefikiran kalau xss bisa dikembangkan menjadi serumit itu kwkwkwk
Saya setuju “Never Underestimate Vulnerabilities”.
Penggunaan enkripsi https memang tidak berguna dalam kasus ini, karena kasus ini harus diamankan dari sisi server dan algoritma pemrograman sebuah sistem situs web/aplikasi.
Enkripsi https atau secure socket layer hanya mengenkripsi transmisi data saja.
Itu saja yang saya tau, mungkin ada yang lebih tau silahkan komen.