Menemukan Bug Website dengan w3af - Web Application Attack and Audit Framework

Oke iseng iseng aja tadi nyoba tools yang ada di BackBox kesayangan. Namanya w3af. Tools ini berfungsi untuk mencari bug pada sebuah website. Ada dua versi, versi GUI dan versi CLI / Console.

Oke sekarang mari saya tunukkan bagaimana tools ini bekerja.

Berhubung saya lebih suka versi console, di tutorial ini saya pakai yang versi console.

Pertama buka terminal, login root.

root@yunivita:/home/jackwilder# w3af_console



Kita gunakan perintah help untuk melihat command yang bisa digunakan

w3af>>> help



Disitu ada perintah target dengan keterangan Configure the target URL.

Berarti kita set target disitu.

w3af>>> target
w3af/config:target>>> w3af/config:target>>> set target http://library.upgrismg.ac.id/  <= sesuaikan sendiri targetnya.

Setelah target di set, kita kembali ke menu utama, lalu masuk ke menu plugins.

w3af/config:target>>> back

w3af>>> plugins



Gunakan perintah help untuk melihat apasaja yang bisa dipakai.

w3af/plugins>>> help



Disana ada perintah audit dengan keterangan View, configure and enable audit plugins.

Kita menggunakan nya untuk menentukan bug apa yang kita cari.

w3af/plugins>>> audit



Disitu ada banyak pilihan, karena saya ingin mencari bug sqli, saya gunakan perintah

w3af/plugins>>> audit sqli

kalau kalian ingin mencoba semua nya, bisa gunakan perintah " audit all "

Gunakan perintah discovery untuk scan lanjutan.

w3af/plugins>>> discovery

Ada banyak pilihan, salahsatunya findBackdoor dengan keterangan Find web backdoors and web  shells.

Kita coba gunakan itu, barangkali beruntung sudah ada yang masuk duluan :v .

w3af/plugins>>> discovery findBackdoor

Untuk mencoba semua nya bisa gunakan perintah " discovery all "

Command output digunakan untuk setting output dari hasil scan.

w3af/plugins>>> output

saya pilih console dan textFile .

w3af/plugins>>> output console, textFile

Setelah semua nya beres, kembali ke menu utama

w3af/plugins>>> back



Lets do it !

w3af>>> start



dan tunggu w3af bekerja untuk kita.

nah, untuk output txt nya bisa dilihat di /usr/share/w3af/ .

Sekian dan semoga bermanfaat.

keep Exploiting.



Original Content created by yuyudhn