Implementasi Penetration Testing untuk Mendeteksi Kerentanan XSS berbasis CLI (Command Line Interface)

Abstract

Ketergantungan layanan publik terhadap platform berbasis web turut meningkatkan risiko keamanan aplikasi, salah satunya kerentanan Cross-Site Scripting (XSS) yang menurut data Badan Siber dan Sandi Negara (BSSN) tercatat dalam jumlah anomali trafik siber yang tinggi di Indonesia sepanjang tahun 2023, sementara alat pemindai kerentanan berbasis antarmuka grafis (GUI) seperti OWASP ZAP masih membutuhkan konsumsi sumber daya yang besar dan kurang fleksibel untuk diintegrasikan ke dalam alur kerja otomasi seperti Continuous Integration/Continuous Deployment (CI/CD). Penelitian ini bertujuan merancang dan mengimplementasikan aplikasi pemindai kerentanan XSS berbasis Command-Line Interface (CLI) bernama xssniff menggunakan bahasa Python dengan metode black-box testing terhadap Damn Vulnerable Web Application (DVWA) pada tingkat keamanan Low, Medium, dan High. Aplikasi dibangun dengan arsitektur pipeline tujuh tahap yang meliputi Target Parser, Preflight, Parameter Mining dan Crawler, Reflection dan Context Analyzer, Payload Engine dan Encoder, WAF Fingerprinting, serta Verifier dan Reporter, dan dievaluasi menggunakan pendekatan analisis fungsional deskriptif. Hasil penelitian menunjukkan bahwa xssniff berhasil mendeteksi dan memverifikasi ketiga tipe XSS, yaitu Reflected, Stored, dan DOM-based, pada seluruh tingkat keamanan DVWA, termasuk keberhasilan melewati filter pada tingkat High melalui manipulasi atribut event handler, validasi Stored XSS melalui metode dua langkah POST kemudian GET, serta konfirmasi eksekusi DOM-based XSS tanpa hasil positif palsu menggunakan integrasi headless browser Playwright. Aplikasi juga menghasilkan keluaran JSON Envelope yang mendukung kebutuhan otomasi pengujian keamanan. Ketersediaan alat deteksi XSS yang ringan dan dapat diotomasi ini turut mendukung capaian Tujuan Pembangunan Berkelanjutan (SDGs), khususnya SDG 9 Target 9.1 mengenai penyediaan infrastruktur yang andal, SDG 16 Target 16.10 mengenai perlindungan akses publik terhadap informasi, dan SDG 8 mengenai keamanan data dalam ekonomi digital.