LAPORAN PENETRATION TESTING SERVER FOXTROT (WINDOWSXP)

1 Dasar Teori

PenetrationTestingatau sering disebut sebagai pentest adalah sebuah metode untuk

melakukan evaluasi terhadap keamanan dari sebuah sistem dan jaringan komputer. Evaluasi
tesebut dilakukan dengan cara melakukan sebuah simulasi serangan (attack). Hasilnya akan
menjadi feedback bagi pengelola sistem untuk memperbaiki tingkat keamanan dari sistem
komputernya. Laporan hasil Pentest akan memberikan masukan terhadap kondisi
vulnerabilitas sistem  sehingga memudahkan dalam melakukan evaluasi dari sistem
keamanan komputer yang sedang berjalan. Aktivitas pentest tersebu lebih sering di kenal
dengan istilah ehical hacking.

Terdapat beberapa teknik dan metode untuk melakukan Pentest, diantaranya adalah apa yang
disebut dengan black box, white box dan grey box. Black box testing adalah metode Pentest
dimana diasumsikan tester  tidak mengetahui sama sekali infrastructur dari target pentest.
Dengan demikian pada black box test ini tester harus mencoba untuk menggali dari awal
semua informasi yang diperlukan kemudian melakukan analisis serta menentukan jenis attack
yang akan dilakukan. Pada White box testing terjadi sebaliknya, tester telah mengetahui
semua informasi yang diperlukan untuk melakukan pentest. Sementara gray box atau
kombinasi dari kondisi black box dan white box. Pengertian lain dari white box adalah ” full
disclosure”, grey box adalah ” partial disclosure” dan black box adalah ” blind disclosure”.

Secara umum, terdapat 5 langkah dasar untuk melakukan aktivitas Pentest. Langkah pertama
adalah mengumpulkan sejumlah informasi penting dari sistem, langkah keduaVulnerability
Assesment (VA)melakukan analisis untuk menentukan jenis serangan yang akan dilakukan,
langkah ketiga dan keempat adalah Exploitation toolsdanPrivilege Escalationmelakukan
aktivitas serangan untuk mengeksploitasi vulnerabilitas sistem. Dan kelima adalah
Maintaining access

Information Gathering.

merupakan sub tools yang berisi tools yang digunakan untuk mengumpulkan informasi (information
gathering ). Langkah awal yang dilakukan oleh seorang attacker adalah mencari informasi dari
targetnya sebelum melakuka exploitasi dan explorasi. informasi yang di kumpulkan biasanya
informasi ip, port, protokol, dns, record. Contoh tools yang sering digunakan disini adalah nmap,
nikto, dan nessus.

Vulnerability assessment.

merupakan adalah pengukuran kelemahan atas serangan dari luar. Semakin kuat serangan yang datang
dari luar, maka akan semakin banyak celah yang ditemukan. Jika serangan yang dilancarkan lemah,
maka pentest tidak akan berjalan maksimal.

Exploitation.

merupakan sub tools menu yang berisi tools-tools yang di pakai untuk melakukan tindakan explotasi
setelah tahap pengumpulan informasi (Information Gathering) dan Vulnerability Assessment selesai.
Exploitation adalah sebuah cara untuk memasuki suatu system yang ingin diserang, melalui port atau
celah yang terbuka.

Privilege Escalation

Merupakan tindakan mengeksploitasi bug, Kesalahan design atau pengawasan konfigurasi dalam
suatu sistem operasi atau aplikasi perangkat lunak untuk mendapatkan akses ke sumber daya tertinggi
yang biasanya dilindungi dari aplikasi atau pengguna. Sehingga Privilage Escalation dapat melakukan
perubahan-perubahan atau tindakan-tindakan lainnya yang memiliki otoritas tertentu.

Maintaining Access.

Maintaining access lebih mengarah ke meninggalkan jejak tersembunyi. Biasanya setelah melakukan
explotasi dan Privilage Escalation, attacker akan meninggalkan pintu masuk atau backdoors yang
nantinya akan membuka suatu kesempatan atau peluang untuk kembali memasuki sistem tersebut
kapan saja. Sub tools ini berisi tools – tools untuk menciptakan backdoor-backdoor tertentu.
2 Implementasi
Pada Bab ini akan dijelaskan langkah langkah yang akan dilakukan untuk melakukan
eksploitasi pada Sistem target dan cara hardening pada Sistem target.

2.1 Skenario
Pada pentest ini digunakan 2 buah server yang akan bertindak sebagai Sistem penyerang dan
sebagai Sistem target. Kedua buah system merupakan virtual OS yang diinstall pada
VMware.

Sistem penyerang akan menggunakan system operasi backbox 4.4 dan system target
menggunakan system operasi Windows XP Dark Edition. Skenario dari penetration testing
ini dapat dilihat pada gambar berikut .

Gambar 1 Skenario Pentest

2.2 Tools yang Digunakan

Adapun tools yang akan digunakan dalam penetration testing ini adalah :

- Netdiscover
- Nmap
- Nesus
- Hydra
2.3 Langkah-langkah Pengerjaan
Berikut ini merupakan cara cara yang dilakukan untuk melakukan eksploitasi terhadap server
Foxtrot.

2.3.1 Information Gathering

Pada tahap ini dilakukan pengambilan informasi yang diperlukan tentang target, mulai dari IP
Address target, port yang terbuka pada Sistem Operasi target , services dan informasi tentang
Sistem Operasi target hingga kemungkinan kelemahan pada Sistem Operasi yang digunakan
oleh target.

2.3.1.1 Menentukan IP server target

Hal paling pertama yang harus dilakukan dalam melakukan tahapan penetration
testingadalah menemukan IP Address dari Sistem operasi target. IP dari target dapat
ditemukan dengan menggunakan beberapa tools,seperti AngryIPScanner ataupu dengan
toolsNetdiscover.

Kali ini tool yang digunakan untuk menemukan IP target menggunakan Netdiscover.
Netdiscover merupakan sebuah toolCLI yang dapat digunakan untuk menscan semua IP Host
yang berada pada satu subnetdengan IP penyerang .

Perintah yang digunakan untuk menscan host dengan netdiscover dan hasil dari perintah
dapat dilihat pada command dan Gambar 2 di bawah ini.

Command:

netdiscover –i [activeInterface] -r [attackerIP]

Keterangan :

activeInterface : Merupakan interface Card yang aktif dari sistem operasi penyerang

attackerIP :Merupakan IP dari penyerang

 Gambar 2 Hasil Netdiscover

Pada hasil netdiscover di atas, ditemukan 4 IP dari host yang berada satu jaringan dengan
Penyerang. Oleh karena penetration testing dilakukan pada lingkungan VMware, dapat
disimpulkan bahwa IP dari target adalah 192.168.8.107 dikarenakan MAC Vendor dari IP
tersebut ialah VMware. Walaupun pada kenyataannya, untuk memastikan bahwa IP tersebut
merupakan IP Target harus dilakukan information gatheringdengan menggunakan tool nmap.

2.3.1.2 Port and Service Scanning

Setelah menemukan IP Address dari target, hal yang harus dilakukan ialah mencari informasi
dari host target melalui IP Address tersebut. Informasi yang dimaksud berasal dari service,
port dan OS Information dari host yang telah ditentukan.

Pencarian Informasi target ini dapat dilakukan menggunakan tool nmap yang tersedia pada
Sistem Operasi Penyerang (Backbox 4.4). Perintah dan hasil perintah dengan menggunaan
tool nmap ini dapat dilihat pada command dan Gambar 3 di bawah ini.

Command:

nmap -A [targetIP]
Keterangan :

TargetIP : IP Address dari target host

 Gambar 3 Hasil dari nmap

Pada hasil nmap di atasditemukan beberapa informasi tentang target host yang sanagat berguna
nantinya dalam melakukan eksploitasi. Sistem Operasi dari target adalah Windows xp dengan
Computer Namedarkedition, dan yang paling penting, pada target host terdapat 5 port yang terbuka
dan berkemungkinan dapat dieksploitasi. Port port tersebut antara lain port 135 yang menagani
remoteprocedurecall pada host target, port 139, port 445 yang menangani samba atau file sharing,
port 2869 dan port 3389 yang menangani RDP (RemoteDesktopProtocol).
Dari informasi ini, dapat disimpulkan bahwa system target kemungkinan dapat dieksploitasi melalui 5
port yang terbuka pada system operasi target tersebut. Akan tetapi belum diketahui port mana yang
memiliki vulnerability sehingga dapat dieksploitasi.

2.3.1.3 Vulnerability Scanning

Service dan port yang terbuka pada target dapat digunakan untuk mengeksploitasi target
tersebut. Akan tetapi sebelum melakukan eksploitasi, vulnerability pada target harus
ditemukan terlabih dahulu.

Menemukan vulnerability dari sebuah host dapat dilakukan dengan menggunakan banyak
tools. Tools yang digunakan kali ini adalah Nessus . Tools ini merupakan sebuah
localwebapplication yang dapat diinstall pada system operasi penyerang yang mampu
melakukan scanning vulnerability dari target system secara mendalam dan memberikan
informasi vulnerability, cara eksploitasi dan cara hardening dari target system.

Hasil scanning vulnerability dapat dilihat pada gambar di bawah ini.

Gambar 4ListVulnerability dari Sistem target pada port 3389

Gambar 5 Deskripsi Vulnerability pada Sistem target

Dari hasil scanningvulnerability menggunakan Nessus di atas, dapat dilihat bahwa terdapat
beberapa kelemahan yang dapat digunakan untuk mengeksploitasi Sistem target, dan
vulnerability tersebut melalui port 3389 (RDP) yang terbuka pada Sistem target.

Dari tahapan Information Gathering ini dapat disimpulkan vulnerability yang akan
dieksploitasi pada Sistem target ialah :

1. Vulnerabilities in Remote Desktop Could Allow Remote CodeExecution through

Microsoft Terminal service yang memungkinkan Sistem targe dipaksa reboot bahkan
BOD (Blue Screen of Death) oleh penyerang tanpa harus mendapatkan akses root
pada Sistem target dengan metode DOS (Denial Of Service).
2. Microsoft Windows Remote Desktop Protocol Server Man-in-the-MiddleWeakness
yang memungkinkan penyerang mendapatkan akses root dengan melakukan Brute
Force Attack pada Service Remote Desktop Connesction (port 3389) yang dibuka
oleh Sistem target.

2.3.2 Vulnerability assessment

Pada tahapan ini dilakukan penaksiran tingkat kelemahan dari celah keamanan yang
ditemukan pada Sistem target. Hal ini dapat dilakukan dengan melakkan scanningSistem
target dengan menggunakan Nessus seperti yang telah dilakukan sebelumnya. Hasil Scanning
Nessus dapat dilihat pada gambar di bawah ini.

Gambar 6 Hasil Scanning Nessus terhadap tingkat vulnerability

Dari gambar di atas dapat dilihat bahwa 2 celah keamanan yang telah kita simpulkan
sebelumnya memiliki tingkat vulnerabilitas yang tinggi dan sedang, sehingga kemungkinan
keberhasilahan eksploitasi kemungkinan besar tinggi.

2.3.3 Exploitation
Pada bagian ini dilakukan eksploitasi pada celah keamanan yang telah ditemukan pada
langkah langkah sebelumnya. Eksploitasi ini dibagi atas 2 bagian dikarenakan adanya 2 celah
keamanan yang telah ditemukan.
2.3.3.1 Eksploitasi Celah Keamanan MS12-020
Pada bagian Information Gathering dan Vulnerability Assessment yang telah dilakukan
sebelumnya, ditemukan sebuah celah keamanan MS12-020, dimana celah keamanan ini
terjadi dikarenakan Protokol Remote Desktop yang diaktifkan pada Sistem target
mengizinkan eksekusi kode/script secara remote, sehingga karena kelemahan ini, Sistem
target dapat dipaksa restart bahkan BOD. Hal ini dapat dilakukan dengan melakukan DOS
pada port RDP tersebut (port 3389).

Pada saat ekploitasi, penyerang akan mengirimkan kode kode ataupun script secara massal ke
port 3389 dari Sistem target, service pada port target tersebut (RDP) akan sibuk
mengeksekusi kode yang dikirimkan sampai load eksekusi tidak dapat ditangani lagioleh
service tersebut, sehingga proses service akan deadlock dan memaksa Sistem di restart atau
bahkan BOD.

DOS pada RDP ini dapat dieksploitasi dengan menggunakan modul metasploit dengan id
MS12-020. Command untuk menggunakan modul metaspolit MS12-020 dapat dilihat pada
gambar di bawah ini.

Gambar 7 Perintah untuk menggunakan modul Metasploit MS12-020

Pada gambar di atas ketika perintah show options dieksekusi, terdapat 2 buah options yang
harus diisi, yaitu RHOST dan RPORT, silahkan mensetRHOST dengan IP Address dari
Sistem target, sedangkan biarkan RPORT secara default karena seperti informasi dari
scanning dengan Nessus, port yang akan dieksploitasi celah keamanannya adalah port 3389
(port RDP). Perintah untuk set RHOST dapat dilihat apda gambar berikut.
 Gambar 8 Set RHOST pada metasploit

Setelah menset RHOST eksploitasi dapat secara langsung dilakukan , ekspploitasi dapat
dilakukan dengan mengetikkan perintah exploit pada terminal.

Gambar 9 Perintah exploit pada metasploit

Setelah melakukan exploit, maka Sistem penyerang akan mengirimkan kode kode secara
massal pada port 3389 dari Sistem target, sehingga target BOD. Hasil dari eksploitasi dapat
dilihat pada gambar di bawah ini

Gambar 10 Sistem target sebelum dan sesudah eksploitasi

2.3.3.2 Eksploitasi Celah Keamanan RDP

Salah satu dari dua celah keamanan yang ditemukan ialah diaktifkannya service RDP pada
Sistem Target, sehingga ketika terkoneksi ke jaringan , user dapat secara remote mengakses
Sistem target tersebut dengan menggunakan beberapa aplikasi remote desktop yang ada.
Salah satu cara mengakses remote desktop dari Sistem target ialah menggunakan tool
rdesktop melalui Siste penyerang . Penggunaan rdesktop dapat dilihat pada command di
bawah ini
Command:

rdesktop [targetIP]
Keterangan :

TargetIP : IP Address dari Sistem target

Saat menggunakan rdesktop untuk mengakses Sistem target, terbuka jendela autentikasi
seperti dapat dilihat pada gambar berikut :

Gambar 11 Jendela Autentikasi pada remote desktop

Dikarenakan adanya autentikasi yang harus dilakukan, maka terpikirkan cara untuk
membypass autentikasi tersebut dengan melakukan bruteforce attack pada username dan
password yang diminta .

Untuk melakukan bruteforce attack ini dapat dilakukan dengan menggunakan beberapa tool
seperti ncrack, hydra, medusa dan lain lain. Pada kali ini, brute force attack akan dilakukan
dengan menggunakan tool hydra. Saat melakukan brute force terlebih dahulu dilakukan
pengumpulan informasi tentang pengguna dari Sistem target sehingga dapat ditemukan
kemungkinan kemungkinan username dari Sistem target. Pada penggunaanya , hydra akan
melakukan brute force username dan password Sistem target dengan username dan password
yang telah dimasukkkan dalam sebuah file. Brute force akan selesai ketika terdapat username
dan password yang match. Perintah dan hasil dari penggunaan hydra dapat dilihat pada
command dan gambar berikut

Command:

hydra –t 1 –V -f –l [username.txt] –P [password.txt] rdp://[targetIP]

Keterangan :

targetIP : IP Address dari Sistem target

Gambar 12 Hasil dari hydra

Setelah melakukan brute force attack pada RDP Sistem target, ditemukan username dan
password yang sesuai dengan username dan password Sistem target (username:csrc dan
password:matumbaman). Setelah username dan password ditemukan, langkah selanjutnya
ialah melaukan privilege escalation dengan menggunakan username dan password yang telah
didapatkan.
2.3.4 Privilege Escalation
Langkah ini melanjutkan langkah eksploitasi Celah keamanan RDP yang telah dilakukan
sebelumnya. Sebelumnya telah didapatkan username dan password dari Sistem target. Pada
langkah ini penyerang akan masuk ke Sistem target sebagai root user dengan menggunakan
username dan password yang telah ditemukan tadi lewat service Remote Desktop yang
terbuka pada Sistem Target. Perintah dan hasil dapat dilihat pada command dan gambar
berikut.

Command:

rdesktop -u [username] –p [password] [targetIP]

Keterangan :

targetIP : IP Address dari Sistem target

username : Username root yang ditemukan

password : Password root yang ditemukan

Gambar 13 Privilege Escalation dengan masuk sebagai root

Setelah masuk sebagai root, kita dapat menambahkan user baru dengan privilege
administrator pada Sistem target, agar ketika kita ingin masuk lagi, kita telah memiliki user
sendiri tanpa harus menggunakan credential dari user yang lama.

Penambahan user baru dapat dilakukan dengan mengetikkan beberapa perintah pada
command prompt dari system target yang telah dimasuki.Perintah dan hasil dapat dilihat pada
command dan gambar berikut.

Command:

net user /add [newusername] [newpassword]

net localgroup administrators [newusername]/add

Gambar 14 Penambahan user baru pada Sistem target

Setelah menambahkan user baru tersebut, kita dapat login kembali ke system target dengan
menggunakan username dan password baru yang telah kita buat seperti pada langkah
sebelumnya.
 Gambar 15 Masuk Sistem target dengan user baru

2.3.5 Menghapus Jejak

Setelah masuk ke system target sebagai root dan sebagai user baru yang mempunyai hak
akses sebagai root (administrator ), kita sebagai penyerang harus mampu menghapus jejak
penetrasi yang dilakukan. Kali ini cara untuk menghapus jejak dapat dilakukan dengan cara
meremove user baru yang telah ditambahkan dan menghapus log rdp service dengan
menggunakan perintah sebagai berikut pada command prompt system target.

Command:

reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server

Client\Default" /f

2.4 Hardening
Terdapat bebrapa cara yang dapat digunakan agar Sistem target tidak dapat dieksploitasi
kembali dengan langkah langkah yang telah diterangkan di atas. Cara cara tersebut adalah
antara lain :

1. Melakukan update patch pada sistem operasi yang digunakan (target)

2. Membatasi penggunaan RDP melalui penggunaan Network Level Authentication
 3. Memantau penggunaan memory pada service RDP, sehingga jika load terlalu besar,
service dapat secara langsung dinonaktifkan.

3 Kesimpulan
Dari penetration testing yang telah dilakukan dapat ditemukan beberapa kesimpulan yaitu

1. Sistem opersi yang digunakan oleh target ialah Windows XP yang memiliki beberapa
service port yang aktif
2. Service yang paling memiliki vulnerability paling tinggi adalah service RDP (Remote
Desktop Protocol) pada port 3389.
3. Kelemahan Service RDP dapat dieksploitasi dengan 2 cara yaitu melalui penggunaan
modul metasploit MS12-020 yang memungkinkan system operasi target direboot
bahkan BOD (Blue Screen of Death) secara remote tanpa harus mendapatkan akses
root pada system target dan dapat dieksploitasi dengan melakukan bruteforce attack
pada RDP client window yang diberikan ketika seorang user mengakses service RDP
dari system target.
4. Terdapat beberapa cara untuk mengantisipasi eksploitasi pada system target dari
mulai melakukan update system operasi dan membatasi penggunaan RDP.