Network Security Prodi Telekomunikasi PENS

MODUL 1
DASAR ATTACKING 1
1.1. TUJUAN PEMBELAJARAN:
1. Mengenalkan pada mahasiswa tentang konsep Scanner dan Probing
2. Mahasiswa memahami konsep layanan jaringan dan port numbering
3. Mahasiswa memahami konsep enumeration
4. Mahasiswa memahami konsep password cracking
5. Mahasiswa mampu menganalisa kelemahan jaringan

1.2. DASAR TEORI

Penggunaan jaringan komputer yang sudah tersebar di segala bidang termasuk
Internet, menyebabkan orang dapat berkomunikasi dan berkolaborasi secara real time.
Akan tetapi pada waktu yang bersamaan, tidak menutup kemungkinan terbukanya pintu
bagi attacker untuk melakukan tindakan-tindakan yang umumnya dikenal dengan
cyberspace. Tentu saja harus kita sadari bahwa untuk melakukan cyberspace diperlukan
background pengetahuan yang cukup di bidang informasi dan computer security.
Pada praktikum ini adalah untuk mendemonstrasikan sebuah pemahaman yang
mungkin dapat mewakili terciptanya security attacks. Dengan menggunakan software
program atau tool gratisan yang tersedia di Internet dan dengan modal pengetahuan dasar
network dan security. Perlu diingat bahwa jenis security attacks ini dapat menyebabkan
kerusakan atau damage dalam beberapa konteks tertentu.

Network dan Port Scanning

Server tugasnya adalah melayani client dengan menyediakan service yang
dibutuhkan. Server menyediakan service dengan bermacam-macam kemampuan, baik
untuk lokal maupun remote. Server listening pada suatu port dan menunggu incomming
connection ke port. Koneksi bisa berupa lokal maupuan remote.
Port sebenarnya suatu alamat pada stack jaringan kernel, sebagai cara dimana
transport layer mengelola koneksi dan melakukan pertukaran data antar komputer. Port
yang terbuka mempunyai resiko terkait dengan exploit. Perlu dikelola port mana yang
perlu dibuka dan yang ditutup untuk mengurangi resiko terhadap exploit.
Ada beberapa utility yang bisa dipakai untuk melakukan diagnosa terhadap sistem
service dan port kita. Utility ini melakukan scanning terhadap sistem untuk mencari port
mana saja yang terbuka, ada juga sekaligus memberikan laporan kelemahan sistem jika
port ini terbuka.
Port Scanner merupakan program yang didesain untuk menemukan layanan
(service) apa saja yang dijalankan pada host jaringan. Untuk mendapatkan akses ke host,
cracker harus mengetahui titik-titik kelemahan yang ada. Sebagai contoh, apabila cracker
sudah mengetahui bahwa host menjalankan proses ftp server, ia dapat menggunakan
kelemahan-kelemahan yang ada pada ftp server untuk mendapatkan akses. Dari bagian
Network Security Prodi Telekomunikasi PENS

ini kita dapat mengambil kesimpulan bahwa layanan yang tidak benar-benar diperlukan
sebaiknya dihilangkan untuk memperkecil resiko keamanan yang mungkin terjadi.

Type Scanning
connect scan (-sT)
Jenis scan ini konek ke port sasaran dan menyelesaikan three-way handshake (SYN,
SYN/ACK, dan ACK). Scan jenis ini mudah terdeteksi oleh sistem sasaran.

-sS (TCP SYN scan)

Paling populer dan merupakan scan default nmap. SYN scan juga sukar terdeteksi, karena
tidak menggunakan 3 way handshake secara lengkap, yang disebut sebagai teknik half
open scanning. SYN scan juga efektif karena dapat membedakan 3 state port, yaitu
open, filterd ataupun close. Teknik ini dikenal sebagai half-opening scanning karena
suatu koneksi penuh TCP tidak sampai terbentuk. Sebaliknya, suatu paket SYN
dikirimkan ke port sasaran. Bila SYN/ACK diterima dari port sasaran, kita dapat
mengambil kesimpulan bahwa port itu berada dalam status LISTENING. Suatu
RST/ACT akan dikirim oleh mesin yang melakukan scanning sehingga koneksi penuh
tidak akan terbentuk. Teknik ini bersifat siluman dibandingkan TCP connect penuh, dan
tidak aka tercatat pada log sistem sasaran.

TCP FIN scan (-sF)

Teknik ini mengirim suatu paket FIN ke port sasaran. Berdasarkan RFC 793, sistem
sasaran akan mengirim balik suatu RST untuk setiap port yang tertutup. Teknik ini hanya
dapat dipakai pada stack TCP/IP berbasis UNIX.

TCP Xmas Tree scan (-sX)

Teknik ini mengirimkan suatu paket FIN, URG, dan PUSH ke port sasaran. Berdasarkan
RFC 793, sistem sasaran akan mengembalikan suatu RST untuk semua port yang
tertutup.

TCP Null scan (-sN)

Teknik ini membuat off semua flag. Berdasarkan RFC 793, sistem sasaran akan
mengirim balik suatu RST untuk semua port yang tertutup.

TCP ACK scan (-sA)

Teknik ini digunakan untuk memetakan set aturan firewall. Dapat membantu menentukan
apakah firewall itu merupakan suatu simple packet filter yang membolehkan hanya
koneksi-koneksi tertentu (koneksi dengan bit set ACK) atau suatu firewall yang
menjalankan advance packet filtering.

TCP Windows scan

Teknik ini dapat mendeteksi port-port terbuka maupun terfilter/tidak terfilter pada sistem-
sistem tertentu (sebagai contoh, AIX dan FreeBSD) sehubungan dengan anomali dari
ukuran windows TCP yang dilaporkan.
Network Security Prodi Telekomunikasi PENS

TCP RPC scan

Teknik ini spesifik hanya pada system UNIX dan digunakan untuk mendeteksi dan
mengidentifikasi port RPC (Remote Procedure Call) dan program serta normor versi
yang berhubungan dengannya.

UDP scan (-sU)

Teknik ini mengirimkan suatu paket UDP ke port sasaran. Bila port sasaran memberikan
respon berupa pesan (ICMP port unreachable) artinya port ini tertutup. Sebaliknya bila
tidak menerima pesan di atas, kita dapat menyimpulkan bahwa port itu terbuka. Karena
UDP dikenal sebagai connectionless protocol, akurasi teknik ini sangat bergantung pada
banyak hal sehubungan dengan penggunaan jaringan dan system resource. Sebagai
tambahan, UDP scanning merupakan proses yang amat lambat apabila anda mencoba
men-scan suatu perangkat yang menjalankan packet filtering berbeban tinggi.

Beberapa Tools dan cara scanning ke sistem

Nmap – software gratisan untuk network dan port scanner yang sifatnya open source.
Software ini didisain untuk melakukan proses scanning secara cepat terhadap
server atau PC dalam jaringan. Misalnya menentukan jenis O/S, aplikasi atau
service apa saja yang sedang aktif saat itu, dsb. Software ini tersedia untuk Linux
O/S dan Win32. Homepage http://www.insecure.org/nmap/
openVAS – adalah tool open source untuk scanning server/PC dan digunakan untuk
mengilustrasikan proses vulnerability terhadap server/PC tersebut. Software ini
mampu memberikan informasi tentang vulnerability yang sering terjadi dan
konfigurasi yang kurang aman dalam sebuah service yang sedang berjalan di
sebuah server/PC. Tersedia untuk Linux O/S dan Win32. Homepage
http://openvas.org
ettercap – adalah tool open source yang memungkinkan man-in-the-middle (MITM)
melakukan attack dan sniffing dalam LAN. Software ini tersedia untuk Linux O/S
dan Win32. Homepage http://ettercap.sourceforge.net/
tcpdump – tool open source yang digunakan untuk meng-capture network traffic.
Tersedia untuk Linux O/S dan Win32. Homepage http://www.tcpdump.org/

Contoh Scanning menggunakan nmap tipe tcp syn scan

# nmap -sT -v 192.168.0.10

Starting nmap 3.81 ( http://www.insecure.org/nmap/ ) at 2005-04-11

12:30 EDT
Initiating Connect() Scan against 192.168.0.10 [1663 ports] at 12:30
Discovered open port 3389/tcp on 192.168.0.10
Discovered open port 80/tcp on 192.168.0.10
Discovered open port 3306/tcp on 192.168.0.10
Discovered open port 445/tcp on 192.168.0.10
Discovered open port 139/tcp on 192.168.0.10
Discovered open port 520/tcp on 192.168.0.10
Discovered open port 135/tcp on 192.168.0.10
The Connect() Scan took 1.45s to scan 1663 total ports.
Host 192.168.0.10 appears to be up ... good.
Network Security Prodi Telekomunikasi PENS

Interesting ports on 192.168.0.10:

(The 1656 ports scanned but not shown below are in state: closed)
PORT STATE SERVICE
80/tcp open http
135/tcp filtered msrpc
139/tcp filtered netbios-ssn
445/tcp open microsoft-ds
520/tcp open efs
3306/tcp open mysql
3389/tcp open ms-term-serv
MAC Address: 00:30:48:11:AB:5A (Supermicro Computer)

Nmap finished: 1 IP address (1 host up) scanned in 2.242 seconds

# nmap -sP 192.168.4.0/24

Option –sP merupakan salah satu type scanning dari Nmap berbasis ICMP,
dimana umumnya dipergunakan untuk melakukan ping terhadap sejumlah IP
sekaligus.
Mendeteksi OS dengan Nmap
# nmap -O no_ip_target

Pada dasarnya tcp SYN melakukan half koneksi ke target dan secara berulang-ulang
mencari port yang terbuka

Tool Tambahan
Untuk melakukan proses dalam praktikum ini, mahasiswa juga membutuhkan beberapa
service yang harus dijalankan sebagai berikut:
Apache2 – adalah tool untuk membangun sebuah Web server. Untuk melakukan start,
stop, dan restart server, gunakan perintah: /etc/init.d/apache2 {start|stop|restart}.
Konfigurasi nomor port server dilakukan dengan cara setting file
/etc/apache2/ports.conf. Sedangkan untuk proses loading modul-modul yang
diperlukan, dilakukan dengan perintah: LoadModule nama_modul path/file.so yang
terdapat dalam file /etc/apache2/httpd/conf. . Sedangkan standar modul disediakan
di dalam directory /usr/lib/apache2/modules. Dalam hal ini, mahasiswa
diasumsikan sudah memahami dengan benar tentang Web server yang sudah
dipelajari di mata kuliah Jaringan Komputer.
VSFTP – adalah tool untuk membangun FTP server. Untuk melakukan start, stop, dan
restart server, gunakan perintah: /etc/init.d/vsftpd {start|stop|restart}. Untuk
merubah konfigurasi nomor port server (misalnya port 201) dilakukan dengan cara
menambahkan satu baris dalam /etc/vsftpd.conf, setelah satu baris perintah listen =
YES:
Network Security Prodi Telekomunikasi PENS

listen_port = 201
SSH2 – adalah tool untuk membangun SSH server. Untuk melakukan start, stop, dan
restart server, gunakan perintah: /etc/init.d/ssh {start|stop|restart}.
Postfix – adalah sebuah tool untuk membangun Mail server. Untuk melakukan start,
stop, dan restart server, gunakan perintah: /etc/init.d/postfix {start|stop|restart}.

Selama melakukan percobaan ini, semua perintah yang dilakukan membutuhkan privilege
level root. Untuk tujuan ini, mahasiswa disarankan untuk selalu log in sebagai root atau
melakukan proses transformasi sebagai super user (contohnya perintah sudo).

Password Management
Untuk dapat mengakses sistem operasi Linux digunakan mekanisme password.
Pada distribusi-distribusi Linux yang lama, password tersebut disimpan dalam suatu file
teks yang terletak di /etc/passwd. File ini harus dapat dibaca oleh setiap orang (world
readable) agar dapat digunakan oleh program-program lain yang menggunakan
mekanisme password tersebut.
Password login yang terdapat pada file /etc/passwd dienkripsi dengan
menggunakan algoritma DES yang telah dimodifikasi. Meskipun demikian hal tersebut
tidak mengurangi kemungkinan password tersebut dibongkar (crack). Karena penyerang
(attacker) dapat melakukan dictionary-based attack dengan cara :
a. menyalin file /etc/passwd tersebut
b. menjalankan program-program yang berguna untuk membongkar password,
contohnya adalah John the Ripper (www.openwall.com/john/).

Catatan penting: Beberapa perintah adalah ilegal dan sedikit berbahaya untuk
diterapkan dengan tujuan yang tidak baik. Tujuan utama dalam praktikum ini adalah
untuk memperkenalkan tool dalam penanganan yang berhubungan dengan cyberspace.
Mahasiswa dianjurkan untuk mencoba melakukan attack hanya ke komputer-komputer
dalam segmen jaringan di Laboratorium yang dipakai untuk praktikum ini. Pembuat
dokumen ini tidak bertanggung jawab jika pengetahuan cyberspace ini nantinya
disalahgunakan untuk tujuan tertentu (misalnya: menyerang komputer dosen atau orang
lain di kampus, dsb).

1.3 TUGAS PENDAHULUAN

1. Sebutkan langkah dasar yang biasa dipakai untuk melakukan proses hacking !
2. Sebutkan cara penggunaan netstat dan option-option yang dipakai serta arti
option tersebut ?
3. Sebutkan cara pemakaian software nmap dengan menggunakan tipe scanning:
▪ TCP Connect scan
▪ TCP SYN Scan
▪ TCP FIN scan
▪ TCP Xmas Tree scan
▪ TCP null scan
▪ TCP ACK scan
▪ TCP Windows scan
▪ TCP RPC scan
Network Security Prodi Telekomunikasi PENS

▪ UDP scan
▪ OS fingerprinting
4. Bagaimana cara mematikan dan menghidupkan service yang ada
5. Sebutkan cara pemakaian software nessus untuk melihat kelemahan sistem
jaringan kita !

1.4 PERCOBAAN
A. Mendapatkan informasi tentang network
1. Melakukan footprinting pada suatu alamat website:
Lakukan perintah berikut untuk mengetahui informasi pada website google.com
# nslookup www.google.com
# whois www.google.com
# dig www.google.com
Catat informasi yang didapat dari perintah diatas.

2. Netwok Scanning
Langkah pertama dalam persiapan security attack adalah mengidentifikasi target
(server atau PC) yang akan diserang. Untuk tujuan ini, sebuah teknik yang dikenal,
Network Scanning biasanya yang digunakan. Teknik ini memiliki sasaran untuk
mendapatkan informasi tertentu tentang network. Dalam prakteknya, adalah langkah
awal untuk menentukan PC mana saja yang sedang aktif dan mana yang tidak aktif.
Ketika PC dalam jaringan sudah berhasil diidentifikasi keaktifannya, baru setelah itu
proses untuk mendapatkan informasi sebanyak mungkin tentang target PC untuk
mencari titik kelemahan security nya. Dalam prakteknya, jenis teknik ini dikenal
dengan Network Fingerprinting yang digunakan dalam mengumpulkan informasi
tentang O/S PC target. Nmap adalah sebuah software yang mudah dan ampuh untuk
kebutuhan network scanning, yang membantu dalam proses pendeteksian O/S apa
yang sedang dipakai oleh PC target. Untuk lebih dalam tentang penggunaan software
ini silahkan gunakan perintah umum berikut:
man nmap

Percobaan
Bentuk dua grup (setiap grup terdiri atas 3 orang – pakai saja kelompok project yang
sudah dibentuk), beri nama grup 1: Ajeng dan grup 2: Bayu. Ajeng sebagai target
yang akan diserang (victim) dan Bayu sebagai attacker.

a. Ajeng: menjalankan Apache web server.

b. Bayu: mencoba membentuk koneksi TCP (-sT) pada nomor port 80 (-p 80) dari
target PC Ajeng <IPaddress-target>, agar mendapatkan informasi tentang O/S (-
O) yang jalan di PC Ajeng, jalankan perintah berikut:
nmap –sT –P0 –p 80 –O –v IPaddress-target
perhatikan penulisan 0 (angka nol) dan O (huruf o besar)
Silahkan tulis hasil pengamatan !

3. Port Scanning
Setelah mendapatkan informasi dari PC target, attacker kemudian berusaha untuk
mendapatkan informasi tentang aplikasi atau service yang jalan di PC target, teknik
Network Security Prodi Telekomunikasi PENS

ini disebut dengan port scanning. Dengan menggunakan tool, akan didapatkan
informasi masing-masing nomor port untuk setiap aplikasi, misalnya http dan ftp dan
masing-masing nomor portnya. Dan juga akan didapatkan informasi apakah masing-
masing port tersebut yang berhubungan dengan protokol tertentu dalam keadaan
open, filtered oleh sebuah firewall atau oleh sebuah paket filter, atau unfiltered.

Percobaan
a. Ajeng: memilih dua service di antara http, ftp, ssh, dan smtp.
b. Ajeng: cek bahwa hanya dua service tersebut yang jalan (petunjuk: gunakan
perintah lsof –i dan netstat –an).
c. Bayu: melakukan TCP port scanning (-sT) pada nomor port 1 sampai 1024 untuk
target PC Ajeng <IPaddress-target>, menggunakan perintah:
nmap –sT –P0 –p 1-1024 –v IPaddress-target
Silahkan tulis hasil pengamatan Anda !

Percobaan
a. Ajeng: memilih dua service di antara http, ftp, ssh, dan smtp.
b. Ajeng: mengaktifkan service-service tersebut dengan port yang berbeda dari
default-nya.
c. Bayu: membentuk koneksi TCP port scanning pada PC target Ajeng.
Silahkan tulis hasil pengamatan Anda !

4. Mengidentifikasi aplikasi atau service

Untuk mengidentifikasi aplikasi atau service yang sedang jalan pada PC target Ajeng,
diperlukan perintah nmap dengan option (-sV) sebagai berikut:

Percobaan
nmap –sV –P0 –p 1-1024 –v IPaddress-target

PERTANYAAN: menurut pendapat Anda, teknik mana dan security tool mana yang
cocok digunakan untuk menahan serangan di atas ?

B. Enumeration
1. Penggunaan Medusa
Untuk mendapatkan username dan password dari suatu aplikasi jaringan bisa
digunakan tool medusa / hydra / ncrack dari linux. Dalam percobaan ini akan
digunakan tool medusa.

Percobaan
a.Instalasi medusa
# apt-get install medusa

b.Lakukan penetrasi ke target dengan perintah berikut:

# medusa –h 192.168.1.1 –u “admin” -P wordlist.txt -M http

NB:
Network Security Prodi Telekomunikasi PENS

-h : koneksi ke suatu host

-u : username yang sudah diketahui
-P : pencarian password dari wordlist (bisa download dari internet)
-M : service / aplikasi yang berjalan pada suatu sistem jaringan (selain http, bisa juga
dipilih ftp, ssh, telnet, snmp,smb,vnc, dlll)

C. Crack Password dengan john the ripper

File-file yang diperlukan untuk crack password adalah :
crypt_fmt.c
john-1.7.9.tar.gz
john-1.7.9.tar.gz.sign
openwall-signatures.asc

Percobaan
1. Copy semua file di atas ke /home/john
2. Konfirmasi tentang signature
#apt-get install pgp
pgp -ka openwall-signatures.asc

3. Cek signature:

$ pgp john-1.7.4.2.tar.gz.sign john-1.7.4.2.tar.gz

gpg: Signature made Tue 19 Jan 2010 04:10:08 AM EST using RSA key ID
295029F1
gpg: Good signature from "Openwall Project <signatures@openwall.com>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg: There is no indication that the signature belongs to the
owner.
Primary key fingerprint: 0C 29 43 AE 1E CD 24 EA 6E 0C B6 EE F5 84 25 69

4. Unzip, patch dan kompilasi program di atas

tar -zxvf john-1.7.4.2.tar.gz
cd john-1.7.4.2/src

Patch “john” memanggil crypt(3) untuk mengenkode password jika enkripsi tidak
didukung. Terdapat 3 file yang diperlukan untuk merubahnya: Makefile,
crypt_fmt.c dan john.c

5. Berikut adalah Makefile => #gedit Makefile

Tambahkan "-lcrypt" ke baris "LDFLAGS = -s", sehingga akan terlihat sbb:

LDFLAGS = -s -lcrypt

6. Buat file crypt_fmt.c (tinggal dicopy saja)

7. Tambahkan 2 baris (warna merah) ke john.c => #gedit john.c
Network Security Prodi Telekomunikasi PENS

extern struct fmt_main fmt_DES, fmt_BSDI, fmt_MD5, fmt_BF;

extern struct fmt_main fmt_AFS, fmt_LM;
extern struct fmt_main fmt_crypt;

dan

john_register_one(&fmt_DES);
john_register_one(&fmt_BSDI);
john_register_one(&fmt_MD5);
john_register_one(&fmt_BF);
john_register_one(&fmt_AFS);
john_register_one(&fmt_LM);
john_register_one(&fmt_crypt);

8. Jalankan sebagai berikut:

#apt-get install make

make linux-x86-sse2

9. Jalankan cracker.
akan terdapat "john" dalam ../run directory.

# cd ../run

unshadow /etc/passwd /etc/shadow> shadowfile

./john shadowfile

10. Untuk menunjukkan password yang tercrack:

./john –show shadowfile

D. Cek Vulnerability dengan openvas

1. Identifikasi service vulnerability
Kali ini, tool yang digunakan adalah openvas. Untuk instalasi tool ini, lakukan perintah
berikut ini:
apt-get update
apt-get install openvas-server
Network Security Prodi Telekomunikasi PENS

Berikutnya download dan update plugins dengan script:

openvas-nvt-sync

Untuk infomasi lebih detil: man openvas-client dan man openvasd

PERCOBAAN 9. Buat dua grup, Ajeng dan Bayu
a. Ajeng: menjalankan server Apache
b. Bayu: menjalankan daemon openvas-server
/etc/init.s/openvasd start
Dan buat user untuk OpenVas, dengan perintah openvas-adduser.
c. Bayu: menjalankan openvas-client, kemudian menjalankan prosedur berikut:
➢ Login dengan user yang diciptakan tadi.
➢ Membuat task baru (menu Task → New)
➢ Membuat scope baru (menu Scope → New)
➢ Memilih plugin (pilih “General”, “Misc”, dan “Web application abuses”)
➢ Menentukan target PC <IPaddress_Ajeng>
➢ Menentukan port target (1-1024)
➢ Memulai scanning (menu Scope → Execute)

PERTANYAAN: apa yang Anda dapatkan ?

Sekarang coba untuk membetulkan vulnerability di bawah ini:
a. Ajeng mengkonfigurasi Apache server, mencoba untuk menghilangkan penyebab
vulnerability
b. Bayu: mencoba lagi scanning

PERTANYAAN:
Apa yang Anda lakukan di Apache server untuk mengeliminasi vulnerability ?
Apakah semua vulnerability tersebut penting ?
Sekarang coba untuk menghapus “ServerTokens Prod”, apa pengaruh penghapusan baris
tersebut ?

1.5 LAPORAN RESMI

1. Berikan kesimpulan hasil praktikum yang anda lakukan.
2. Cari di internet beberap tools scanning yang ada dan bagaimana cara pemakaian
dan hasilnya?
3. Buat shell programming untuk melakukan proses nmap diatas.