My Journey to Become a Bug Hunters | Bug Bounty IDN Bootcamp

Bismillahirrahmanirrahim. So guys, this is my first blog in medium (in Bahasa of course). I hope you guys enjoy read my first blog :)

Disclaimer dulu ya, bahwa di sini saya gak ada maksud untuk sombong atau gimana-gimana, ini pure dari saya ingin share pengalaman menjadi seorang bug hunter, meskipun masih beginner sih 😗 (anak kemarin sore).

Waktu saya masih duduk di bangku SMK, saya sebetulnya baru banget mengenal lebih dekat dengan dunia komputasi. Dari mulai komputasi sederhana, mesin virtual (VirtualBox), bahkan sampai cloud computing. Karena saya mengambil jurusan Sistem Informatika, Jaringan, dan Aplikasi (SIJA), tentunya saya dari awal sudah belajar terkait jaringan komputer (networking). Dari mulai krimping kabel LAN (straight dan cross cable), teknik subnetting (memecah suatu network menjadi sub jaringan yang lebih kecil), switching (penyambungan), dan juga routing (perutean). Untuk praktik switching dan routing sendiri tentunya menggunakan software yang semua anak TKJ sudah pada tau, yaitu Cisco Packet Tracer.

Akan tetapi, sebelum masuk ke materi-materi itu semua, tentunya sebagai seorang anak jaringan perlu khatam atau memahami yang namanya 7 OSI Layer dan TCP/IP yang merupakan hal sangat penting yang perlu dipelajari sebelum mempelajari jaringan komputer lebih lanjut. Hal tersebut bertujuan untuk memberikan gambaran terkait bagaimana komputer saling berkomunikasi satu sama lainnya.

Sedikit penjelasan terkait 7 OSI layer yang saya sudah saya pelajari sebelumnya:

Dari 7 OSI Layer yang telah dipelajari tersebut, kemudian dipelajari cara melakukan krimping kabel LAN, yang mana itu merupakan bagian dari Layer 1 (Physical Layer). Eits… media transmisi itu bukan cuman kabel LAN (wired) ygy, melainkan ada juga nirkabel (wireless) yang melalui media udara atau gelombang radio (penjelasan ada di layer 1). Oleh karena itu, transmisi via nirkabel cenderung tidak stabil, karena ada banyak redamannya (obstacle) ketimbang kabel LAN. Tapi jangan salah, kabel pun juga bisa rusak karena tidak terurus atau digigit tikus 🤣.

Selain itu, setiap media transmisi juga ada range atau jangkauannya, biasa dikenal dengan istilah PAN, LAN, MAN, dan WAN kalau konteksnya wired, kalau konteksnya wireless, tambahin W (wireless) di depannya, jadi WPAN, WLAN, WMAN, dan WWAN. Maka dari itu, berterima kasihlah kepada internet provider kita karena dengan adanya jasa mereka, saat ini kita bisa berinternetan 😆. Kadang lemot gapapa namanya juga ISP Indonesia 🤫, kalau mau cepet langganan yang agak mahalan aja ygy. Nah, kalo gw bilang “lemot” berarti ada something yang juga menjadi pembatas. Ternyata, setiap media transmisi itu ada maksimum jangkauan dan kecepatan transmisi paket datanya. Misalnya, kita beli paket internet sebulan itu kecepatannya cuma 1MB. Berarti mau dibeli perangkat secanggih apa pun untuk nge-boost kecepatan jaringan kita ya gak bakalan bisa, karena emang patokannya udah segitu (dikenal dengan istilah bandwidth).

Kalau kita dalamin lagi materi networking emang sepertinya gak ada habisnya, tetapi kalau mau jadi anak jaringan sejati, konsep-konsep dasar begitu bagi saya gak terlalu rumit. Mungkin rumitnya itu di bagian Subnetting dan Variable Length Subnet Mask (VLSM), karena ada perhitungannya 😅.

Jadi, OSI layer itu berfungsi sebagai standar dalam mengatur komunikasi di dalam jaringan komputer dan setiap layernya memiliki tugas dan fungsionalitasnya masing-masing. Setiap layer tersebut juga saling berkaitan satu sama lainnya, bayangin aja kalo misal kabel LAN putus, berarti sambungan kita ke internet juga bakal terputus karena kita gak mendapatkan IP dari router, baik secara dinamis atau statis.

Dosen saya pernah berkata:

Anak jaringan kalau belum paham/mengerti OSI Layer dan TCP/IP, jangan pernah ngaku-ngaku jadi anak jaringan.

Cerita pengalaman singkat waktu PKL di kelas 13 / di semester 7 & 8 (FYI: SIJA itu jurusannya 4 tahun). Kebetulan saya magang diperusahaan yang bergerak di bidang Enterprise Network and Server. Di sana, saya diberikan keleluasaan untuk menimba ilmu sebanyak-banyaknya. Job desk saya pada waktu itu adalah sebagai IT support aja sih sebetulnya, di mana saya pernah mengerjakan beberapa hal yang juga berkaitan dengan jaringan, seperti:

Jujur, selama masa SMK, saya sama sekali tidak melakukan develop aplikasi web. Kebanyakan itu terkait GUI (Desktop) App dan Mobile App. Nah, untuk memenuhi rasa penasaran saya terkait web programming, saya mengikuti sertifikasi gratis yang ada di website “https://freecodecamp.org”. Sertifikasi yang saya ikuti itu bernama Responsive Web Design.

Entah mengapa, ketika saya mengikuti sertifikasi tersebut cukup membosankan karena tidak ada hal menarik yang bisa membuat saya untuk berpikir lebih kritis atau “think logically”. Tetapi, at least saya jadi tau basic dari Web Design, di mana saya belajar dasar HTML, CSS dan JavaScript.

Nah, setelah masuk perkuliahan, tepatnya di semester 3 lalu, saya mendapatkan tugas besar yang sangat melelahkan (kondisinya belum ada basic sama sekali terkait web development). Yup, di mana saya harus membuat sebuah produk IoT dengan disambungkan dengan aplikasi web yang harus didevelop sendiri. Memang meskipun dikerjakan secara berkelompok, tetapi saya kebagian di bagian backend karena lebih tertarik di logic dan database ketimbang interface (UI/UX). Waktu itu, saya membuat aplikasi web berbasis Python dengan menggunakan framework sederhana, yaitu Flask. Sebelum saya menggunakan Flask, saya menggunakan Native PHP, di mana itu sangat merepotkan karena banyak hal yang harus dilakukan secara manual. Oleh karena itu, di tengah jalan saya memutuskan untuk menggantinya dengan Flask.

Kenapa gak pake Laravel / CI aja mas? Waktu itu, dosen matkul Pemrograman Berorientasi Objek (PBO) saya menyarankan untuk menggunakan Flask saja, karena matkul dia pakai bahasa Python 🗿. Yasudah, daripada saya pusing mempelajari banyak bahasa pemrograman sekaligus, lebih baik saya menggunakan Flask 😅.

Dari proyek tersebut, saya mengeksplorasi hal-hal baru, seperti:

Dari situ, saya menyadari struggle dan waktu development yang tidak main-main saat bekerja di bagian backend. Belum lagi masalah team work yang terkadang miscomm bisa menyebabkan ketidaksinkronan dengan bagian lain, terutama bagian Front-end.

Berikut adalah link repo GitHub proyek “SmarTendance” untuk memudahkan rekap absensi mahasiswa dan dosen dengan menggunakan NodeMCU dan modul RC522 (RFID).

Awal mula saya tertarik di dunia siber itu ketika masih semester 2, di mana terdapat Kelompok Studi Mahasiswa (KSM) bernama Computer Student Club (CSC). Di KSM-CSC sendiri menyediakan 3 kelas / divisi yang dapat diikuti, di antaranya: Cyber Security, Software Development, dan Explore (IoT). Setelah saya daftar dan diterima sebagai member Cyber Security, saya mendapatkan insight dan ilmu baru terkait “hacking”. Dan selama saya mengikuti kelas tersebut, ternyata fokus pembelajarannya itu lebih mengarah ke web application pentesting. Karena saya pikir back-end development juga membutuhkan security, why not kalau saya juga menekuni bidang penetration testing (red team) ini.

Beberapa hal penting yang saya dapatkan dari kelas tersebut:

Sebagai member yang baik, tentunya saya memiliki keinginan untuk berprestasi dan alhamdulillahnya itu terwujud dengan memenangkan lomba Kompetisi Mahasiswa Informatika Politeknik Nasional (KMIPN 5) di Politeknik Negeri Elektronik Surabaya (PENS) cabang lomba Cyber Security (CTF). Di lomba tersebut ada 2 jenis CTF yang dilombakan, yaitu pastinya “Jeopardy-style” dan “Attack-Defense style”. Menurut saya, tingkat jeopardy tidak begitu sulit bagi pemula, jadi saya pikir sangat bagus untuk melatih analisis celah atau bug yang ada di suatu aplikasi. Saya sendiri lebih berfokus pada kategori Web Exploitation dan OSINT. Pusing ges kalo kripto atau pwn (a.k.a binary exploitation) 😅.

Selain itu, hasil dari skill Cyber Security yang terus saya asah akhirnya melahirkan PoC “Reflected XSS” pertama yang saya temukan di salah satu instansi pemerintahan Indonesia. Sebetulnya saya ingin membagian write up nya tapi ditakutkan dari instansi terkait tidak mengizinkan jadi saya pikir tidak perlu dishare. Tapi pada intinya, saya menemukan bug itu pertama-tama memanfaatkan google dorking sebagai berikut.

Ketemulah saya pada web pemerintah di bawah ini, dan ketika saya coba deteksi celah XSS di input field, ternyata ke-trigger. Senengnya minta ampun mas 😂. Di situ saya langsung bikin laporan (Web Vulnerability Report) dan kirim reportnya ke email CSIRT instansi terkait.

Sebetulnya ada banyak lagi sih, tapi 1 aja udah cukup biar gak dikira pamer dan kepanjangan juga 😂. Btw, itu gak ada bounty ya ges, cuman saya report aja (biasalah instansi kita 😅). Tapi yang pasti gak melulu XSS ya ges, saya pernah nemuin celah SSRF dan HTML Injection di instansi pemerintahan juga.

Dari yang sudah saya jelaskan sebelumnya, dapat ditarik kesimpulan bahwa jaringan komputer sangat memegang peranan penting, karena tanpa adanya dia mungkin kita gak bisa masih susah untuk saling berkomunikasi 😚. Pada intinya, jaringan komputer menurut saya adalah komunikasi antar-komputer melalui protokol TCP/IP melalui media transmisi tertentu dan berdasarkan jarak tertentu di dalam jaringan, sehingga orang lain yang dalam 1 segmen jaringan dengan kita bisa saling berkomunikasi satu sama lain.

Programming (dalam hal ini fokusnya di web development) adalah suatu aktivitas yang dilakukan guna menyelesaikan sebuah permasalahan sesuai dengan ketentuan yang berlaku, seperti logika dan alur pemrograman. Hasil akhirnya, seorang developer atau programmer bisa menghasilkan suatu sistem atau aplikasi yang bermanfaat dan bisa dipakai oleh orang lain.

Cyber security merupakan ilmu yang mempelajari tentang tindakan pencegahan terhadap adanya serangan-serangan, penyusup, dan bentuk cyber crime lainnya, yang dapat terjadi pada suatu sistem atau aplikasi. Segala bentuk ancaman siber dapat masuk dari segala lini, utamanya jaringan komputer. Karena jika kita sudah terkoneksi dengan internet, mau tidak mau kita harus menerima segala risiko ancaman siber yang bisa terjadi kapan saja ( take it or leave it ? ). Maka dari itulah, muncul Blue team (defensive), seperti Computer Security Incident Response Team (CSIRT) yang bertugas untuk mengamankan dan mencegah serangan-serangan yang terjadi supaya tidak makin menyebar ke sistem lain. Jadi, selalu tanamkan prinsip bahwa:

No system is safe.

Harapan saya bisa keterima di bootcamp bug bounty by IDN supaya saya bisa mendapatkan materi-materi baru yang belum pernah saya pelajari sebelumnya atau minimal bisa mendapatkan insight baru dari kakak-kakak mentor. Dan insya allah, ke depannya saya bisa mengamalkan ilmu yang sudah didapatkan ke orang-orang yang sekiranya membutuhkan 😌. Selain itu, apalagi kalau bukan karena uang 🤑, usaha keras harus dibayar dengan hasil yang memuaskan ya kan ges?. Bismillah, target di tahun ini (2024) bisa dapet bounty minimal ≥ $100 (ratusan dollah 😋). Aaamiiin.

Saya menggunakan google dork untuk mencari referensi dengan tema sejenis yaitu:

Alhasil, saya bisa membaca artikel teman-teman yang juga ikut berpartisipasi dalam event bug bounty hunters ini. Gapapa kan? Orang legal juga kok 😁.