Mencegah Directory Listing

Beberapa hari yang lalu, FTP Server di SMKN 1 Punggin down. Kebetulan, selain untuk FTP server, digunakan juga untuk Video Streaming Server (using OsTube). Nah, setelah beberapa hari di launching, ternyata ada saja orang usil yang mencoba masuk ke server kita.

Tapi untungnya, cracker tersebut masih tingkat lammer (menurut saya). Karena dia hanya menggunakan teknik “Guessing Web Server Directory”. Dalam bahasa indonesia artinya, “Menebak-nebak direktori server”. Mengapa demikian, untuk lebih lanjutnya akan saya bahas disini.

Karena server di sekolah saya menggunakan linux, dan tool Apache2 sebagai web servernya, maka saya check lognya sebagai berikut;

root@pungging~#: cat /var/log/apache2/error.log | more

Dan berikut file lognya,

Dalam suatu server web yang kompleks, tentunya terdapat beberapa direktori lain di dalamnya. Misalkan saja CMS Joomla, terdapat banyak sekali direktori kan. Dan yang dapat kita akses hanyalah direktori “Administrator”, mengapa begitu??? dan kenapa folder yang lain tidak dapat di buka???

http://www.pudja.com/administrator/        (bisa dibuka)

http://www.pudja.com/images/       (tidak bisa dibuka)

Tehnik ini disebut juga “Directory Listing”, untuk mendapatkan file-file penting yang ada didalamnya. Sebetulnya terdapat banyak cara untuk mencegah terjadinya Listing Directory ini. Namun saya akan membahas salah satunya saja, dan yang ini menurut saya lebih aman dan nyaman :D.

Tanpa pengamanan, directory IMAGES anda akan menampilkan semua file yang ada didalamnya kepada pengunjung web Anda. Cara pencegahanya adalah, anda harus membuat file “index.php” pada direktori IMAGES tersebut. Atau jika anda tidak menggunakan php, bisa diganti format ke “index.html”. Berikut kodenya;

Maksud kode diatas adalah, setiap pengunjung mengakses direktori tersebut, secara otomatis web browser akan redirect ke halaman awal website anda. Mengerti kan.

Dan selain direktory tersebut, kadang juga ada direktori alias. Maksudnya adalah, seperti halnya dalam Apache2 (linux), yang dapat menambahkan virtualhost alias di belakang nama domain asli. Yang tidak asing lagi di telinga kita adalah PhpMyAdmin. Yap, walaupun direktori PhpMyAdmin tidak terdapat dalam direktori web server kita, namun masih bisa diakses, betul kan.

Nah sayangnya, ada juga CMS yang masih belum mengerti tentang pentingya mencegah “Directory Listing” ini. Yang paling populer adalah OsTube. Yap, CMS yang terkenal dengan video & audio streaming servernya ini masih mempunyai bugs. Berikut tampilan OsTube dari SMKN1 Gorontalo, maaf saya tidak menggunakan OsTube SMK Pungging karena alasan keamanan.

Dan ketika saya tambahakn kata “includes” di belakangnya,

http://www.smkn1gorontalo.sch.id/ostube/includes/

Maka muncullah hal yang tidak kita inginkan sebelumnya,

Nah naasnya lagi, setiap website pasti membutuhkan file konfigurasi yang menghubungkanya dengan database server. Dan dalam cms OsTube, file konfigurasi tersebut bernama “config.php”, dan terletak didirektori “includes”. Nah, mati lah lhu….

Dalam file konfigurasi tersebut terdapat user dan password untuk databasenya, berikut filenya;

Kalau sudah begini, siapa yang salah, Admin atau Cracker?? Semua itu tergantung anda, karena tidak ada sistem yang sempurna 100%. Jadi, selalu belajar dan belajar dengan sesuatu yang baru. Dan sekian dari saya.

Tag: guessing direktori, mencegah direktori listing, mencegah index of