[Network Reconnaissance Report] Eksternal Exposure Analysis: bapenda.jabarprov.go.id

by: Faizylux

Introduction

Halo semua! Di post kali ini, saya ingin mendokumentasikan hasil pengerjaan assignment dari Mini Bootcamp Network Pentesting Codelamp. Tugasnya cukup menarik: melakukan Fundamental Network Reconnaissance.

To be honest, tujuan dari recon ini bukan untuk cari-cari kesalahan sistem atau berniat hacking. Fokus utamanya adalah melatih mindset dasar sebagai seorang pentester untuk memahami seberapa besar external exposure dari sebuah domain. Jadi, kita belajar melihat sebuah sistem dari kacamata “attacker” untuk kemudian memberikan rekomendasi yang masuk akal.

Who’s The Target??

Untuk asesmen kali ini, saya memilih domain bapenda.jabar.gov.id. Target ini adalah portal resmi Badan Pendapatan Daerah Jawa Barat yang melayani pengecekan Pajak Kendaraan Bermotor (PKB). Kenapa target ini krusial? Karena sebagai layanan pemerintah yang mengelola data publik, memahami external exposure di sini sangat penting untuk melihat sejauh mana informasi teknis terekspos ke dunia luar.

Methodology

Dalam pengerjaan tugas ini, saya memegang prinsip: Reconnaissance → Analisa → Rekomendasi. Saya memposisikan diri sebagai external attacker yang sudah punya izin asesmen terbatas (simulasi). Pendekatan yang saya gunakan adalah Passive Reconnaissance, yaitu mengumpulkan data yang tersedia di publik tanpa melakukan serangan agresif yang bisa mengganggu stabilitas layanan masyarakat ini.

scope

Sesuai dengan guideline bootcamp, saya benar-benar membatasi diri pada aktivitas yang diperbolehkan:

• DNS & IP Identification: Memetakan alamat IP dan catatan DNS domain.
• Environment Discovery: Mengidentifikasi lingkungan hosting melalui Reverse IP.
• Service Mapping: Melakukan light scanning pada port dan layanan yang terbuka.
• Web Configuration Analysis: Menginspeksi HTTP header untuk mengecek konfigurasi keamanan.

the tools

Saya wajib dan patuh menggunakan alat dari platform HackerTarget. Berikut adalah checklist alat yang saya pakai:

1. DNS Lookup: Untuk mencari tahu IP address asli atau CDN yang digunakan.
2. Whois Lookup: (Tambahan) Verifikasi siapa pemilik infrastruktur server ini.
3. Reverse IP Lookup: Cek apakah target berada di dedicated server pemerintah atau shared hosting.
4. Online Nmap Port Scanner: Cari “pintu” layanan yang terbuka secara publik.
5. HTTP Headers Check: Membedah kebijakan keamanan di sisi web server.
6. Page Links: (Tambahan) Memetakan struktur link yang terlihat secara publik untuk memahami attack surface.

Technical Exploration

1. DNS & IP Identification

Langkah awal saya mulai dengan memetakan identitas domain bapenda.jabarprov.go.id menggunakan fitur DNS Lookup di HackerTarget.

Findings & Analysis:

Dari hasil scanning, ada beberapa poin menarik yang berhasil dikumpulkan:

• Multiple A Records: Domain ini memiliki 4 buah A Record (IP Address) yaitu 123.231.234.11, 123.231.234.12, 123.231.234.13, dan 123.231.234.14. Penggunaan banyak IP ini biasanya mengindikasikan adanya mekanisme load balancing agar layanan tetap stabil meski banyak pengakses.
• Infrastructure: Berbeda dengan domain yang pakai Cloudflare, blok IP 123.231.x.x ini biasanya merujuk pada infrastruktur lokal pemerintah (dalam hal ini Diskominfo Jabar). Artinya, kita sedang melihat direct exposure ke infrastruktur mereka.
• Mail Server (MX): Terdeteksi adanya mail server internal yaitu mx1.bapenda.jabarprov.go.id.
• Information Disclosure (TXT Records): Pada TXT records, terlihat penggunaan Google Site Verification dan konfigurasi SPF (v=spf1). Yang menarik, rekaman SPF ini membocorkan beberapa IP internal tambahan seperti 123.231.234.10 dan 123.231.234.37.

Risk Assessment:

• Risk Level: Low
• Analysis: Temuan ini masih bersifat informasi publik. Namun, banyaknya IP yang terekspos di SPF record memberikan gambaran lebih luas bagi attacker mengenai rentang IP (IP range) yang dimiliki organisasi. Ini bisa menjadi celah awal untuk tahap network mapping yang lebih dalam.

2. Reverse IP Lookup

Setelah mendapatkan IP address, saya penasaran: apakah server ini “berbagi domain/rumah” dengan domain lain atau tidak? Untuk menjawabnya, saya menggunakan fitur Reverse IP Lookup pada salah satu IP target, yaitu 123.231.234.14.

Findings & Analysis:

Hasilnya cukup straightforward. Hanya ditemukan satu domain yang terasosiasi dengan IP tersebut, yaitu:

bapenda.jabarprov.go.id

Ini mengindikasikan bahwa target kemungkinan besar menggunakan Dedicated IP atau berada dalam infrastruktur yang sangat spesifik (bukan shared hosting publik biasa). Dalam dunia cybersecurity, memiliki dedicated environment seperti ini sebenarnya lebih bagus dari sisi keamanan karena meminimalisir risiko serangan Neighbor Attack (serangan yang berasal dari website lain yang satu server).

Risk Assessment:

• Risk Level: Low
• Analysis: Tidak ditemukan adanya domain pihak ketiga atau neighboring sites yang mencurigakan di IP yang sama. Infrastruktur terlihat terisolasi dengan baik, yang mana merupakan nilai positif bagi sebuah instansi pemerintah.

3. NMAP Port Scanner

Setelah memetakan IP, langkah selanjutnya adalah mencari tahu “pintu” mana saja yang terbuka di server 123.231.234.14 menggunakan Online Nmap Port Scanner. Langkah ini penting untuk memetakan attack surface dari target.

Findings & Analysis:

Berdasarkan hasil scanning, berikut adalah poin-poin penting yang ditemukan:

• Open Ports (80 & 443): Server membuka port standar untuk layanan web, yaitu port 80 (HTTP) dan port 443 (HTTPS).
• Service Detection (nginx): Nmap berhasil mengidentifikasi bahwa server menggunakan web server nginx. Meskipun versinya tidak terekspos secara detail (hanya terbaca “nginx”), informasi ini sudah cukup bagi attacker untuk menentukan strategi serangan yang spesifik.
• Filtered Ports (21, 22, 23, 110): Port untuk layanan FTP, SSH, Telnet, dan POP3 berstatus filtered. Ini pertanda bagus, karena artinya ada Firewall yang aktif melindungi pintu-pintu administratif tersebut agar tidak bisa diakses sembarangan dari internet publik.
• Closed Ports (143, 3389): Port untuk IMAP dan RDP (Remote Desktop) tertutup, yang berarti layanan tersebut memang tidak dijalankan atau diblokir sepenuhnya.

Risk Assessment:

• Apa yang ditemukan: Port 80 (HTTP) dalam status open.
• Kenapa berisiko: Komunikasi melalui port 80 tidak terenkripsi.
• Dampaknya apa: Berpotensi terjadi information disclosure atau pencurian data sensitif melalui teknik sniffing/MITM jika pengguna menginput data di jalur non-HTTPS.
• Risk Level: Low.

4. HTTP Headers

Setelah mengetahui port yang terbuka, saya melakukan inspeksi pada HTTP Headers untuk melihat kebijakan keamanan yang diterapkan oleh pengelola server bapenda.jabarprov.go.id. Bagian ini sangat krusial karena menunjukkan seberapa baik web server dikonfigurasi untuk menangani serangan berbasis browser.

Findings & Analysis:

Secara mengejutkan, website ini memiliki konfigurasi keamanan yang cukup lengkap. Berikut beberapa poin pentingnya:

• Server Info: Terbaca nginx, cloudflare. Ini mengonfirmasi temuan sebelumnya bahwa ada layer Cloudflare yang memproteksi server Nginx di belakangnya.
• Security Headers Presence: * X-Frame-Options: SAMEORIGIN: Berhasil diimplementasikan untuk mencegah serangan Clickjacking.
• X-Content-Type-Options: nosniff: Mencegah browser melakukan MIME-type sniffing yang bisa disalahgunakan untuk eksekusi skrip berbahaya.
• Strict-Transport-Security (HSTS): Sudah aktif dengan max-age yang panjang, artinya server mewajibkan koneksi HTTPS yang aman.
• Content-Security-Policy (CSP): Ditemukan dalam mode Report-Only. Meskipun belum sepenuhnya memblokir, ini menunjukkan admin sedang memonitor sumber skrip luar untuk mencegah Cross-Site Scripting (XSS).
• Cookie Security: Set-Cookie menggunakan atribut httponly, yang berarti cookie tidak bisa diakses melalui skrip (JavaScript), mengurangi risiko pencurian sesi.

Risk Assessment:

• Apa yang ditemukan: Penggunaan Content-Security-Policy-Report-Only.
• Kenapa berisiko: Kebijakan CSP belum sepenuhnya diterapkan (Enforced), baru sebatas pelaporan.
• Dampaknya apa: Jika ada celah injeksi skrip, browser tetap akan menjalankannya karena statusnya masih dalam tahap monitoring.
• Level: Low

5. Whois Lookup

Setelah membedah sisi teknis, saya ingin memvalidasi kepemilikan dari aset digital ini. Menggunakan fitur Whois Lookup, saya mencoba menelusuri siapa pengelola sebenarnya dari blok IP 123.231.234.14

Findings & Analysis: Hasil Whois memberikan informasi yang sangat detail mengenai penyedia infrastruktur target:

• ISP & Netname: Alamat IP tersebut terdaftar atas nama LINTASARTA-NET (PT Aplikanusa Lintasarta). Ini menjelaskan mengapa pada tahap Nmap tadi kita melihat performa jaringan yang stabil dan penggunaan firewall yang cukup ketat.
• Network Block: Target berada dalam rentang IP 123.231.234.0 - 123.231.234.255.
• Contact Information: Data Whois ini juga memaparkan informasi kontak administratif dan teknis, termasuk alamat kantor di Menara Thamrin, Jakarta, serta email untuk pelaporan penyalahgunaan (abuse contact).

Risk Assessment:

• Apa yang ditemukan: Eksposur data kontak teknis dan alamat fisik pengelola infrastruktur.
• Kenapa berisiko: Informasi ini bisa digunakan oleh attacker untuk melakukan teknik Social Engineering atau mencari celah melalui penyedia layanan (ISP) yang bersangkutan.
• Dampaknya apa: Meningkatkan potensi serangan non-teknis terhadap personel administratif.
• Risk Level: Low.

6. Extract links from page

Sebagai penutup rangkaian eksplorasi teknis, saya menggunakan fitur Page Links di HackerTarget. Tujuannya adalah untuk memetakan attack surface dari sisi aplikasi dengan melihat daftar link internal maupun eksternal yang terekspos pada halaman utama bapenda.jabarprov.go.id.

Findings & Analysis:

Berdasarkan daftar link yang ditemukan, terdapat beberapa kategori informasi yang menarik untuk dianalisis:

• Internal Application Links: Ditemukan berbagai link yang mengarah ke sistem internal seperti infopkb/, e-samsat-jabar/, dan portal pengaduan seperti whistle-blowing-system/. Ini menunjukkan kompleksitas layanan yang disediakan.
• External Social Media Integration: Link ke Twitter, Instagram, dan YouTube (bapenda_jabar) terekspos dengan jelas. Meskipun normal untuk promosi, bagi attacker, ini bisa menjadi jalur untuk melakukan Social Engineering atau memantau aktivitas organisasi.
• Sensitive Service Exposure: Adanya link ke lapor/ dan aplikasi khusus seperti samsat-digital-mandiri/ menandakan banyaknya titik interaksi data pengguna yang perlu diproteksi dengan ketat.
• Structure Clues: Pola URL seperti wp-content/gallery/ mengonfirmasi bahwa website ini menggunakan CMS WordPress, yang mana memberikan petunjuk bagi attacker untuk mencari celah spesifik pada plugin atau theme yang digunakan.

Risk Assessment:

• Apa yang ditemukan: Eksposur struktur direktori dan link layanan internal.
• Kenapa berisiko: Memudahkan attacker melakukan pemetaan sistem (system mapping) tanpa harus melakukan directory brute force.
• Dampaknya apa: Mempercepat fase reconnaissance bagi pihak luar untuk menentukan target serangan yang lebih spesifik.
• Risk Level: Low.

Risk Summary

Secara keseluruhan, infrastruktur bapenda.jabarprov.go.id memiliki tingkat keamanan yang cukup solid untuk skala instansi pemerintah.

• Kelebihan: Penggunaan Firewall (status filtered pada port administratif), implementasi security headers yang cukup lengkap, dan penggunaan HTTPS secara konsisten.
• Kekurangan: Masih adanya sedikit kebocoran informasi teknis pada DNS records (SPF) dan penggunaan CSP yang masih dalam mode pelaporan (Report-Only).

Realistis Recommendation

Berdasarkan temuan di atas, berikut adalah beberapa saran praktis untuk meningkatkan postur keamanan:

1. Harden SPF Records: Batasi informasi IP internal yang terekspos pada rekaman DNS jika tidak benar-benar diperlukan.
2. Enforce CSP: Segera transisikan kebijakan Content Security Policy dari mode Report-Only ke mode Enforce untuk secara aktif memblokir potensi serangan XSS.
3. Hide Server Version: Pastikan versi spesifik Nginx tidak terekspos sama sekali pada HTTP header (meskipun saat ini hanya terbaca “nginx”, hardening lebih lanjut tetap disarankan).
4. Regular Port Audit: Terus pantau status port agar layanan administratif (SSH/FTP) tetap berada di balik firewall dan tidak terbuka secara tidak sengaja.

Itu dia hasil eksplorasi Network Reconnaissance saya untuk tugas bootcamp Codelamp. Proses ini membuktikan bahwa menjadi seorang pentester bukan cuma soal “nge-hack”, tapi soal seberapa teliti kita memahami risiko di balik setiap informasi yang terekspos. Stay curious, stay ethical!