WAMP Server adalah satu aplikasi webserver yang berisi paket apache dan MySql Server. Sebagai sebuah free webserver, WAMP cukup banyak dipergunakan utuk keperluan development ataupun praktikum mahasiswa yang sedang mempelajari pemrograman web dengan PHP. Setelah proses instalasi webserver apache dilakukan, biasanya dilanjutkan dengan menguji apakah webserver tersebut sudah jalan. Pengujian dilakukan terhadap dua hal yaitu apache server (check dengan http://localhost) dan PHPMyAdmin (Check dengan http://localhost/phpMyAdmin/index.php).

Dalam tulisan ini saya sampaikan informasi bahwa MySql dilengkapi dengan seting username dan password. Username dan password dipergunakan untuk akses ke MySql Server. Secara default Mysqlserver memberikan username “root” dan password=”" (Kosong). Hal ini sering menjadi titik rawan karena biasanya pengguna kebanyakan tidak memperhatikan hal ini(Tidak mengganti username dan password). Jika hal tersebut terjadi maka pengguna lain dapat saja melakukan hal-hal yang tidak bertanggungjawab terhadap data kita. Masalah kedua jika tidak melakukan perubahan seting, ketika dimasukkan alamat http://localhost/phpMyAdmin/index.php, maka langusng masuk ke halaman pengelolaan basisdata ataupun tabel. Tentu saja hal ini juga berbahaya, karena setiap user bisa melakukan perubahan terhadap data.

Seting phpMyAdmin digunakan untuk pengaturan :

1. Supaya MySql dapat diakses oleh komputer lain

2. Supaya ketika pertama kali diakses ditampilkan form username dan password.

Pengaturan pada point 1 dilakukan dengan cara merubah alias phpMyAdmin. Cara merubah alias adalah klik WampServer, pilih “alias directories”, pilih “http://localhost/phpMyAdmin” dan pilih edit alias. Ubah script pada bagian directory menjadi seperti dibawah ini.

<Directory “d:/wamp/phpmyadmin/”>
Options Indexes FollowSymLinks MultiViews
AllowOverride all
Order Allow,Deny
Allow from all
</Directory>

Setelah pilih script tersebut dimodifikasi dan pilihan WAMPServer adalah PutOnline, maka PHPMyAdmin sudah bisa diakses oleh komputer lain. Selanjutnya untuk seting pada point 2 silakan membuka file “config.inc”. Seting ini berada pada direktori PhpMyAdmin. Silakan disesuaikan berada pada direktori mana karena masing-masing versi WAMP berbeda meletakkannya. Buka dengan file config.inc dengan DreamWeaver, ultraedit ataupun yang laiinya. Setelah file tersebut dibuka ubah pada bagian :

$cfg[’Servers’][$i][’auth_type’]     = ‘config’; Ubah config menjadi “cookie”, sehingga menjadi $cfg[’Servers’][$i][’auth_type’]     = ‘cookie’;

Hasil dari perubahan tersebut silakan dicoba dan jika berhasil, ketika diketik alamat http://localhost/phpMyAdmin/index.php maka akan muncul form login dan password untuk masuk ke dalam MySql. Silakan kemudian mengganti user dan password MySql dihalaman Admin, ataukan nantikan kelanjutan dari tulisan ini.

Cross site scripting merupakan  kelemahan keamanan yang terjadi pada penggunaan teknologi dynamic website. Cross site scripting dapat diartikan sebagai kelemahan yang terjadi akibat ketidakmampuan server dalam memvalidasi input yang diberikan oleh pengguna. Hal ini memungkinkan halaman yang dihasilkan menyertakan perintah yang sebenarnya tidak diperbolehkan. Salah satu contoh adalah jika memasukan tag HTML melalui form, maka input tersebut akan dijalankan sebagai tag HTML. Apabila tag yang dimasukkan adalah tag untuk menampilkan gambar, maka request dari input form tersebut adalah gambar.

Jika sebuah website dieksploitasi menggunakan metode cross site scripting pada halaman tertentu, maka sebenarnya bukan pelaku eksploitasinya yang hebat, tetapi lebih kepada developer website yang kurang memperhatikan security hole yang ada.  Teknik cross site scripting sudah lama digunakan untuk melakukan eksploitasi dynamic website, namun sampai saat ini masih banyak website yang memiliki kelemahan mendasar tersebut. Probing terhadap website yang memiliki kelemahan dapat mulai dilakukan dengan menggunakan search engine dengan  kata kunci “inurl:id/guestbook.asp”. Hasil penelusuran didapat beberapa website yang dapat dieksploitasi dengan cross site scripting.

Mengantisipasi cross site scripting sebenarnya sangat mudah. Web programmer dituntut memiliki ketelitian dan mampu melihat celah keamanan yang bisa muncul dan dapat dieksploitasi oleh pengguna. Tulisan dalam blog ini membahas level dasar antisipasi cross site scripting pada method post dan get. Method post adalah sebuah metode yang dipergunakan form untuk mengambil nilai, sedangkan get adalah metode pengambilan nilai yang dikirimkan oleh link.

Contoh : Metode Post
a. message.php
<html>
<head><title></title></head><body>
<form action=”message_process.php” method=”post”>
Input Message
<br><input type=”text” name=”message”>
<br><input type=”submit” value=”Process”>
</form>
</body>
</html>

b. message_process.php
<html>
<head><title></title></head><body>
<?php
$message=$HTTP_POST_VARS[‘message’];
echo $message;
?>
</body>
</html>

Contoh : Metode Get
a. Link
<a href=”http://www.rianto.com/news_detail.php?id=1”>News Detail</a>

b. Request
<html>
<head><title></title></head><body>
<?php
$news_id=$HTTP_GET_VARS[id];
?>
</body>
</html>

Contoh eksploitasi pada form input dengan memasukkan tag HTML :
<img src=”http://artiscantikindonesia.files.wordpress.com/2008/03/agnes-monica.gif”>

Cara melakukan verifikasi input form adalah dengan melakukan pengecekan nilai yang dimasukkan pengguna.  Pemrograman web dengan PHP sudah memiliki fasilitas untuk memfilter karakter HTML yang dimasukkan oleh pengguna. Contoh fungsi yang dapat diterapkan adalah :

function textFilter( $str )
{
$str = nl2br( htmlspecialchars( $str ) );
return $str;
}

Implementasi di Method Post:
<html>
<head><title></title></head><body>
<?php
function textFilter( $str )
{
$str = nl2br( htmlspecialchars( $str ) );
return $str;
}
$message=textFilter($HTTP_POST_VARS[‘message’]);
echo $message;
?>
</body>
</html>

Implementasi di Method Get :
<html>
<head><title></title></head><body>
<?php
function textFilter( $str )
{
$str = nl2br( htmlspecialchars( $str ) );
return $str;
}
$news_id=textFilter($HTTP_GET_VARS[id]);
?>
</body>
</html>

Jika menggunakan Active Server Pages(ASP)  , web programmer harus membuat fungsi sendiri untuk melakukan replace terhadap karakter yang dimasukkan pengguna. Contoh fungsi replace :

<%Function chkstring(String)
on Error resume next
string = trim(string)
if string = “” then string = ” ”
string = Replace(string, “”"”, “&#148;”)
string = Replace(string, “‘”, “&#146;”)
String = Replace(String, “&nbsp;”, ” “)
String = Replace(String, chr(160), ” “)
String = Replace(String, “<”, “&lt;”)
String = Replace(String, “>”, “&gt;”)
String = Replace(String, CHR(13), “”)
String = Replace(String, CHR(10) & CHR(10), “</P><P>”)
String = Replace(String, CHR(10), “<BR>”)
Chkstring = String
End Function%>

Contoh implementasi dalam Active Server Pages (ASP) :
a. Method Post
<%
Message = chkstring(request.form(”message”))
%>

b. Method Get
<%
News_id=chkstring(request.querystring(“id”))
%>

Selamat mencoba dan semoga bermanfaat. (Mei 2008;www.rianto.com)

The world is flat menurut Tom Friedman 2006. Terdapat sepuluh faktor yang menyebabkan dunia menjadi datar. Salah satu faktor adalah Ease get information anything, anytime, anywhere. Sudut pandang riil bergeser ke cyber. Paradigma ini sangat berpengaruh di semua domain baik itu pendidikan, bisnis, hiburan bahkan perilaku masyarakat. Internet menjadi payung besar dan pendorong lahirnya pergeseran paradigma tersebut.

Sisi positif akan fenomena ini sangat dapat dirasakan dengan banyaknya informasi yang dapat diperoleh dengan cepat dan mudah. Situs web menjadi andalan kaum bisnis, mahasiswa, peneliti, akademisi dan anak-anak sekolah dasar untuk mencari informasi ataupun mengerjakan tugas. Setiap dampak positif selalu diikuti dengan dampak negatif yang bisa jadi lebih besar. Sebut saja si Dadap yang mahasiswa Teknik Informatika di sebuah perguruan tinggi di Yogyakarta. Sela-sela waktu mencari bahan tugas sambil menunggu download selesai, dia juga membuka situs-situs lain yang tidak ada hubungannya dengan tugas. Ideal masih bisa kita katakan jika situs lain yang dibuka adalah situs pendukung untuk materi kuliahnya. Bagaimana jika yang dibuka situs porno ? atau bagaimana jika si krucil yang masih kelas 4 SD ikut-ikutan membuka situs porno ?. Mungkin persoalan itulah yang kemudian mendorong pemerintah melalui Undang-Undang Transaksi Elektronik untuk melakukan blokir terhadap alamat situs porno.

Beragam kategori situs porno saat ini online. Kategori foto, cerita, forum dan gabungan ketiganya.Perilaku pengunjungnya juga beragaram. Waru suka mengunjungi situs porno untuk melihat foto-foto syur. Lain halnya dengan Dadap yang mengunjungi situs porno untuk sekedar membaca cerita-cerita sex. Majemuknya situs porno dan perilaku pengunjungnya membuat pekerjaan blokir situs porno menjadi susah-susah gampang atau bahkan tidak mungkin. Penulis bukan tidak setuju dengan program pemerintah untuk memblokir situs porno bahkan bersedia membantu melakukan pemblokiran. Masalahnya adalah apakah sudah ada peta tentang kemajemukan situs-situs porno yang mungkin jumlahnya ribuan.Tanpa peta tersebut bagaimana kita membuat matrik untuk melakukan cegah tangkal terhadap situs-situs porno, kecuali hanya akan menjadi cemooh orang banyak dan dikatakan isapan jempol belaka.

Adalah instansi A yang menggunakan teknologi internet untuk menopang kegiatan bisnisnya. Instansi ini mengaku telah melakukan pemblokiran dan menjamin bahwa pengguna di instansinya sudah tidak bisa mengakses situs porno. Filter kata-kata yang berhubungan dengan sex dan porno itu yang menjadi andalannya. Tetapi pernahkah terbayangkan bahwa penyedia situs juga berpikir untuk menyediakan situs porno tanpa menggunakan kata kunci porno dan sex. Terlintaskah dalam benak bila masih bisa membuka www.google.com dan memilih search dengan kategori gambar dan kata kunci “artis indonesia” kira-kira apa temuan google. Friendster adalah situs berbasis komunitas dan tidak membawa misi porno. Search By User merupakan salah satu layanan yang disediakan untuk memudahkan pencarian dan melihat profil seseorang. Apabila kita memasukkan kata kunci “Chika” dan melihat satu-persatu dari masing-masing profil maka akan ditemukan profile yang tidak berbeda dengan situs porno dibawah alamat friendster. Pertanyaannya adalah apakah sebaiknya friendster diblokir saja ?

Dua contoh yang disebut dalam alenia keempat hanya segelintir fakta yang saat ini mendarat. Pasti masih banyak fakta-fakta lain yang sudah lahir atau mungkin akan lahir seiring dengan pemikiran penyedia dan pengguna situs porno. Fakta tersebut juga menunjukkan bahwa memblokir situs porno sama dengan menangkap seekor ikan dalam kolam raksasa. Bisa dilakukan tetapi harus oleh banyak pihak dengan jejaring besar dan dari segala penjuru di seluruh dunia. Bagaimana caranya mengorganisir hal tersebut ?