## PERBANDINGAN TOOLS SQL SUS, SQL NINJA, DAN THE MOLE DALAM PENERAPAN SQL INJECTION
Gusti Ayu Mas Ekayanti 1* , Dewa Ayu Deby Cintiya 2 , Putu Yoga Suartana 3 , Rama Ngurah Putera Pinatih 4 1,2,3,4 Sistem Informasi, Universitas Pendidikan Ganesha email : ayu.mas.ekayanti@undiksha.ac.id
Abstrak: Penelitian ini bertujuan untuk mengetahui perbandingan antara tiga tools SQL injection. Dengan banyaknya ancaman terhadap teknologi informasi saat ini, penting bagi para pengguna mengetahui cara memeriksa, membuktikan, serta melakukan perlindungan  terhadap  teknologi  yang  dimilikinya.  Ancaman  terhadap  teknologi  informasi  berupa  cyber  attack,  salah  satu jenisnya adalah SQL injection. SQL injection memiliki kelebihan yaitu mampu menembus database dengan injeksi kode. Tiga tools dapat  digunakan dalam pengujian  SQL  injection adalah  SQL  sus,  SQL  ninja, dan The  mole.  Pengujian tiga  tools  ini menggunakan dua sistem operasi yaitu Kali Linux dan Windows. Hasil pengujian diukur berdasarkan beberapa parameter yaitu, kecepatan tools merespon perintah, jumlah tahapan dalam penerapannya, fitur yang terdapat didalamnya, serta efisiensinya. Berdasarkan pengujian, diketahui tools SQL sus mampu menampilkan isi database yang diretas, sedangkan tools SQL ninja dan The Mole tidak mampu menunjukannya. Dengan itu, dapat disimpulkan hanya tools SQL sus yang berhasil melakukan injeksi terhadap website, sedangkan dua tools lainnya mengalami kegagalan.

## Kata Kunci : cyber attack, SQL injection, tools
Abstract:  This  study  aims  to  determine  the  comparison  between  the  three  SQL  injection  tools.  With  so  many  threats  to information technology today, it is important for users to know how to check, prove, and protect their technology. Threats to information technology in the form of cyber attacks, one type of which is SQL injection.  SQL injection has the advantage of being able to penetrate the database with code injection. Three tools can be used in testing SQL injection, including SQL sus, SQL ninja, and The mole. Testing these three tools uses two operating systems, that is Kali Linux and Windows. The test results are measured based on several parameters, including the speed of the tool responding to commands, the number of stages in its application, the features contained therein, and its efficiency. Based on the test, it is known  that the sus SQL tools can display the contents of the hacked database, while the SQL ninja and The Mole tools are unable to show it. With that, it can be concluded that only the sus SQL tool succeeded in injecting the website, while the other two tools failed.
Keywords : cyber attack, SQL injection, tools

## PENDAHULUAN
Pada  era  modern  ini,  perkembangan  ilmu pengetahuan dan teknologi yang semakin pesat telah menghasilkan banyak sistem baru yang berguna bagi manusia.  Saat  ini  teknologi  telah  mempengaruhi setiap  aspek  kehidupan  manusia,  mulai  dari perekonomian  negara,  bidang  kesehatan,  hingga pendidikan  dan  lainnya.  Kemajuan  teknologi  telah mempengaruhi kehidupan ini dan tidak bisa dihindari, karena  IPTEK  memberikan  banyak  manfaat  dan memudahkan  pekerjaan  [6].  Tujuan    utama perkembangan  IPTEK adalah  perubahan  kehidupan masa depan  manusia yang lebih baik, mudah, murah, cepat  dan    aman.  Perkembangan  IPTEK,    terutama teknologi    informasi    (information    technology) seperti    internet  sangat    menunjang    setiap    orang mencapai    tujuan   hidupnya    dalam   waktu    singkat [8].  Walaupun  teknologi  informasi  telah  ada  sejak dulu  yaitu  dengan  media  radio  dan  televisi,  namun perkembangan IPTEK membuat teknologi informasi saat  ini  lebih  maju  dan  informasi  juga  lebih  mudah untuk diakses sesuai keinginan dan kebutuhan.
Selain memberikan manfaat, perkembangan      teknologi      informasi      juga  dapat membawa ancaman bagi pihak yang menggunakannya,  misalnya  tindakan  cyber  attack. Cyber  attack  merupakan  tindakan  yang  dilakukan oleh  seseorang,  kelompok,  ataupun  suatu  negara terhadap  pihak  lain,  dengan  tujuan  menerobos
jaringan  computer  atau  system  informasi.  Cyber attack merupakan hasil dari perkembangan teknologi informasi  dan  komunikasi,  sehingga  senjata  yang digunakan  dalam  cyber  attack  memiliki  beberapa karakteristik  yang  berbeda  dibandingkan  dengan karakteristik  senjata  konvensional  [11].  BSSN (Badan Siber dan Sandi Negara) mencatat, pada tahun 2018  terdapat  12,8  juta  serangan  siber,  hingga  pada tahun 2019 melonjak menjadi 98,2 juta serangan [4]. Data  tersebut  membuktikan  bahwa,  semakin berkembangnya  teknologi  dan  semakin  banyaknya pengguna  internet,  maka  semakin  banyak  pula ancaman  yang  ada  di  sekitar  kita.  Salah  satu  jenis cyber  attack  yang  sering  digunakan  adalah  SQL injection. Kerentanan SQL injection membahayakan perlindungan  situs  web  individu  dan  seluruh infrastruktur  database  dan  jaringan  sistem  yang menampung  aplikasi  terkait  [5].  Serangan  injeksi SQL,  biasanya  terjadi  ketika  penyerang  mengubah, menghapus, membaca, dan menyalin data dari server basis data dan termasuk serangan aplikasi web yang paling  merusak  [3].  Dalam  beberapa  tahun  terakhir SQL injections telah muncul sebagai salah satu jenis serangan  yang  paling  berbahaya  untuk  sistem berbasis web dan menduduki peringkat nomor satu di antara  sepuluh  kerentanan  Open  Web  Application Security  Project  (OWASP)  [2]. SQL  tidak  hanya berlaku untuk profesional TI atau geek yang memiliki keterampilan pemrograman saja.
Dengan
berkembangnya dunia korporat saat ini, personel non- TI  seperti  pengusaha  dan  manajer,  juga  dapat memperoleh manfaat dari mempelajari semantik SQL [9]. Ada banyak tools yang dapat digunakan peretas untuk  menerapkan  teknik  sql  injection.  Dari  sekian tools  tersebut,  jurnal  ini  akan  membandingkan  tiga tools untuk melakukan sql injection, yang dilakukan untuk  dapat  membuktikan  tools  yang  lebih  efektif untuk digunakan.

## TINJAUAN PUSTAKA SQL Injection
SQL  injection  adalah  sebuah  teknik  yang melakukan injeksi kode kepada sebuah aplikasi atau website dengan mengincar keamanan database. SQL injection juga dapat dikatakan sebagai kegiatan yang menipu query dari database [7].
Mereka  yang  menggunakan  teknik  ini  akan membobol akses database dengan perintah atau query sql  dan  dengan  bantuan  tools  pendukung.  Hacker yang  melakukan  injeksi  kode  akan  terbebas  dari proses  otentikasi.  Otentifikasi  adalah  suatu  proses verifikasi atau identifikasi pengguna, yang dilakukan untuk  memastikan  bahwa  yang  berhak  yang  dapat masuk  serta  menggunakannya.  Cara  ini  merupakan cara  menyerang  berkomunikasi  yang  dilakukan secara  ilegal,  hal  ini  dikarenakan  mengambil informasi  pengguna  dan  dapat  memberikan  akses untuk  mengontrol  aplikasi  demi  keuntungan  pribadi [1].
Terjadinya SQL injection sebab pihak aplikasi atau website tidak menggunakan firewall atau sistem keamanan.  Hacker  menargetkan  website  yang menggunakan SQL database, setelah hacker berhasil masuk  ke  dalam  database  ia  akan  bebas  melakukan apapun  yang  dinginkan  baik  itu  menghapus, mengubah, menambahkan dan lainnya pada data yang terdapat pada database.
Cara  kerja  dari  SQL  injection  terdapat beberapa tahapan, yakni :

## 1. Mencari celah keamanan database
Tahap  awal  yang  di  cari  adalah  celah keamanan  yang  dapat  di  serang  oleh  hacker.  Celah keamanan  yang  ada  pada  SQL  injection  biasanya terdapat  pada  form  login  yang  tidak  terlindungi. Setelah  itu,  hacker  akan  menginputkan  data  yang terdapat  pada  form  login  menggunakan  Query SQL atau perintah(command) yang kemudian diproses oleh database sebagai perintah.

## 2. Menunggu proses validasi
Pada  tahap  pertama  Query  SQL  melakukan perintah  validasi  pada  database.  Kemudian  jika berhasil  database  akan  memberikan  informasi  login dari  pengguna  kepada  hacker,  selanjutnya  hacker dapat  login  dengan  menginputkan  username  tanpa dengan password.
3. Berhasil mengakses database
Saat hacker berhasil masuk pada aplikasi atau website  tanpa  melakukan  verifikasi,  ia  akan  bebas melakukan  apapun  pada  website  yang  diserangnya. Hal  disebabkan  oleh  SQL  Interpreter  tidak  mampu membedakan  perintah  yang  dimaksud  dengan  kode yang  telah  diinjeksi(serang)  oleh  hacker  sehingga database pun dapat diakses. Hacker selanjutnya dapat memanipulasi aplikasi atau website untuk mengestrak  segala  data,  menanamkan  malicious script kedalamnya.

## Dampak Serangan
Begitu  seorang  penyerang  menyadari  bahwa sebuah  sistem  rentan  terhadap  SQL  Injection,  dia dapat  menyuntikkan  Permintaan/Perintah  SQL melalui  kolom  formulir  input.  Ini  sama  dengan menyerahkan  database  Anda  kepada  penyerang  dan mengizinkannya  untuk  mengeksekusi  perintah  SQL apa pun termasuk DROP TABLE ke database.
Seorang  penyerang  dapat  mengeksekusi pernyataan SQL sewenang-wenang pada sistem yang rentan.  Ini  dapat  membahayakan  integritas  database Anda dan/atau membuka informasi sensitif. Bergantung pada database back-end yang digunakan, kerentanan  injeksi  SQL  menyebabkan  berbagai tingkat akses data/sistem untuk penyerang [10].

## SQL Sus
Sqlsus adalah alat injeksi dan pengambilalihan  MySQL  yang  ditulis  dalam  perl. Melalui  antarmuka  baris  perintah  dapat  mengambil struktur  database,  injeksi  queri  SQL  yang  dimiliki, mengunduh  file  dari  server  web,  mengunggah  dan mengontrol sebuah backdoor, mengkloning database, dan  lainnya.  Jika  data  relevan,  sqlsus  akan  meniru keluaran konsol MySQL.

## SQL Ninja
Sqlninja  adalah  alat  yang  digunakan  untuk mengeksploitasi  kerentanan  SQL  Injection  pada aplikasi  web  yang  menggunakan  Microsoft  SQL Server sebagai back-endnya. Tujuan utamanya adalah menyediakan akses jarak jauh pada  server DB yang rentan,  bahkan  di  lingkungan  yang  sangat  tidak bersahabat.  sqlninja  digunakan  oleh  penguji  untuk membantu  dan  mengotomatiskan  proses  mengambil alih Server DB ketika kerentanan SQL Injection telah ditemukan.

## The Mole
Mole  adalah  alat  penggunaan  eksploitasi SQL  Injection  secara  otomatis.  Hanya  dengan menyediakan URL yang rentan dan string yang valid pada sebuah situs, dapat  mendeteksi  kerentanan dan mengeksploitasinya,  baik  dengan  menggunakan teknik gabungan atau teknik berbasis queri boolean.

## METODE
Dalam  sebuah  penelitian,  metode  merupakan bagian  penting  yang  harus  diperhatikan  agar  tecipta hasil yang baik dan sesuai harapan, berikut ini adalah tahapan proses yang kami lakukan selama penelitian.

## Gambar 1. Flowchart Tahapan Analisis

## Studi Literatur
Dalam  penelitian ini  dilakukan  studi  literatur terlebih  dahulu  untuk  mendapatkan  informasi pendukung  mengenai  penelitian  serupa.  Diketahui bahwa  dengan  menggunakan  teknik  SQL  injection, peretas  dapat  membobol  akses  database  dengan perintah  atau  query  sql  dan  dengan  bantuan  tools pendukung.  Berdasarkan  studi  literatur,  dipilihlah  3 tools yang dianggap mampu untuk menjalankan SQL Injection,  diantaranya  SQLsus,  SQLninja,  dan  The Mole.  Ketiga  tools  ini  dipilih  berdasarkan  pada kriteria pemilihan tools, yaitu tools yang terpercaya, petunjuk  pengerjaannya  jelas,  serta  telah  umum digunakan.

## Rancangan Pengujian
Proses pengujian ketiga tools SQl Injection tersebut dilakukan dalam lingkungan sebagai berikut:
a. Sistem Operasi: Kali Linux dan
Windows
b. Tools: SQLsus, SQLninja, dan The Mole
c. Hardware: Vivobook ASUSLaptop X415DAP, stopwatch, wifi
d. Kecepatan Jaringan: 2,78 mbps
Evaluasi Setelah
melakukan pengujian dan memperoleh data dari masing-masing tools, selanjutnya  dilakukan  evaluasi  untuk  mengetahui
perbandingan  dari  setiap  tools.  Perbandingan dilakukan menggunakan beberapa parameter, diantaranya  kecepatan  tools  dalam  merespon  dan menjalankan  perintah  yang  diinputkan,  jumlah tahapan dalam penerapannya, fitur-fitur yang terdapat didalamnya, serta efisiensi. Dalam sebuah penelitian perbandingan, pengukuran sangatlah penting
dilakukan untuk mengetahui sekecil apapun perbedaan  yang  terdapat  antara  dua  objek,  karena akan mempengaruhi hasil akhirnya nanti.

## HASIL DAN PEMBAHASAN
SQLsus a. Tahapan Serangan 1) Dalam menguji SQLsus, kami menggunakan system operasi kali linux yang dijalankan dalam virtualbox. 2) Pertama-tama dilakukan update database terlebih dahulu dengan command  pada  terminal:  sudo  apt update. 3) Setelah  selesai  melakukan  update database, selanjutnya menginstal SQLsus  menggunakan  apt  manager. Command: sudo apt -y install sqlsus. 4) Sebelum  membuka  SQLsus  kita  perlu menginstal  libswitch-perl.  Command: sudo apt-get install libswitch-perl.
5) Kita  dapat  mengecek  tools  SQLsus dengan command: sudo sqlsus -h.
6) Selanjutnya kita harus membuat konfigurasi file dengan command: sudo sqlsus -g sql.cfg.
7) Setelah itu kita masuk ke text editor dari konfigurasi  file  yang  sudah  dibuat untuk mengisi link website yang akan di injeksi,  dengan  command:  mousepad sql.cfg.
8) Jalankan file konfigurasi dengan command: sudo sqlsus ./sql.cfg.
9) Maka  selanjutnya,  kita  sudah  masuk kedalam database dari website tersebut.
b. Hasil Pada  gambar  dibawah  ini,  dapat  diketahui bahwa  status  pengujian  SQL  injection  dengan  tools SQLsus  adalah  sukses.  Terminal  menampilkan  isi dari  database  yang  telah  diretas,  dan  hacker  dapat memilih folder manapun yang ingin diketahui isinya.
Gambar 2. Proses SQL Injection 1
Gambar 3. Proses SQL Injection 2
Gambar 4. Proses SQL Injection 3
Berdasarkan hasil pengamatan
dan pengukuran, diketahui pula bahwa SQLsus merupakan tools yang paling tepat untuk menjalankan SQL injection. Hal tersebut dikarenakan SQLsus  mudah  untuk  di  install  dan  cepat  dalam merespon  perintah  dari  hacker,  sehingga  sangat bermanfaat untuk pelaksanaan SQL injection.
SQLninja
a. Tahapan Serangan
1) Dalam menguji SQLninja, kami menggunakan system operasi kali linux yang dijalankan dalam virtualbox.
2) Pertama-tama  kita  lakukan  instalasi SQLninja  dengan  command:  sudo  apt- get install sqlninja.
3) Setelah  itu  kita  menginstall  semua packages  yang  di  butuhkan  SQLninja dengan command: sudo apt-get install. 4) Untuk konfigurasi dari SQLninja dapat ditelusuri di github. 5) Lalu  kita  akan  mencoba  menjalankan konfigurasi  sqlninja  dengan  command: sqlninja -mt - f/home/Suartana/sqlninja.conf => gunakan  tempat  direktori  file  tempat konfirgurasi SQLninja. 6) Selanjutnya masukkan command: sqlninja - f/home/Suartana/sqlninja.conf -mf. 7) Maka  terakhir,  kita  sudah  masuk kedalam database dari website tersebut. b. Hasil
Berdasarkan pengujian, dapat diketahui bahwa status pengujian  SQL  injection  dengan  tools  SQLninja adalah gagal. Hal ini disebabkan dari fitur tools yang tidak  dapat  mengakses  database  dari  website  yang sama antara ketiga tools. Namun tools dapat berhasil melakukan  injection  database  apabila  menggunakan website  lain  yang  dapat  diakses  oleh  fitur  tools tersebut, seperti contoh list website dalam http://www.brightbrothers.co.in/products.p  hp?id=2 sebagian besar dapat berhasil menjalankan tools SQL ninja.
The Mole a. Tahapan Serangan 1) Dalam  menguji  The  Mole,  kami menggunakan system operasi windows. 2) Pertama-tama download terlebih dahulu tools the mole pada website sourceforge.net. 3) Selanjutnya jalankan tools The Mole.
4) Ketikan  "url"  <spasi>  link  web  yang ingin di injeksi, kemudian enter. 5) Lalu ketikan "needle" <spasi> "home", klik enter.
6) Terakhir, ketik "schema" dan klik enter.
b. Hasil
Berdasarkan  pengujian  SQL  Injection  dengan tools The Mole dapat diketahui bahwa pada beberapa percobaan di awal, tools tidak dapat menampilkan isi dari  database  yang  telah  diretas,  namun  setelah dilakukan  pengujian  secara  terus  menerus,  akhirnya isi  dari  database  dapat  terlihat.  Berdasarkan  hasil pengamatan  dan  pengukuran,  disimpulkan  bahwa The  Mole  berada  pada  urutan  kedua  sebagai  tools yang  tepat  untuk  menjalankan  SQL  injection.  Hal tersebut  dikarenakan,  pengujian  tools  hanya  dapat melakukan injection database pada website tertentu, kebanyakan  pengujian  mengalami  error.  Namun apabila pengujian berhasil, database yang di injection dapat  kita  akses  dan  menerobos  hingga  data  yang terinci.  Menurut  kami,  tools  The  Mole  sering
mengalami  error  dan  memerlukan  waktu  untuk memproses  perintah  karena  tidak  cukup  kuat  untuk menerobos pertahanan sebuah website.
Tabel 1. Perbandingan Tools Nama Tools Jumlah Tahapan Kecepatan Respon (s) Status Pengujia n SQL sus 5 0,87 Berhasil SQL ninja 10 19,62 Gagal The Mole 6 63,58 Gagal Perbandingan Tools
Berdasarkan  tahapan  penelitian  yang  telah dilaksanakan, serta pengujian terhadap 3 tools untuk SQL injection, dapat  disimpulkan bahwa tools yang baling tepat dan disarankan untuk menjalankan SQL injection  adalah  SQLsus.  Dari  perbandingan  yang telah dilakukan dengan dua tools lainnya yaitu SQL ninja  dan  The  Mole,  SQLsus  memiliki  banyak kelebihan,  diantaranya  dapat  dipercaya  tidak  akan menimbulkan  masalah  terhadap  perangkat  karena sudah umum diguakan, proses instalasi yang mudah, kehandalan  tools  yang  diukur  dari  kecepatan responnya  terhadap  perintah  yang  diinputkan,  serta hasil  pengujian  itu  sendiri  yang  dimana  berhasil melakukan SQL injection. Kelemahan yang terdapat dari  dua  aplikasi  lainnya  yaitu,  SQlninja  dan  The Mole memerlukan waktu cukup lama untuk merespon perintah yang diinputkan.

## KESIMPULAN DAN SARAN Kesimpulan
SQL  injection  merupakan  salah  satu  jenis cyber  attack  yang  dijalankan  dengan  melakukan injeksi  kode  terhadap  sebuah  aplikasi  atau  website, dan mengincar keamanan databasenya. Sql injection dapat  dijalankan  dengan  berbagai  tools  yang mendukungnya,  3  diantaranya  adalah  SQLsus, SQLninja,  dan  The  Mole.  Berdasarkan  tahapan penelitian  yang  telah  dilaksanakan,  serta  pengujian terhadap  3  tools  untuk  SQL  injection,  dapat disimpulkan  bahwa  tools  yang  disarankan  untuk menjalankan  SQL  injection  adalah  SQLsus,  karena dalam  pengujian  tools  dengan  web  serupa,  kami hanya  mendapat  hasil  injection  database  pada SQLsus.  Sedangkan  pada  tools  SQLninja  dan  the mole, database webnya tidak dapat diakses atau tidak berhasil.

## Saran
Bagi  peneliti  selanjutnya,  diharapkan  dapat melakukan lebih banyak percobaan terhadap kinerja setiap  tools  SQL  injection,  serta  memperluas parameter perbandingan sehingga mampu mendapatkan  hasil  yang  lebih  akurat.  Selain  itu, dalam  penelitian  selanjutnya  juga  diharapkan  untuk
menggunakan  lebih  banyak  sumber terpercaya  yang dapat  mendukung  hasil  dari  penelitian  yang dilakukan.

## DAFTAR PUSTAKA
[1] Adinata, P. G. S., Putra, I. P. W. P., Juliantari, N. P. A.  I.,  &  Sutrisna,  K.  D.  A.  (2022).  Analisis Perbandingan  Tools  SQL  Injection  Menggunakan SQLmap, SQLsus dan The Mole. Informatik: Jurnal Ilmu Komputer, 18(3), 286–292.
[2] Alenezi,  M.,  Nadeem,  M.,  &  Asif,  R.  (2021).  SQL injection  attacks  countermeasures  assessments.
Indonesian  Journal  of  Electrical  Engineering  and Computer Science, 21(2), 1121. https://doi.org/10.11591/ijeecs.v21.i2.pp1121-1131
[3] Alghawazi, M., Alghazzawi, D., & Alarifi, S. (2022). Detection  of  sql  injection  attack  using  machine learning  techniques:  a  systematic  literature  review. Journal of Cybersecurity and Privacy, 2(4), 764–777.
[4] Badan Siber dan Sandi Negara [BSSN]. (2020, April 12).  Rekap  Serangan  Siber  (Januari  –  April  2020). https://bssn.go.id/rekap-serangan-siber-januari-april- 2020/
[5] Kareem, F. Q., Ameen, S. Y., Salih, A. A., Ahmed, D. M., Kak, S. F., Yasin, H. M., Ibrahim, I. M., Ahmed, A.  M.,  Rashid,  Z.  N.,  &  Omar,  N.  (2021).  SQL Injection  Attacks  Prevention  System  Technology: Review.  Asian  Journal  of  Research  in  Computer Science, 13–32. https://doi.org/10.9734/ajrcos/2021/v10i330242
[6] Mulyani,  F.,  &  Haliza,  N.  (2021).  Analisis perkembangan  ilmu  pengetahuan  dan  teknologi (IPTEK)  dalam  pendidikan.  Jurnal  Pendidikan  Dan Konseling (JPDK), 3(1), 101–109.
[7] Nursapdahi, N., Fitrani, A. S., Rosid, M. A., & Aji, S. (2022).  STUDI  ANALISA  SERANGAN  SQL INJECTION. Prosiding SEMNAS INOTEK (Seminar Nasional Inovasi Teknologi), 6(1), 185–190.
[8] Raodia, R. (2019). Pengaruh Perkembangan Teknologi Terhadap Terjadinya Kejahatan Mayantara (Cybercrime).  Jurisprudentie:  Jurusan  Ilmu  Hukum Fakultas Syariah Dan Hukum, 6(2), 230–239.
[9] SARKAR, K. (2018a). Sql Injection Best Method For Begineers. smashwords.inc. https://books.google.co.id/books?id=uXhlDwAAQB AJ
[10] SARKAR,  K.  (2018b).  SQL  Programming  & Database Management For Noobee. smashwords,inc. https://books.google.co.id/books?id=PiZmDwAAQB AJ
[11] Tampubolon,  K.  E.  A.  (2019).  Perbedaan  Cyber Attack,  Cybercrime,  dan  Cyber  Warfare.  Jurist- Diction, 2(2), 539–554.