Mencari Kerentanan Cross-Site Scripting (XSS) Menggunakan Burp Suite

 

Berikut adalah panduan lengkap untuk mencari kerentanan Cross-Site Scripting (XSS) menggunakan Burp Suite:

---

Apa Itu XSS?

Cross-Site Scripting (XSS) adalah kerentanan keamanan web di mana penyerang dapat menyisipkan kode JavaScript berbahaya ke dalam halaman web yang akan dieksekusi oleh browser pengguna.

Contoh: Jika sebuah parameter di URL menerima input tanpa validasi, penyerang dapat menyisipkan payload seperti:

<script>alert('XSS')</script>

---

Langkah-Langkah Mencari Kerentanan XSS dengan Burp Suite

1. Persiapan

1. Unduh dan Instal Burp Suite:

   • Download Burp Suite dari situs resminya.
   • Gunakan Community Edition (gratis) atau Professional Edition (untuk fitur lengkap).

2. Konfigurasi Proxy Browser:

   • Atur browser Anda agar menggunakan Burp Suite sebagai proxy:
     • Di Firefox:
       1. Masuk ke Settings → Network Settings.
       2. Pilih Manual Proxy Configuration.
       3. Masukkan 127.0.0.1 sebagai HTTP Proxy dan port 8080.
       4. Centang "Use this proxy server for all protocols".
     • Di Chrome:
       • Gunakan ekstensi seperti FoxyProxy untuk konfigurasi proxy.

3. Install Sertifikat Burp Suite:

   • Akses http://burpsuite di browser Anda.
   • Unduh dan instal sertifikat agar Burp dapat mencegat koneksi HTTPS.

---

2. Crawling Website

1. Aktifkan Intercept:

   • Buka tab Proxy di Burp Suite.
   • Klik tombol Intercept is on untuk mengaktifkan intercept.

2. Navigasikan ke Target Website:

   • Kunjungi situs target melalui browser yang sudah dikonfigurasi.
   • Burp akan menangkap setiap permintaan (request) dan respons (response).

3. Tambahkan ke Target Scope:

   • Buka tab Target → Scope.
   • Tambahkan domain target ke dalam scope untuk membatasi pengujian.

---

3. Menguji Input Parameter

1. Identifikasi Parameter Rentan:

   • Gunakan tab Target → Site Map untuk melihat semua endpoint yang tersedia.
   • Fokus pada halaman dengan parameter input seperti form, query string (contoh: ?id=123), atau cookie.

2. Gunakan Tab Repeater:

   • Kirim request ke Repeater:
     • Klik kanan pada request dan pilih Send to Repeater.
   • Di tab Repeater, uji input parameter dengan payload XSS seperti:

     <script>alert(1)</script>
     

   • Periksa respons apakah kode yang disuntikkan muncul dalam output.

---

4. Menggunakan Scanner Otomatis

(Fitur ini hanya tersedia di Burp Suite Professional)

1. Jalankan Active Scan:

   • Klik kanan pada endpoint atau request di tab Target.
   • Pilih Scan → Scan insertion points.
   • Burp akan secara otomatis menguji berbagai payload untuk XSS.

2. Analisis Hasil Scan:

   • Buka tab Issues untuk melihat apakah Burp Suite menemukan celah XSS.
   • Hasil akan mencakup payload yang digunakan dan respons server.

---

5. Manual Fuzzing

Jika Anda menggunakan versi Community Edition, Anda dapat melakukan manual fuzzing:

1. Payload Testing:

   • Uji berbagai payload XSS, misalnya:

     <script>alert(1)</script>
     '"><script>alert(1)</script>
     <img src=x onerror=alert(1)>
     

   • Masukkan payload ke setiap parameter input dan periksa hasilnya.

2. Respons Analisis:

   • Perhatikan respons HTML dari server:
     • Jika payload muncul tanpa encoding (misalnya, <script> muncul apa adanya), kemungkinan besar ada celah XSS.
   • Pastikan untuk memeriksa output di browser, bukan hanya di Burp.

---

6. Validasi Kerentanan

Setelah menemukan potensi XSS:

1. Eksekusi Payload:
   • Masukkan payload ke input di browser untuk memastikan kode benar-benar dijalankan.
   • Contoh payload untuk testing:

     <script>alert(document.cookie)</script>
     

2. Konfirmasi Dampak:
   • Jika script berjalan, ini menunjukkan bahwa kerentanan benar-benar ada.

---

7. Rekomendasi Payload XSS

• Basic Payloads:

  <script>alert(1)</script>
  <img src=x onerror=alert(1)>
  <svg onload=alert(1)>
  

• Bypass Filter Payloads:

  <scr<script>ipt>alert(1)</scr</script>ipt>
  "><script>alert(1)</script>
  

---

Tips Penting

• Lakukan dengan Etika:
  • Pastikan Anda hanya menguji website milik Anda atau dengan izin resmi.
• Gunakan Lingkungan Pengujian:
  • Gunakan aplikasi seperti DVWA untuk belajar.
• Backup Data:
  • Selalu backup sebelum melakukan pengujian.

---

Dengan langkah-langkah di atas, Anda dapat menemukan potensi celah XSS pada website menggunakan Burp Suite. Jika Anda membutuhkan panduan lebih lanjut, jangan ragu untuk bertanya! 😊