Dunia maya mempunyai keunggulan dan kekurangan yang dipunyai. Untuk kekurangannya adalah resiko kejahatan yang bisa terjadi lewat dunia maya.
Bagi Anda yang melakukan banyak kegiatan di internet sebaiknya bisa melindungi perangkat dari virus dan ancaman kejahatan lainnya di dunia maya.
Salah satunya adalah dari SQL Injection yang bisa merugikan sehingga perlu dihindari. Apa itu SQL Injection? Dan cara pencegahannya akan dijelaskan dengan lengkap di bawah ini.
Apa Itu SQL Injection?
Tidak kenal maka tidak sayang, sebelum aka melakukan sesuatu penting untuk mengetahui teori yang bisa menjadi tuntunan agar bisa melakukan kegiatan dengan lebih cepat dan langkah yang tepat.
Termasuk untuk mencegah SQL injection yang bisa terjadi di perangkat Anda, maka penting untuk mengetahui terlebih dahulu mengenai pengertian apa itu SQL Injection? Dan bagaimana cara kerjanya.
SQL merupakan Structured Query Language yaitu bahasa standar yang digunakan untuk bisa mengakses dengan tujuan untuk memanipulasi data. Nah, SQL bisa digunakan untuk mengelola sistem database server, oracle, dan juga MySQL.
SQL bisa ditemukan di semua sistem database dengan perbedaan detail yang bisa membedakan sistem tersebut.
Pengertian SQL Injection adalah teknik yang digunakan untuk bisa mendapatkan keuntungan bagi satu pihak. Teknik SQL injection tersebut merupakan penyalahgunaan keamanan yang ada di lapisan basis data aplikasi.
Sehingga apabila adanya celah tersebut maka bisa dimanfaatkan untuk melakukan tindak kejahatan. Celah tersebut misalnya adalah mengisi kolom username yang diisi dengan karakter lainnya selain huruf dan angka seperti pada username umumnya.
Celah dengan input yang tidak tepat tersebut yang bisa diserang dan disalahgunakan, sehingga akan bisa memasukkan query SQL. Teknik injection tersebut merupakan umumnya favorit penyerangan yang dilakukan oleh hacker.
Hal tersebut karena banyak programmer yang masih mempunyai kurang pengetahuan atau waspada dengan SQL Injection. Selain itu dengan perangkat yang lebih canggih, SQL injection juga merupakan teknik penyerangan yang mudah dilakukan.
Sehingga bisa diperjelas mengenai apa itu SQL Injection? Adalah injeksi kode yang menyerang dengan basis data. Celah dari sistem tersebut akan dapat digunakan untuk mengganggu aplikasi database di bagian back end.
Sehingga hal tersebut membuat hacker bisa untuk mendapatkan data arbitrary yang ada di aplikasi, dapat mengganggu logikanya, dan selanjutnya bisa untuk memberikan perintah pada server database dari aplikasi yang sudah berhasil dihack tersebut.
Tipe Serangan SQL Injection
Penyerangan menggunakan SQL Injection ini mempunyai beberapa tipe yang dipunyai yaitu:
1. Union based SQL Injection
Tipe pertama yang perlu diketahui dari serangan database ini adalah union based SQL injection. Tipe ini adalah serangan yang paling populer dilakukan oleh hacker.
Hal tersebut karena serangan ini bisa menggunakan UNION statement. Sehingga hal tersebut membuat penyerangan dilakukan dengan dua statement yang dilakukan untuk bisa mendapatkan data dari database aplikasi.
2. Error based SQL Injection
Tipe selanjutnya yang bisa diketahui adalah error based SQL Injection. Serangan ini juga merupakan tipe yang sederhana untuk dilakukan bagi para hacker.
Akan tetapi untuk kesulitan ketika memilih serangan yang satu ini adalah karena untuk menggunakan error based SQL Injection hanya bisa digunakan pada Microsoft SQL server.
Sehingga apabila ingin menggunakan tipe dan metode serangan ini perlu dilakukan pada aplikasi yang menggunakan sistem Microsoft.
Apabila melakukan serangan ini akan bisa membuat aplikasi terlihat seperti error saat mengakses database. Sehingga saat error tersebut adalah waktu untuk dapat mempelajari informasi sistemnya mulai dari database, sistem operasi, dan juga masih banyak lainnya.
Hal tersebut akan bisa dilakukan dengan bisa menyerang agar membuat aplikasi bisa menunjukkan error ketika mengaksesnya.
3. Blind SQL Injection
Tipe selanjutnya dari serangan SQL Injection adalah blind SQL Injection. Tipe ini adalah metode serangan yang paling sulit untuk dilakukan.
Tidak seperti kedua tipe sebelumnya yang dijelaskan dengan metode yang cukup mudah sehingga menjadi favorit hacker untuk dilakukan.
Serangan ini tidak menunjukkan pesan error akan tetapi mempunyai perbedaan dengan cara atau metode mengambil database yang diperlukan. Metode pengambilan tersebut dilakukan dengan dua cara yaitu:
- Pertama adalah content based blind yaitu serangan yang dilakukan untuk dapat memverifikasi database yang rentan terhadap serangan. Cara metode yang digunakan adalah dengan membandingkan hasil query menggunakan kode TRUE atau False.
- Kedua bisa menggunakan time based blind yaitu penyerangan yang dilakukan dengan memerintahkan database untuk melakukan time intensive. Sehingga apabila hal tersebut dilakukan dan website tidak mempunyai respon dengan segera, maka hal tersebut mempunyai arti bahwa aplikasi atau web rentan dan bis diserang menggunakan Blind SQL Injection.
Tipe Serangan Berdasarkan Aplikasi
Selain serangan yang dilakukan dengan menggunakan metode yang berbeda, di mana ada yang mudah sehingga menjadi favorit para hacker.
Tetapi juga lebih sulit atau mempunyai hal yang perlu diperhatikan untuk dilakukan hacker ketika akan melakukan penyerangan menggunakan SQL injection.
Tipe selanjutnya yang bisa dikenali adalah serangan yang dilakukan berdasarkan target aplikasinya. Adapun beberapa tipe umum SQL Injection dari target aplikasinya bisa diketahui seperti berikut ini:
1. Otentikasi Bypass
Tipe pertama yang bisa diketahui berdasarkan target aplikasi adalah otentikasi bypass. Apa itu SQL Injection? Yang menargetkan otentikasi bypass bisa diartikan dengan mudah yaitu serangan yang bisa untuk masuk ke aplikasi menggunakan hak akses secara administratif.
Sehingga penyerangan bisa dilakukan tanpa harus memasukan username dan juga password secara valid tetapi sudah bisa masuk ke aplikasi tersebut.
2. Pencurian informasi
Kejahatan online yang mengerikan dan banyak terjadi dan dialami oleh pengguna internet adalah pencurian data.
Hal tersebut bisa merugikan karena informasi yang didapatkan dari data pengguna internet tersebut bisa disalahgunakan dengan tidak benar sehingga bisa memberikan kerugian.
Tipe penyerangan yang dapat dilakukan dengan SQL Injection juga adalah untuk mencuri informasi. Penyerangan aplikasi ini digunakan untuk mendapatkan informasi sensitif yang ada di dalam database baik langsung maupun secara tidak langsung.
Data yang bisa berhasil dicuri tersebutlah yang akan bisa disalahgunakan, dijual, dan juga berbagai kepentingan lainnya yang bisa merugikan pemilik data.
3. Compromised integritas data
Tipe serangan selanjutnya adalah yang melibatkan untuk bisa memanipulasi database. Sehingga akan terjadi perubahan isi database tidak seperti yang sebenarnya karena mengalami pengubahan sesuai dengan keinginan dari hacker tidak seperti data yang asli.
Compromised integritas data ini dilakukan oleh hacker dengan deface halaman web kemudian akan memasukkan konten berbahaya yang tidak seharusnya dalam halaman web tersebut.
Hal merupakan penyerangan dengan menyusupkan informasi yang tidak seharusnya ke halaman web.
4. Compromised ketersediaan data
Tipe serangan selanjutnya yang bisa dilakukan adalah compromised ketersediaan data. Di mana untuk serangan ini adalah hacker yang berhasil untuk mendapatkan database akan melakukan penghapusan informasi.
Hal tersebut dilakukan untuk merusak atau menghapus log sehingga akan bisa mengaudit informasi yang ada di dalam database sesuai dengan keinginan hacker tersebut.
Dengan penyerangan compromised ketersediaan data ini tentunya akan bisa merubah data karena menghilangkan ketersediaan data yang bisa dirusak atau dihapus.
5. Remote command execution
Tipe serangan terakhir yang perlu diketahui dari SQL injection adalah remote command execution. Untuk penyerangan remote command execution ini merupakan perintah eksekusi untuk dapat melewati database untuk compromise data yang ada di sistem operasi host.
Sehingga hal tersebut akan bisa untuk mengubah dan melakukan compromise pada database menggunakan sistem operasi target.
Dampak SQL Injection
SQL Injection tersebut memberikan dampak yang tentunya berbahaya yang bisa merugikan.
Hal tersebut juga tergantung dari tipe serangan yang didapatkan sehingga bisa untuk menyebabkan pencurian hingga manipulasi data yang ada pada sistem atau database yang dipunyai.
Adapun berbagai dampak berbahaya yang bisa didapatkan dari serangan SQL Injection adalah sebagai berikut ini:
- Pertama adalah verifikasi login yang bisa ditembus. Username dan password merupakan hal yang rahasia yang sangat penting untuk penggunanya. Dengan serangan SQL Injection hal tersebut akan menyebabkan verifikasi login tersebut bisa ditembus. Sehingga verifikasi pengguna juga bisa mudah untuk dilewati yang bisa membahayakan website dan juga sasaran penyerangan.
- Privasi pengguna website dan aplikasi juga terancam karena bisa masuk dan mendapatkan database tanpa login. Hal tersebut menyebabkan penyalahgunaan aktivitas yang ilegal sehingga bisa melakukan penipuan dengan menggunakan nama dari data yang berhasil didapatkan dari website atau aplikasi tersebut.
- Data website yang dicuri dengan penyerangan yang bisa mendapatkan akses database seperti username, password, pin dari rekening bank, kredensial, dan masih banyak lainnya yang ada di dalam database tersebut.
- Database yang bisa untuk dimodifikasi sehingga bisa mengubah dan menambah data yang ada di dalam databa Hal ini bisa berakibat pemindahan isi rekening ke rekening hacker.
- Riwayat data yang bisa dihapus sehingga akan bisa menghilangkan data yang dibutuhkan.
- Pembobolan firewall yang bisa untuk mengakses OS dan menyerang jaringan internal menggunakan OS command execution.
Cara Mencegah Penyerangan Dengan SQL Injection
Karena bisa mempunyai banyak sekali kerugian yang bisa dirasakan dari SQL injection tersebut. Maka aplikasi dan web perlu untuk dilindungi agar tidak mudah untuk diserang dan dibobol.
Oleh karena itulah gunakan cara pencegahan SQL injection yang bisa dilakukan dengan cara-cara yang tepat dan efektif untuk melindungi database website dan pengunjung. Berbagai cara tersebut adalah sebagai berikut ini:
1. Mengatur format dari kotak pengisian
Cara pencegahan pertama agar bisa mengatasi dan menghindari terjadinya pembobolan dan penyerangan menggunakan metode SQL injection adalah dengan mengatur format pengisian.
Anda bisa untuk mengatur jenis karakter yang dimasukkan ke dalam kotak pengisian. Akan lebih aman apabila pengisian tersebut menggunakan huruf atau nomor saja.
Selain itu juga akan lebih aman apabila nomor telepon juga bisa diisi dengan nomor. Hal lainnya yang bisa dilakukan adalah dengan membatasi jumlah karakter yang bisa dimasukkan ke dalam kotak pengisian.
Akan lebih aman karakter maksimal yang bisa diisi adalah 25 karakter. Berbagai cara tersebut bisa dimanfaatkan agar tidak terjadi SQL Injection menggunakan kode injeksi SQL ke kotak pengisian yang ada di website.
2. Validasi ketika input data
Langkah selanjutnya yang bisa dilakukan adalah dengan melakukan validasi ketika menginput data. Ada dua cara yang bisa digunakan yaitu whitelisting dan blacklisting.
Untuk whitelisting adalah metode penyaringan data yang akan bisa memberikan keamanan. Cara ini adalah dengan menginput data yang ada di diluar daftar whitelist akan langsung ditolak.
Sedangkan untuk blacklisting menggunakan cara menolak input data yang berbahaya yaitu menggunakan karakter tertentu yang umumnya adalah huruf dan angka.
Dengan memvalidasi data tersebut juga akan bisa digunakan untuk menyaring data yang akan diproses website.
3. Parameterized SQL
Langkah pencegahan selanjutnya yang bisa dilakukan agar bisa melindungi data dan website adalah menggunakan parametrized query.
Cara ini merupakan teknik yang sederhana tetapi mempunyai manfaat terbaik untuk mencegah terjadinya SQL injection pada website atau aplikasi.
Caranya adalah dengan membedakan data input pengguna dengan kode-kode tertentu. Dengan perintah query akan bisa untuk membuat struktur query website dapat terlindungi.
Sehingga apabila penyerang memberikan perintah query tidak akan mengubah struktur query yang ada di website atau aplikasi.
4. SQL Escape String
Langkah selanjutnya untuk pencegahan terjadinya SQL injection adalah dapat untuk menggunakan manfaat dan fungsi dari SQL escape string.
Cara ini adalah dengan menggunakan rangkaian kode yang dapat untuk menambahkan karakter escape. Misalnya saja apabila ada karakter yang dianggap berbahaya, maka dengan cara ini akan langsung mengubahnya menjadi karakter lain.
Sehingga apabila ada perintah untuk menambahkan karakter berbahaya tersebut, maka hasil yang akan didapatkan adalah karakter lainnya yang membuat perintah tersebut tidak bisa untuk dibaca.
Hal ini akan sangat penting untuk melindungi website dan aplikasi dari perintah yang berbahaya dan bermaksud untuk melakukan penyerangan.
5. Matikan notifikasi error
Langkah pencegah SQL injection selanjutnya yang bisa dilakukan adalah dengan mematikan notifikasi error.
Cara ini bisa dilakukan karena justru notifikasi error yang mempunyai fungsi untuk membuat proses pengembangan website lebih mudah.
Tetapi di sisi lainnya, hal tersebut juga sering disalahgunakan oleh hacker untuk dapat mengetahui celah keamanan yang ada di website atau aplikasi dengan cara memunculkan error dan melancarkan aksi SQL Injection.
6. Membuat database lebih aman
Cara selanjutnya yang bisa dilakukan untuk mencegah penyerangan SQL injection adalah dengan membuat database lebih aman.
Mengamankan database tersebut bisa dilakukan dengan mengatur user privilege, melakukan pemisahan data, membuat data terenkripsi, dan juga mengganti password berkala. Sehingga hal tersebut akan memudahkan untuk membuat data lebih aman.
7. Memanfaatkan WAF dan IPS
Cara terakhir yang bisa digunakan adalah dengan menggunakan manfaat dari WAF atau web application firewall yang bisa untuk menyaring potensi SQL Injection dan berbagai serangan siber yang lain.
Selain itu juga bisa memanfaatkan Intrusion Prevention System yang merupakan sistem keamanan untuk bisa memantau traffic yang ada di jaringan agar bisa mencegah kegiatan yang mencurigakan.
Hal di atas merupakan beberapa hal mengenai apa itu SQL Injection?, tipe-tipe yang dipunyai, hingga cara pencegahan yang bisa dilakukan.
Dampak SQL injection memang berbahaya bagi website, aplikasi, dan juga pengunjung atau pengguna aplikasi.
Oleh karena itulah pastikan untuk bisa bertanggung jawab dengan melakukan langkah pencegahan agar tidak mudah terserang SQL injection dan bentuk serangan siber lainnya.
