Halo teman-teman di writeup kali ini gw bakal jelasin cara menyelesaikan Challenge : IDOR di materi Introduction To Cyber Security bagian Offensive Security LINUXENIC Corporation. So Let's go!
Cek websitenya di https://linuxenic.com
Sebelum mulai Challenge kita bisa aktifin terlebih dahulu OpenVPN ataupun bisa pakai fitur Hackerbox.
Karena disini saya pakai OpenVPN Client , jadi saya install file dickychristian875.ovpn saya dan import filenya ke OPENVPN Client.
sudo openvpn — config dickychristian875.ovpn ( Ini saya menggunakan di Linux)
Setelah sudah mengaktifkan OpenVPN kita langsung aja nyalain challengenya. Disini bagian Start Challenge dan kita dapetin target IPnya yaitu exampleidor.lnx dengan sisa waktu 1 jam.
Oke pertama-tama kita bakal langsung akses websitenya yaitu exampleidor.lnx
Kita bakal lanjut untuk login ke aplikasi dengan credentials berikut :
username : rio
password : rio123
Nah disini kita udah masuk sebagai user Rio Saroha Simmamora. Lalu teman-teman bisa cek di bagian URL browser : http://exampleidor.lnx/dashboard?id=1001
Apa sih yang bakal terjadi jika kita ganti nilai parameter id=1001? Kita bakal coba ganti ke parameter idnya ke 1003 jadi berikut: http://exampleidor.lnx/dashboard?id=1003
Boom! Kita berhasil akses ke akun Administrator dan dapetin informasi yang seharusnya kita gak bisa akses. Seperti nominal balance si akun Administrator , email address , phone number dan recent transactions.
Gak hanya itu kita baru aja dapetin FLAG dari challenge IDOR ini
Kita juga bisa cek apakah id 1002 valid? Gw coba untuk mengubah parameternya lagi dari id 1003 → 1002 http://exampleidor.lnx/dashboard?id=1003 → http://exampleidor.lnx/dashboard?id=1002
Ternyata pada ID 1002 terdapat user bernama Sarah Wijaya dengan berbagai informasi sensitif seperti available balance, email address, nomor telepon, dan recent transactions yang sebenarnya tidak seharusnya bisa kita akses.
Kerentanan ini dikenal sebagai IDOR (Insecure Direct Object Reference). IDOR adalah celah keamanan pada aplikasi web yang terjadi ketika aplikasi menggunakan referensi objek secara langsung, seperti parameter id=1001, tanpa melakukan pengecekan hak akses yang benar di sisi server.
Akibatnya, pengguna bisa dengan mudah mengubah nilai parameter tersebut, misalnya dari id=1001 menjadi id=1003, untuk mencoba mengakses data milik pengguna lain. Jika aplikasi tidak memiliki kontrol akses yang baik, maka data sensitif dapat terbuka atau bahkan dimodifikasi oleh pihak yang tidak berhak.
Karena itu, pengembang perlu menerapkan validasi otorisasi di sisi server serta kontrol akses yang ketat agar kerentanan seperti IDOR tidak terjadi. Aplikasi tidak seharusnya hanya mengambil data berdasarkan ID yang dikirim oleh pengguna, tetapi juga harus memastikan bahwa pengguna yang sedang login memang memiliki izin untuk mengakses data tersebut.
Dari challenge IDOR pada materi Introduction to Cyber Security (Offensive Security) ini, kita bisa memahami bahwa penerapan kontrol akses yang tepat sangat penting untuk menjaga keamanan data pengguna.
Sekian write-up yang saya buat untuk challenge IDOR. Teman-teman juga bisa mencoba challenge tersebut dan belajar lebih lanjut melalui website LINUXENIC CORP.
Terima kasih.