Kejadian ini bermula ketika saya menemukan Debug Bar yang terdapat pada website milik salah satu lembaga pemerintah Indonesia. Di dalam Debug Bar, saya dapat melihat history traffic aktivitas website dan menemukan informasi terkait ci_session dari aktivitas user.
Dari temuan ci_session, saya melakukan eskalasi serangan Session Hijacking menggunakan extension Cookie-Editor .
PoC
Saya Ubah terlebih dahulu value ci_session yang ada di extension dengan value ci_session yang ada di Debug Bar. Selanjutnya, saya mengunjungi URL yang tercantum di Referer
Hasilnya, serangan Session Hijacking berhasil. Saya bisa masuk ke dalam dashboard user tanpa harus login menggunakan username dan password.
Temuan ini sudah saya laporkan kepada tim IT lembaga dan saat ini sudah diperbaiki.
Emang boleh website pemerintah se-humble ini? hehe~
Sekian dan terima kasih.
Maha benar Tuhan, maha kadang-kadang umat-Nya.