Pengalaman Internship selama 1 tahun di PT. Mitra Integrasi Informatik — Andrew

Pada Maret 2019, saya mendapatkan kesempatan untuk melakukan internship di MII sebagai Cyber Security Consultant Intern selama 1 tahun (1 Maret 2019–29 Februari 2020). Banyak pengalaman serta pengetahuan yang saya dapatkan mengenai penetration testing, khususnya pada Web Apps dan Mobile Apps (Android).

Berikut ini beberapa hal umum yang saya pelajari dan lakukan ketika melakukan penetration testing selama masa internship:

Web Apps

1. Scan dengan Vulnerability Scanner

Hal awal yang selalu dilakukan yaitu, melakukan scanning dengan vulnerability scanner, dan memastikan finding yang ditemukan valid.

2. Intercept dengan Burp

Karena Vulnerability scanner hanya dapat mengecek hal yang bersifat teknikal, maka pengecekan secara manual tetap dilakukan, khususnya pada business process.

3. Baca Javascript (sometimes)

Ketika melakukan intercept request terdapat parameter- parameter dengan value yang tidak umum, maka pembuatan value tersebut dapat dilihat pada javascript. Umumnya value ini berupa encryption atau suatu key untuk memastikan request yang dikirimkan tidak diedit.

Infrastructure

1. Scan dengan Vulnerability Scanner

Umumnya Pengujian terhadap infrastructure memiliki target IP yang cukup luas, sehingga pengujian manual akan membutuhkan waktu yang sangat lama. Maka penggunaan vulnerability scanner penting digunakan, hal ini dapat membantu menghemat waktu untuk melakukan pengujian yang umum dilakukan. Tentunya hasil dari vulnerability scanner perlu untuk dipastikan valid.

2. Check Open Port

Bersamaan dengan vulnerability scanner, kita dapat mengecek port- port yang terbuka dari setiap IP yang ada, dan mencoba mencari common vulnerabilities pada port yang terbuka.

3. Brute

Ketika scanning sudah selesai dilakukan, untuk menghabiskan waktu kita dapat melakukan bruteforce dengan payload- payload umum, dan ditambahkan dengan keywords yang berhubungan dengan target

Mobile Apps (Android)

1. Bypass SSL Pinning / Root-Emulator Detection

Agar pengujian dapat berjalan dengan lancar, melakukan SSL Unpinning sangat penting dilakukan, sehingga request dapat diintercept. Lalu apabila terdapat root detection maupun emulator detection juga dapat dibypass dengan menggunakan frida

2. Static analysis

Static analysis dilakukan untuk mengecek target api dari mobile apps tersebut, serta mengecek apakah terdapat comment pada source code nya. Dapat juga dilakukan untuk mengecek function encryption apabila terdapat enkripsi

3. Cek Local Storage

Selagi program berjalan, kita juga dapat mengecek local storage untuk memastikan tidak ada data sensitif yang tersimpan pada local storage.

4. Membuat decryptor (optional)

Apabile terdapat enckripsi, penting bagi kita untuk membuat decryptor agar request dapat dibaca dengan mudah

5. Intercept dengan Burp

Lalu kita perlu melakukan intercept request dengan burp untuk merubah value yang terdapat pada request, umumnya dilakukan seperti yang dilakukan saat melakukan penetration testing terhadap web applciation.

Thanks!