Comment Injection Attack adalah bentuk serangan yang mengeksploitasi kerentanan dalam aplikasi web atau platform yang memungkinkan pengguna untuk memasukkan teks atau komentar.

Hacker menggunakan kerentanan ini untuk menyisipkan kode berbahaya atau skrip ke dalam komentar. Dan kemudian server/aplikasi web akan mengeksekusinya atau pengguna lain juga dapat melihatnya.

Serangan comment injection biasanya juga memanfaatkan memanfaatkan komentar kueri (query database comment) yang dimasukkan ke dalam aplikasi melalui input dapat digunakan untuk menyusupi sistem.

Saat data terurai, kesalahan format dalam komentar yang hacker suntikkan (injected) dapat menyebabkan proses mengambil tindakan tak terduga yang mengakibatkan serangan.

Contoh Serangan Comment Injection

Hacker dapat melakukan serangan semacam ini dengan bahasa pemrograman atau skrip yang berbeda.

Serangan Database Comment Injection

Jika penyerang memiliki kemampuan untuk memanipulasi kueri yang dikirim ke database, maka mereka juga dapat memasukkan karakter pengakhiran. Dampaknya adalah interpretasi kueri akan berhenti pada karakter terminasi:

SELECT body FROM items WHERE id = $ID limit 1;

Mari kita asumsikan bahwa penyerang telah mengirimkan melalui metode GET data berikut yang tersimpan dalam variabel:

$ID: "1 atau 1=1; #"

Pada akhirnya bentuk kueri terakhir setelah melewati proses sistem menjadi:

SELECT body FROM items WHERE id = 1 or 1=1; # limit 1;

Setelah karakter # semuanya akan dibuang oleh database karena dianggap komentar, termasuk limit 1. Sehingga hanya kolom body terakhir dengan semua catatannya yang akan diterima sebagai respon kueri.

Berikut daftar yang dapat penyerang gunakan untuk comment query:

• MySQL:#, --
• MS SQL: --
• MS Access: %00 (hack!)
• Oracle: --

Serangan Null Byte Comment Injection

Untuk mengomentari beberapa bagian kueri, hacker dapat menggunakan urutan standar, tipe untuk bahasa tertentu, atau menghentikan kueri menggunakan metode mereka sendiri yang hanya dibatasi oleh imajinasi mereka.

Contoh yang menarik adalah metode null byte yang digunakan untuk mengomentari semua setelah kueri saat ini di database MS Access.

Informasi lebih lanjut tentang ini terdapat di Embedding Null Code.

Serangan Shell (bash) Comment Injection

Shell (bash) juga memiliki karakter #, yang mengakhiri interpretasi.

Sebagai contoh website memiliki file find.php yang berisi sebagai berikut:

<?php
$sth = $_GET['s'];
system("/usr/bin/find -name '$sth' -type f");
?>

Menggunakan /find.php?s=*'%20%23* hacker akan melewati batasan *-type f* dan perintah ini:

/usr/bin/find -name '*' -type f

Menjadi seperti ini:

/usr/bin/find -name '*' #-type f

Jadi, bentuk akhir perintah yang server web eksekusi menjadi seperti ini:

/usr/bin/find -name '*'

Serangan HTML Comment Injection

Jika tidak ada batasan tentang siapa yang dapat menyisipkan komentar, maka gunakan <!-- (comment tag HTML awalan).

Memungkinkan untuk mengomentari sisa konten yang tampil pada situs web.

Anggap hacker menemukan file example.php seperti ini:

<?php
print "hello!: ";
print $_GET['user'];
print " Welcome friend!";
?>

Lalu hacker melakukan permintaan metode GET berikut:

GET /example.php?user=<!--

Jika website tidak melakukan validasi, maka yang akan tampil hanya seperti ini:

hello!:

Tujuan Hacker Melakukan Serangan

Tujuan serangan ini bervariasi. Beberapa penyerang mungkin mencoba menyisipkan skrip yang merusak untuk mengganggu situs web atau merusak pengalaman pengguna.

Lainnya mungkin mencoba mencuri informasi pribadi atau informasi sensitif dengan SQL Injection yang menjalankan operasi terhadap basis data.

Dampak Serangan

Dampak dari comment injection attack bisa sangat bervariasi tergantung pada apa yang dimaksudkan oleh penyerang, antara lain:

• Penolakan layanan (DoS)
• Mengakses data ilegal
• Defacement situs web
• Pencurian informasi sensitif
• Serangan terhadap pengguna lain yang melihat komentar yang terinfeksi.

Langkah Pencegahan

Untuk melindungi terhadap serangan injeksi komentar, penting untuk memvalidasi semua input yang diterima dari pengguna. Ini termasuk komentar, teks, dan input lainnya yang diterima oleh aplikasi web.

Selain itu, perangkat lunak perlu mengimplementasikan sanitasi (pembersihan) input dan menghindari mengeksekusi teks atau kode yang dimasukkan oleh pengguna.

Penutup

Comment Injection Attack adalah contoh serangan yang menunjukkan pentingnya keamanan perangkat lunak dan pengembangan aplikasi web yang aman. Dengan memahami kerentanan ini dan mengambil langkah-langkah keamanan yang sesuai, pengembang dan pemilik situs web dapat melindungi aplikasi mereka dan pengguna mereka dari serangan semacam ini.