Cara Cepat Menemukan Kerentanan pada Aplikasi Web – Acunetix

Pemindai kerentanan DAST tidak jauh berbeda dengan pemindai virus lainnya, tujuan perangat pemindai kerentanan pada aplikasi web adalah untuk menemukan sesuatu yang tidak biasa pada target. Pemindai virus memindai sumber daya dan penyimpanan lokal komputer untuk menemukan perangkat lunak yang berpotensi berbahaya. Pemindai kerentanan memindai beberapa jenis target untuk menemukan perangkat lunak yang berpotensi rentan.

Pemindai Kerentanan DAST dan pemindai virus menggunakan teknik serupa untuk melakukannya. Pada artikel ini akan membahas mengenai bagaimana menemukan kerentanan aplikasi web dengan secara otomatis dengan Acunetix, terdapat dua cara pemindai yang paling umum di gunakan yaitu Signature-based scanning dan Behavior-based scanning (heuristic scanning).

Signature-based scanning

Dalam pemindaian dengan berbasis signature, pemindai mencari pola yang dapat dikenali, yang disiapkan oleh pembuat pemindai atau diambil dari database publik. Seperti :

• Pemindai virus mencari rangkaian byte tertentu yang terdapat dalam file berbahaya yang dapat dijalankan. Jika rantai byte ditemukan, diasumsikan bahwa file berbahaya telah ditemukan.
• Pemindai jaringan mencari respons tertentu dari server untuk mengenali versi yang tepat dari perangkat lunak yang digunakan server. Ini mungkin sesederhana perangkat lunak benar-benar merespons dengan informasi versi atau lebih kompleks, misalnya, mengenali perilaku tipikal tertentu.
• Pemindai SCA mencari elemen kode tertentu dalam kode sumber, kode perantara, atau kode biner untuk mengenali komponen yang dikenal yang sedang digunakan/diimpor oleh perangkat lunak serta versi persisnya.

Keuntungan pemindaian berbasis signature adalah umumnya cukup cepat karena tidak ada operasi yang perlu dilakukan kecuali membandingkan rangkaian byte dari pustaka pemindai dengan rangkaian byte yang diterima dari target, kurang mengganggu dan hampir tidak memiliki efek samping, sangat memudahkan pembuat scanner karena tidak perlu menulis custom code. Ada juga database signature domain publik, yang dapat digunakan untuk membangun database mereka sendiri.

Dan beberapa kelemahan utama dari jenis pemindaian ini adalah tidak selalu tepat. Signature based scanning tidak menjamin bahwa hasil yang ditemukan berbahaya. Sama sekali tidak ada bukti bahwa hasil yang dilaporkan berbahaya karena pemindai hanya membandingkan signature, pemindai tidak menguji apakah asumsinya benar dan sebagian besar pemindai terbatas pada tanda tangan yang diketahui dan tidak dapat mengenali mutasi (misalnya, signature dengan satu byte berbeda), penyimpangan (misalnya, server yang dikonfigurasi secara berbeda), atau ancaman baru.

Behavior-based scanning (heuristic scanning)

Cara lain untuk memindai konten berbahaya adalah dengan benar-benar menganalisis perilaku target. Artinya, pemindai perlu memahami cara kerja target, bukan hanya membandingkan signature. Misalnya:  

• Ketika pemindai virus heuristik menemukan file yang berpotensi dapat dieksekusi, ia mungkin melakukan rekayasa balik untuk memeriksa dengan tepat apa yang dilakukan kode tersebut (untuk memeriksa apakah tindakannya berbahaya). Mungkin juga mencoba mengeksekusi kode di lingkungan yang aman untuk melihat hasilnya.
• Saat pemindai kerentanan web menemukan elemen yang memungkinkan input pengguna, ia mencoba untuk “mengelabui target” dengan mengirimkan data yang tidak diharapkan. Kemudian menganalisis respons target untuk melihat apakah berhasil.

Pemindaian heuristik memiliki beberapa keunggulan utama, secara teoritis  ia dapat menemukan segala jenis ancaman bahkan ancaman khusus atau ancaman zero-day. Jelas, itu tergantung pada seberapa canggih perangkat lunaknya. Sayangnya, pemindaian heuristik juga memiliki beberapa kelemahan seperti saat pemindai heuristik membutuhkan lebih banyak waktu untuk menemukan hasil, dan mungkin lebih memperlambat target daripada pemindai berbasis tanda tangan.

Membangun pemindai heuristik yang baik sangatlah sulit dan membutuhkan talenta terbaik. Berbeda dengan pemindai berbasis signature, setiap jenis serangan baru harus diprogram dan disimulasikan. Pustaka pemindai heuristik bukan hanya daftar string untuk dibandingkan – ini membutuhkan perangkat lunak khusus yang sebenarnya untuk setiap jenis pemeriksaan.

Kesimpulan

Acunetix memiliki kemampuan untuk menggunakan kedua cara tersebut, Pemindai Acunetix pada dasarnya adalah pemindai berbasis perilaku. Semua pemeriksaan lanjutan kami dirancang secara individual dan melakukan serangan (tiruan) yang aman. Tidak hanya itu – dalam banyak kasus, kami bahkan dapat membuktikan bahwa serangan itu berhasil dengan menunjukkan kepada Anda, misalnya, file yang tidak boleh diakses oleh pemindai (seperti file konfigurasi server Anda). Ini adalah kemampuan unik yang tidak dimiliki kebanyakan pemindai.

mengatasi batasan Signature-based scanning dan alih-alih menggunakan signature berbasis hash, Acunetix dapat mengenali banyak kerentanan bahkan jika kode atau responsnya sedikit dimodifikasi.

Acunetix juga menggabungkan keunggulan pemindaian based signature dengan pemindaian aktif, terkadang bahkan dalam pemeriksaan kerentanan yang sama. Misalnya, jika kami dapat menentukan versi perangkat lunak melalui pemindaian berbasis signature, pemeriksaan kerentanan aktual Acunetix untuk perangkat lunak tersebut dapat mempertimbangkan versi yang ditemukan dan mengoptimalkan pengujian yang sesuai. Ini membuat pemeriksaan kerentanan tidak hanya lebih cepat tetapi juga lebih maksimal dan inti kekuatan  Acunetix mampu menemukan masalah yang tidak dikenali dalam basis data mana pun.