URL Directory Traversal Attack

Url Directory Traversal merupakan jenis serangan HTTP exploit yang muncul ketika ada misconfigurations akses ke direktori di atas root. Jenis serangan ini juga dikenal sebagai jalur traversal, Directory Climbing, backtracking, atau serangan dot-dot-slash (../) karena karakter yang digunakan. Kerentanan Directory Traversal dapat ditemukan dengan menguji HTTP request, formulir, dan cookie.

URL Directory Traversal

Impact:

• Aktifitas ini memungkinkan attacker dapat mengakses direktori dan dapat mengeksekusi perintah diluar dari direktori root web server.
• Penyerang dapat menambah, melihat, menghapus atau memodifikasi data dalam database aplikasi yang terkena dampak.
• Attacker dapat menyisipkan perintah-perintah berbahaya untuk mengambil alih perangkat.

Recommendation:

1. Lakukan perubahan pada script di PHP dengan menambahkan filter yang tidak memperbolehkan user untuk mengakses direktori lain dengan perintah back (../)
2. Gunakan daftar kontrol akses yang sesuai dan memastikan hak akses file yang ditetapkan.
3. Hindari menyimpan informasi sensitif atau file konfigurasi apa pun di dalam root dokumen web.
4. Lakukan validasi input pengguna dengan hanya menerima data yang dikenal.
5. Gunakan Chrooted Jail (cara untuk mengisolasi suatu proses dan child dari sisa sistem. Seharusnya hanya digunakan untuk proses yang tidak berjalan sebagai root) dan kebijakan akses kode untuk membatasi di mana file dapat diperoleh atau disimpan.
6. Lakukan pembaruan dan patch pada perangkat lunak, penyaringan input dari browser
7. Gunakan Scanner untuk melakukan pengetesan pada webserver seperti Acunetix Web Vulnerability Scanner.