Belajar Bug Hunting Manual dari Nol: Recon hingga Data Exposure (Dengan Curl)

Belajar bug hunting tidak harus dimulai dengan eksploit rumit atau tool otomatis. Pendekatan manual dan bertahap justru membantu memahami logika aplikasi web dan menemukan kerentanan yang nyata.

Artikel ini merangkum proses belajar bug hunting manual dari OPSI A sampai OPSI G berdasarkan studi kasus aplikasi web berbasis framework MVC (PHP). Seluruh URL dan identitas target disamarkan demi etika dan keamanan.

---

Lingkungan & Metode

• Target: Aplikasi web internal (URL disamarkan)
• Metode: Manual testing
• Tools: Browser & curl
• Prinsip:
  • Tidak mengubah data
  • Tidak mengirim request destruktif
  • Observasi respon server & logika aplikasi

---

OPSI A — Recon Dasar (Path Enumeration Manual)

Tahap awal adalah memetakan attack surface dengan menguji path umum.

curl -I https://target-disamarkan.com/admin
curl -I https://target-disamarkan.com/dashboard
curl -I https://target-disamarkan.com/panel

Pelajaran:

• 200 OK → endpoint aktif
• 302 → dilindungi login
• 403 → ada tapi diblok
• 404 → tidak ada

Status code lebih penting daripada asumsi.

---

OPSI B — Method & Request Behavior

Menguji bagaimana server merespons berbagai HTTP method.

curl -i -X OPTIONS https://target-disamarkan.com/path
curl -i -X POST https://target-disamarkan.com/path
curl -i -X GET https://target-disamarkan.com/path

Error seperti 411 Length Required adalah perilaku normal, bukan bug.

---

OPSI C — Input & XSS (Validasi Awal)

Menguji apakah input user langsung dieksekusi tanpa sanitasi.

curl -i -X POST https://target-disamarkan.com/login \
 -H "Content-Type: application/json" \
 -d '{"test":"<script>alert(1)</script>"}'

Hasil pengujian menunjukkan XSS tidak relevan pada target ini.

---

OPSI D — Auth & Session Logic

Tahap ini fokus pada logika autentikasi dan session handling.

curl -i https://target-disamarkan.com/login

Perhatikan header:

Set-Cookie: PHPSESSID=xxxx

Pelajaran:

• Session harus berubah setelah login
• Logout harus memutus akses
• Redirect ke login = normal

---

OPSI E — Recon Admin Lanjutan

Recon dilanjutkan ke endpoint admin secara pasif.

curl -I https://target-disamarkan.com/admin/user
curl -I https://target-disamarkan.com/admin/user/index
curl -I https://target-disamarkan.com/admin/user/view?id=1

Hasil penting:

• /admin/user → 200 OK
• /admin/user/index → 200 OK
• /admin/user/view?id=1 → 500 Internal Server Error

500 pada endpoint admin adalah red flag, menandakan backend logic tetap dijalankan tanpa validasi role ketat.

---

OPSI F — Data Exposure Analysis

Endpoint admin menampilkan data berikut:

• Username
• Email internal & personal
• Status akun

Email termasuk PII (Personally Identifiable Information).

Dampak realistis:

• Phishing terarah
• User enumeration
• Social engineering

Klasifikasi kerentanan:

• Broken Access Control (read-level)
• Sensitive Information Disclosure
• Severity: MEDIUM

---

OPSI G — Menentukan Kapan Berhenti

Tahap ini sangat penting dalam bug hunting profesional.

• Bukti sudah cukup
• Eksplorasi lanjutan berisiko etika & hukum
• Tujuan belajar sudah tercapai

Bug hunter profesional tahu kapan harus berhenti.

---

Rangkuman Pembelajaran

1. Recon manual lebih tajam daripada tool otomatis
2. Status code adalah bahasa aplikasi
3. Tidak semua /admin adalah bug
4. UI terbatas ≠ backend aman
5. 500 di endpoint admin adalah sinyal bug
6. Data exposure tanpa eksploit tetap valid
7. Menentukan severity adalah skill
8. Berhenti tepat waktu adalah profesionalisme

---

Penutup

Belajar bug hunting bukan soal agresivitas, tetapi soal memahami logika aplikasi. Dengan pendekatan manual menggunakan curl, kita bisa menemukan bug nyata secara etis dan bertanggung jawab.

Untuk pemula, fokuslah pada:

• Recon manual
• Auth & access control
• Data exposure

Eksploit datang belakangan.