Security Hole on Comment Input Portal (ITS Portal as Case Study)
Portal ataupun blog sudah banyak dilengkapi dengan komentar yang bertujuan untuk mengikutsertakan pengunjung dalam portal tersebut. Semakin trend komentar tiap portal maka kejahatan spammer semakin besar dan kemudian orang membuat sistem untuk memblocking komentar melalui teknik seperti CAPTCHA.
Iseng2x masuk ke portal ITS, www.its.ac.id, dimana dibagian news itu setiap orang bisa memasukkan komentar tapi melakukan registrasi dan kutemukan teknik CAPTCHA nya sangat jelek..mudah di broken dengan algoritma yang tidak perlu canggih alias pakai conditional IF hehehe..lihat komentar portal nya pada gambar dibawah ini:
------------------------------------------
----------------------
Dengan memanfaatkan teknologi .NET terutama dengan menggunakan socket dan permainan protocol HTTP maka kita bisa memasukkan komentar via small application;) selanjutnya dikirim via AJAX (ajax.comment.php) dari portal ITS (Imporsonate technique) . Semoga team webmaster portal ITS bisa memperbaiki sistem CAPTCHA nya. Ada kelemahan pada sistem CAPTCHA di portal ITS, www.its.ac.id antara lain:
1. Teknik generate gambar CAPTCHA itu tidak unik dan mudah ditebak
2. gambar yang dipakai static...
disana ada gambar
http://www.its.ac.id/images/antispam/01.jpg --> katak
http://www.its.ac.id/images/antispam/02.jpg --> kambing
http://www.its.ac.id/images/antispam/05.jpg --> bebek
ini algoritma CAPTHA yang paling jelek yang pernah kulihat
3. User memilih CAPTCHA...ini bad, sedapat mungkin user hanya
mengisi satu saja dan no clue!!
Untunglah portal ITS, dilengkapi dengan moderate komentar sehingga ini bisa dicegah tapi ada effort yaitu mesti ada orang menunggu membaca komentar untuk approval. Akhirnya saya hentikan penetration test ini...I'm not hacker...saya hanya IT Professional IT yang interest dalam messaging (included security) technology. So I don't want to hack ITS web server. Dosa man!...lagi mau puasa:p lagian gw alumnus situ;)) tapi jangan nanya PHP ke gw, krn memang gak bisa PHP:p