Mengamankan Situs Joomla Anda

By ari syarifudin | Category: Tutorial Joomla CMS

Joomla bukanlah bikinan dewa. Bukan juga hasil pertapaan para paranormal. Joomla adalah hasil inisiatif dan kreatifitas para developer/programmer. Namun karena dia buatan manusia, dia tidak sempurna. Ada banyak rongga (port) yang bolong. Ada juga rongga (lack) yang saling bersikutan (bug). Ada juga kesalahan webmasternya.

Pertanyaan, sudah amankah Situs Joomla anda? Tak ada kesempurnaan dalam karya cipta manusia. Karena proses berpikir manusia terus berubah mencari perbaikan atas karya ciptanya. Bicara karya cipta, maka kita bisa membicarakan Joomla sebagai bahasannya. Joomla pun tak luput dari banyak kesalahan.

Namun selalu ada saja perbaikan yang dikeluarkan. Jadi sistem tambal sulam (patching) berlaku umum dalam dunia opensource. Windows yang dikerjakan ratusan programmer pun masih banyak kecolongannya. Ada banyak pertanyaan seputar titik keamanan situs Joomla. Sebagai sebuah program opensource, Joomla terbuka untuk dikritik dan dihack. Juga terbuka untuk proses perbaikan sistemnya (Patching). Ada tiga hal yang bisa dijadikan patokan untuk menguji tingkat keamanan situs Joomla. Ketiga hal itu yaitu :

Integritas (keterpaduan) kode script PHP dan html di Joomla Permissions Joomla (CHMOD)  Setting dan Konfigurasi Joomla (Configuration Joomla dan Component) Komponen extensions, plugin, dan addon yang mengelilingi situs Joomla Integritas (keterpaduan) kode script PHP dan html di Joomla Joomla 1.5.xx adalah salah satu contoh betapa kecolongan di kesempurnaan koding itu diperlukan. Namun bila luput maka dia menjadi sasaran tembak. Joomla yang didesain sebagai situs komunitas (web 2.0). Situs komunitas membutuhkan interaksi antara user (member), visitor dan pemilik (owner). Interaksi pasti akan mengorbankan celah untuk disusupi. Kehadiran form merupakan sarana awal untuk melakukan kejahatan di web. Form sebenarnya adalah pintu (backdoor) yang paling mudah untuk dihack. Maka Joomla 1.5.0 menjadi terbuka scriptnya untuk diakali dengan penyisipan karakter yang bisa mengacaukan sintak script. Permissions Joomla (CHMOD) Ini merupakan senjata andalan para hacker (tester) untuk menguji tingkat ketertutupan situs atas ancaman penyisipan kode (shell unix, phpshell). Semakin terbuka permissions-nya maka semakin mudah sebuah situs diacak-acak dengan mengandalkan permissions sebuah situs. Semakin terbuka CHMOD-nya maka semakin mudahlah sebuah web Joomla diobok-obok. Jadi sudahkan anda menset folder dan file anda pada posisi aman. Lihat kembali permissions semua folder dan file. Pekerjaan mengecek adalah membosankan dan melelahkan. Namun capek sekarang lebih baik daripada nanti bila sudah dihack. Tips, gunakan software ketiga untuk mengecek permissions. Gunakan aplikasi FTP seperti Cuteftp, Filezilla, Fireftp, wsftp dan lain-lain untuk mengecek permissions secara besar-besaran. Setting dan Konfigurasi Joomla (Configuration Joomla dan Component) Situs Joomla saya pernah dihack. Salahsatunya adalah melalui pintu file configuration.php. File ini di-include di index.php untuk ditampilkan. Akhirnya file configuration.php ini diacak-acak, dihapus dan diganti dengan pesan “Your site has been hacked” Ohh sakitnya. Malang benar. Boss langsung ngamuk. Sebulan saya kerja bakti membereskan situs tersebut. Setelah saya selidiki ternyata saya salah men-set time sessions yang sangat lama dan permissions file configuration.php adalah 664. Yang lainnya tertutup (666 dan 755) Penting untuk diperhatikan bahwa jangan mengubah konfigurasi standar (default) dari Joomla. Biarkan semua konfigurasi berjalan normal (default). Tidak diubah-ubah bila memang tidak dibutuhkan. Pastikan anda tahu apa yang diubah. Dan pastikan juga untuk men-debug situs setelah diubah konfigurasinya Komponen extensions, plugin, dan addon yang mengelilingi situs Joomla Ini yang berbahaya. Paling umum dan sering dikeluhkan adalah serangan melalui extension Joomla. Para extensions joomla seperti plugin (mambot), module dan component adalah sasaran empuk untuk dihack. Berikut ini adalah extensions yang sudah enak dan empuk untuk diacak-acak oleh hacker. simple shop 2.0 SQL Injection Vulnerable com_hwdvideoshare SQL Injection Vulnerable com_clasifier (cat_id) SQL Injection Vulnerable com_pccookbook (user_id) SQL Injection Vulnerable astatsPRO 1.0 refer.php SQL Injection com_galeria Remote SQL Injection Vulnerable jooget <= 2.6.8 Remote SQL Injection Vulnerable mediaslide (albumnum) Blind SQL Injection Explt. xfaq 1.2 (aid) Remote SQL Injection Vulnerable NeoGallery 1.1 SQL Injection Vulnerable com_noticias 1.0 SQL Injection Vulnerable com_doc Remote SQL Injection Vulnerable Marketplace 1.1.1 SQL Injection Vulnerable mosDirectory 2.3.2 (catid) SQL Injection Vulnerable Ini baru sebagian saja contoh extensions yang diketahui memiliki lobang (port) untuk diungkap (hacked). Suka atau tidak suka kita hidup di bawah aktivitas hacking “hacktivism”. Maka Waspadalah. Karena waspada saja juga tidak cukup. Mari tambal sulam (patching) Joomla anda.