Watch out! Demo dan tutorial pada artikel ini adalah sebagai contoh dan pembelajaran, diluar dari itu penulis tidak bertanggung jawab. Jadi Gunakan secara Bijak !

Introduction

Jika kita melakukan kegiatan web hacking atau web application penetration testing dengan metode Blackbox umumnya kita menghadapi proteksi pada sebuah website yaitu Firewall, Sebelum request kita diterima oleh web server akan diterima terlebih dahulu oleh Firewall dan jika firewall mendeteksi adanya anomali terhadap request yang diterima maka firewall akan melakukan preventif atau pencegahan terhadap request tersebut salah satunya adalah dengan melakukan penolakan (Drop) terhadap request tersebut atau bahkan akan melakukan pemblokiran (Blacklist) terhadap IP Address. Hal ini terjadi karena request anomali tersebut dapat berpotensi sebagai serangan DDOS atau berisi muatan berbahaya seperti muatan sqlinjection, xss, command injection atau String terlarang yang lainnya sesuai dengan pengaturan firewall masing-masing.

Nah disini ada cara untuk mengatasi pemblokiran IP Address oleh firewall dengan menggunakan VPN dan TOR Browser untuk mengganti IP Address kita setiap kali diblokir oleh firewall. Pertanyaannya adalah apakah dengan menggunakan VPN saja bisa mengatasi pemblokiran tersebut? Jawabnya adalah YA, namun beberapa VPN masih meninggalkan jejak digital tentang IP Address asli kita. Tentu hal ini firewall dapat menganalisa setiap traffic request yang datang dengan memisahkan request mana yang berasal dari network vpn dan mana yang sah. Untuk itu kita dapat memanfaatkan TOR Browser sebagai double protection pada IP Address kita agar tidak terlacak :)

Namun beberapa firewall dapat mengidentifikasi request dari network TOR

Schemanya adalah seperti gambar berikut:

Kita menggunakan TOR Browser sebagai proxy server untuk digunakan pada burpsuite karena pada tor browser kita tidak bisa menginstall Burp Certificate jadi ketika ada website yang mempunyai security header HSTS (Strict-Transport-Security) tidak dapat diakses dengan burpsuite.

Website ini https://gf.dev/hsts-test dapat digunakan untuk mengecek web target apakah menggunakan HSTS atau tidak.

Persiapan

Hal yang perlu disiapkan adalah :

1. Browser firefox/chrome - Tutorial disini menggunakan firefox
2. Tor Browser - Download
3. VPN Provider (cyberghost, HMA, Nord VPN, Pure VPN, Express VPN, etc) - Tutorial disini menggunakan VPN Unlimited
4. Burpsuite Community/Pro - Download

Let’s Hacking !

Jalankan VPN

Pertama: Cek IP Address asli kita, bisa menggunakan website whoer.net.

Kemudian jalankan VPN Service terlebih dahulu, pastikan menggunakan lokasi server yang ringan pada vpn karena TOR Browser agak lelet.

Berikut adalah IP Address setelah menggunakan VPN:

DNS VPN kita masih kelihatan berasal dari Indonesia, Namun IP Public kita sudah berhasil berganti dengan IP VPN Selanjutnya kita akan melakukan konfigurasi pada TOR Browser untuk menyembunyikan IP Address dan DNS VPN kita.

Install TOR Browser

Kedua: install TOR Browser pada windows kemudian jalankan TOR Browser. Berikut adalah IP Address saat menggunakan VPN:

Dengan menggunakan TOR Browser saja sudah cukup menyembunyikan IP Address Asli kita, Selanjutnya kita akan melakukan konfigurasi pada Burpsuite dengan TOR Browser

Konfigurasi Burpsuite dan Firefox

Selanjutnya lakukan konfigurasi SOCKS Proxy pada burpsuite dengan IP Address dan Port dari TOR Browser, lihat gambar berikut ini:

Kalau port 9150 tidak bisa coba gunakan port 9050 dan Jangan lupa centang pada 2 checkbox tersebut.

Berikut adalah IP Address saat setelah menggunakan VPN dan TOR Browser:

Sampai disini konfigurasi sudah selesai dan kita sudah mendapatkan double protection terhadap IP Address asli kita. Dan untuk tahap selanjutnya silahkan konfigurasi proxy pada firefox ke burpsuite seperti biasa.

Summary

Disini kita dapat memanfaatkan TOR Browser sebagai proxy server yang akan kita gunakan pada burpsuite, Untuk mendapatkan double protection dengan menggunakan VPN terlebih dahulu baru kemudian buka TOR Browser.

Semoga artikel ini dapat membantu, Terima kasih :)

Salam Anak Muda.

Referensi

Proxying BurpSuite through TOR Combine Tor With VPN