Seni Hacking : XXE, Rantai SSRF, dan Etika Ketika Menyingkap Rahasia Sistem

Penulis: fumi valtherion

Sebuah refleksi gelap tentang bagaimana XXE dapat merantai ke SSRF, batas etika, dan cara aman menguji serta menambalnya.

Bayangan di Balik Kode

Di balik baris XML yang dingin ada niat dan konsekuensi. Seni hacking bukan sekadar memaksa pintu terbuka—ia adalah seni membaca arsitektur tempat pintu itu dipasang. Saat sebuah parser membiarkan deklarasi eksternal, ia memberi celah bagi bayangan untuk mengirim permintaan atas nama mesin. Di sinilah XXE menjadi pena dan SSRF tinta hitamnya.

Rantai Eksploit

Seorang peretas artistik menaburkan ide: mengubah cara sistem ‘melihat’ sumbernya sendiri. Dengan memasukkan deklarasi entitas yang menunjuk ke sumber lain, ia memaksa server berbicara pada alamat yang semula tak terlihat — sebuah dialog terlarang antara mesin dan dunia internalnya. Ketika dialog ini memanggil layanan internal, eksploit berubah bentuk: dari pembacaan menjadi pemanggilan, dari kebocoran menjadi pintu masuk ke jaringan tertutup.

Etika dan Batas

Beraksi hanya di laboratorium yang terisolasi adalah hukum pertama. Menguji tanpa izin adalah menghancurkan; mengungkap kelemahan tanpa tanggung jawab adalah lupa menjadi manusia. Seni gelap yang bermutu menuntut izin tertulis, lingkungan terkontrol, dan tujuan memperkuat — bukan merusak.

Contoh (TEMPLATE) — SANITIZED & NON-RUNNABLE

Penting: ini bukan payload siap pakai. Ini hanya template struktur untuk dipahami dan diisi dalam lab yang terisolasi. Jangan pernah menyalin ke lingkungan produksi atau target tanpa izin eksplisit.

Template struktur DOCTYPE/XML (contoh konseptual, isi diganti dengan placeholder):

<!DOCTYPE root [
  <!ENTITY % ext SYSTEM "URL_TARGET_PLACEHOLDER">
  %ext;
]>
<root>&ENTITY_PLACEHOLDER;</root>

Gunakan URL_TARGET_PLACEHOLDER hanya dalam VM lab yang terisolasi, dan ganti ENTITY_PLACEHOLDER dengan nama entitas yang sesuai. JANGAN gunakan alamat nyata dari layanan yang bukan milikmu (mis. metadata cloud publik).

Cara Menyiapkan Lab Aman (sandbox / VM only)

Siapkan dua VM terisolasi (host attacker dan host target) di jaringan NAT/isolated (tidak ke internet publik).
Gunakan snapshot sebelum tiap tes dan revert setelah selesai.
Jalankan target di jaringan internal yang memuat aplikasi vulnerable (contoh aman: OWASP WebGoat, Juice Shop, atau VM intentionally vulnerable).
Pastikan host lab tidak memiliki kredensial cloud nyata atau akses ke metadata service publik.
Gunakan alat pentest lokal (Burp Suite di VM attacker) dan catat semua aktivitas; jangan mengarahkan request keluar jaringan terisolasi.
Pastikan logging penuh dan hukum/izin tertulis untuk setiap pengujian.

Payload-Ready Alternatif (Aman untuk Pengujian)

Daripada payload nyata, gunakan simulasi: buat layanan internal palsu di VM target (mis. HTTP server lokal yang mengembalikan string penguji). Arahkan template entitas ke alamat server palsu tersebut sehingga kamu dapat mengamati perilaku tanpa mengakses resource sensitif nyata.

Langkah Mitigasi & Patch Teknis (langsung bisa dipakai)

Java (SAX / DocumentBuilderFactory) — nonaktifkan DTD dan external entities:

DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
dbf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
dbf.setFeature("http://xml.org/sax/features/external-general-entities", false);
dbf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
dbf.setXIncludeAware(false);
dbf.setExpandEntityReferences(false);

Python — jangan gunakan xml.etree.ElementTree untuk data tak tepercaya; gunakan defusedxml:

from defusedxml import ElementTree as DefusedET
tree = DefusedET.fromstring(untrusted_xml)

Whitelist & Validasi: tolak dokumen yang mengandung DOCTYPE atau entitas eksternal; jika aplikasi mesti menerima XML kompleks, lakukan validasi schema ketat dan sanitasi sebelum parsing.
Network Controls: blokir akses aplikasi ke metadata internal dan alamat link-local melalui firewall/ACL. Terapkan egress filtering pada layer host/container.

Checklist Pengujian & Pelaporan (untuk pentester yang etis)

Izin tertulis dari pemilik sistem ✅
Lab terisolasi dan snapshot tersedia ✅
Logging & bukti (PCAP, HTTP logs) disimpan ✅
Rekomendasi perbaikan dan patch disertakan dalam laporan ✅

Epilog

“Bila kau mengerti bagaimana bayangan berbisik pada mesin, gunakanlah pengetahuan itu untuk menutup pintu lain yang bisa dibuka bayangan.”

https://god-of-server.id