Perpustakaan Digital ITB

Seiring perkembangan internet dan kebutuhan akan aplikasi berbasis web yang interaktif, maka muncul teknologi AJAX yang memungkinkan aplikasi web untuk memperbarui konten tanpa harus memuat ulang seluruh halaman tersebut. Seperti halnya aplikasi berbasis web yang lain, AJAX application tidak terlepas dari berbagai kerentanan. Untuk mendeteksi kerentanan pada aplikasi, pengembang menggunakan kakas pendeteksi kerentanan sehingga kerentanan dapat diperbaiki sebelum aplikasi dirilis. Umumnya terdapat tiga proses yang dilakukan oleh kakas pendeteksi kerentanan, yaitu crawling, generate payload, dan analisis hasil respon. Namun, keberadaan AJAX menghadirkan berbagai tantangan, salah satunya adalah konten DOM yang bersifat dinamis. Umumnya, proses crawling akan membaca HTML saja. Sementara, pada AJAX application, DOM dapat berubah karena adanya eksekusi JavaScript, sehingga proses crawling pada kakas yang sudah ada tidak dapat bekerja secara efektif dalam mengambil URL. Hal ini menyebabkan deteksi kerentanan yang dihasilkan tidak menyeluruh. Solusi yang ditawarkan untuk mengatasi masalah tersebut adalah dengan menggunakan AJAX crawler pada kakas pendeteksi kerentanan. AJAX crawler mengambil URL dengan menjalankan event JavaScript, merekam perubahan state DOM, dan mengambil URL pada seluruh state yang didapat. Dengan pendekatan tersebut, konten DOM yang dinamik dapat dijadikan beberapa instance DOM statis sehingga proses crawling dapat dilakukan. Berdasarkan hasil percobaan, AJAX crawler mampu mendapatkan hasil yang lebih lengkap dibandingkan dengan proses crawling yang ada pada kakas pendeteksi kerentanan. Akibatnya, ruang lingkup deteksi menjadi lebih luas dan memungkinkan pendeteksian kerentanan yang semakin besar. Hal ini juga dibuktikan pada hasil percobaan bahwa kakas pendeteksi kerentanan W3AF dengan AJAX crawler dapat menemukan kerentanan baru yang terjadi pada URL yang dipanggil secara AJAX, dengan tetap menemukan kerentanan yang ditemukan oleh kakas pendeteksi kerentanan tanpa AJAX crawler. Dari hasil ini, implementasi AJAX crawler sebagai pengganti proses crawling pada kakas pendeteksi kerentanan tanpa mengubah proses generate payload maupun analisis hasil respon dapat digunakan untuk melakukan deteksi kerentanan pada AJAX application.