Keamanan sebuah website/blog harus mendapat perhatian bagi sang admin apalagi bagi yang menggunakan CMS. Hal ini pula yang membuat saya akhirnya mengupgrade engine wordpress yang saya gunakan karena hal ini setidaknya bisa mencegah serangan pada blog ini. Kali ini saya mencoba meneruskan apa yang saya baca pada sebuah blog bagaimana mencegah dan mengatasi website di deface karena saya rasa hal ini sangat berguna bagi rekan-rekan blogger yang sekaligus merangkap administrator website.
Tapi basa basi lagi silahkan disimak artikel berikut ini bro, mudah-mudahan bisa memberikan sedikit manfaat bagi kita semua walaupun dengan artikel copas
Beberapa hal yang membuat website/blog yang kita kelolah bisa dideface
- Penggunaan free CMS dan opensource tanpa adanya modification. Keseluruhan konfigurasi menggunakan default konfigurasi, akan memudahkan para defacer untuk menemukan informasi file, directory, source, database, user, connection, dsb. Bagi para blogger apalagi yang masih nubie (seperti saya) melakukan modifikasi konfigurasi engine blog bukanlah merupakan hal yang mudah. Namun tak ada salahnya kita meluangkan waktu mencari berbagai pedoman dan mungkin bisa juga dengan melakukan instalasi plugin untuk kemanan wordpress seperti wp firewall, login lock down, stealth login, dan plugin lainnya untuk keamanan blog.
- Tidak updatenya source atau tidak menggunakan versi terakhir dari CMS. Hal ini sangat rentan, karena security issue terus berkembang seiring masuknya laporan dan bugtrack terhadap source, kebanyakan hal inilah yang menjadi sebab website mudah dideface. Oleh karena hal ini maka beberapa saat yang lalu saya memutuskan untuk melakukan upgrade pada blog ini.
- Tidak pernah ada research yang mendalam dan detail mengenai CMS sebelum digunakan & di implementasikan. Sehingga pemahaman dan pengetahuan dari webmaster hanya dari sisi administrasinya saja, tidak sampai ke level pemahaman sourcecode.
- Tidak adanya audit trail atau log yang memberikan informasi lengkap mengenai penambahan, pengurangan, perubahan yang terjadi di website baik source, file, directory, dsb. Sehingga kesulitan untuk menemukan, memperbaiki dan menghapus backdoor yang sudah masuk di website.
- Jarang melakukan pengecekan terhadap security update, jarang mengunjungi dan mengikuti perkembangan yang ada di situs-situs security jagad maya. Sehingga website sudah keduluan di deface oleh defacer sebelum dilakukan update dan patch oleh webmaster.
- Kurangnya security awareness dari masing-masing personel webmaster & administrator. Sehingga kewaspadaan terhadap celah-celah keamanan cukup minim, kadangkala setelah website terinstall dibiarkan begitu saja. Kurangnya training dan kesadaran akan keamanan website seperti ini akan menjadikan website layaknya sebuah istana yang tak punya benteng.
Untuk menangulangi hal ini, maka sebagai administrator website/blog hendaknya juga kita mengikuti memperhatikan hal-hal berikut ini :
- Wajib untuk mengikuti perkembangan source dari source website yang digunakan, backuplah website dan database sebelum dilakukan update. Beberapa saat yang lalu ketika melakukan update ke engine terbaru saya tidak membackup website dan database padahal ada beberapa script yang saya pasang. Butul orang bilang, manyasala itu pasti muncul kablakang (manado mode ON)
- Kebanyakan defacer telah memasang backdoor ketika telah berhasil melakukan deface website, hal ini dimungkinkan agar dapat melakukan deface ulang terhadap website. Wajib untuk memeriksa perubahan folder, file, database dan source terakhir dari website.
- Pelajarilah lebih dalam mengenai dasar-dasar hacking dan antisipasinya (RFI, LFI, CSRF, SQL Injection, XSS, Exploit, Dsb) karena artikel ini sudah banyak bertebaran di Internet. Semakin banyak tahu & mengerti tentang sebuah kelemahan website dari dasar-dasar hacking, maka akan semakin banyak tahu pula bagaimana cara mengatasinya.
- Sering-seringlah berdiskusi di forum dan milist yang berkaitan dengan perangkat serta aplikasi yang mensupport website anda, baik dari sisi operating system, tempat hosting, bugtrack milist, developer milist, dsb. Hal ini bertujuan agar informasi vulnerability dapat dipatch lebih cepat sebelum defacer beraksi. Forum jasakom yang merupakan “markasnya para hacker di Indonesia” adalah salah satu tempat saya mencari informasi mengenai dunia hacking
- Hardening website dan source wajib dilakukan, misalkan jangan menggunakan “default configuration”, aturlah sedemikian rupa “configuration website” dengan memperhatikan: permission, access level, indexing, database connection, database configuration, password dan user management.
- Gunakanlah tambahan plugin / component yang tepat, sehingga dapat meminimalisasi terjadinya kegiatan defacing dari thirdparty. Pastikan hasil review & ranking plugin bereputasi baik dan sudah di verified oleh penyedia CMS yang bersangkutan.
- Lakukanlah penetration testing terhadap website, baik secara lokal maupun langsung di website. Banyak tools penetration testing yang bisa digunakan: Nexus, Acunetix, dsb. Tapi yang paling bagus dan lebih cepat adalah, copy source dan database website, Install di local computer, kemudian lakukanlah penetration testing. Updatelah website bila ditemukan vulnerability.
- Backdoor, baik (php, asp, perl, phyton) dikenali dengan baik oleh beberapa Antivirus, ada bisa cleaning dengan melakukan scanning terhadap source website secara local. Apabila tidak dikenali, terpaksa anda harus mencari secara manual.
Jika website yang bro kelolah sudah dideface, langkah-langkah berikut ini mungkin bisa membantu
- Download source & database yang ada di website untuk backup. Hal ini untuk berjaga-jaga apabila langkah yang kita lakukan gagal, tetapi apabila konfigurasi & file benar dan lengkap dijamin 100% berhasil, terkecuali ada sesuatu yang terlewatkan.
- Download source CMS versi terbaru dari website penyedia CMS, misalkan: www.drupal.org, www.joomla.org, www.wordpress.org, dsb.
- Lakukanlah perbaikan database secara lokal, berjaga-jaga apabila backdoor ada di database. Biasanya didalam database ada access user tidak dikenal yang akses levelnya sama dengan Administrator.
- Install CMS yang tadi sudah di download di web hosting. Kemudian lakukanlah konfigurasi: database, file permission, directory permission. Jangan menggunakan default configuration, modifikasilah konfigurasi-konfigurasi yang ada agar lebih powerfull.
- Kemudian instalasi component: Themes, Plugin, Component, dsb. Gunakanlah yang paling update, atau source baru dari komponen yang akan di Install (Fresh Install Component).
- Kemudian update database, dengan login ke Database Control Panel (phpMyAdmin, DB Admin, cPanel Database, dsb). Setelah anda melakukan login, maka importlah database.
- Gantilah username Administrator & Password menggunakan nama yang lebih Unik, jangan menggunakan user (admin, administrator, adm1n, dsb) gunakanlah yang lebih powerful dan susah untuk di tebak untuk menghindari bruteforce, gunakanlah alias untuk menampilkan username administrator di web content.
Sumber binushacker.net
Semoga artikel diatas bisa memberikan manfaat buat bro selaku narablog sekaligus administartor website sehingga kita bisa mencegah dan mengatasi website/blog yang kita kelolah di deface oleh orang yang lain. Untuk pertanyaan teknis lebih lanjut silahkan dikonsultasikan langsung di sumber artikel soalnya saya tidak mempunyai kemampuan yang mumpuni mengenai dunia hacking. Enjoy blogging, cita waya esa
Ini seperti kebetulan. Saat mencari informasi bagaimana untuk mengamankan blog wordpress, eh bro eser posting masalah ini (saya tahu update-nya lewat twitter).
Dari googling memang banyak aneka tips, dan memang agak2 ruwet tuk mengikuti semua advice2nya. Ya, senasib dgn bro eser, saya juga buta masalah hacking. Jadi mungkin yang saya terapkan hanya sebagian kecil saja.
Cepat sekali disikat articlenya bro padahal baru di posting… Btw walaupun tidak mempunyai kemampuan yang mumpuni tapi harus juga mempelajari mengenai hal ini bro,
Jadi tambah wawasan nih, terima kasih untuk tutorialnya.
Kl buat wp paling dasar ntu hapus instal.php..abis loe instal..trus konfigurasi .htaccess.
Blog gw yg pke wp banyak korban yg gw bawa muter..hehehe..pdhl gw ga pake plugin sama sekali. Skr di indo banyak yg belajar ngerusak di bandingkan membangun.
Pdhl kl dah bisa membangun pasti bisa merusak,,,
blog tetangga < xttp://www.murahan.co.cc > sempat kena tuh..hehehe
thanks infonya mas bro 🙂
tulisan ini sangat menarik menurut Saya. makasih ya :2thumbup :2thumbup
Untuk saat ini, saya masih terus mempelajari celah-celah keamanan di CMS WordPress. Secara bertahap juga akan saya tambal celahnya. Bagi teman-teman yang merasa punya banyak pengetahuan soal celah keamanan WordPress, mohon agar berbagi dalam bentuk postingan, sekaligus trik untuk menutup celah keamanan tersebut.
Oya, salah satu celah keamanan WordPress yaitu pada halaman login. Dengan url berupa httxxx://namadomain/wp-login.php
Lebih baik dibuat jadi private saja halaman tsb. agar tidak mudah dihack. Tutorialnya ada di blog jhezer.web.id
Salah satunya mungkin dengan menggunakan stealth login ya bro?
Itu plugin untuk membuat halaman private login ya bro? Kalau saya nggak pakai plugin sih. Cuma mengganti nama wp-login dengan nama lain yang rahasia 🙂
Ia bro, itu menggunakan plugin… Menarik juga bro jika tanpa menggunakan plugin, nanti dicari tutornya… di blog jhezer.web.id kan?
Iya, di blog mas jhezer. Intinya harus merename nama wp-login (termasuk nama file-nya).
Diantara banyak kekurangan blogspot dibanding WP kelebihan blogspot satu, tak perlu memikirkan sisi ini, masalah keamanan sudah Google yang urus. Terima kasih, Bro. Setidaknya ini bisa buat pengetahuan saya meski saya bukan pengguna WP
Benar bro, untuk masalah keamanan memang pengguna blogspot bisa lebih bernapas lega soalnya yang mengamankan blog adalah para teknisi google, yang perlu dijaga oleh user hanyalah alamat email dan pasword, selebihnya blogger tinggal memikirkan content…
makasi bro infonya, saya juga pernah di deface. tapi diselesaikan sama pihak hosting. makasi juga buat forum hack nya, saya ke TKP dulu.
Silahkan bro, banyak hal yang bisa didapatkan disana
trims bro pengetahuannya,maklum ane nubie
semoga ini tidak akan pernah terjadi pada blog saya
btw, terima kasih sekali atas info di atas, suatu saat akan sangat berguna juga buat saya
Sama-sama bro
banyak jalan menuju roma bro …
meskipun sekuat kuat nya pertahanan pasti akan tertembus hahahahaha
_Wah .. ini yang di cari2 .. hhehe ..
_Berguna bnget gan .. cz ini juga baru biza brdiri ..
_Jdi muzti blajar bnyak lagi yg kyak gni ..
_Makazi N suksez slalu .. 😀
info nya sangat membantu,, untung saya pake blogger yaah,,
tapi kawatir juga yaah, gimana kalau website yang pake .com .co.id saya di hack wah bisa kacau niiih….
makasih bro artikelnya….
Trima kasih brow untuk informasinya, saya pengguna wp juga jadi harus banyak belajar untuk mengamankan blog saya menggunakan plugin dari yang di rekomendasikan brow..
dulu juga kayaknya website resmi panasonic pernah kena serangan hacker dar chona gara2 kasus yang sama kaya di atas, tapi mereka langsung memperbaki dan semuanya. dan ane juga baru tau kalau hacjer tsb nyerangnya pake web deface
I never found any web like this before, trully is awesome. keep the good work bro.
All your contain is useful and remarkable. I will bookmarked this to come in future. Cheers!!
terima kasih infonya sangat bermanfaat