Kerentanan Sisi Klien dan Pengalihan URL

Empat catatan pada halaman ini bekerja di sisi klien: Cross Site Scripting, Cross Site Request Forgery, On Site Request Forgery, dan Open Redirect. Tidak satu pun menembus autentikasi. Penyerang hanya menitipkan muatan pada response, pada parameter URL, atau pada request yang dikirim browser korban, lalu menunggu korban membuka halaman yang salah. Catatan XSS membagi serangan menurut konteks eksekusi Cross Site Scripting.md:4-13¹, sedangkan CSRF dan OSRF dibedakan oleh asal request Cross Site Request Forgery.md:4². Siklus cookie dan atribut sesi yang dipakai ketiganya dibahas di Otentikasi, Sesi, dan Token.

Tiga jenis XSS dan konteks eksekusinya

Reflected XSS menjalankan script dari situs lain melalui browser korban. Stored XSS menyimpan script secara permanen di server target. DOM-Based XSS menaruh payload di DOM, bukan di kode HTML. Cross Site Scripting.md:4-13¹

Karena itu XSS dapat muncul di semua fitur aplikasi. Khusus DOM-Based XSS, membaca kode sumber JavaScript adalah cara menemukannya, sebab payload tidak pernah singgah di HTML yang dikirim server. Cross Site Scripting.md:15-16³

graph TD
  IN["Input user direfleksikan di response"] --> CTX{"Konteks tempat input jatuh"}
  CTX --> C1["value attribute tag input"]
  CTX --> C2["HTML comment"]
  CTX --> C3["antara opening dan closing tag"]
  CTX --> C4["di dalam tag script"]
  CTX --> C5["template literal backtick"]
  C1 --> E1["tutup attribute dengan kutip"]
  C2 --> E2["tutup komentar HTML"]
  C3 --> E3["tutup tag lalu sisipkan tag baru"]
  C4 --> E4["tutup tag script atau escape string"]
  C5 --> E5["interpolasi template literal"]
  E1 --> F["filter kutip, backslash, atau kurung sudut"]
  E2 --> F
  E3 --> F
  E4 --> F
  E5 --> F
  F --> W["payload khusus WAF"]
  style IN fill:#8b5cf6,color:#fff
  style CTX fill:#f59e0b,color:#000
  style E1 fill:#2d7d46,color:#fff
  style E2 fill:#2d7d46,color:#fff
  style E3 fill:#2d7d46,color:#fff
  style E4 fill:#2d7d46,color:#fff
  style E5 fill:#2d7d46,color:#fff
  style F fill:#f59e0b,color:#000
  style W fill:#dc2626,color:#fff
%% fig: Peta konteks refleksi XSS
%% desc: Konteks tempat input jatuh menentukan teknik penutupan, lalu filter yang tersisa menentukan payload WAF yang dipakai.

Peta konteks refleksi dan teknik escape

Payload dasar dipakai ketika input jatuh di body response tanpa pembatas: <script>alert(1)</script>, <svg/onload=alert(1)>, dan <img src=x onerror=alert(1)>. Cross Site Scripting.md:19-24⁴ Begitu input masuk ke dalam struktur HTML atau JavaScript, payload harus menutup konteksnya lebih dulu.

Vektor XSS di luar body HTML

Nama berkas unggahan yang terefleksi di halaman target dapat membawa payload, misalnya "><svg onload=alert(1)>.jpeg. Cross Site Scripting.md:266-269¹⁵ Metadata berkas juga bisa dipakai lewat exiftool -Artist='"><script>alert(1)</script>' dapos.jpeg. Cross Site Scripting.md:271-274¹⁶

• Berkas SVG berisi <svg xmlns="http://www.w3.org/2000/svg" onload="alert(1)"/> dieksekusi saat dibuka. Cross Site Scripting.md:276-279¹⁷
• Markdown yang memuat [Click Me](javascript:alert('1')) menjadi jalan masuk lain. Cross Site Scripting.md:281-284¹⁸
• Halaman XML menerima <a:script xmlns:x="http://www.w3.org/1999/xhtml">alert(1)</a:script>. Cross Site Scripting.md:286-292¹⁹

⚠️ Penutup berbeda dibutuhkan sesuai blok. Tambahkan --> bila input mendarat di komentar, dan ]]> bila mendarat di CDATA; tanpa keduanya payload tidak keluar dari bloknya. Cross Site Scripting.md:286-292¹⁹

Bypass filter dan WAF

Filter yang memeriksa kata kunci tunggal dapat dilewati dengan mengubah bentuk payload:

• Kapitalisasi campuran dan tag tidak tertutup: <Script>alert(document.cookie)</Script>, <svg onload="alert(1)", <SVG ONLOAD=ALERT(1)>. Cross Site Scripting.md:294-308²⁰
• Encoding berlapis: satu kali, dua kali, dan tiga kali percent-encoding sebelum kurung sudut. Cross Site Scripting.md:310-320²¹
• Huruf İ untuk input yang di-lowercase: <SCRİPT>alert(1)</SCRİPT>. Cross Site Scripting.md:322-325²²
• Validasi email di PHP: <svg/onload=alert(1)>"@gmail.com. Cross Site Scripting.md:327-330²³
• Validasi URL di PHP: javascript://%250Aalert(1). Cross Site Scripting.md:332-335²⁴
• Blok komentar: <!--><svg onload=alert(1)-->. Cross Site Scripting.md:337-340²⁵

Catatan XSS menyediakan payload khusus untuk tujuh WAF: Cloudflare, Cloudfront, Cloudbric, Comodo WAF, ModSecurity, Imperva, dan AWS. Cross Site Scripting.md:342-448²⁶

Bypass kontrol yang tidak spesifik XSS, misalnya 403, 429, dan captcha, dibahas di Teknik Bypass Kontrol.

CSRF: request yang membawa cookie korban

CSRF memaksa user akhir mengeksekusi aksi yang tidak diinginkan pada aplikasi web tempat ia sedang terautentikasi. Cross Site Request Forgery.md:4² Titik temu utamanya adalah form: kirim form lalu periksa request HTTP, dan bila request itu tidak membawa CSRF token, form besar kemungkinan rentan. Cross Site Request Forgery.md:7³⁴

Penanda paling menentukan adalah xhr.withCredentials = true; tanpa baris itu browser tidak menyertakan cookie pada request lintas origin. Cross Site Request Forgery.md:39⁴⁰ Dampak lanjutan berupa pengambilalihan akun dirangkum di Serangan Miscellaneous dan Business Logic.

Melewati token anti-CSRF

Walaupun form sudah memasang CSRF token, token masih bisa dilewati dengan beberapa cara. Cross Site Request Forgery.md:97-98⁴¹

⚠️ Token yang ada tidak otomatis berarti aman. Setiap baris di atas adalah hipotesis yang harus diuji satu per satu terhadap endpoint yang sama. Cross Site Request Forgery.md:97-98⁴¹

OSRF: request yang lahir dari origin target

Pada OSRF korban juga dipaksa mengeksekusi aksi, tetapi asal request berbeda: CSRF mengirim request dari domain milik penyerang, sedangkan OSRF membuat request lahir dari aplikasi yang rentan sendiri sehingga penyerang hanya mengendalikan tujuan request itu. On Site Request Forgery.md:4⁵⁰

Ada dua hal yang dicari saat menyisir aplikasi:

• Input yang terefleksi pada atribut src, misalnya <img src="OUR_INPUT_HERE">, <video ... src="OUR_INPUT_HERE">, <audio src="OUR_INPUT_HERE">, dan <iframe src="OUR_INPUT_HERE">. On Site Request Forgery.md:8-15⁵¹
• Endpoint sensitif yang memakai metode GET, misalnya GET /settings.php?remove_account=1. On Site Request Forgery.md:16-23⁵²

Alur eksploitasinya bertumpu pada dua fitur. Endpoint GET /change_password.php?new_password=Testing123 mengubah password hanya lewat satu request GET. On Site Request Forgery.md:26-33⁵³ Di sisi lain, fitur unggah foto profil menerima multipart POST /settings.php dengan filename yang bisa dikendalikan. On Site Request Forgery.md:37-54⁵⁴ Nilai itu lalu muncul kembali pada atribut src di halaman profil publik. On Site Request Forgery.md:55-63⁵⁵ Dengan mengganti testingimage.jpg menjadi change_password.php?new_password=Testing123, setiap pengunjung profil mengirim request ganti password, dan password mereka otomatis berubah. On Site Request Forgery.md:65-75⁵⁶

⚠️ Korban tidak perlu mengklik apa pun. Membuka halaman profil sudah cukup untuk memicu request, sehingga tidak ada form atau tombol yang bisa dijadikan pengaman. On Site Request Forgery.md:65-75⁵⁶

Siklus forgery: CSRF dan OSRF

sequenceDiagram
  autonumber
  participant V as Korban
  participant A as Situs penyerang
  participant T as Server target
  Note over V,A: CSRF - request berasal dari domain penyerang
  V->>A: membuka halaman PoC
  A-->>V: form GET atau POST tanpa token
  V->>T: request otomatis membawa cookie sesi korban
  T-->>V: aksi dijalankan atas nama korban
  Note over V,T: OSRF - request berasal dari aplikasi target
  V->>T: membuka profil dengan nilai src yang dikendalikan
  T-->>V: HTML berisi src menuju endpoint GET sensitif
  V->>T: browser memuat src dari origin target
  T-->>V: aksi sensitif dijalankan
%% fig: Siklus request CSRF dan OSRF
%% desc: CSRF mengirim request dari domain penyerang, sedangkan OSRF memakai aplikasi target sendiri sebagai pengirim request.

Open Redirect dan variasi bypass-nya

Open redirect muncul ketika aplikasi memasukkan data yang bisa dikendalikan user ke target redirection secara tidak aman, sehingga penyerang dapat menyusun URL di dalam aplikasi yang mengarah ke domain eksternal sembarang. Open Redirect.md:4⁵⁷ Catatan menyarankan memeriksa halaman login, register, dan logout, serta kode sumber JavaScript. Open Redirect.md:7-8⁵⁸

⚠️ Bila parameter redirect muncul lebih dari sekali, server bisa memakai nilai pertama sementara browser memakai nilai lain. Uji urutan next=target.com&next=evil.com sebelum menyimpulkan parameter aman. Open Redirect.md:53-56⁶⁷

Rantai open redirect

Daftar itu ditutup dengan dua rujukan: laporan HackerOne #1250758 dan tulisan yang merangkai open redirect dengan rXSS. Open Redirect.md:100-102⁷⁶

sequenceDiagram
  autonumber
  participant V as Korban
  participant T as Server target
  participant E as Domain eksternal
  V->>T: membuka /?redir=evil.com
  T-->>V: response redirect ke target eksternal
  V->>E: browser memuat halaman penyerang
  E-->>V: halaman tiruan atau muatan rXSS
  rect rgb(220,38,38)
  Note over V,E: Kredensial korban berpindah ke domain penyerang
  end
%% fig: Rantai open redirect
%% desc: Parameter redir yang tidak divalidasi memindahkan korban dari origin target ke domain yang dikendalikan penyerang.

Rantai menjadi berbahaya ketika redirect dipakai sebagai pembuka dan refleksi dipakai sebagai eksekutor: rujukan kedua secara eksplisit merangkai open redirect dengan rXSS. Open Redirect.md:100-102⁷⁶ Sebelum menyimpulkan sebuah parameter aman, uji tiap varian di tabel dengan nilai yang berbeda, lalu periksa apakah nilai itu masih muncul di header Location.