Kali ini terjadi kesalah program yang mana akses sebuah module belum difilter. Perhatikan gambar berikut ini :
Di sini siapa saja bisa akses module ini tanpa harus login dulu kepada admin. Di sini saya belum login tapi bisa akses ke module ini.
Ini adalah sebuah kesalahan fatal yang terjadi.
Jika ini dapat di akses oleh seorang black hacker apa yang terjadi ?
Benar tanpa susah payah bisa dia akses merubah password, user dll
Kenapa hal ini terjadi, ini terjadi karena programer atau pembuat cms ini tidak ada mengambilan cokies saat melakukan akses ke module.
Logikanya bisa saya gambarkan sebagai berikut ini :
User ===== admin/content.php?module=user === OK
Kita akan melihat scriptnya :
Di sini saya tidak ada melihat adanya pengambilan cokies atau pengenalan cokies..
Sekarang saya akan menambahkan bumbu program dikit saja kok, yang mana akan saya tambahkan pengenalan cokiesnya aja kok..
Dengan logikanya seperti ini :
Cek Cokies === > IF cokies login OK === >> silahkan di proses.. ==== else =è Login Dulu Gan
Simpelkan..
Sehingga menjadi seperti ini :
Pada baris di atas saya memberikan perintah session_start();
Dan pada baris selanjutnya
if (empty($_SESSION[namauser]) AND empty($_SESSION[passuser]))
di sini terjadi pengenalan cokies login yang ada dengan var Session namauser dan passuser
pada baris :
if ($_SESSION[namauser]==’admin’){
ini adalah untuk melakukan cek apakah user yang login tersebut adalah admin atau tidak.. karena terdapat beberapa level user yang ada..
sekarang kita coba lagi bug tadi
Bingo… akhirnya bug tersebut tidak berfungsi lagi..
Untuk session ini adalah session terakhir. Karena menurut saya semua yang saya berikan dari session pertama ampe ketiga anda akan bisa melakukan patch website anda dengan benar..
Untuk melakukan patch yang di butuhkan adalah sebuah insting. Yang mana insting di sini sebaiknya anda mempunyai insting yang kuat seperti hacker yang melakukan audit ke website. Jika insting ini telah anda dapatkan Insya Allah dalam hal patch akan menjadi mudah, yang perlu di ingat untuk melakukan audit ke website tidaklah mudah apa lagi untuk mencari sebuah bug atau hole yang ada.nah karena itu team gerandong membantu anda para admin untuk mencarikan holenya. Sekarang pandangan anda terhadap gerandong Gmn. Apakah jelek atau bagus.tapi menurut saya itu sangat bagus bagi para admin website.. So No System Perfect. Tapi kita berusaha untuk membuat sistem kita menjadi perfect..
Semoga untuk tutorial ini anda bisa lebih paham dan waspada dan janganlah menganggap bahwa pekerjaan administrator website hanya upload artikel saja. Tapi sebenarnya banyak lagi pekerjaan seorang administrator website. Dan saya harapkan bagi perusahaan untuk menghargai sebuah pekerjaan administrator website. Jika tidak menilai securitynya saya yakin website anda tidak akan tahan lama.
Sebelumnya saya mohon maaf jika ada kata2 saya salah atau menyinggun perasaan para pembaca, saya mohon maafnya.. :maaf: :maaf: :maaf:
Sebelumnya saya ucapakan:
kepada Team Gerandong yang telah memberikan sharing ilmunya..
kepada kang Nathan Gusti Ryanterima kasih atas suportnya
Kepada Kodok Ngorek Si Affranto dan Sarang Gane yang telah bantu carikan hole/bug nya..
Kepada Yuni Roza atas suport dan saran2nya
