www.jurnalmandiri.com
JURNAL MANDIRI : Ilmu Pengetahuan, Seni, dan Teknologi, Vol. 3, No. 1, Juni 2019: 116 - 131
ISSN : 2580-3220, E-ISSN : 2580-4588 J. Mandiri., Vol. 3, No. 1, Juni 2019 (116 - 131) ©2018 Lembaga Kajian Demokrasi dan Pemberdayaan Masyarakat (LKD-PM)

## ANALISIS DAN PENGUJIAN KERENTANAN SISTEM INFORMASI PERPUSTAKAAN

## Achmad Nur Sholeh
Fakultas Ekonomi, Universitas Pamulang dosen01531@unpam.ac.id

## Muhammad Subagja Sastra Wardaya
Fakultas Sains dan Teknologi, UIN Syarif Hidayatullah Jakarta muh.subagja@live.com

## Abstrak
Tujuan dari penelitian ini adalah Melakukan pengujian kerentanan pada website tulis.uinjkt.ac.id dengan menggunakan penetration testing tools, Melakukan analisis terhadap kerentanan yang ada dalam website tulis.uinjkt.ac.id, Memberikan rekomendasi untuk memperbaiki keamanan yang ada dalam website tulis. uinjkt.ac.id berdasarkan hasil laporan pengujian. Metode pengumpulan data dilakukan dengan cara yaitu observasi, wawancara dan literature yang berkaitan dengan perpustakaan website Uin Syarif Hidayatullah Jakarta. Adapun metodologi yang digunakan dalam penelitian dan analisis pada penelitian ini ialah Zero Entry Hacking (ZEH). Setelah melakukan pengujian kerentanan atas aplikasi TULIS yang merupakan Sistem Informasi Perpustakaan pada Pusat Perpustakaan ialah Berdasarkan hasil pemindaian kerentanan, TULIS memiliki kerentanan mulai dari level sedang (XSS Reflected, Security, Apache Jserv protocol service, Login page password guessing attack dan HTML form without CSRF protection) sampai dengan berat (Sensitive Data Exposure bagian web server robots.txt information disclosure), Setelah dilakukan eksploitasi kerentanan yang mengacu pada hasil pemindaian sebelumnya, ada kerentanan level berat yang tidak benar-benar ada atau salah pendeteksian (false positive) yaitu buffer overflow dan SQL injection.

## Kata Kunci : Kerentanan, Sistem dan Informasi

## Abstract
The purpose of this study is to conduct vulnerability testing on the write.uinjkt.ac.id website using penetration testing tools, analyze the vulnerabilities found on the website write.uinjkt.ac.id, provide recommendations to improve security on the written website. uinjkt.ac.id based on the results of the test report. The method of data collection is done by means of observation, interviews and literature related to the library website of Uin Syarif Hidayatullah Jakarta. The methodology used in research and analysis in this study is Zero Entry Hacking (ZEH). After testing the vulnerability of the TULIS application which is the Library Information System at the Library Center, based on the results of vulnerability scanning, TULIS has a vulnerability starting from the medium level (XSS Reflected, Security, Apache Jserv protocol service, Login page password guessing attacks and HTML form without CSRF protection ) up to weight (robots.txt information disclosure Sensitive Data

## PENDAHULUAN

## Latar Belakang
Peranan sistem informasi dalam suatu organisasi tidak diragukan lagi karena dukung- annya dapat membuat sebuah organisasi me- miliki keunggulan yang kompetitif, yang berarti suatu organisasi dapat bersaing menggunakan sistem informasi (Kadir, 2014). Salah satu or- ganisasi yang banyak menerapkan sistem in for- masi sebagai penunjang aktivitasnya yaitu lem- baga pendidikan, mulai dari jenjang Sekolah Dasar hingga Perguruan Tinggi.
UIN Syarif Hidayatullah Jakarta sebagai Perguruan Tinggi telah menerapkan sistem in- formasi yang mana adalah sistem informasi per pustakaan dapat membantu kegiatan per- pustakaan yang dikelola oleh Pusat Per pus takaan dan perpustakaan yang tersebar di tiap fakultas. Pusat Perpustakaan yang seba gai sentral dari perpustakaan tiap fakultas te lah menerapkan sistem informasi yang bera gam, misalnya otomatisasi sistem untuk mem percepat transaksi peminjaman dan pe ngem balian, penerapan sistem keamanan ko leksi buku dengan sensormatic sehingga pe rangkat tersebut akan berbunyi ketika ada pen curian, Close Circuit Television (CCTV) se- bagai pengawasan tambahan serta katalog online menggunakan TULIS (Technology of UIN Library and Information System) yang memberikan akses OPAC (Online Public Access Catalogue) . OPAC sendiri merupakan sistem katalog yang dapat membantu pengguna meng akses basis data karya ilmiah. Basis data yang disediakan dalam OPAC ini meliputi basis data buku, skripsi, tesis, dan disertasi, majalah, dan laporan penelitian. (Anonim, 2015, Layanan Penelusuran OPAC, http://uinjkt.ac.id/kata log, diakses tang- gal 22 Desember 2016). Se lain pemberian ak- ses karya ilmiah, TULIS juga memberikan pela- yanan dalam kegiatan per pustakaan seperti ke- anggotan perpustakaan, pencatatan kunjungan,
pengkategorian buku, penginputan, transaksi pe minjaman dan pengembalian dan lain-lain. Bahkan dalam pene litian salah satu mahasiswa dijelaskan bah wa keberadaan sistem sangat membantu pekerjaan atau studi mahasiswa/i serta tingkat kepuasan pengguna sistem berdasarkan per sepsi pengguna saat ini berada pada tingkat yang cukup baik. (Yunita, 2016).
Dengan berbagai manfaat yang diberikan oleh TULIS, perlu maka TULIS perlu dijaga ke- amanannya agar terus dapat diakses dan dapat memberikan informasi yang akurat, namun keamanan seringkali menjadi prioritas kesekian dalam sebuah institusi. (Anjar, 2006) sehingga aplikasi-aplikasi berbasis web menjadi rentan untuk mengalami peretasan. Dalam wawancara dengan salah satu staf otomasi Pusat Perpustakaan, dijelaskan bahwa belum pernah dilaksanakannya pengujian keamanan pada TULIS, sehingga TULIS pernah mengalami kere tasan, berikut detail dalam tabel 1.1
Tabel 1.1 Serangan yang Terjadi Pada Pusat Perpustakaan
Waktu Terjadi Insiden Dampak Frekuensi Penyelesaian 2012 Serangan virus komputer Kinerja kom- puter melambat, penyebaran virus ke instansi lainnya Frekuensi penyebarannya cukup tinggi Meng install anti virus 2013 2014 Akun admin server Perpustakaan bertambah dengan sendirinya. Belum terjadi hal yang merugikan namun sangat berisiko. Selang beberapa bulan sekali setelah maintenance. Pada penyelesaian awal hanya dilakukan penghapusan akun admin, karena terjadi berulang dilakukan penggantian sistem operasi dari Windows Server menjadi Ubuntu. 2015 2016
Sumber: (Soleh, 2017)
Padahal banyak hal yang dapat dilakukan oleh peretas apabila mereka berhasil meretas suatu sistem misalnya menduplikasi, mema ni- pulasi, ataupun menghapus file-file penting. Se- perti halnya kasus yang terjadi di Perpustakaan
Exposure section, After exploiting vulnerabilities that refer to the results of previous scanning, there are heavy level vulnerabilities that do not really exist or false positives, namely buffer overflow and SQL injection.

## Keywords : Vulnerability, Systems and Information
Universitas Gajah Mada (UGM). Dari insiden tersebut peretas hanya meninggalkan pesan pe- ringatan pada administrator Web portal ter sebut untuk meningkatkan keamanannya. (Chan- dratuna, 2010, Perpustakaan Online UGM Dibobol Hacker , http://teknologi.news.viva.co.id/news/ read/166308-perpustakaan-online-ugm-dibobol- peretas, diakses pada tanggal 20 Februari 2017) dan kasus peretasan lainnya terjadi di Universitas Sumatera Utara, dalam kasus peretasan, terlihat ada dua foto remaja laki-laki di halaman uta- ma situs tersebut. Satu remaja mengenakan topi dan memegang semacam laptop sembari me- ngacungkan jari tengah. Satu remaja lainnya hanya tampak wajahnya mengenakan kaos merah. (Muamar, 2016, Portal USU Diretas, Muncul Foto Tak Senonoh di Halaman Muka , http:// medan.tribunnews.com/2016/07/30/portal-usu- diretas-muncul-foto-tak-senonoh-di-halaman- muka, diakses 20 Februari 2017). Peristiwa-pe- ristiwa tersebut memperkuat argumen pe nulis untuk mengambil topik penelitian tentang ke- amanan sistem informasi dengan judul pe nelitian “Analisis dan Pengujian Kerentanan Sistem Infor masi pada Perpustakaan Pusat Website UIN Syarif Hidayatullah Jakarta” di harapkan dapat memberikan manfaat ter utama bagi Pusat Perpustakaan, mulai dari pengujian keamanan dan mengetahui sejauh mana ke tangguhan sis- tem, menganalisis kerentanan yang ada, serta pem berian solusi untuk me nu tupi kerentanan ter sebut sehingga ke de pannya TULIS dapat ter- hindar dari serangan cyber .
Identifikasi Masalah
Berdasarkan latar belakang yang telah dije- laskan sebelumnya, maka identifikasi masa lah ada lah sebagai berikut :
1.  Belum pernah dilakukannya pengujian ke- rentanan pada website tulis.uinjkt.ac.id.
2.  Pernah terjadi peretasan pada website tulis. uinjkt.ac.id.
3. Melakukan maintenance hanya saat terjadi kerentanan.
4.  Belum adanya rencana untuk melakukan pengujian kerentanan sistem meliputi pe ne- tration testing terhadap aplikasi TULIS, dan
pendokumentasian laporan hasil pene tration testing .

## Rumusan Masalah
Berdasarkan identifikasi masalah yang ada, maka bisa dirumuskan permasalahannya yaitu: 1.  Bagaimana kondisi kerentanan yang ada pada website TULIS setelah dilakukan pe- min daian  kerentanan?
2.  Bagaimana hasil eksploitasi pengujian ke ren- tanan TULIS yang didapat dari hasil pe min- daian kerentanan?
3.  Apa saja kerentanan yang perlu diperbaiki dengan segera?

## Batasan Masalah
Berdasarkan perumusan masalah yang telah dijelaskan sebelumnya, maka batasan masa lah dibatasi pada :
1.  Penelitian ini hanya berfokus pada website tulis.uinjkt.ac.id
2. Pengujian kemanan hanya pada web application .
3.  Penelitian ini menggunakan dua Sistem Operasi, yaitu Linux dan Windows. Untuk Linux menggunakan distro Kali 2016.2 yang memiliki nama lain Kali Rolling dengan penetration testing tools adalah : NMAP v7.25, Uniscan v6.2, w3af v1.6.5.4, OWASP ZAP v2.5.0, Nessus 6.10.7 dan untuk Windows dengan sistem operasi Windows 10 Single Language menggunakan tool Accunetix v11.
4.  Penelitian ini melakukan pengujian ber- dasarkan kerangka kerja Vulnerability Assesment and Penetration Testing .
5.  Penerapan dari rekomendasi yang diberi- kan akan diserahkan sepenuhnya pada ke- wenangan instasi terkait, yaitu Pusat Per- pustakaan.

## Tujuan Penelitian
Berdasarkan latar belakang yang dipa par kan sebelumnya, adapun tujuan dari penelitian ini adalah sebagai berikut :
1. Melakukan pengujian kerentanan pada website tulis.uinjkt.ac.id  dengan  meng gu na- kan penetration testing tools .
JURNAL MANDIRI : Ilmu Pengetahuan, Seni, dan Teknologi, Vol. 3, No. 1, Juni 2019: 116 - 131
2.  Melakukan analisis terhadap kerentanan yang ada dalam website tulis.uinjkt.ac.id
3.  Memberikan rekomendasi untuk mem per- baiki keamanan yang ada dalam website tu- lis.uinjkt.ac.id berdasarkan hasil laporan pengujian.

## Kajian Teori
Menurut O’Brien dan Marakas (2010) Sis- tem didefinisikan sebagai seperangkat kom ponen yang saling terkait, dengan batas yang jelas, bekerja sama untuk mencapai sepe rang kat tujuan dengan menerima input dan  meng hasilkan output dalam proses transformasi yang terorganisir.
Menurut Sutabri (2012) suatu sistem me- miliki beberapa karakteristik atau ciri-ciri ter- tentu, yaitu :
a.  Komponen Sistem (Component) Suatu sistem terdiri dari sejumlah kom- ponen yang sering disebut dengan sub sis tem yang saling berinteraksi, yang arti nya saling bekerjasama membentuk satu ke satuan. Komponen-komponen sistem dapat berupa subsistem atau bagian-ba gian dari sistem. Contoh dalam Pusat Per pustakaan yaitu terdapat subdivisi se perti sirkulasi, pengadaan, pencatatan pengun jung dan lainnya.
b.  Batas Sistem (Boundary)
Batas sistem merupakan daerah yang mem- batasi antara suatu sistem dengan sis tem yang lainnya atau dengan ling kungan luarnya. Batas sistem memung kinkan suatu sistem dipandang sebagai satu ke satuan. Batas suatu sistem menunjukkan ruang lingkup (scope) sistem itu sendiri. Contoh dalam Pusat Per- pustakaan misalnya, Pu sat Perpustakaan hanya memberikan pela yanan hanya pada se putar kepustakaan dan tidak melayani aka- demik.
c.  Lingkungan Luar Sistem (Environments) Lingkungan luar dari suatu sistem ada- lah apapun di luar batas dari sistem yang mempengaruhi operasi sistem. Ling kungan luar sistem dapat bersifat mengun tungkan dan dapat juga bersifat meru gikan bagi sistem tersebut. Contoh yang me nguntungkan dan pada Pusat Per pus takaan adalah ketika
pengunjung dari luar meminjam buku, Pusat Perpustakaann da pat mendapat data seperti karangan sia pa yang sering dipinjam dan menjadi refrensi untuk pengadaan buku selanjut nya. Contoh yang merugikan pada Pu sat Perpustakaan seperti pengunjung me- la kukan peminjaman buku lalu buku yang di pinjam  hilang.
d.  Antar Muka Sistem (Interface)
Antar muka yang dimaksud adalah media yang dapat menghubungkan antara sub- sistem dengan subsistem lainnya. Melalui penghubung ini memungkinkan sumber- sumber daya mengalir dari satu sistem ke subsistem yang lain. Contoh pada Pu sat Perpustakaan yaitu TULIS menjadi an tar- muka sistem bagi divisi pencatatan pe ngun- jung, sirkulasi dan Pengadaan.
e.  Masukan Sistem (Input)
Masukan yaitu energi yang dimasukkan ke dalam sistem, dimana dapat berupa ma sukan perawatan dan masukan sinyal. Ma sukkan perawatan adalah energi yang di- input -kan supaya sistem tersebut dapat beroperasi, sedang masukan sinyal adalah energi yang diproses untuk mendapatkan keluaran. Con- toh masukan di sini bisa be rupa data harian peminjaman buku pada Perpustakaan Pusat.
f.  Pengolah Sistem (Processing System)
Hasil energi yang diolah dan diklasifikasikan menjadi keluaran yang berguna. Keluaran ini menjadi masukan untuk subsistem lain. Contoh pengolah sistem di sini bi sa berupa data transaksi peminjaman dan pengembalian harian perpustakaan di olah menjadi laporan yang dibutuhkan ma najemen.
g.  Keluaran Sistem (Output)
Keluaran yaitu hasil dari energi yang diolah dan diklasifikasikan menjadi keluaran yang berguna dan sisa pembuangan. Contoh ke- luaran sistem di sini bisa berupa sebuah in formasi frekuensi peminjaman buku ter- banyak berguna untuk mengambil kepu- tusan pada divisi pengadaan untuk menjadi masukan pembelian buku selanjutnya.
h.  Sasaran Sistem (Objective) Suatu sistem pasti mempunyai tujuan (goal)
JURNAL MANDIRI : Ilmu Pengetahuan, Seni, dan Teknologi, Vol. 3, No. 1, Juni 2019: 116 - 131
atau sasaran (objective) . Jika suatu sistem tidak memiliki sasaran maka operasi sistem tidak ada gunanya. Menurut Mulyanto (2009) Informasi me- ru pakan data yang telah diolah menjadi sebuah bentuk yang berarti bagi penerimanya dan ber- manfaat dalam pengambilan keputusan saat ini atau saat mendatang.
Menurut Gollman (1999) Keamanan kom- puter yaitu berhubungan dengan pencegahan diri/proteksi dan deteksi terhadap tindakan pengganggu yang tidak dikenali dalam sistem komputer.
Konsep keamanan sistem informasi me nu- rut Cole et al. (2005) dijelaskan bahwa ke aman- an berputar di sekitar tiga kunci utama yaitu dari Confidentiality (Kerahasiaan), Integrity (Ke utuhan),  dan Avaibility (Ketersediaan) yang dikenal sebagai (C-I-A) yaitu :
1.   Kerahasiaan (Confidentiality) Istilah Confidentiality secara umum berartikan tentang kerahasiaan. Menu rut Cole et al . (2005) dijelaskan bahwa Confi- d entiality berkaitan dengan pence gahan agar hanya yang memiliki otorisasi yang dapat mengakses informasi. Misalnya suatu halaman web , hanya dapat diakses oleh member , namun bisa diakses meskipun dia bukan member . Jadi Confidentiality me - mas tikan suatu informasi tidak bocor ka- rena hanya dapat diakses oleh pemilik hak otorisasi.
2.   Keutuhan (Integrity) Istilah Integrity secara umum dapat diartikan sebagai keutuhan. Menurut Cole et al. (2005) dijelaskan bahwa Integrity me- miliki 3 sasaran yaitu :
1.  Pencegahan terjadinya modifikasi in- for masi oleh yang yang bukan pe milik otorisasi.
2.  Pencegahan agar yang bukan pemilik otorisasi atau ketidak sengajaan modi- fikasi oleh pemilik otorisasi.
3.  Pemeliharaan ketetapan internal dan eksternal.
3. Ketersediaan (Avaibility)
Istilah Avaibility dapat diartikan seba-
gai ketersediaan. Menurut Cole et al . (2005) Avaibility meyakinkan  otorisasi  pe ng guna sistemnya dapat tepat waktu dan ak ses tidak terinterupsi menuju informasi dari sistem dalam suatu jaringan. Misalkan ke tika kita ingin mengakses suatu web, web tersebut men jadi tidak bisa diakses karena adanya interupsi. Jadi yang dimaksud Avaibility di sini merupakan suatu kondisi di mana infor masi dapat tersedia, tepat waktu dan tidak adanya interupsi dari pihak lain dalam suatu jaringan. Menurut Yunita (2016) Perpustakaan adalah tempat penyimpanan dan pengelo laan bahan pustaka baik yang tertulis mau pun yang terekam yang disusun berdasarkan aturan tertentu secara sistematis sehingga mudah ditemukan oleh pembacanya.
TULIS atau yang biasa disebut dengan Technology UIN Library Information System me- ru  pakan sebuah aplikasi berbasis web yang di- gu nakan oleh Pusat Perpustakaan untuk mem- berikan akses OPAC (Online Public Access Catalogue) yang dapat diakses melalui http://tulis. uinjkt.ac.id .
Menurut Yunita (2016) OPAC ada lah katalog yang dapat digunakan oleh peng gunanya secara online untuk men cari informasi sebuah buku, baik di per pus takaan, toko buku, maupun unit informasi lainnya.
Secara umum, diketahui bahwa jaring an komputer bisa berarti penghubung an tara satu komputer dengan komputer lain nya. Jaringan komputer merupakan mo del lama satu komputer yang melayani semua kebutuhan komputasi organisasi telah digantikan oleh satu komputer yang terpisah namun saling berhubungan mela kukan pekerjaan itu (Tanen baum dan Wetherall, 2011).
Komputer-komputer yang terhubung dalam jaringan dapat diklasifikasikan lagi menurut skala jangkauannya menurut Tanenbaum dan Wetherall (2011) sebagai berikut : 1. PAN (Personal Area Networks) PAN (Personal Area Networks) membiarkan perangkat berkomunikasi melalui jang kauan seseorang.
2. LAN (Local Area Network) LAN (Local Area Network) dalah jaringan
JURNAL MANDIRI : Ilmu Pengetahuan, Seni, dan Teknologi, Vol. 3, No. 1, Juni 2019: 116 - 131
milik pribadi yang beroperasi di dalam dan di dekat suatu gedung seperti rumah, kantor atau pabrik.
3. MAN (Metropolitan Area Network)
MAN (Metropolitan Area Network) men- cakup sebuah kota. Contoh MAN yang pa- ling terkenal adalah jaringan televisi kabel yang tersedia di banyak kota.
4. WAN (Wide Area Network)
WAN (Wide Area Network) mencakup wila- yah geografis yang luas, seringkali m eru- pakan negara atau benua.
5. Internetworks
Banyak jaringan ada di dunia, seringkali dengan perangkat keras dan perangkat lunak yang berbeda. Orang yang terhubung ke satu jaringan sering ingin berkomunikasi dengan orang- orang yang terhubung dengan orang lain.

## Internet
Internet merupakan sekumpulan jaringan yang terhubung satu dengan yang lainnya, di mana jaringan menyediakan sambungan menuju global informasi (Oetomo et al ., 2011). Komputer yang tersambung ke internet merupakan bagian dari jaringan. Komputer dapat tersambung dengan Internet Service Provider (ISP), lalu ISP ter sambung dengan jaringan yang lebih besar.
Tiga peran teknis dalam dimiliki oleh internet Strauss dan Frost (2012) dalam Putri (2015) sebagai berikut :
1.  Penyedia konten yang menciptakan infor- masi, hiburan dan sebgainya yang berada di komputer dengan akses jaringan.
2.  Pengguna (juga dikenal sebagai komputer klien) yang mengaksses konten dan me- ngirim email dan data lainnya melalui ja- ringan.
3.  Infrastruktur teknologi untuk memin dah - kan, menciptakan, dan melihat atau men- dengar konten (perangkat lunak dan pe- rangkat keras).

## Konsep Web
World Wide Web (WWW), lebih dikenal dengan web yang merupakan salah satu layanan yang didapat oleh pemakai komputer yang
terhubung ke internet dengan fasilitas hypertext untuk menampilkan data berupa teks, gambar, suara, animasi dan data multimedia lainnya (Kustiyahningsih, 2011).
Web dapat dikategorikan menjadi dua yaitu “ web statis” dan “ web dinamis”. Web statis adalah web yang  menampilkan  informasi-in for  masi  yang sifatnya statis. Disebut statis ka rena pengguna tidak bisa berinteraksi dengan web tersebut. Selain web statis ada juga yang disebut web dinamis. Web dinamis  ada lah web yang menampilkan informasi serta da pat berinteraksi dengan pengguna. Web yang di namis memungkinkan pengguna untuk ber in teraksi menggunakan form sehingga dapat mengolah informasi yang ditampilkan. Web dinamis bersifat interaktif, tidak kaku dan ter lihat lebih indah.

## Teknik Pengujian Software
Umumnya terdapat dua macam pendekatan yang digunakan dalam pengujian sistem, yaitu black-box testing dan white-box testing . Kedua pendekatan tersebut pengetesan dilakukan se suai dengan kebutuhan.
1. Black-box testing
Dijelaskan dalam Cole et al. (2005) Black-box testing merupakan suatu rangkaian pengujian yang dilakukan pada antarmuka software dan dilakukan pengujian beberapa aspek fundamental dari sebuah sistem dengan sedikit hal untuk struktur logika internal dari suatu software . Contohnya ke tika pengujian aplikasi baru apakah sudah berjalan sesuai fungsinya. Jadi dalam Black-box testing me- rupakan pendekatan yang dilakukan untuk menguji suatu sis tem secara parsial dan mengutamakan antar muka dan fungsi dan penulis menjadikan ini sebagai pendekatan dalam pengujian sis tem. Dalam penelitian ini digunakan Black-box testing dikarenakan peneliti tidak menguji source kode secara langsung tetapi peneliti memberikan input yang sifatnya spesial ke dalam aplikasi.
2. White-box testing
Dijelaskan oleh Cole et al. (2005) White- box testing merupakan suatu rangkaian pe  ngu jian yang sifatnya mendasarkan da-
JURNAL MANDIRI : Ilmu Pengetahuan, Seni, dan Teknologi, Vol. 3, No. 1, Juni 2019: 116 - 131
ri pengujian secara ketat dari tahapan-ta- hapan yang mendetil. Pada pendekatan ini dilakukan pengujian jalan logika mela lui software dan kolaborasi diantara kom ponen- komponen diuji oleh kasus menye diakan tes yang menguji secara spe sifik kumpulan- kumpulan conditions dan loops . Contohnya ketika memiliki soft ware baru dilihat secara mendetil  hing ga codes . Jadi dalam white-box testing dila kukan pengujian secara mendalam dan me nyeluruh sehingga dapat menyajikan sistem dapat berjalan dengan sempurna.
3. Grey-box testing Dijelaskan oleh Grey-box testing merupakan penguji mempunyai sebagian pengetahuan tentang pengujian jaringan. Penguji tidak memiliki pengatahuan lengkap mengenai arsitektur jaringan, tapi memiliki penge- tahuan tentang informasi dasar dari arsi- tektur jaringan dan konfigurasi sistem. Grey- box testing juga merupakan kombinasi dari white-box testing dan black-box testing (Goel dan Mehtre, 2005).
4. Basis Path Testing Metode Basis Path memungkinkan penguji mengukur kompleksitas logika dari desain procedural dan menggunakan ukuran ini sebagai panduan untuk menggambarkan dasar eksekusi alur aplikasi (Pressman, 2005).

## Vulnerability Assesment
(Penilaian Celah Kerentanan) Menurut Engebretson (2013) Vulnerability Assesment atau Penilaian Celah Kerentanan merupakan suatu rangkaian proses yang dila- kukan untuk meninjau services dan system yang memiliki potensi celah kerentanan. Sedangkan menurut Baloch (2015) Vulnerability Assesment yaitu mencari tahu semua kerentanan dalam aset dan dokumentasikan sesuai dengan itu.
Pemindai Celah Kerentanan (Vulnerability Scanner) Dalam melakukan Vulnerability Assesment dapat dipermudah salah satunya dengan meng- gu nakan tools yang tersedia untuk melakukan pengujian kerentananan. Menurut Baloch (2015)
Pemindai kerentanan memindai kom puter, ja- ringan, atau aplikasi yang mencari po tensi kele- mahan yang bisa digunakan oleh penyerang untuk kompromi target.
Penetration Testing (Uji Penetrasi) Menurut Engebretson (2013) Penetration Testing atau Uji Penetrasi merupakan suatu upaya yang dilakukan untuk mengeksploitasi kelemahan sistem komputer dengan tujuan membuat sis tem komputer lebih aman dengan secara legal dan berwenang. Menurut Weidman (2014) Pene- tration Testing meliputi simulasi serangan nyata untuk menilai risiko yang terkait dengan pe- nerobosan keamanan yang sifatnya potensial.
Vulnerability Assesment (Mencari Celah Kerentanan v.s Pentration Testing (Uji

## Penetrasi)
Seringkali sebagian orang menyalah artikan istilah vulnerability assessment dan penetration testing sebagai suatu arti yang sama dalam pengujian keamanan. Jika dilihat dari definisi- definisi yang dijelaskan sebelumnya, dapat di- telaah bahwa pada vulnerability assessment ber- fokus pada pencarian celah kerentanan saja, se- mentara itu penetration testing penguji tidak hanya menemukan kerentanan itu bisa digunakan oleh penyerang tapi juga meman faatkan kerentanan, jika mungkin, untuk me nilai apa penyerang mung kin mendapatkan setelah sukses melakukan eks ploitasi.

## Pengujian dan Analisis
Zero Entry Hacking (ZEH) Metodologi yang digunakan dalam pengu- jian dan analisis pada penelitian ini ialah Zero Entry Hacking (ZEH). ZEH merupakan salah satu metodologi yang digunakan un tuk melakukan Penetration Testing . ZEH me rupakan salah satu metodologi yang cocok di gunakan untuk pemula dalam melakukan Penetration Testing karena menggunakan 4 ta hapan sederhana saja (Engebretson, 2013).
Tahapan ZEH Terdapat 4 tahapan dalam ZEH yang di- gunakan dalam pengujian sistem. Adapun em-
JURNAL MANDIRI : Ilmu Pengetahuan, Seni, dan Teknologi, Vol. 3, No. 1, Juni 2019: 116 - 131
pat tahapannya menurut Engebretson (2013) yaitu Pengintaian Sistem (Reconnaisance) , Pe- mindaian (Scanning) , Eksploitasi Celah Ke- amanan (Exploitation), dan Pasca Eksploitasi (Post Exploitation) . Berikut ini adalah gambar dari tahapan-tahapan ZEH

## METODE
Metode Pengumpulan Data Penelitian ini menggunakan data dan infor- masi yang diperoleh dari berbagai sumber. Oleh karena itu dibutuhkan beberapa metode untuk mendapatkan hasil yang sesuai. Adapun metode yang digunakan sebagai berikut :

## Observasi
Observasi dilakukan dengan mengamati langsung keamanan pada sistem informasi per- pustakaan yaitu TULIS (Technology of UIN Library and Information System) yang merupakan aplikasi berbasis web pada Pusat Perpustakaan UIN Syarif Hidayatullah Jakarta. Adapun keamanan terkait dengan ada tidaknya celah kerentanan yang berpotensi merugikan berbagai pihak khususnya Pusat Perpustakaan UIN Syarif Hidayatullah. Adapun secara spesifik kegiatan observasi ini dije laskan sebagai berikut:
Bertempat pada Pusat perpustakaan UIN Syarif Hidayatullah yang beralamat di Jl. Ir. H. Juanda No. 95, Ciputat Tangerang Selatan Banten website : http://tulis.uinjkt.ac.id
Wawancara Untuk memperjelas proses observasi, pe neliti juga melakukan wawancara dengan sa lah satu staf Pusat Perpustakaan UIN Syarif Hidayatullah Jakarta bagian TI dan Otomasi yaitu bapak Achmad Nur Soleh. Pertanyaan yang diajukan pada wawancara ini merupakan pertanyaan yang bersifat teknis khususnya membahas mengenai keamanan pada TULIS. Untuk lebih detail tentang wawancara dapat dilihat pada bagian lampiran. Wawancara di lakukan di kantor TI dan Otomasi Pusat Per pustakaan UIN Syarif Hidayatullah wa- wancara dilakukan pada tanggal 14 Maret 2017.
Melalui wawancara ini diperoleh informasi berupa opini tentang masalah yang terjadi pada
proses keamanan TULIS, diantaranya seperti belum pernah dan belum ada rencana untuk me- lakukan penelitian kerentanan pada website tulis. uinjkt.ac.id, pernah terjadi peretasan pada website tulis.uinjkt.ac.id serta melakukan maintenance hanya saat terjadi kerentanan.

## Studi Literatur
Data-data dan informasi yang digunakan sebagai studi literatur yang dilakukan dengan mempelajari dan mengumpulkan materi-ma- teri yang berkaitan dengan perpustakaan dan keamanan sistem informasi pada Pusat Per- pus takaan UIN Syarif Hidayatullah Jakarta. Pe- neliti melakukan pengumpulan data dan mem- bandingkan dengan studi literatur sejenis yang sudah ada sebagai referensi.

## Penelitian dan Analisis
Zero Entry Hacking (ZEH) Metodologi yang digunakan dalam pe- nelitian dan analisis pada penelitian ini ialah Zero Entry Hacking (ZEH).
Pengintaian Sistem (Reconnaisance) Tahapan ini merupakan tahapan pertama dalam penelitian. Tahapan ini bertujuan untuk mengumpulkan informasi sebanyak-banyaknya mengenai aplikasi TULIS.
Pemindaian (Scanning) Dalam tahapan setelah pengintaian, dilan- jutkan dengan pemindaian. Dalam tahapan ini, dibagi lagi menjadi empat tahapan 1.  Menentukan apakah TULIS dapat di ping . Maksudnya di sini apakah target terhubung jaringan atau tidak, apakah hanya dapat diakses dari jaringan lokal saja atau bisa di - akses dari luar, bagus atau tidaknya kua litas koneksi target, berapa durasi yang di bu- tuhkan target untuk membalas ping, bytes yang dikirimkan ada hilang atau da pat diterima dengan baik, dan apakah tar get dapat melakukan ping pada dirinya sen diri menggunakan Terminal pada Kali Linux.
2. Port scanning sistem menggunakan NMAP terhadap TULIS. Maksud port scanning dengan NMAP di sini ialah penggunaan
JURNAL MANDIRI : Ilmu Pengetahuan, Seni, dan Teknologi, Vol. 3, No. 1, Juni 2019: 116 - 131
apli kasi NMAP untuk memonitoring dan sebagai penetration testing tool pada website TULIS.
3.  Memanfaatkan NMAP Scripting Engine
(NSE) untuk menginterogasi TULIS lebih da lam. NSE di sini untuk memeriksa ser vices apa saja yang berjalan, mengetahui sis tem operasi target.
4.  Pemindaian TULIS menggunakan vul nera- bility scanner . Pemindaian sistem di mak - sudnya adalah mengecek vulnerability yang ada pada TULIS dengan bantuan apli kasi. Adapun vulnerability scanner yang  di gu nakan adalah W3AF v.1.0, OWASP ZAP v.2.5.0, Uniscan v.6.3, Nessus v.6.10.7, Acunetix v.11

## HASIL dan PEMBAHASAN
Pengintaian (Reconnaissance) Dalam tahapan peningintaian ini, Penulis berusaha menggali informasi sebanyak mung kin mengenai TULIS yang tersedia dalam in ternet.
Dengan melalui Who is dapat diketahui mengenai pendaftaran domain http://uinjkt.ac.id yaitu sebagai berikut :
1. Domain http://uinjkt.ac.id dibuat pada tanggal 19 Februari 2002 dan akan habis masa berlakunya pada tanggal 01 Oktober 2017, sebagaimana jika admin lupa untuk memperpanjang maka domain http://uinjkt. ac.id dan sub domain nya terancam avaibility - nya atau ketersediannya.
2. Domain http://uinjkt.ac.id dikelola oleh dua admin, dalam gambar yang 4.1 dan 4.2 dijelaskan mengenai alamat rumah, alamat kantor, alamat e-mail, organisasi tempat bekerja dan sebagainya yang ten tunya dapat menjadikan kedua admin ter sebut sebagai target untuk penyerangan ter hadap domain http://uinjkt.ac.id beserta subdomainnya.
3. Nama Hosting yang digunakan yaitu INDOREG dijelaskan juga negara asal, kota berada, kode pos, dan no telpon kan- tor INDOREG yang tentunya apabila ingin menyerang melalui serangan fisik terhadap server yang digunakan oleh http://uinjkt.ac.id penyerang bisa melakukannya ber dasarkan
informasi yang ada pada 4. Jumlah server yang digunakan untuk domain http://uinjkt.ac.id yakni sebanyak 3 server sehingga jika ingin melakukan serangan perlu melakukan penyerang ter ha dap 3 server tersebut.

## Guess Stritch
Dari Guess Stritch dapat diketahui bahwa aplikasi TULIS menggunakan webserver Apache 2.4.7 sebanyak 50%, Framework yang digunakan dalam pembuatan TULIS mungkin menggunakan Java, dan bahasa pemrograman yang digunakan yaitu Java sebanyak 70% dari informasi tersebut dapat Penulis gunakan selanjutnya untuk dorking kerentanan Java di mesin pencarian Google.
Pemindaian (Scanning)
Dalam melakukan pemindaian, Penulis membagi tahapan pemindaian ke dalam be berapa aktivitas. Adapun aktivitas-aktivitas ter sebut antara lain :

## Ping TULIS
Dalam melakukan pemindaian, perlu dila- kukan pengujian apakah TULIS dapat diakses atau tidak, Penulis melakukan ping dengan me- ngetik perintah ping tulis.uinjkt.ac.id melalui terminal yang ada dalam kali linux
Port scanning TULIS Dalam melakukan Port Scanning , penulis menggunakan ZENMAP v7.25 pemindaian, meng gunakan objek http://tulis.uinjkt.ac.id, dengan perintah-perintah sebagai berikut : 1.   -sS dengan fungsi TCP Syn Scan
2.  -sU dengan fungsi UDP Scan
3.  -T4 dengan fungsi Speed up NMAP
4.  -A dengan fungsi Operating System dan Version Detection
5.  -v dengan fungsi Verbosity
Pemindaian tingkat lanjut dengan NMAP Scripting Engine (NSE) Berdasarkan pemindaian tingkat lanjut, di- dapatkan informasi-informasi yang telah di- ringkas sebagai berikut :
1.  IP Address Server
JURNAL MANDIRI : Ilmu Pengetahuan, Seni, dan Teknologi, Vol. 3, No. 1, Juni 2019: 116 - 131
Adapun alamat IP yang digunakan oleh server TULIS yaitu 172.27.15.147.
2.  Sistem Operasi yang digunakan Adapun sistem operasi yang digunakan yaitu Linux dengan distro Ubuntu.
3.  Services yang berjalan 22/tcp open ssh OpenSSH 6.6.1p1 Ubuntu 2ubuntu2.3 (Ubuntu Linux; protocol 2.0) |   ssh-hostkey:| 1024 93:2c:4e:c4:17:32:93: d9:54:06:7b:8a:61:a1:4a:c0 (DSA)
|   2048  41:7a:5e:b2:32:09:96:f4:87:ee:4f:00:
e1:cf:e4:84 (RSA)
|  _256 6a:b4:cf:d2:ef:73:d8:cc:48:9b:dc:89:
19:25:c7:0c (ECDSA)
80/tcp open http Apache httpd 2.4.7 ((Ubuntu))
|  _http-favicon: Unknown favicon MD5: 3A7BEB367DCD6544664E799A- B1A0FE97
|   http-methods: |  _ Supported Methods: GET HEAD POST OPTIONS
|   http-robots.txt: 3 disallowed entries |  _/ /bo /uibo
| _http-server-header:  Apache/2.4.7 (Ubuntu) |  _http-title: OPAC - Pusat Perpustakaan UIN Syarif Hidayatullah Jakarta 2000/tcp open tcpwrapped
5060/tcp open tcpwrapped
8000/tcp open http Apache httpd 2.4.7 ((Ubuntu))
|  _http-favicon: Unknown favicon MD5: D037EF2F629A22DDADCF438E- 6BE7A325
|   http-methods:
|  _ Supported Methods: GET HEAD POST OPTIONS
| http-open-proxy: Potentially OPEN proxy.
|  _Methods supported:CONNECTION
| _http-server-header:  Apache/2.4.7 (Ubuntu)
|  _http-title: phpMyAdmin 8009/tcp open ajp13 Apache Jserv (Pro- tocol v1.3)
|  _ajp-methods: Failed to get a valid re-
sponse for the OPTION request 8080/tcp open http Apache Tomcat/ Coyote JSP engine 1.1 | _http-favicon: Unknown fa- vicon MD5: E3D3E9360C-
F65A1167B20B3936BC0616
|   http-methods:
|  _ Supported Methods: GET HEAD POST OPTIONS
|   http-robots.txt: 3 disallowed entries
|  _/ /bo /uibo
| _http-server-header: Apache-Coyote/1.1 |  _http-title: OPAC - Pusat Perpustakaan UIN Syarif Hidayatullah Jakarta 5353/udp open mdns DNS-based ser- vice discovery
| dns-service-discovery:
|   9/tcp workstation
|  _ A d d r e s s = 1 7 2 . 2 7 . 1 5 . 1 4 7
fe80:0:0:0:9a90:96ff:fed0:b838
Pemindaian TULIS
Menggunakan Vulnerability Scanner Dalam tahapan ini, dilakukan kegiatan pe  mindaian  celah  keamanan (vulnerability scan ning) menggunakan pemindai celah ke- amanan (vulnerability scanner) yang melaku kan pemindaian aplikasi secara otomatis men cari celah keamanan yang mungkin bisa diman faatkan untuk kepentingan yang tidak baik.
Dalam kesempatan ini, dilakukan pemin- daian celah kemanan tidak langsung kepada TULIS yang memiliki alamat http://tulis.uinjkt. ac.id melainkan menggunaan server cadangan
Eksploitasi Celah Kerentanan (Exploitation) [1] Eksploitasi Social Engineering
Pada aktivitas ini, akan dilakukan ber sa maan dengan pengujian kerentanan A8 – CSRF bagian HTML wihout CSRF Protection.
[2]  Eksploitasi Berbasis Web
Setelah mendapatkan celah kerentanan yang ada pada TULIS melalui vulnerability scanner , dalam tahapan selanjutnya ialah mengeksploitasi kerentanan yang ada, untuk menguji apakah kerentanan tersebut benar- benar ada atau hanyalah false alarm . Adapun
JURNAL MANDIRI : Ilmu Pengetahuan, Seni, dan Teknologi, Vol. 3, No. 1, Juni 2019: 116 - 131
kerentanan-kerentanan yang diuji sebagai berikut :
1.  A1 – Injection
a. SQL Injection SQL Injection memungkinkan ken dali atas database oleh penyerang. Adapun keterangan mengenai ekpsloitasinya sebagai berikut :
a. Tools
a.
Google Chrome Version
59.0.3071.115
b. Hasil Adapun hasil setelah diberikan pe rintah dalam seperti yang di berikan OWASP
ZAP
c. Cookie Injection
Adapun keterangan mengenai ekpsloi- tasinya sebagai berikut :
a. Tools Adapun Tools yang digunakan un-
tuk mengujinya adalah sebagai berikut:
1. Google Chrome Version
59.0.3071.115 sebagai korban.
2.  Akses ke dalam TULIS.
3.  Firefox ESR versi 45.3.0 sebagai penyerang.
4. Cookie Manager +v14.3 terinstall dalam Firefox. b. Eksploitasi 1. Penulis menggunakan Chrome sebagai korban dan melakukan log in ke  da lam sistem TULIS sebagai ma- hasiswa. Akses didapat me- lalui aktivasi member dalam Pusat Perpustakaan dan me- nampilkan cookie yang ada.
2.  Penulis menggunakan Firefox sebagai penyerang memiliki cookie yang berbeda sehingga belum bisa masuk ke dalam sistem.
3.  Penulis mencocokkan cookie value yang ada dalam kor ban dengan cookie value pe nyerang.
4. Penulis  melakukan refresh
browser penyerang setelah melakukan edit value dan berhasil masuk dalam sistem tanpa melakukan log in .
5. Penulis  melakukan session hijack dengan melakukan log out pada akun penyerang dan yang akun korban ikut log out dari sistem.
d.  Generic Script Injection Kerentanan ini mengakibatkan skrip dapat dieksesusi. Untuk kerentanan ini.
1. Tools
a.  Google Chrome 59.0.3071.115
b.  Firefox ESR 45.3.0
2. Eksploitasi
Ketika Penulis mengeksekusi skrip <script>alert("a")</script> ke dua browser hasil yang diapatkan ialah a. Chrome Menggunakan Chrome tidak berhasil
b. Firefox Skrip alert berjalan
2.  A3 – XSS Reflected
XSS menyebabkan perintah yang berasal dari sumber tidak terpercaya dapat ter eksekusi. Adapun keterangan mengenai ekpsloitasinya sebagai berikut :
a. Tools
i.  Firefox ESR 45.3.0
b. Eksploitasi
Penulis menggunakan <marquee>test</ marquee> kedalam kolom pencarian 1.  A5 – Security Missconfiguration
a. Buffer Overflow
Kerentanan ini merupakan ketidak mampuan server dalam menangani perintah yang banyak sehingga penye rang dapat melakukan overwrite data. Adapun mengenai Tools , eks- ploitasi dan rekomendasi sebagai berikut:
1. Tools
a. Google Chrome Version
59.0.3071.115
2. Eksploitasi Menurut pemindai kerentanan OWASP ZAP, dengan memberikan masukan
JURNAL MANDIRI : Ilmu Pengetahuan, Seni, dan Teknologi, Vol. 3, No. 1, Juni 2019: 116 - 131
yang banyak dapat mengakibatkan Buffer Overflow , namun Penulis tidak berhasil ka rena hanya mendapatkan error dan masukan yang diberikan ter- filter dengan baik.
b. Web Browser XSS Protection Not Enabled Kerentanan ini menyebabkan skrip bisa dieksekusi melalui browser karena anti XSS tidak digunakan. Adapun eksploitasinya telah dilakukan bersamaan dengan A3 – XSS bagian XSS Reflected .
c. Apache JServ protocol service Kerentanan ini mengakibatkan halaman konfigurasi Tomcat dapat diakses oleh siapa saja. Adapun mengenai Tools ,  eks ploi tasi  dan rekomendasi se bagai berikut:
1. Tools
a. Google Chrome Version 59.0.3071.115
2. Eksploitasi Dengan terbukanya port 8009 dalam reconnaissance memungkinkan akses AJP melalui http://tulis.uinjkt.ac.id/ manager
d. Cookie(s) without HttpOnly flag set
Kerentanan ini merupakan kondisi di mana penyerang dapat mengambil cookie melalui CSRF ataupun penyadapan yang kemudian bisa dimanfaatkan untuk Cookie Injection karena tidak ada nya HTTPOnly pada header . Untuk keterangan mengenai Tools , ekploitasi dan rekomendasi akan dibahas pada A8 – CSRF.
e. Login page password-guessing attack Kerentanan ini menyebabkan penyerang dapat mencoba kombinasi username dan password berkali-kali tanpa pencegatan atau biasa dikenal dengan brute force attack .
1. Tools
a.
Google Chrome Version 59.0.3071.115 2. Eksploitasi
a. Penulis mencoba memasukan username dan password dengan admin : admin melalui halaman admin yang didapatkan saat reconnaissance dengan robots.txt.
b.  Penulis tidak berhasil masuk dan kembali diarahkan menuju halaman admin tanpa ada pencegatan.
c.  Ketika diisi kembali dengan acak berkali-kali dengan ber bagai kombinasi, TULIS tidak me lakukan pencegatan se hingga rawan untuk diserang meng gunakan metode brute force attack .
f. Broken links
Tidak dilakukan pengujian untuk keren- tanan ini, karena menurut Acunetix sebagai vulnerability scanner , kerentanan ini tidak memiliki resiko.
g. Allowed Method Kerentanan ini akan menjadi riskan apa bila memiliki methods diluar RFC 216 seperti HEAD, GET, POST, PUT, DELETE, TRACE, OPTIONS dan CONNECT.  (OWASP, 2015, Test HTTP Methods (OTG-CONFIG-006), https://www.owasp.org/index.php/Test_ HTTP_Methods_(OTG-CONFIG-006), diakses pada tanggal 1 Agustus 2017). Dalam tahapan reconnaissance bagian NMAP,
TULIS didapati hanya menggunakan GET HEAD POST OPTIONS sehingga dinyatakan tidak memiliki resiko atas kerentanan.
h. DAV Kerentanan DAV memungkinkan penye rang untuk melakukan deface dengan menaruh file langsung ke dalam direktori. Adapun mengenai Tools , eksploitasi dan rekomendasi sebagai berikut :
1. Tool
a. Davtest
2)  Eksploitasi : Dengan menginput davtest -url http:// tulis.uinjkt.ac.id - sendbd auto ternyata tidak berhasil.
i. Web Application Cookies Not Marked Secure Kerentanan ini merupakan kondisi di mana penyerang dapat mengambil cookie melalui CSRF ataupun penyadapan yang kemudian bisa dimanfaatkan untuk Cookie Injection karena secure belum diimplementasikan pada header . Untuk keterangan mengenai Tools , ekploitasi dan rekomendasi akan di-
JURNAL MANDIRI : Ilmu Pengetahuan, Seni, dan Teknologi, Vol. 3, No. 1, Juni 2019: 116 - 131
bahas pada A8 – CSRF.
3.  A6 – Sensitive Data Exposure
a.  Apache Tomcat Examples Directory Vulnerability Kerentanan ini menyebabkan penye rang dapat mengakses folder/examples yang di mana folder tersebut berisikan file
Tomcat secara default .
1. Tools
a.
Google Chrome Version 59.0.3071.115 2. Eksploitasi
a. Membuka halaman http://tulis. uinjkt.ac.id/examples
b. Application Error Message
Untuk kerentanan ini meng aki- batkan tereksposnya informasi yang tidak seharusnya terlihat. Pe nulis telah  membahasnya  ber sa maan dengan A1 – Injection ba gian  SQL
Injection .
c. Snoop Servlet information disclosure Kerentanan ini ada ketika me- nggunakan IBM Websphere di ba- wah versi 7.0.0.23, namun un tuk mengakses halaman IBM Websphere sendiri tidak berhasil dengan http:// tulis.uinjkt.ac.id:9060/ibm/console sehingga tidak diuji lebih lanjut. Jika Acunetix menginformasikan IBM Websphere versi tersebut rentan maka perlu diperbarui.
d. Password type input with auto- complete enabled Kerentanan ini menyebabkan user - name dan password menjadi  ter - simpan dalam browser klien se- hingga sangat rentan apabila kom puter tertinggal atau disalah per gunakan orang yang tidak ber- tanggung jawab. Adapun eks ploi- tasinya :
[1] Tools a. Web browser seperti
Google Chrome Version
59.0.3071.115
[2] Eksploitasi
Penulis hanya memberikan ma sukan username dan pass - word lalu web browser lang sung menawarkan pe nyim  panan username  pass word .
e. Possible username or password disclosure
Untuk kerentanan ini, tidak di te- mukan informasi berharga me - ngenai username maupun password melalui browsing .
f. Web Application Sitemap
Kerentanan ini berpotensi bocor- nya seluruh direktori yang ada pada TULIS. Dengan mengakses http:// tulis.uinjkt.ac.id/sitemaps.xml pada umumnya akan me ngeluarkan site- maps , namun TULIS tidak me- milikinya.
g. Web Server Transmits Cleartext Credentials
Kerentanan ini mengakibatkan ter- eksposnya username dan pass word saat sniffing .  Adapun  pe ngu jiannya sebagai berikut :
1) Tool
a.  Cain and Abel v4.956
2) Eksploitasi Server TULIS telah dileng kapi dengan Anti ARP sehingga baik username dan password tidak terekspos saat sniffing . sehingga Penulis mendapatkan username dan password repository namun TULIS tidak.
h. Web Server Uses Basic Authen- tication Without HTTPS
Untuk kerentanan ini tidak dila- kukan pengujian karena TULIS belum menggunakan HTTPS.
i. Web Server robots.txt Information Disclosure
Kerentanan ini telah diuji da lam tahapan Reconaissannce de ngan mengakses http://tulis.uinjkt.ac.id/ robots.txt.  Adapun  re ko men dasi untuk menutup ke ren tanan ini
JURNAL MANDIRI : Ilmu Pengetahuan, Seni, dan Teknologi, Vol. 3, No. 1, Juni 2019: 116 - 131
ialah dengan meng hapus file robots. txt dan menggantinya dengan konfigurasi pada htaccess .
j. Nessus TCP scanner Kerentanan ini tidak diuji karena TCP Scan telah dilakukan pada ta hapan reconnaissance bagian NMAP.
k. Web Mirroring
Web Mirorring memungkinkan ter- jadinya perubahan terhadap salah satu web yang mengakibatkan pe ru bahan  pada  seluruh web
yang ada. Saat reconnaissance , NMAP mendapatkan hasil mirror http://tulis.uinjkt.ac.id dengan http://172.27.15.147:8080 yang me mang diperlukan oleh Pusat
Per  pustakaan  untuk  mengurangi traffic .
l. Web Server Directory Enumeration Kerentanan mengakibatkan direk- tori menjadi bocor.
1. Tool a.  URL Fuzzer
2. Eksploitasi
m. Web Server Office File Kerentanan ini tidak diuji karena TULIS memang menyimpan file PDF dalam repository sebagai file digital .
n. CGI Generic Tests Timeout
Kerentanan ini tidak diuji ka- rena menurut Nessus, karena ke- rentanan ini berupa time out saat Nessus melakukan pemindaian. Nessus pun memberikan pernya- taan dalam laporan pemindaian bahwa kerentanan ini tidak me- miliki resiko.
o. Protected Web Page Detection
Kerentanan ini tidak diuji karena, TULIS memiliki halaman untuk manajemen aplikasi yang menjadi halaman admin yang memerlukan autentikasi yang ditemukan saat reconnaissance dengan robots.txt.
p. External URL(s) Dalam halaman utama TULIS, TULIS meletakan gambar Lontar di bagian bawah halaman dengan referensi ke halaman http://dl2.cs.ui. ac.id/ yang merupakan developer TULIS.
q. Web Server Harvested Email Addresses
Kerentanan ini tidak diuji karena baik dosen maupun staff UIN Jakarta memiliki domain email yang sama yaitu @uinjkt.ac.id se- hingga jika ditemukan belum ten tu berhasil.
r. Private IP Disclosure
Kerentanan ini mengakibatkan IP yang dimiliki server terkespos se  hingga  memudahkan  penye- rang untuk menyerang. Namun ke  rentanan yang didapatkan ini merupakan suatu false po- sitive , karena saat pengujian sis  tem, menggunakan IP http://172.27.15.156 yang merupa- kan IP untuk melakukan scan.
4.  A7 – Missing Function Level Access Control
a. Clickjacking: X-Frame-Options header missing
Kerentanan ini dapat membuat TULIS bisa ditampilkan dalam frame sehingga dapat mengecoh pengguna. Adapun eksploitasi mengenai kerentanan ini : 1. Tools
a. Google Chrome Version 59.0.3071.115
b.  Perintah <frame></frame> b. Eksploitasi Jika dieksekusi dengan perintah frame , maka TULIS dapat ditam- pilkan dalam web lain padahal web tersebut mungkin telah dimo- difikasi sehingga rawan terjadi hal merugikan yang dapat mengecoh pengguna awam.
b. Missing or Permissive Content-Security- Policy HTTP Response Header

## JURNAL MANDIRI : Ilmu Pengetahuan, Seni, dan Teknologi, Vol. 3, No. 1, Juni 2019: 116 - 131
Kerentanan ini mengakibatkan TULIS tidak terproteksi dari serangan XSS karena Content-type-header tidak di- atur dengan benar. Adapun exploit nya sebagai berikut :
1. Tools
Telah dibahas dalam pengujian XSS.
2. Eksploitasi Telah dibahas dalam pengujian XSS.
5.  A8 – Cross Site Request Forgery
a. HTML form without CSRF protection CSRF mengakibatkan penyerang men- dapatkan akses melalui ketidak pahaman ataupun kecerobohan user yang telah terautentikasi dengan meng klik sesuatu seperti gambar ataupun link sehingga penyerang mendapatkan akses.
1. Tools
Adapun Tools yang digunakan untuk mengujinya adalah sebagai berikut : a. Firefox ESR versi 45.3.0 (browser tanpa xss filter).
b. Akun hosting yang  men du kung bahasa pemrograman php.
c.  Skrip PHP untuk mencuri cookie .
d.  Wadah berupa file txt untuk menyimpan cookie yang tercuri.
2. Eksploitasi a.  Penulis masuk ke dalam sistem sebagai mahasiswa. Penulis membuat review buku dan menyelipkan skrip file source cookiestealer.php supaya jalan saat diklik dan meletakkan cookielog.txt pada hosting .
2.  Penulis melakukan interaksi dengan staf untuk mengecek review yang telah Penulis buat.
3. Informasi pun tersimpan, namun cookie kosong, sehingga Penulis menyimpulkan bahwa TULIS telah menetapkan HTTP Only dan HTTP Secure karena cookie nya.
6.  A9 – Using Components With Known Vulnerabilities
a. Vulnerable Javascript library
Tidak dilakukan pengujian karena tidak diberitahukan mendetail dari Acunetix.
b. HTTP Server Type and Version Kerentanan ini ditemukan bersamaan dengan tahapan reconnaissance yang dimana mendapatkan informasi me- ngenai versi apache yang digunakan, yai tu 2.4.7. Adapun keterangan me nge - nai eksploitnya sebagai berikut :
1. Tools
a.  NMAP v7.25 2. Eksploitasi Kerentanan ini ditemukan saat tahapan reconnaissance dengan NMAP.
c. HyperText Transfer Protocol (HTTP) Information
Kerentanan ini ditemukan di ta hapan reconnaissance pada bagian NMAP. Untuk keterangan mengenai Tools , eksploitasi dan rekomendasi kerentanan ini telah dipaparkan di A9 – Using Components With Known Vulnerabilities HTTP Server Type and Version.
7.  A10 – Unvalidated Redirect and Forwards a.  Global Redirect
Kerentanan ini diuji bersamaan de- ngan A8 – CSRF dan dapat diketahui bahwa TULIS tidak memiliki halaman konfirmasi ketika ke halaman luar. Untuk keterangan mengenai Tools , eksploitasi dan rekomendasi ke rentanan ini telah dipaparkan di A8–CSRF.

## Setelah Eksploitasi dan Mempertahankan Akses
(Post Exploitation dan Maintaining Access) Mempertahankan Akses a.  Penulis telah menanamkan backdoor yang berupa skrip dalam review buku yang berfungsi untuk mencuri cookie , namun TULIS telah menerapkan HTTPOnly yang mengakibatkan Penulis tidak dapat me- lakukan serangan Cookie Injection .
b.  Penulis juga menanamkan payload berupa javascript yang memungkinkan penulis dapat
JURNAL MANDIRI : Ilmu Pengetahuan, Seni, dan Teknologi, Vol. 3, No. 1, Juni 2019: 116 - 131
merekan jejak aktivitas keyboard atau biasa disebut keylogger. Skrip kemudian  di injeksian kedalam TULIS ke dalam kolom review buku dan berjalan dengan baik.

## SIMPULAN

## Kesimpulan
Setelah melakukan pengujian kerentanan atas aplikasi TULIS yang merupakan Sis tem Informasi Perpustakaan pada Pusat Per pus takaan, dapat disimpulkan bahwa :
1.  Berdasarkan hasil pemindaian kerentanan, TULIS memiliki kerentanan mulai dari level sedang (XSS Reflected, Security, Apache Jserv protocol service, Login page password guessing attack, dan HTML form without CSRF protection ) sampai dengan berat (Sensitive Data Exposure bagian web server robots.txt information disclosure).
2.  Setelah dilakukan eksploitasi kerentanan yang mengacu pada hasil pemindaian se- belumnya, ada kerentanan level berat yang tidak benar-benar ada atau salah pen- deteksian (false positive) yaitu buffer overflow dan SQL injection .
Saran Adapun saran yang penulis dapat berikan kepada tim pengembang aplikasi TULIS :
1.  Memperbaiki celah kerentanan yang telah ditemukan berdasarkan hasil pengujian dan analisis yang telah dijelaskan sebelumnya.
2. Melakukan pengujian sistem sebelum diserahkan ke customer sehingga aplikasi yang diserahkan bebas dari kerentanan. Sedangkan saran yang dapat diberikan untuk Pusat Perpustakaan :
1. Membuat Standard Operating Procedure (SOP) sebagai pencegahan jika terjadi serangan cyber .
2.  Memperkuat pertahanan terutama dari sisi jaringan komputer.

## DAFTAR PUSTAKA
Baloch, Rafay. (2015). Ethical Hacking and Penetration Testing Guide.
Boca Raton: Taylor and Francis Group. Cole, Eric et al. (2005). Network Security Bible. Indiana :Wiley Publishing.
Dharma Oetomo, Budi Sutedjo et. al. (2007). Pengantar. Teknologi Informasi Internet, Konsep dan Aplikasi . Yogyakarta: CV Andi Offset Engebretson, Patrick. (2013). The Basic of Hacking and Penetration Testing . Waltham: Elsevier Hadnagy,
Christopher. (2011). Social Engineering: The Art of Human Hacking. Indiana:JohnWiley & Sons. Jogiyanto. (2008). Dalam Metodologi Penelitian Sistem Informasi: Pedoman dan Contoh Melakukan Penelitian di bidang Sistem Informasi Teknologi. Yogyakarta: Penerbit ANDI Yogyakata.
Kozierok, M. Charles. (2005). TCP/IP Guide . San Fransisco: No Starch Press,Inc.
Mulyanto, Agus. (2009). S istem Informasi Konsep dan Aplikasi. Yogyakarta: Pustaka Belajar.
Nazir, Moh. (2009). Metode Penelitian. Jakarta: Ghalia Indonesia
O'Brien dan Marakas, 2010. Management System Information . McGraw Hill,.
New York Pressman, R. S. (2010). Software Engineering A Practitioner's Approach 7th .
New York : McGraw-Hill. Stallings,
William. (2007). Komunikasi & Jaringan Nirkabel,
Jilid 1, Edisi kedua . Jakarta: Erlangga Simarmata, Janner. (2006). Pengenalan Teknologi Komputer dan Informasi. Yogyakarta : Andi Offset.
Sofana, Iwan. (2008). Membangun Jaringan Komputer. Bandung :Informatika. Sutabri, Tata. (2012). Analisis Sistem Informasi.
Andi. Yogyakarta Sutarman. (2009). Pengantar  Teknologi  Infor  masi . Yogyakarta : Bumi Aksara Tanenbaum, AS & Wetherall, DJ. (2011) Computer Networks, 5th Edition , Prentice Hall. Warsita, Bambang. (2008) Teknologi Pem- belajaran: Landasan &Aplikasinya, Jakarta: Rineka. Weidman, Georgia. (2014). Penetration Testing: A Hands-on Introduction to Hacking. San Fransisco: No Starch Press, Inc.