Publisher

LENTERADUALENTERADUA

Journal JNANALOKAJNANALOKA Abstract

Keamanan siber adalah komponen krusial dalam siklus hidup pengembangan aplikasi web modern, terutama dalam menangani sejumlah besar data sensitif. Aplikasi web, meskipun didukung oleh teknologi keamanan yang terus maju, tetap menjadi target utama bagi serangan siber yang berevolusi. Penelitian ini berfokus pada analisis dan mitigasi dua ancaman keamanan paling signifikan: Cross-Site Scripting (XSS) Stored dan Broken Access Control (BAC) pada aplikasi web kaspedia.web.id. Kerentanan XSS Stored memungkinkan penyerang menyuntikkan skrip berbahaya secara permanen ke database, yang kemudian dieksekusi tanpa disadari oleh browser pengguna lain. Sementara itu, BAC timbul akibat kegagalan validasi akses yang memadai di sisi server, memungkinkan pengguna yang tidak berwenang untuk mengakses sumber daya atau fungsi yang seharusnya terbatas. Untuk mengatasi permasalahan ini, penelitian mengadopsi metodologi pengujian penetrasi yang sistematis dan analisis kode statis. Tahap deteksi melibatkan pengujian fungsionalitas aplikasi menggunakan alat bantu khusus untuk mengidentifikasi titik injeksi XSS dan celah otorisasi. Metode pencegahan yang diimplementasikan meliputi input sanitization dan output encoding yang ketat untuk menetralkan payload XSS, serta penerapan mekanisme server-side authorization yang ketat untuk memverifikasi setiap permintaan akses terhadap kebijakan hak pengguna yang ditetapkan. Hasil penelitian menunjukkan bahwa aplikasi kaspedia.web.id memiliki kerentanan XSS Stored pada modul input data dan kerentanan BAC pada beberapa endpoint manajerial. Setelah intervensi pencegahan diterapkan, kedua jenis kerentanan tersebut berhasil dieliminasi, sehingga secara signifikan meningkatkan postur pertahanan aplikasi. Kesimpulannya, deteksi proaktif dan penerapan mekanisme pencegahan yang terstruktur, yang menggabungkan validasi input dan kontrol akses berbasis server, adalah upaya yang sangat efektif dalam memperkuat keamanan aplikasi web modern terhadap ancaman XSS Stored dan Broken Access Control. Hal ini memastikan integritas dan kerahasiaan data pengguna.

Conclusion

Penelitian ini berhasil mendeteksi kedua kerentanan utama sesuai judul, yaitu Cross-Site Scripting (XSS) Stored pada 4 endpoint (CVSS 8.0 - High) dan Broken Access Control (BAC) pada 4 endpoint (CVSS 9.1 OWASP Top 10 2021, memungkinkan penyerang mengakses data sensitif dan fungsi admin tanpa autentikasi yang memadai, membuktikan urgensi pencegahan melalui RBAC dan server-side authorization.XSS Stored pada 4 endpoint berpotensi menyebabkan session hijacking, account takeover, dan defacement, mengkonfirmasi keberhasilan deteksi menggunakan OWASP ZAP dan kebutuhan pencegahan melalui CSP input sanitization.Penelitian mengidentifikasi total 8 kerentanan kritis yang menegaskan ketidakcukupan sistem kontrol akses dan sanitasi input saat ini pada kaspedia.Kerentanan ini membuka peluang data breach massal, kerugian finansial, dan hilangnya kepercayaan pengguna, menekankan pentingnya strategi pencegahan yang komprehensif.

Future Research

Saran penelitian lanjutan meliputi pengembangan sistem deteksi real-time berbasis machine learning untuk XSS dan BAC, dengan pendekatan Locate-Then-Detect untuk akurasi tinggi dan latensi rendah. Selain itu, penting untuk mengembangkan Automated Black-Box BAC Scanner yang disesuaikan dengan konteks aplikasi lokal di Indonesia, serta mengintegrasikan Integrated Security Testing Pipeline (SAST DAST SCA) ke dalam siklus pengembangan. Penelitian juga dapat menguji efektivitas WAF (Web Application Firewall) versus implementasi RBAC (Role-Based Access Control) pada aplikasi web Indonesia, dan merancang Hybrid XSS Prevention Framework yang menggabungkan berbagai lapisan mitigasi seperti CSP dan deteksi anomali berbasis machine learning. Terakhir, adaptasi Kerangka Kerja DevSecOps yang komprehensif, sesuai dengan regulasi pemerintah Indonesia, akan menjadi krusial untuk menciptakan ekosistem pengembangan aplikasi yang aman.

References

1. [2502.19095] Cross-site scripting adversarial attacks based on deep reinforcement learning: Evaluation... doi.org/10.48550/arXiv.2502.190952502 19095 Cross site scripting adversarial attacks based on deep reinforcement learning Evaluation doi 10 48550 arXiv 2502 19095
2. Survey on detecting and preventing web application broken access control attacks | Anas | International... ijece.iaescore.com/index.php/IJECE/article/view/33835Survey on detecting and preventing web application broken access control attacks Anas International ijece iaescore index php IJECE article view 33835
3. Vulnerabilities of Web Applications: Good Practices and New Trends. web applications good practices trends... acigjournal.com/Vulnerabilities-of-Web-Applications-Good-Practices-and-New-Trends,199521,0,2.htmlVulnerabilities of Web Applications Good Practices and New Trends web applications good practices trends acigjournal Vulnerabilities of Web Applications Good Practices and New Trends 199521 0 2 html
4. [2507.15984] BACFuzz: Exposing the Silence on Broken Access Control Vulnerabilities in Web Applications.... doi.org/10.48550/arxiv.2507.159842507 15984 BACFuzz Exposing the Silence on Broken Access Control Vulnerabilities in Web Applications doi 10 48550 arxiv 2507 15984
5. 403 Forbidden? Ethically Evaluating Broken Access Control in the Wild | IEEE Conference Publication |... ieeexplore.ieee.org/document/11023451403 Forbidden Ethically Evaluating Broken Access Control in the Wild IEEE Conference Publication ieeexplore ieee document 11023451

Metadata

File size	8.9 MB
Pages	13
DMCA	Report