Writing penetration testing |1

Penetration Testing Report

Black Box Penetration Testing

For JHU.EDU
V1.0 January 15th, 2015
By: Muhammad Zulkifli B 1112001031

2015 Universitas Bakrie As part of the Information Security Reading Room

Author regains full rights

Writing penetration testing |2

Document properties
Title

Black box penetration testing report

Version

V 1.0

Author

Muhammad Zulkifli B

Pen-testers

Muhammad Zulkifli B

Reviewed By

I Gusti Nyoman Mantra

Approved By

I Gusti Nyoman Mantra

Classification

Confidential

Version Control
Version

Date

Author

Description

V 1.0

January 15th 2015

Muhammad Zulkifli B

Final Draft

2015 Universitas Bakrie As part of the Information Security Reading Room

Author regains full rights

Writing penetration testing |3

DAFTAR ISI
DAFTAR ISI ................................................................................................................................... 3
DAFTAR TABEL ............................................................................................................................. 4
DAFTAR GAMBAR ........................................................................................................................ 4
1.

Kesimpulan Eksekutif............................................................................................................ 5
1.1 Lingkup Pekerjaan ............................................................................................................... 5
1.2 Tujuan Projek ....................................................................................................................... 5
1.3 Asumsi .................................................................................................................................... 5
1.4 Batas Waktu .......................................................................................................................... 5
1.5 Ringkasan Temuan ............................................................................................................... 6
1.6 Ringkasan Rekomendasi ...................................................................................................... 7

2.

Metodologi .......................................................................................................................... 8
2.1 Planning ................................................................................................................................. 8
2.2 Exploitation ........................................................................................................................... 8
2.3 Reporting ............................................................................................................................... 9

3.

Rincian Temuan .................................................................................................................... 9

3.1 Rincian Sistem Informasi ..................................................................................................... 9

4.

Referensi ............................................................................................................................ 10

2015 Universitas Bakrie As part of the Information Security Reading Room

Author regains full rights

Writing penetration testing |4

DAFTAR TABEL
Tabel 1 Penetration Testing Timeline ............................................................................................ 5
Tabel 2 Total Risk Rating .............................................................................................................. 6
Tabel 3 Risk Analysis .................................................................................................................... 9
Tabel 4 Rating Calculation ............................................................................................................ 9
Tabel 5 Targets open ports ........................................................................................................... 9

DAFTAR GAMBAR
Gambar 1 Total Risks.................................................................................................................... 6
Gambar 2 Metodologi Penetration Testing ................................................................................... 8
Gambar 3 Telnet Service Banner ................................................................................................. 10

2015 Universitas Bakrie As part of the Information Security Reading Room

Author regains full rights

Writing penetration testing |5

1. Kesimpulan Eksekutif
Dokumen ini berisikan rincian penilaian keamanan (tes penetrasi eksternal) situs John
Hopkins University (jhu.edu) United States. Tujuan dari penilaian ini yaitu untuk
menyediakan review dari keamanan infrastruktur jhu.edu dan mengidentifikasi
kelemahan potensial pada infrastruktur internetnya.

1.1 Lingkup Pekerjaan

Penilaian keamanan ini mencakup pengujian penetrasi jarak jauh dari server yang
disimpan dan dapat diakses pada alamat IP 128.220.192.40 dan 162.129.6.20.
Penilaian dilakukan dari perspektif black box, dengan informasi tersedia yang diuji
alamat server IP-nya, tahap yang digunakan untuk mengetahui IP server tujuan
berada pada tahap footprinting

1.2 Tujuan Projek

Penilaian keamanan dilakukan untuk mengukur keamanan internet host jhu.edu.
Hasil penilaian kemudian dianalisa untuk kerentanannya. Dengan waktu terbatas
yang diberikan untuk melakukan penilaian, hanya layanan yang dapat dieksploitasi
saja yang dengan segera diuji. Kerentanan ditentukan berdasarkan tingkat resiko
pada ancaman, kerentanan dan dampaknya.

1.3 Asumsi
Sementara menulis laporan, saya mengasumsikan bahwa kedua alamat IP dianggap
sebagai alamat IP publik. NDA dan aturan keterlibatan telah ditandatangani dan
berdasarkan fase pengumpulan informasi pada universitas jhu.edu.

1.4 Batas Waktu

Timeline pengujian adalah sebagai berikut:
Penetration Testing

Start Date/Time

End Date/Time

Pen Test 1

1/13/2015

1/15/2015

Tabel 1 Penetration Testing Timeline

2015 Universitas Bakrie As part of the Information Security Reading Room

Author regains full rights

Writing penetration testing |6

1.5 Ringkasan Temuan

Dampak

Jumlah Resiko

Low

Medium

Important

Critical

Tabel 2 Total Risk Rating

Important Critical
0%
0%
Medium
13%
Low
Medium

Low
87%

Important
Critical

Gambar 1 Total Risks

Jhu.edu memiliki keamanan informasi yang cukup aman, terbukti saya hanya
menemukan 8 celah keamanan dalam waktu pemindaian kurang lebih 6 jam. 1
Sifatnya medium dan 7 lainnya sifatnya rendah
Dibawah ini merupakan dampak dari kerentanan yang ada pada situs jhu.edu

MEDIUM
[Possible] Source Code Disclosure (ColdFusion)
Tergantung pada source code, database connection string, username, dan
password, the internal working dan business logic dari sebuah aplikasi yang
memungkinan bisa terungkap. Dengan informasi tersebut, penyerang dapat
melakukan beberapa jenis serangan:

Mengakses database atau sumber data yang lainnya, tergantung tingkat

hak istimewa dari akun yang diperoleh dari source code. Yang

2015 Universitas Bakrie As part of the Information Security Reading Room

Author regains full rights

Writing penetration testing |7

memungkinan untuk membaca, memperbarui atau bahkan menghapus

data dari database.

Mendapatkan akses password untuk mekanisme administratif seperti

dashboard, konsol manajemen dan panel admin, da juga mendapatkan
kontrol penuh dari aplikasi.

Mengembangkan serangan lebih lanjut dengan meneliti source code untuk

kesalahan input validasi dan logika kerentanan.

LOW
1. Internal Server Error
2. Version Disclosure (Apache)
3. Programming Error Message
4. TRACE/TRACK Method Detected
5. OPTIONS Method Enabled
6. [Possible] Cross-site Request Forgery Detected
7. [Possible] Internal IP Address Disclosure

1.6 Ringkasan Rekomendasi

Mengadopsi

pendekatan

pencegahan

dimana

Jhu.edu

memanfaatkan

keberagaman alat/sistem keamanan untuk melindungi asset dan informasi.

Diantaranya:

Konfirmasi apa-apa saja aspek dari source code yang terbuka; karena
keterbatasan jenis kerentanan, maka bukan tidak mungkin untuk konfirmasi
semuanya sekaligus.

Jika sebuah aplikasi yang dibutuhkan, maka ganti hak akses untuk mencegah
public user ketika ingin mengaksesnya. Jika tidak, hapus dari web server.

Pastikan bahwa semua keamanan servernya sudah diterapkan.

Hapus semua file sementara dan backup file dari web server.

2015 Universitas Bakrie As part of the Information Security Reading Room

Author regains full rights

Writing penetration testing |8

2. Metodologi

planning

information gathering
detecting live systems
reconaissance
scanning and fingerprinting

vulnerability assessment
enumeration
exploitation exploitation

reporting

finding anaysis
risk calculation and rating
reporting

Gambar 2 Metodologi Penetration Testing

2.1 Planning
Selama perencanaan / planning saya mengumpulkan informasi dari sumber-sumber
umum untuk mempelajari tentang target:

Orang-orang dan budaya

Infrastruktur teknis

Kemudian, saya mendeteksi live system OS-nya dan menentukan layanan yang
berjalan dan versi-nya.

2.2 Exploitation
Menggunakan informasi yang dikumpulkan pada perencanaan, saya mulai untuk
menemukan kerentanan untuk setiap OS dan layanan yang saya temukan, setelah
itu kemudian dilakukan eksploitasi.

2015 Universitas Bakrie As part of the Information Security Reading Room

Author regains full rights

Writing penetration testing |9

2.3 Reporting
Berdasarkan hasil dari dua langkah yang pertama, saya mulai menganalisa
hasilnya. Risk rating saya berdasarkan perhitungan ini:
Risk = Threat * Vulnerability * Impact
Threat
Vulnera
bility
Impact

L
M
I
C

Low
L M I

Medium
L
M I

Important
L
M
I

Critical
L
M

1
2
3
4

4
8
12
16

1
4
7
10

8
16
24
32

3
6
9
12

12
24
36
48

4
8
12
16

12
24
36
48

16
32
48
64

2
4
6
8

3
6
9
12

4
8
12
16

6
12
18
24

9
19
27*
36

9
18
27
36

8
16
24
32

Tabel 3 Risk Analysis

L
Low
1-16
M
Medium
17-32
I
Important
33-48
C
Critical
49-64
Tabel 4 Rating Calculation

Setelah menghitung risk rating, saya mulai menulis laporan untuk setiap resiko dan
bagaimana menguranginya.

3. Rincian Temuan
3.1 Rincian Sistem Informasi
IP Address

System
Type
128.220.192.40 Server
162.129.6.20

Server

OS Information

Open Ports
Port #
Protocol
Linux 2.6.39
80
Tcp
443
Tcp
Linux 2.6.9 2.6.18 80
Tcp
443
Tcp
Tabel 5 Targets open ports

2015 Universitas Bakrie As part of the Information Security Reading Room

Service Name
HTTP
SSL/HTTPS
HTTP
SSL/HTTPS

Author regains full rights

W r i t i n g p e n e t r a t i o n t e s t i n g | 10

Kemanan situs jhu.edu cukup bagus karena tidak ada telnet yang dibuka. Berikut
merupakan bukti bahwa saya tidak dapat melakukan telnet pada server 128.220.192.40
dan 162.129.6.20

Gambar 3 Telnet Service Banner

4. Referensi
Lampiran A Netsparker Vulnerability and Nmap Scanning Reports
Melampirkan file scanning Nmap dan Netsparker

2015 Universitas Bakrie As part of the Information Security Reading Room

Author regains full rights