5. E-mail Exploits
Peng-exploitasian e-mail terjadi dalam lima bentuk yaitu: mail floods, manipulasi perintah (command
manipulation), serangan tingkat transportasi(transport level attack), memasukkan berbagai macam kode
(malicious code inserting) dan social engineering(memanfaatkan sosialisasi secara fisik). Penyerangan email
bisa membuat system menjadi crash, membuka dan menulis ulang bahkan mengeksekusi file-file
aplikasi atau juga membuat akses ke fungsi fungsi perintah (command function).
Serangan mail flood (flood =air bah) terjadi ketika banyak sekali e-mail yang dikirimkan oleh attacker
kepada sasaran yang mengakibatkan transfer agent kewalahan menanganinya, mengakibatkan komunikasi
antar program lain menjadi tidak stabil dan dapat membuat system menjadi crash. Melakukan flooding
merupakan cara yang sangat kasar namun efektif, maksudnya untuk membuat suatu mail server menjadi
down. Salah satu jalan yang menarik dalam melakukan serangan mail-flooding adalah dengan mengexploitasi
fungsi auto-responder (auto-responder function) yang terdapat dalam kebanyakan aplikasi
email, ketika seorang attacker menemukan auto-responder yang sedang aktif dalam dua system yang
berbeda, sang attacker bisa saja mengarahkan yang satu ke yang lainnya, karena kedua-duanya di set
untuk merespond secara sacara otomatis untuk setiap pesan, maka kedua-duanya akan terus mengenarate
lebih banyak e-mail secara loop(bolak-balik) dan akhirnya kedua-duanya akan kelelahan dan down.
Serangan memanipulasi perintah (command manipulation attack) dapat mengakibatkan sebuah system
menjadi crash dengan cara menggulingkan mail transfer agent dengan sebuah buffer overflow yang
diakibatkan oleh perintah (fungsi) yang cacat (contoh: EXPN atau VRFY). Perbedaan antara mail flood
dan command manipulation: command manipulation meng-exploit kekuasaan milik sendmail yaitu
memperbolehkan attacker untuk mengakses system tanpa informasi otorisasi(menjadi network admin
tanpa diketahui) dan membuat modifikasi pada penjalanan program lainnya. Mengaktifkan command
yang cacat seperti diatas juga dapat mengakibatkan seorang attacker mendapatlan akses untuk
memodifikasi file, menulis ulang, dan tentunya saja membuat trojan horses pada mail server.
Penyerangan tingkat transport (transport level attack) dilakukan dengan cara mengexploit protokol perute-
an/pemetaan e-mail diseluruh internet: Simple Mail Tranport Protocol (SMTP). Seorang attacker
dapat mengakibatkan kondisi kesalahan sementara (temporary error) di target system dengan cara mengoverload
lebih banyak data pada SMTP buffer sehingga SMTP buffer tidak bisa menanganinya, kejadian
ini dapat mengakibatkan seorang attacker terlempar dari sendmail program dan masuk kedalam shell
dengan kekuasaan adminitsrasi bahkan dapat mengambil alih root. Beberapa serangan exploitasi juga
sering terjadi pada POP dan IMAP.
Pada saat kerawanan SMTP sulit untuk di exploitasi, attacker mungkin saja berpindah ke serangan
tranport level jika ia tidak berhasil menyerang dengan cara command manipulation ataupun mail-flood.
Serangan ini lebih digunakan untuk membuat gangguan daripada untuk menjebol suatu system. Seorang
attacker biasanya akan menggunakan serangan jenis untuk mem flood Exchange Server dan memotong
lalu lintas e-mail (trafic e-mail). Serangan ini juga dapat digunakan untuk membuat reputasi suatu
organisasi menjadi buruk dengan mengirimkan spam atau offensive e-mail ke organisasi lainnya dengan
sumber dan alamat dari organisasi tersebut.
Mail relaying, proses memalsukan asal/source email dengan cara meroutekannya ke arah mesin yang akan
dibohongi, adalah type lain dari serangan transport-level. Teknik ini sangat berguna untuk membuat
broadcasting spam secara anonymous. Berbagai macam isi(content) yang sering dikirim lewat e-mail
adalah sama yaitu membuat network resource yang menyediakan informasi menjadi lemah dan akhirnya
menyerah.
Serangan dengan cara Flooding bergantung kepada dua faktor yaitu: ukuran dan/atau volume (size and/or
volume). Seorang attacker dapat menyebabkan Denial Of Service dengan cara melempar file berkapasitas
besar atau volume yang besar dari paket yang kecil kepada sebuah system. Dalam keadaan seperti itu
network server akan menghadapi kemacetan: terlalu banyak informasi yang diminta dan tidak cukup
power untuk mendorong data agar berjalan. Pada dasarnya paket yang besar membutuhkan kapasitas
proses yang besar pula, tetapi secara tidak normal paket yang kecil dan sama dalam volume yang besar
akan menghabiskan resource secara percuma, dan mengakibatkan kemacetan.
Attacker sering kali menggunakan serangan flooding ini untuk mendapatkan akses ke system yang
digunakan untuk menyerang network lainnya dalam satu serangan yang dinamakan Distributed Denial Of
Service(DDOS). Serangan ini seringkali dipanggil smurf jika dikirim melaluli ICMP dan disebut fraggles
ketika serangan ini dijalakan melewati UDP.
Suatu node (dijadikan tools) yang menguatkan broadcast traffic sering disebut sebagai Smurf Amplifiers,
tools ini sangat efektif untuk menjalankan serangan flooding. Dengan melakukan spoofing terhadap
network sasaran, seorang attacker dapat mengirim sebuah request ke smurf amplifier, Network yang di
amplifiying(dikuatkan) akan mengirim respon kesetiap host di dalam network itu sendiri, yang berarti
satu request yang dilakukan oleh attacker akan menghasilkan pekerjaan yang sama dan berulang-ulang
pada network sasaran, hasil dari serangan ini adalah sebuah denial of service yang tidak meninggalkan
jejak. Serangan ini dapat diantisipasi dengan cara menolak broadcast yang diarahkan pada router.
TCP-level Flooding (kebanyakan SYN ATTACK) telah digunakan pada bulan februari tahun 2000 untuk
menyerang Yahoo!, eBay dll yang menggunakan serangan DDOS(Distributed Denial Of Service).
Network yang tidak menggunakan firewall untuk pengecekan paket-paket TCP biasanya bisa diserang
dengan cara ini.
Beberapa fungsi penyaringan pada firewall (Firewall Filtering Function) biasanya akan mampu untuk
menahan satu serangan flooding dari sebuah alamat IP, tetapi serangan yang dilakukan melalui DDOS
akan sulit di cegah karena serangan ini seperti kita ketahui datangnya dari berbagai alamat IP secara
berkala. Sebenarnya salah satu cara untuk menghentikan serangan DDOS adalah dengan cara
mengembalikan paket ke alamat asalnya atau juga dengan cara mematikan network(biasanya dilakukan
oleh system yang sudah terkena serangan sangat parah).
6. Fragmented Packet Attacks
Data-data internet yang di transmisikan melalui TCP/IP bisa dibagi lagi ke dalam paket-paket yang hanya
mengandung paket pertama yang isinya berupa informasi bagian utama( kepala) dari TCP. Beberapa
firewall akan mengizinkan untuk memroses bagian dari paket-paket yang tidak mengandung informasi
alamat asal pada paket pertamanya, hal ini akan mengakibatkan beberapa type system menjadi crash.
Contohnya, server NT akan menjadi crash jika paket-paket yang dipecah(fragmented packet) cukup untuk
menulis ulang informasi paket pertama dari suatu protokol.
Paket yang dipecah juga dapat mengakibatkan suasana seperti serangan flooding. Karena paket yang
dipecah akan tetap disimpan hingga akhirnya di bentuk kembali ke dalam data yang utuh, server akan
menyimpan paket yang dipecah tadi dalam memori kernel. Dan akhirnya server akan menjadi crash jika
terlalu banyak paket-paket yang telah dipecah dan disimpan dalam memory tanpa disatukan kembali.
dengan teknik ini biasanya adalah content-content yang merusak. Beberapa Virus dan Worms akan
disertakan dalam e-mail sebagai file attachment yang sah, seperti variant Melissa yang nampak sebagai
Ms Word Macro atau loveletter worm yang menginfeksi system dan mengemailkan dirinya sendiri ke
users yang berada dalam address booknya outlook. Kebanyakan antivirus scanner akan menangkap
attachment seperti ini, tetapi visrus dan worm baru serta variannya masih tetap berbahaya.
Serangan yang terakhir yang dilakukan oleh seorang attacker selain serangan diatas adalah dengan cara
melakukan social enginering, kadang sang attacker mengirim e-mail dengan source memakai alamat
admin agar users mengirimkan passwordnya untuk mengupgrade system.
7. DNS and BIND Vulnerabilities
Berita baru-baru ini tentang kerawanan (vulnerabilities) tentang aplikasi Barkeley Internet Name Domain
(BIND) dalam berbagai versi mengilustrasikan kerapuhan dari Domain Name System (DNS), yaitu krisis
yang diarahkan pada operasi dasar dari Internet (basic internet operation).
Kesalahan pada BIND sebenarnya bukanlah sesuatu yang baru. Semenjak permulaanya, standar BIND
merupakan target yang paling favorite untuk diserang oleh komunitas cracker karena beberapa
kerawanannya. Empat kerawanan terhadap buffer overflow yang terjadi pada bulan Januari lalu hanya
beberapa bagian dari kerawanan untuk diexploitasi oleh para cracker agar mendapat akses terhadap
system dan melakukan perintah dengan hak penuh (command execution priviledge).
Kerawanan pada BIND merupakan masalah yang sangat serius karena lebih dari 80 persen DNS yang
berada di Jagat Internet dibangun menggunakan BIND. Tanpa adanya DNS dalam lingkungan Internet
Modern, mungkin transmisi e-mail akan sulit, navigasi ke situs-situs web terasa rumit dan mungkin tidak
ada hal mudah lainnya yang menyangkut internet.
Kerawanan BIND bukan hanya terletak pada DNS. System penerjemah alamat (number-address
translator) merupakan subject dari kebanyakan exploit, termasuk untuk melakukan penyerangan di tingkat
informasi, penyerangan Denial Of Service, pengambil alihan kekuasaan dengan hijacking.
Penyerangan di tingkat Informasi bertujuan untuk membuat server menjawab sesuatu yang lain dari
jawaban yang benar. Salah satu cara untuk melakukan serangan jenis ini adalah melalui cache poisoning,
yang mana akan mengelabui remote name server agar menyimpan jawaban dari third-party domain
dengan cara menyediakan berbagai macam informasi kepada domain server yang mempunyai autorisasi.
Semua pengimplementasian serangan terhadap DNS akan mempunyai kemungkinan besar untuk berhasil
dilakukan jika jawaban dari suatu pertanyaan yang spesisfik bisa dibohongi (spoof).
DOS atau membuat Server tidak dapat beroperasi, bisa dilakukan dengan cara membuat DNS menyerang
dirinya sendiri atau juga dengan cara mengirimkan traffic-flooding yang berlebihan dari luar, contohnya
menggunakan “Smurf” ICMP flood. Jika suatu organisasi atau perusahaan memasang authoritathive
name server dalam satu segment yang terletak dibelakang satu link atau dibelakang satu physical area,
maka hal ini akan menyebabkan suatu kemungkinan untuk dilakukannya serangan Denial Of Service.
Cracker akan mencoba untuk menyerang system melalui DNS dengan cara buffer overflow, yaitu salah
satu exploit yang sangan berpotensi pada kerawanan BIND. Gangguan exploit terjadi karena adanya
kelemahan dalam pengkodean/pemrograman BIND yang mengizinkan seorang attacker untuk
memanfaatkan code-code yang dapat dieksekusi untuk masuk kedalam system. Beberapa system operasi
telah menyediakan patch untuk stack agar tidak dapat dieksekusi, sebagaimana juga yang dilakukan
compiler (menyediakan patch) yang melindungi stack dari overflow. Mekanisme perlindungan ini
stidaknya membuat cracker akan sulit menggunakan exploit.
Telah jelas bahwa mengupdate system secara berkala dan menggunakan patch adalah salah satu yang
harus dilakukan untuk membangun security yang efektif, jika vendor dari DNS anda tidak menyediakan
patch secara berkala, anda lebih baik mengganti software DNS anda yang menyediakan patch secara
berkala, tentunya untuk menjaga kemanan system.
Pada system Unix , BIND harus dijalankan sebagai root untuk mengatur port yang lebih rendah (kodekode
mesin). Jika software DNS dapat dibodohi untuk menjalankan code-code berbahaya, atau membuka
file-file milik root, user local mungkin saja bisa menaikan kekuasaannya sendiri didalam mesin.
Organisasi atau perusahaan yang mengubah authoritative server juga harus waspada bahwa mengganti
server mereka dalam waktu yang bersamaan akan mengakibatkan domain mereka di hijack melalui cache
poisoning. Mengubah server seharusnya dilakukan sebagai proses transisi. Untuk mencegah domain
hijacking sebaiknya network admin terlebih dahulu menambahkn server barunya kedalam network
infrastucture sebelum mengganti server yang lama.
8. Password Attacks
Password merupakan sesuatu yang umum jika kita bicara tentang kemanan. Kadang seorang user tidak
perduli dengan nomor pin yang mereka miliki, seperti bertransaksi online di warnet, bahkan bertransaksi
online dirumah pun sangat berbahaya jika tidak dilengkapi dengan software security seperti SSL dan PGP.
Password adalah salah satu prosedur kemanan yang sangat sulit untuk diserang, seorang attacker mungkin
saja mempunyai banyak tools (secara teknik maupun dalam kehidupan sosial) hanya untuk membuka
sesuatu yang dilindungi oleh password. Ketika seorang attacker berhasil mendapatkan password yang
dimiliki oleh seorang user, maka ia akan mempunyai kekuasaan yang sama dengan user tersebut. Melatih
karyawan/user agar tetap waspada dalam menjaga passwordnya dari social engineering setidaknya dapat
meminimalisir risiko, selain berjaga-jaga dari praktek social enginering organisasi pun harus mewaspadai
hal ini dengan cara teknikal. Kebnayakan seranagn yang dilakukan terhadap password adalah menebak
(guessing), brute force, cracking dan sniffing.
Penebakan(guessing) password bisa dilakukan dengan cara memasukan password satu persatu secara
manual ataupun dengan bantuin script yang telah diprogram. Kebanyakan user menggunakan hal-hal yang
umum untuk password mereka diantaranya tanggal lahir, dan biasanya user tidak menghawatirkan tentang
aturan yang berlaku pada perusahaan untuk menggunakan kombinasi alphanumeric dan minimal 7
karakter. Jika saja user memakai tanggal lahirnya sebagai password maka hal penyerangan akan sangat
mudah dilakukan, karena cracker tidak membutuhkan waktu yang lama hanya untuk menjebol 6 digit
angka tanggal lahir. Beberapa user atau bahkan administrator dapat membuat pekerjaan cracker menjadi
mudah andai saja mereka lupa untuk merubah password default dari sebuah software.
Sebenarnya, password guessing merupakan sesuatu yang sangat tidak efektif, dan dapat menghabiskan
waktu. Network admin bisa dengan mudah mendetect serangan jika seorang attacker mencoba login
dengan menebak password berkali-kali.
Brute-force merupakan serangan yang menggunakan logika yang sama dengan password guessing tetapi
serangan brute-force lebih cepat dan lebih powerfull. Dalam tipe serangan ini seorang attacker
menggunakan script (biasanya program cracking gratis) yang akan mencoba password-password
umum(biasanya terdapat dalam dictionary). Tujuan dari serangan jenis ini adalah untuk mempercepat
penemuan password sebelum network admin menyadari adanya serangan.
Walaupun serangan Brute-force lebih efisien daripada password guessing, kedua teknik tersebut pada
dasarnya sama. Attacker umumnya lebih sulit untuk berhasil dengan kedua metoda tersebut. Lebih jauh
lagi, kedua teknik tersebut sangat mudah di lawan dengan memanfaatkan features blacklisting, yang akan
mengunci sebuah account user jika seseorang(attacker) berkali-kali memasukkan password secara tidak
tepat. Contohnya, default blacklist dalam system unix adalah tiga kali (kesempatan memasukkan
password).
Kelemahan dari perlindungan blacklist adalah bahwa feature blacklist ini dapat igunkan untuk menyerang
system oleh attacker. Sebagai contoh, jika seorang attacker dapat mengidentifikasi siapa login name untuk
network admin, sang attacker bisa saja menngunakan login name itu dan memasukkan password yang
salah berulangkali dan akhirnya mengunci account admin ☺. Ketika sang admin sedang berusaha untuk
mendapatkan aksesnya kembali, seorang attacker masih bisa untuk berhubungan dengan system.
Password cracking adalah metoda untuk melawan perlindungan password yang dienkripsi yang berada di
dalam system. Dengan anggapan bahwa atacker telah masuk kedalam system, ia bisa saja mengubah
kekuasaannya didalam system dengan cara meng crack password file menggunakan metode brute-forcedictionary attack (mencocokan kata-kata yang berada dalam kamus dengan kata-kata yang dienkripsi
dalam file password). Keberhasilan menggunakan cara ini bergantung pada kecepatan prosesor dan
program yang dimiliki oleh attacker. Cara yang terbaik untuk menghindari serangan jenis ini adalah
dengan memonitor kewenangan akses pada file.
Dengan cara mengintip lalulintas pada port telnet(23) ataupun HTTPD (80), seorang attacker dapat
mendapatkan password yang digunakan untuk internet dan koneksi secara remote melalui proses yang
dinamakan password snifing. Cara inilah yang paling mudah dilakukan karena kedua koneksi tersebut
tidak menggunakan enkripsi, kecuali koneksi yang menggunakan SSL (secure socket layer) pada
HTTPD(biasanya ada tanda gembok terkunci dibawah browser, yang menandakan transaksi aman) atau
juga menggunakan SSH (Secure SHell) untuk koneksi ke mesin lain secara remote.
9.Proxy Server Attacks
Salah satu fungsi Proxy server adalah untuk mempercepat waktu response dengan cara menyatukan
proses dari beberapa host dalam suatu trusted network. Dalam kebanyakan kasus, tiap host mempunyai
kekuasan untuk membaca dan menulis (read/write) yang berarti apa yang bisa saya lakukan dalam sistem
saya akan bisa juga saya lakukan dalam system anda dan sebaliknya.
Jika firewal yang berada dalam trusted network tidak dikonfigurasikan secara optimal, khususnya untuk
memblok akses dari luar, apalagi jika autentikasi dan enkripsi tidak digunakan, seorang attacker bisa
menyerang proxy server dan mendapatkan akses yang sama dengan anggota trusted network lainnya. Jika
attaker sudah masuk ke sistem ia tentunya bisa melakukan apa saja dan ia bisa melakukan
DDOS(distributed denial of service) secara anoymous untuk menyerang network lain.
Router yang tidak dikonfigurasikan secara optimal juga akan berfungsi sebagai proxy server dan akan
mengakibatkan kerawanan yang sama dengan proxy server.
Tidak ada komentar:
Posting Komentar