Cara membuat file dalam website mu lebih aman (apache2)

 

Disclaimer: Post ini hanya bertujuan untuk edukasi dengan tema meningkatkan prinsip keamanan CIA Triad ke 1 (Kerahasiaan).

Jujur ini adalah hal yang basic tapi penting banget kalau kalian semisalnya menaruh file penting dalam website kalian yang dibutuhkan seperti config, .htaccess, dan lainnya yang sensitif. Ini sebenarnya bukan kerentanan sih. Hanya saja bisa jadi jembatan penyerang untuk mencari kerentanan lainnya. Hal ini sering ditemukan pada website CBT, website kecil-kecilan, dan website yang kurang diperhatikan

Semisalnya ada suatu website yang menyimpan file rahasia yang ada di /var/www/html atau tempat dimana file index website tersebut ditaruh.

contoh website:

Nah penyerang bisa aja nyari hal yang disembunyikan lewat gambarnya.

Contoh:

ternyata gambar tersebut tersimpan pada suatu direktori "img/" dengan nama file "boci.jpg", coba kita bedah lebih lanjut ke direktori tersebut dengan mengganti "/img/boci.jpg" menjadi "/img" saja.

Nah ada file "secret.html" tuh, coba kita buka.

Ok jadi gimana cara membuat file kita lebih aman? Dalam Linux ada yang namanya "chmod" untuk mengatur izin baca, tulis/edit, dan execute/run. Ketika kita mengakses suatu web apache, kita hampir mirip dengan user www-data dalam mengakses file. User ini dibuat agar ketika penyerang berhasil mendapat akses shell ke web tersebut, dia hanya menjadi user www-data yang memiliki akses terbatas yang lebih dominan ke arah baca saja. Otomatis kita penyerang bisa baca nih file yang sensitif dan gimana cara membuat penyerang atau orang yang tidak memiliki hak tidak bisa membaca file tersebut?

# untuk menghapus izin baca pada user lain (others) pada semua isi direktori + direktorinya (pengunjung web termasuk)
chmod u-rw -R (direktori yang ingin disembunyikan). atau 
chmod u-rw (file) untum file tertentu
# Jangan pakai command yang pertama kalau kalian pakai ke file/direktori yang perlu diakses

Kalau kita jalankan command di atas maka pengunjung/penyerang web tidak bisa melihat file tersebut.

Sebelum pakai command chmod:

Page:

Sesudah:

Page:

Gimana? mudah kan? + direktori "/img" juga tidak bisa diakses oleh pengunjung/penyerang web. Kebanyakan web yang menggunakan cara ini juga lupa untuk menghapus akses baca pada suatu file dalam direktori, jadi walau direktorinya gak bisa kita baca. Kita masih bisa lihat file didalamnya.

Sekian.