Bina Sarana Informatika

BinaSaranaInformatika ManajemenInformatika DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika Menurut pakar keamanan jaringan Budi Rahardjo antara Hacker, Cracker dan Security Professional perbedaannya sangat tipis, karna sama-sama menggunakan tools yang sama, hanya perbedaannya pada itikad dan cara pandang (view) terhadap berbagai hal, misalnya mengenai kegiatan probing / (port) scanning sistem orang lain dapat dilegalkan atau tidak. DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika Padatahap 1 (footprinting), hacker barumencari-carisistemmana yang dapatdisusupi. Footprintingmerupakankegiatanpencarian data berupa:• Menentukanruanglingkup (scope) aktivitasatauserangan• Network enumeration• Interogasi DNS• Mengintaijaringan Kegiatanfootprintinginidiibaratkanmencariinformasi yang tersediaumummelaluibukutelepon DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika • Tools yang tersediauntukinidiantaranya • Teleport Pro: Dalammenentukanruanglingkup, hacker dapat men-download keseluruhansitus-situs web yang potensialdijadikansasaranuntukdipelajarialamat, nomortelepon, contact person, dan lain seagainya. • Whois for 95/9/NT: Mencariinformasimengenaipendaftaran domain yang digunakansuatuorganisasi. Di siniadabahayalatenpencurian domain (domain hijack). • NSLookup: Mencarihubunganantara domain name dengan IP address. • Traceroute 0.2: Memetakantopologijaringan, baik yang menujusasaranmaupunkonfigurasi internet jaringansasaran. DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika Tahap 2 atau scanning lebihbersifataktifterhadapsistem-sistemsasaran. Di sinidiibaratkan hacker sudahmulaimengetuk-ngetukdindingsistemsasaranuntukmencariapakahadakelemahannya. Kegiatan scanning dengandemikiandarisegijaringansangat 'berisik' danmudahdikenaliolehsistem yang dijadikansasaran, kecualimenggunakan stealth scanning. Scanning tool yang paling legendarisadalahnmap (yang kinisudahtersedia pula untuk Windows 9x/ME maupun DOS), selainSuperScandanUltraScan yang jugabanyakdigunakanpadasistem Windows. Untukmelindungidiriandadarikegiatan scanning adalahmemasang firewall sepertimisalnya Zone Alarm, ataubilapadakeseluruhan network, denganmenggunakan IDS (Intrusion Detection System) sepertimisalnya Snort. DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika Tahap 3 atauenumerasisudahbersifatsangatintrusifterhadapsuatusistem. Di sinipenyusupmencari account name yang absah, password, serta share resources yang ada. Padatahapini, khususuntuksistem-sistem Windows, terdapat port 139 (NetBIOS session service) yang terbukauntuk resource sharing antar-pemakaidalamjaringan. Andamungkinberpikirbahwa hard disk yang di-share ituhanyadapatdilihatolehpemakaidalam LAN saja. Kenyataannyatidakdemikian. NetBIOS session service dapatdilihatolehsiapa pun yang terhubungke Internet diseluruhdunia! Tools seperti Legion, SMBScanner , atauSharesFindermembuatakseskekomputerorangmenjadibegitumudah (karenapemiliknyalengahmembuka resource share tanpa password). DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika Tahap 4 atau gaining access adalahmencobamendapatkanakseskedalamsuatusistemsebagai user biasa. Iniadalahkelanjutandarikegiatanenumerasi, sehinggabiasanyadisinipenyerangsudahmempunyai paling tidak user account yang absah, dantinggalmencaripasswordnyasaja. Bila resource share-nyadiproteksidengan password, maka password inidapatsajaditebak (karenabanyak yang menggunakan password sederhanadalammelindungikomputernya). Menebaknyadapatsecaraotomatismelalui dictionary attack (mencobakankata-katadarikamussebagai password) atau brute-force attack (mencobakankombinasisemuakaraktersebagai password). Dari sinipenyerangmungkinakanberhasilmemperoleh logon sebagai user yang absah. DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika Tahap 5 atau Escalating Privilege mengasumsikanbahwapenyerangsudahmendapatkan logon access padasistemsebagai user biasa. Penyerangkiniberusahanaikkelasmenjadi admin (padasistem Windows) ataumenjadi root (padasistem Unix/Linux). Teknik yang digunakansudahtidaklagi dictionary attack atau brute-force attack yang memakanwaktuitu, melainkanmencuri password file yang tersimpandalamsistemdanmemanfaatkankelemahansistem. Padasistem Windows 9x/ME password disimpandalam file .PWL sedangkanpada Windows NT/2000 dalam file .SAM. Bahayapadatahapinibukanhanyadaripenyerangdiluarsistem, melainkanlebihbesarlagibahayanyaadalah 'orangdalam' yaitu user absahdalamjaringanitusendiri yang berusaha 'naikkelas' menjadi admin atau root. DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika Padatahap 6, 7, dan 8 penyerangsudahberadadanmenguasaisuatusistemdankiniberusahauntukmencariinformasilanjutan (pilfering), menutupijejakpenyusupannya (covering tracks), danmenyiapkanpintubelakang (creating backdoor) agar lain kali dapatdenganmudahmasuklagikedalamsistem. Adanya Trojan padasuatusistemberartisuatusistemdapatdenganmudahdimasukipenyerangtanpaharusbersusahpayahmelaluitahapan-tahapandiatas, hanyakarenakecerobohanpemakaikomputeritusendiri. DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika denial of service,bukanlahtahapanterakhir,melainkankalaupenyerangsudahfrustrasitidakdapatmasukkedalamsistem yang kuatpertahanannya, maka yang dapatdilakukannyaadalahmelumpuhkansajasistemitudenganmenyerangnyamenggunakanpaket-paket data yang bertubi-tubisampaisistemitu crash. Denial of service attack sangatsulitdicegah, sebabmemakanhabis bandwidth yang digunakanuntuksuatusitus. Pencegahannyaharusmelibatkan ISP yang bersangkutan. Para script kiddies yang pengetahuan hacking-nyaterbatasjustru paling gemarmelakukankegiatan yang sudahdigolongkantindakankriminaldibeberapanegaraini. DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika Serangan land inimembutuhkannomor IP dannomor port dari server yang dituju. Untuksistem Windows, biasanya port 139 yang digunakanuntukmenyerang. Cara lain untukmempertahankanjaringandariserangan Land attack iniadalahdenganmemfilterpada software firewall andadarisemuapaket yang masukdarialamat IP yang diketahuitidakbaik. Paket yang dikirimdari internal sistemandabiasanyatidakbaik, olehkarenaituadabaiknyadi filter alamat 10.0.0.0-10.255.255.255, 127.0.0.0-127.255.255.255, 172.16.0.0-172.31.255.255, dan 192.168.0.0-192.168.255.255. DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika Ping of Death adalahJenisseranganygmenggunakan utility ping.danmengapadisebut Ping Of Death(ping kematian) karena.padaumumnya utility ping pada windows mengirimkanpaket ping maximal sejumlah65.536 bytes sedangkan Ping of death mengirimkanlebihdariitu,misalnyasaja112.000 bytesdanpaket ping of death inimudahdirekayasa,sehinggatidakbisadiketahuialamatpengirimnya (Ip)untukmencoba ping maximal windows dapatdigunakan commandping -l 65500 192.168.0.1ping<spasi>-l<spasi>besarnyapaket<spasi>targetuntukmengirimkanpaketlebihbesar,bisamembuat Pc target Hang atau Crash bisamenggunakanaplikasiPOD Ping Of Death DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika Contohsederhananyasebagaiberikut:C:\windows>ping -l 65540Perintah MSDOS diatasmelakukan ping ataupengirimanpaket ICMP berukuran 65540 byte kesuatu host/server. Padajenisserangantersebut, data yang akandikirimmelebihipanjangmaksimal yang disediakan. Jikasistemtidaksiapsaatpenerimaan data, makasistemakan hang, crash, atau reboot. DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika Teardrop teknikinidikembangkandengancaramengeksplotasiproses disassembly-reassembly paket data. Dalamjaringan Internet, seringkali data harusdipotongkecil-keciluntukmenjaminreliabilitas & proses multiple aksesjaringan. Potonganpaket data ini, kadangharusdipotongulangmenjadilebihkecillagipadasaatdisalurkanmelaluisaluran Wide Area Network (WAN) agar padasaatmelaluisaluran WAN yang tidak reliable prosespengiriman data menjadilebih reliable. Padaprosespemotongan data paket yang normal setiappotongandiberikaninformasi offset data yang kira-kiraberbunyipotonganpaketinimerupakanpotongan 600 byte dari total 800 byte paket yang dikirim. Program teardrop akanmemanipulasi offset potongan data sehinggaakhirnyaterjadi overlapping antarapaket yang diterimadibagianpenerimasetelahpotongan-potonganpaketinidi reassembly. Seringkali, overlapping inimenimbulkan system yang crash, hang & reboot diujungsebelahsana. DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika TCP SYN Scan : Teknikinidikenalsebagaihalf-opening scanning karenasuatukoneksipenuh TCP tidaksampaiterbentuk. Sebaliknya, suatupaket SYN dikirimkanke port sasaran. Bila SYN/ACK diterimadari port sasaran, kitadapatmengambilkesimpulanbahwa port ituberadadalam status LISTENING. Suatu RST/ACT akandikirimolehmesin yang melakukan scanning sehinggakoneksipenuhtidakakanterbentuk. Teknikinibersifatsilumandibandingkan TCP connect penuh, dantidak aka tercatatpada log sistemsasaran DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika SYN Attack- kelemahan dari spesifikasi TCP/IP, dia terbuka terhadap serangan paket SYN. Paket SYN dikirimkan pada saat memulai handshake (jabat tangan) antara dia aplikasi sebelum transaksi / pengiriman data dilakukan. Pada kondisi normal, aplikasi klien akan mengirimkan paket TCP SYN untuk mensinkronisasi paket pada aplikasi di server (penerima). Server (penerima) akan mengirimkan respond berupa acknowledgement paket TCP SYN ACK. Setelah paket TCP SYN ACK di terima dengan baik oleh klien (pengirim), maka klien (pengirim) akan mengirimkan paket ACK sebagai tanda transaksi pengiriman / penerimaan data akan di mulai. Dalam serangan SYN flood (banjir paket SYN), klien akan membanjiri server dengan banyak paket TCP SYN. Setiap paket TCP SYN yang dikirim akan menyebabkan server menjawab dengan paket TCP SYN ACK. Server (penerima) akan terus mencatat (membuat antrian backlog) untuk menunggu responds TCP ACK dari klien yang mengirimkan paket TCP SYN. DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika UDP Flood padadasarnyamengkaitkandua (2) sistemtanpadisadarinya. Dengancara spoofing, User Datagram Protocol (UDP) flood attack akanmenempelpadaservis UDP chargendisalahsatumesin, yang untukkeperluanpercobaanakanmengirimkansekelompokkarakterkemesin lain, yang di program untukmeng-echo setiapkirimankarakter yang diterimamelaluiservischargen. Karenapaket UDP tersebutdi spoofing antarakeduamesintersebut, maka yang terjadiadalahbanjirtanpahentikirimankarakter yang tidakbergunaantarakeduamesintersebut. Untukmenanggulangi UDP flood, andadapat men-disable semuaservis UDP disemuamesindijaringan, atau yang lebihmudahmemfilterpada firewall semuaservis UDP yang masuk. Karena UDP dirancanguntukdiagnostik internal, makamasihamanjikamenolaksemuapaket UDP dari Internet. Tapijikakitamenghilangkansemuatrafik UDP, makabeberapaaplikasi yang betulseperti RealAudio, yang menggunakan UDP sebagaimekanismetransportasi, tidakakanjalan. DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika Tempatantrian backlog initentunyaterbatas & biasanyakecildimemori. Padasaatantrian backlog inipenuh, sistemtidakakanmerespondpaket TCP SYN lain yang masukdalambahasasederhana-nyasistemtampakbengong / hang. Sialnyapaket TCP SYN ACK yang masukantrian backlog hanyaakandibuangdari backlog padasaatterjadi time out dari timer TCP yang menandakantidakada responds dariklienpengirim. Biasanya internal timer TCP inidi set cukup lama. Kunci SYN attack adalahdenganmembanjiri server denganpaket TCP SYN menggunakanalamat IP sumber (source) yang kacau. Akibatnya, karenaalamat IP sumber (source) tersebuttidakada, jelastidakakanada TCP ACK yang akandikirimsebagai responds dari responds paket TCP SYN ACK. Dengancaraini, server akantampaksepertibengong & tidakmemproses responds dalamwaktu yang lama. Berbagai vendor komputersekarangtelahmenambahkanpertahananuntuk SYN attack ini & juga programmer firewall jugamenjaminbahwa firewall merekatidakmengirimkan packet denganalamat IP sumber (source) yang kacau. DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika Smurf Attack - jauh lebih menyeramkan dari serangan Smurf di cerita kartun. Smurf attack adalah serangan secara paksa pada fitur spesifikasi IP yang kita kenal sebagai direct broadcast addressing. Seorang Smurf hacker biasanya membanjiri router kita dengan paket permintaan echo Internet Control Message Protocol (ICMP) yang kita kenal sebagai aplikasi ping. Karena alamat IP tujuan pada paket yang dikirim adalah alamat broadcast dari jaringan anda, maka router akan mengirimkan permintaan ICMP echo ini ke semua mesin yang ada di jaringan. Kalau ada banyak host di jaringan, maka akan terhadi trafik ICMP echo respons & permintaan dalam jumlah yang sangat besar. Lebih sial lagi jika si hacker ini memilih untuk men-spoof alamat IP sumber permintaan ICMP tersebut, akibatnya ICMP trafik tidak hanya akan memacetkan jaringan komputer perantara saja, tapi jaringan yang alamat IP-nya di spoof jaringan ini di kenal sebagai jaringan korban (victim). DwiHartanto, S.Kom

BinaSaranaInformatika ManajemenInformatika Untukmenjaga agar jaringankitatidakmenjadiperantarabagiserangan Smurf ini, maka broadcast addressing harusdimatikandi router kecualijikakitasangatmembutuhkannyauntukkeperluan multicast, yang saatinibelum 100% didefinikan. Alternatif lain, dengancaramemfilterpermohonan ICMP echo pada firewall. Untukmenghindari agar jaringankitatidakmenjadikorban Smurf attack, adabaiknyakitamempunyai upstream firewall (dihulu) yang di set untukmemfilter ICMP echo ataumembatasitrafik echo agar presentasinyakecildibandingkantrafikjaringansecarakeseluruhan. DwiHartanto, S.Kom

Jenis Scanning BinaSaranaInformatika ManajemenInformatika Port Scan adalahawaldarimasalahbesar yang akandatangmelaluijaringan, untukituperlumendeteksiadanya Port Scan. Port Scan merupakanawalserangandanhasil Port Scan membawabeberapainformasikritis yang sangatpentinguntukpertahananmesin & sumberdaya yang kitamiliki Salahsatupionirdalammengimplementasikanteknik port scanning adalah Fyodor. Iamemasukkanberbagaiteknik scanning kedalamkaryanya yang amatterkenal: nmap DwiHartanto, S.Kom

Teknik Port Scaning BinaSaranaInformatika ManajemenInformatika TCP connect scan Jenis scan inikonekke port sasarandanmenyelesaikanthree-way handshake (SYN, SYN/ACK, dan ACK). Scan jenisinimudahterdeteksiolehsistemsasaran TCP SYN scan dikenalsebagaihalf-opening scanning karenasuatukoneksipenuh TCP tidaksampaiterbentuk TCP FIN scan Teknikinimengirimsuatupaket FIN ke port sasaran. Berdasarkan RFC 793, sistemsasaranakanmengirimbaliksuatu RST untuksetiap port yang tertutup. Teknikinihanyadapatdipakaipada stack TCP/IP berbasis UNIX DwiHartanto, S.Kom

Teknik Port Scaning BinaSaranaInformatika ManajemenInformatika TCP Xmas Tree scan Teknikinimengirimkansuatupaket FIN, URG, dan PUSH ke port sasaran. Berdasarkan RFC 793, sistemsasaranakanmengembalikansuatu RST untuksemua port yang tertutup. TCP Null scan Teknikinimembuat off semua flag. Berdasarkan RFC 793, sistemsasaranakanmengirimbaliksuatu RST untuksemua port yang terturup. TCP ACK scan Teknikinidigunakanuntukmemetakan set aturan firewall. Dapatmembantumenentukanapakah firewall itumerupakansuatusimple packet filter yang membolehkanhanyakoneksi-koneksitertentu (koneksidengan bit set ACK) atausuatu firewall yang menjalankanadvance packet filtering. TCP Windows scan Teknikinidapatmendeteksi port-port terbukamaupunterfilter/tidakterfilterpadasistem-sistemtertentu (sebagaicontoh, AIX dan FreeBSD) sehubungandengananomalidariukuran windows TCP yang dilaporkan. DwiHartanto, S.Kom

Teknik Port Scaning BinaSaranaInformatika ManajemenInformatika TCP RPC scan Teknikinispesifikhanyapada system UNIX dandigunakanuntukmendeteksidanmengidentifikasi port RPC (Remote Procedure Call) dan program sertanormorversi yang berhubungandengannya. UDP scan Teknikinimengirimkansuatupaket UDP ke port sasaran. Bila port sasaranmemberikanresponberupapesan “ICMP port unreachable” artinya port initertutup. Sebaliknyabilatidakmenerimapesandiatas, kitadapatmenyimpulkanbahwa port ituterbuka. Karena UDP dikenalsebagaiconnectionless protocol, akurasiteknikinisangatbergantungpadabanyakhalsehubungandenganpenggunaanjaringandansystem resource. Sebagaitambahan, UDP scanning merupakanproses yang amatlambatapabilaandamencoba men-scan suatuperangkat yang menjalankanpacket filtering berbebantinggi. DwiHartanto, S.Kom

Tool Scaning Port BinaSaranaInformatika ManajemenInformatika Beberapa port scanner berbasis Windows yang cukupbaikkecepatan, akurasi, danfitur-fitur yang tersediaantara lain sepertidibawahini. NetScan Tools Pro 2000 NetScan Tools Pro 2000 (NSTP2K) menyediakansegalamacamutilitasdalamsatupaket: DNS query mencakupnslookupdan dig denganaxfr, whois, ping sweeps, Net-BIOS name table scan, SNMP walks, danbanyaklagi. Lebihjauhlagi NSTP2K mempunyaikemampuan multitasking. Serta dapatmenjalankan port scan terhadapsuatusistemdanmenjalankan ping sweep padasistem yang lain. NetScan Tools Pro 2000 menyertakan port scanner versi Windows terbaik yang adasekarang, yaitupada tab Port Probe. Kehebatan Port Pro mencakupflexible target danspesifikasi port (IP sasaranmaupundaftar port dapatdiimpordari file teks), mendukung scan TCP maupun UDP (tapitidakselektif per port), danmultithreaded speed. Di sisinegatifnya, output yang dihasilkan Port Pro bersifatgrafissehinggasulitdibacaolehscript ataupun tool pemilah-milah data. Sayangnyajuga, output darisuatufungsi (misalnyaNetScanner) tidakdapatsecaraotomatisdijadikan input olehfungsi lain (misalnya Port Probe). DwiHartanto, S.Kom

Tool Scaning Port BinaSaranaInformatika ManajemenInformatika SuperSCAN SuperScandapatdiperolehdiwww.foundstone.com/rdlabs/termofuse.php?filename=superscan.exe. SuperScanadalah port scanner TCP yang jugacepatdandapatdiandalkanpadaharga yang jauhlebihbaik (gratis!). Sepertijuga NSTP2K, SupeScanmemungkinkanspesifikasifleksibeldari IP-IP sasarandandaftar port. Opsi Extract From File nyamanmudahdigunakandancepat pula. WinScan WinScan, karya Sean Mathias dariProsolve (http://prosolve.com) adalahsuatu TCP port scanner yang tersediabaikdalam format grafis (winscan.exe) maupuncommand line (scan.exe). Versi command line-nyamampu men-scan network Class-C dan output-nyamudahdibaca. DwiHartanto, S.Kom

Tool Scaning Port BinaSaranaInformatika ManajemenInformatika IpEye Packet scan eksotishanyanmapdi Linux? Tidakjuga. IpEyekarya Arne Voidstrom (http://ntsecurity.nu) dapatmenjalankan source port scanning, selain SYN, FIN, dan Xmas scan dari command line Windows. Satu-satunyaketerbatasanipEyeadalahhanyaberjalanpada Windows 2000 dansetiap kali hanyadapat men-scan satu host. Banyak router dan firewall dikonfigurasikan agar memungkinkanprotokolseperti DNS (UDP 53), FTP data channel (TCP 20), SMTP (TCP 25), dan HTTP (TCP 80) masukmelalui filter, source port scanning dapatmenyerangkontrolkontrolinidenganjalanmenyamarsebagailalu-lintaskomunikasi inbound ini. Untukitu, andaharusmengetahuiruangalamat yang adadibalik firewall atau router, yang sulitbilamelibatkan NAT (NetBIOS Auditing Tool). WUPS Windows UDP Port Scanner (WUPS) berasaldaripengarang yang samadenganipEye (Arne Vidstorm). Suatu UDP scanner grafis yang mudahdigunakandancepat (tergantungpada delay setting-nya), walaupunhanyadapat men-scan satu host setiap kali. Suatu tool yang baikuntuk UDP scan caracepat. DwiHartanto, S.Kom

Windows Ping Tools BinaSaranaInformatika ManajemenInformatika Pinger (www.nmrc.org/files/snt/) Pingerdari Rhino9 iniadalahpingertercepat yang adauntuk Windows danmerupakanfreeware! Sepertijugafping, Pingermengirimkanbenyakpaket ICMP ECHO secarabersamaandanmenungguresponnya. Selainitu, Pingerdapatmelacak host name danmenyimpannyapadasuatu file. Ping Sweep (www.solarwinds.net) Ping Sweep dapatsangatcepatsebabkitadapatmenentukandelay time antarapaket-paket yang dikirimkan. Denganmenetapkan delay time sebagai 0 atau 1, suatu hostname dari network kelas C dapatdiperolehdalamwaktukurangdari 7 detik. Hati-hatidengan tool inisebabbisa-bisamembuatmacetlink yang lambatseperti ISDN 128K atau Frame Relay link. WS_PingProPack (www.ipswitch.com) dan NetScanTools (www.nwpsw.com) Keduautilitas ping sweep inimemadaiuntukmelakukan ping sweep terhadapnetwork kecil, namunkeduanyalebihlambatdibandingkandenganPingeratau Ping Sweep. Lebihlengkapnya, tool-tool yang adadicantumkanpadalampiran Scanning Tools. DwiHartanto, S.Kom

Bina Sarana Informatika