Web Security

Modul pembuka: pola pikir penyerang, penyiapan lab yang aman, serta etika dan legalitas pengujian keamanan aplikasi web.

1. Pola Pikir PenyerangMembangun pola pikir penyerang melalui batas kepercayaan, asumsi tersembunyi, dan kasus penyalahgunaan.
2. Lab yang AmanMenyiapkan lingkungan latihan yang aman: OWASP Juice Shop, Burp Suite Community, dan devtools browser.
3. Etika dan LegalitasKerangka etis dan hukum pengujian: responsible disclosure, lingkup, dan hanya target yang diizinkan.

Modul ini membahas medan serangan dasar aplikasi web: HTTP, kebijakan same-origin, serta cookie dan session.

1. HTTP sebagai Medan SeranganHTTP sebagai medan serangan: intersepsi, manipulasi, dan replay permintaan melalui proxy.
2. Kebijakan Same-OriginKebijakan same-origin sebagai fondasi isolasi browser beserta mekanisme yang dibangun di sekitarnya.
3. Cookie dan SessionAtribut cookie dan pengelolaan session beserta lingkupnya yang menjadi sasaran pencurian.

Modul ini membahas keluarga serangan injection: XSS dalam tiga variannya, pengodean keluaran, CSP, SQL injection, serta injection perintah dan template.

1. Anatomi XSSAnatomi XSS: varian reflected, stored, dan DOM-based yang direproduksi di lab.
2. Pengodean Keluaran yang Peka KonteksPengodean keluaran yang peka konteks sebagai pertahanan utama terhadap XSS.
3. CSP sebagai PertahananContent Security Policy sebagai lapisan pertahanan: header policy, nonce, dan mode report-only.
4. SQL InjectionSQL injection: varian union dan blind serta query berparameter sebagai perbaikannya.
5. Injection Perintah dan TemplateInjection di luar SQL: command injection pada shell dan SSTI pada template engine.

Modul ini membahas kontrol akses yang rusak, kategori A01 OWASP Top 10:2025: IDOR, eskalasi vertikal, SSRF, dan race condition.

1. IDORIDOR: referensi objek langsung tanpa pemeriksaan otorisasi dan eskalasi horizontalnya.
2. Eskalasi VertikalEskalasi hak istimewa vertikal melalui pemeriksaan level fungsi yang hilang dan endpoint admin tersembunyi.
3. SSRFSSRF: server dimanfaatkan menjadi proxy permintaan tanpa disadari.
4. Race ConditionRace condition pada aplikasi web: celah antara pemeriksaan dan pemakaian sumber daya.

Modul ini membahas kegagalan autentikasi: serangan session, penyimpanan kata sandi, serangan kredensial, dan kelemahan alur MFA dan OTP.

1. Serangan SessionSerangan terhadap session: fixation, hijacking, dan pengenal yang dapat diprediksi.
2. Penyimpanan Kata SandiPenyimpanan kata sandi yang benar dengan Argon2 dan bcrypt.
3. Serangan KredensialSerangan kredensial: credential stuffing, password spraying, dan rate limiting yang efektif.
4. Jebakan MFA dan OTPKelemahan pada alur MFA dan OTP: replay, race, dan reset sebagai pintu masuk.

Modul ini membahas miskonfigurasi dan kegagalan supply chain: konfigurasi default, paparan cloud, dependensi rentan, dan serangan pipeline CI/CD.

1. Konfigurasi DefaultRisiko konfigurasi default: halaman debug, aplikasi contoh, dan pesan error yang terlalu rinci.
2. Paparan Cloud dan PenyimpananPaparan cloud dan penyimpanan: bucket terbuka, endpoint metadata, dan CORS yang terlalu longgar.
3. Risiko DependensiRisiko dependensi: komponen rentan, SBOM, dan pinning versi.
4. Serangan PipelinePipeline CI/CD sebagai target serangan terhadap aset build yang paling berharga.

Modul ini membahas kegagalan kriptografi dan paparan data: TLS, kebocoran data sensitif, serta pengelolaan kunci dan secret.

1. TLS dalam PraktikTLS dalam praktik: permukaan serangan versi, konfigurasi, dan serangan downgrade.
2. Paparan Data SensitifTempat data sensitif bocor: log, URL, cache, dan penyimpanan sisi klien.
3. Kunci dan SecretPengelolaan kunci dan secret: penyimpanan, rotasi, dan tanggap pasca kebocoran token.

Modul ini membahas cacat logika bisnis, mass assignment, serta integritas webhook dan callback.

1. Cacat LogikaCacat logika bisnis: nilai negatif, lompatan alur kerja, dan penumpukan potongan nilai.
2. Mass AssignmentMass assignment: bidang permintaan tambahan yang berubah menjadi hak istimewa.
3. Integritas Webhook dan CallbackIntegritas webhook dan callback: menandatangani permintaan sendiri dan memverifikasi permintaan pihak lain.

Modul ini membahas metodologi penemuan kerentanan dan pelaporannya: pengujian manual, OWASP WSTG, pemindaian otomatis, dan bug bounty.

1. Metodologi ManualMetodologi pengujian manual: memetakan, menjelajah, mengeksploitasi, dan mendokumentasikan secara berulang.
2. OWASP WSTGOWASP WSTG sebagai daftar periksa disiplin pengujian keamanan aplikasi web.
3. Pemindaian OtomatisPemindaian otomatis dengan ZAP dan sejenisnya beserta penanganan false positive-nya.
4. Mekanika Bug BountyMekanika bug bounty: lingkup, disclosure, dan penulisan laporan yang menghasilkan imbalan.

Modul ini membahas rekayasa pertahanan: threat modeling, perisai framework, otomatisasi dependensi, serta log dan peringatan keamanan.

1. Threat Modeling RinganThreat modeling ringan dengan STRIDE-lite pada sebuah fitur nyata.
2. Perisai FrameworkPerisai framework: default aman Django, Rails, FastAPI, dan Laravel untuk production.
3. Otomatisasi DependensiOtomatisasi pembaruan dependensi dengan Dependabot dan Renovate sebagai tahap pipeline.
4. Log dan Peringatan KeamananLog dan peringatan keamanan untuk mendeteksi peristiwa yang tidak dapat dicegah.

Modul penutup berupa proyek terpandu: audit penuh atas aplikasi rentan, penilaian risiko temuan, serta remediasi dan verifikasi.

1. Audit PenuhProyek audit penuh atas aplikasi yang sengaja dibuat rentan, dari ujung ke ujung.
2. Temuan Berperingkat RisikoMenyusun temuan berperingkat risiko dengan dasar CVSS dan prioritas yang jujur.
3. Perbaiki dan VerifikasiRemediasi temuan disertai pengujian ulang untuk memverifikasi perbaikan.