Web Application Security Fundamentals #11: Tools Dasar Web Security Testing

Tool bukan metodologi. Tool membantu mengamati atau menguji hipotesis, tetapi tetap memerlukan scope, izin, konfigurasi, dan interpretasi manusia.

Etika dan scope: praktikkan hanya pada local lab, aplikasi milik sendiri, atau sistem yang memberikan izin tertulis. Tutorial ini tidak mengizinkan pengujian terhadap target publik.

Tujuan pembelajaran

• memilih tool berdasarkan pertanyaan testing
• membedakan SAST, DAST, SCA, dan secret scanning
• membangun local lab yang aman
• mencatat evidence dan keterbatasan hasil

Prasyarat

Gunakan browser modern, Developer Tools, dan local lab. Catat versi tool serta environment ketika menguji. Output contoh bersifat ilustratif kecuali dinyatakan sebagai hasil pengujian; jangan menganggap perilaku satu stack berlaku universal.

1. Mulai dari scope

Tulis target yang berizin, waktu, environment, akun test, data yang boleh digunakan, teknik yang dilarang, stop condition, dan contact person. Bahkan scanner “ringan” dapat memicu load atau mengubah data.

2. Browser Developer Tools

Network panel membantu melihat request, response, cookie, cache, CORS, CSP, dan timing. Application panel menunjukkan storage. DevTools tidak membuktikan server-side authorization; gunakan sebagai observability client.

3. curl

curl berguna untuk request reproducible:

curl --fail-with-body   --request GET   --header 'Accept: application/json'   https://example.test/api/health

Jangan menempel token nyata ke shell history atau dokumentasi publik.

4. Intercepting proxy

Proxy seperti OWASP ZAP atau Burp membantu inspeksi dan replay pada lab. Passive scan lebih aman daripada active scan, tetapi tetap periksa scope. Matikan fitur otomatis yang tidak dipahami.

5. SAST, DAST, SCA, secret scanning

• SAST menganalisis source/representation dan dapat kehilangan runtime context.
• DAST menguji aplikasi berjalan tetapi tidak melihat semua jalur kode.
• SCA memeriksa component/dependency dan advisory.
• Secret scanning mencari pola credential tetapi tidak memastikan status valid.
• IaC/container scanning meninjau configuration dan package.

Gabungkan hasil; jangan menjumlahkan temuan mentah sebagai risk score.

6. WSTG sebagai struktur

Gunakan OWASP WSTG untuk menyusun area testing: configuration, identity, authentication, authorization, session, input, error handling, cryptography, business logic, client-side, dan API.

7. Kelola temuan

Catat title, asset, precondition, langkah aman, evidence yang sudah disanitasi, impact, likelihood, remediation, owner, due date, dan retest. Hindari menyimpan credential atau personal data dalam screenshot.

Kesalahan umum

• Active scan langsung ke production.
• Menganggap absence of finding sebagai absence of vulnerability.
• Memublikasikan token pada report.
• Tidak mencatat versi tool/ruleset.
• Tidak melakukan manual validation.

Quality gate sebelum diterapkan

• [ ] Scope dan asset sudah jelas.
• [ ] Control dijalankan di sisi yang menjadi security boundary.
• [ ] Positive test dan negative test tersedia.
• [ ] Error tidak membocorkan secret atau detail internal.
• [ ] Logging cukup untuk detection tanpa merekam credential.
• [ ] Versi dependency dan dokumentasi dicatat.
• [ ] Tidak ada klaim “100% aman”.
• [ ] Perubahan diuji pada staging atau local lab.

Kesimpulan

Setelah memahami tools, tutorial berikutnya mengikat hasilnya ke secure coding practices yang dapat dipakai sehari-hari.

Referensi resmi

• OWASP Top 10:2025 — diakses 22 Agustus 2026.
• OWASP Cheat Sheet Series — diakses 22 Agustus 2026.
• OWASP Web Security Testing Guide — Stable — diakses 22 Agustus 2026.
• MDN Web Security — diakses 22 Agustus 2026.