Panduan WAF · PAJJAGA-GOWA

Serangan Injeksi Injection Attacks — SQLi · Command/RCE · XSS

Kritis

Penyerang menyisipkan kode berbahaya ke dalam input aplikasi. Pada SQL Injection perintah database disuntikkan lewat form atau parameter URL untuk membaca atau mengubah data. Command Injection/RCE menjalankan perintah sistem di server, sementara Cross-Site Scripting (XSS) menanamkan skrip yang berjalan di peramban korban.

🛡️

Perlindungan PAJJAGA-GOWA

Mesin signature memeriksa URL, body (termasuk multipart), cookie, dan referer setelah dekode ganda. Nilai kata sandi dikosongkan agar tidak memicu deteksi palsu.

SQLi · sqli RCE · rce XSS · xss Aksi: blokir 403

Predictable Resource Location Penebakan lokasi berkas & direktori tersembunyi

Sedang

Penyerang menebak alamat sumber daya yang tidak ditautkan namun bernama lazim — panel /administrator, cadangan .bak/.sql/.zip, folder .git/.svn, atau phpinfo.php. Berkas seperti ini kerap membocorkan kode sumber, kredensial, atau data sensitif.

🛡️

Perlindungan PAJJAGA-GOWA

Aturan lokasi tertebak, pemindai/bad-bot, dan akses berkas sensitif menandai probe semacam ini. Probe berat berulang memicu auto-block IP di seluruh perangkat terlindungi.

PRL · prl Pemindai · scanner Berkas sensitif · sensitive Aksi: pantau & auto-block

HTTP DDoS (Flood) Banjir permintaan untuk melumpuhkan layanan

Tinggi

Ribuan permintaan HTTP dikirim per detik dari satu atau banyak sumber untuk menghabiskan sumber daya server hingga layanan tak bisa diakses pengguna sah. Berbeda dari serangan volumetrik jaringan, flood Layer 7 menyerupai trafik nyata sehingga sulit disaring.

🛡️

Perlindungan PAJJAGA-GOWA

Rate limiting per-IP dengan jendela geser membatasi jumlah permintaan tiap sumber. Kelebihan kuota dijawab 429, dan IP yang terus melanggar diblokir otomatis di seluruh perangkat.

Rate limit · rate-limit Auto-block ambang/menit Aksi: 429 & blokir IP

HTTP Request Smuggling HRS — desync antar proxy & server

Kritis

Penyerang menyusun permintaan dengan header Content-Length dan Transfer-Encoding yang bertentangan. Proxy depan dan server belakang menafsirkan batas permintaan secara berbeda, sehingga permintaan "diselundupkan" — dapat membajak sesi pengguna lain atau melewati kontrol keamanan.

🛡️

Perlindungan PAJJAGA-GOWA

WAF memeriksa header sebelum membaca body: kehadiran TE + CL bersamaan, Transfer-Encoding tak wajar, atau Content-Length ganda langsung ditolak dengan 400.

Smuggling · hrs Aksi: blokir 400

Path / Directory Traversal File Path Traversal — keluar dari direktori web

Tinggi

Dengan urutan ../ atau padanan terkodekannya, penyerang keluar dari folder aplikasi untuk membaca berkas sistem seperti /etc/passwd, konfigurasi, atau log. Sering dipadukan dengan LFI (Local File Inclusion) untuk mengeksekusi berkas.

🛡️

Perlindungan PAJJAGA-GOWA

Aturan traversal mendeteksi rangkaian ../, wrapper php:///file://, dan jalur berkas sistem umum — bahkan setelah dekode ganda URL.

Traversal/LFI · traversal Aksi: blokir 403

Server-Side Request Forgery SSRF — memaksa server memanggil target internal

Tinggi

Penyerang menyalahgunakan fitur yang mengambil URL (mis. pratinjau tautan atau webhook) agar server memanggil alamat internal — 127.0.0.1, jaringan privat, atau endpoint metadata cloud 169.254.169.254. Ini bisa membocorkan kredensial dan menembus batas jaringan.

🛡️

Perlindungan PAJJAGA-GOWA

Aturan SSRF menandai permintaan yang mengarah ke loopback, rentang IP privat, endpoint metadata, atau skema berisiko seperti gopher:// dan dict://.

SSRF · ssrf Aksi: blokir 403

Clickjacking UI redressing — menjebak klik lewat bingkai tersembunyi

Sedang

Halaman sah dimuat di dalam <iframe> transparan pada situs jahat, lalu ditumpuk dengan elemen palsu. Korban mengira menekan tombol biasa padahal sedang menyetujui tindakan pada aplikasi asli — misalnya mengubah pengaturan atau menyetujui transaksi.

🛡️

Perlindungan PAJJAGA-GOWA

Saat meneruskan respons, WAF menyisipkan X-Frame-Options: SAMEORIGIN (atau CSP frame-ancestors) bila upstream belum menyetelnya, ditambah X-Content-Type-Options: nosniff.

Header respons · X-Frame-Options CSP · frame-ancestors Aksi: pengerasan header

Remote/Local File Inclusion RFI/LFI — memaksa server memuat berkas berbahaya

Kritis

Aplikasi yang memuat berkas berdasarkan parameter (mis. ?page=) dapat ditipu untuk menyertakan berkas jahat dari luar (RFI, mis. http://evil.com/shell.txt) atau berkas lokal sensitif (LFI). Ini jalur umum penanaman backdoor dan pencurian konfigurasi.

🛡️

Perlindungan PAJJAGA-GOWA

Aturan RFI menandai parameter berisi URL jarak jauh (http:///https://) dan wrapper PHP berbahaya seperti php://, data://, expect:// — bahkan setelah dekode ganda URL.

RFI · rfi LFI · traversal Aksi: blokir 403

Malicious File Upload Unggah & eksekusi berkas berbahaya

Kritis

Penyerang mengunggah berkas skrip berkedok gambar atau dokumen ke folder uploads, lalu mengaksesnya untuk menjalankan kode di server. Ini sumber utama web shell dan malware — termasuk penyisipan konten judi/spam.

🛡️

Perlindungan PAJJAGA-GOWA

WAF memeriksa body multipart/form-data mentah dan menolak nama berkas berekstensi eksekusi seperti .php, .phtml, .phar, atau .shtml, serta pola web shell umum di isi berkas.

Upload · upload Web shell · webshell Aksi: blokir 403

Brute Force Login Percobaan login berulang untuk membobol akun

Tinggi

Bot mencoba ribuan kombinasi kata sandi ke halaman login — wp-login.php, xmlrpc.php, atau panel admin — hingga menemukan yang cocok. xmlrpc.php memungkinkan amplifikasi (banyak percobaan dalam satu permintaan).

🛡️

Perlindungan PAJJAGA-GOWA

Penghitung per-IP membatasi percobaan POST ke endpoint login. Setelah melewati ambang (default 15 percobaan / 5 menit), permintaan dijawab 429 dan sumber yang membandel diblokir otomatis.

Login limit · brute-force Ambang 15 / 5 mnt Aksi: 429 & blokir IP

Cross-Site Request Forgery CSRF — menipu user login agar melakukan aksi tak disengaja

Tinggi

Situs jahat memicu permintaan ke aplikasi tempat korban sudah login (mengandalkan cookie sesi), sehingga aksi berbahaya — ubah pengaturan, tambah admin, transaksi — terjadi tanpa persetujuan sadar korban.

🛡️

Perlindungan PAJJAGA-GOWA

Aturan CSRF menandai permintaan yang mengubah keadaan (POST/PUT/DELETE) ke jalur admin bila Origin/Referer berasal dari host berbeda (lintas situs), lalu menolaknya.

CSRF · csrf Cek Origin/Referer Aksi: blokir 403

XML-RPC & REST API Abuse Penyalahgunaan xmlrpc.php & enumerasi REST API

Tinggi

Antarmuka xmlrpc.php disalahgunakan untuk amplifikasi brute force (system.multicall) dan serangan pingback. REST API WordPress (/wp-json/wp/v2/users) serta parameter ?author=N dipakai untuk enumerasi nama pengguna sebelum serangan kata sandi.

🛡️

Perlindungan PAJJAGA-GOWA

Aturan menandai metode berisiko (system.multicall, pingback.ping, wp.getUsers*) dan permintaan enumerasi pengguna via REST atau ?author=. Permintaan sah tetap diteruskan namun dihitung untuk pembatasan laju.

XML-RPC · xmlrpc REST enum · restapi Aksi: blokir 403

Zero-day Plugin/Theme Virtual patching untuk kerentanan plugin/tema

Tinggi

Kerentanan baru pada plugin atau tema kerap dieksploitasi massal sebelum pembaruan resmi tersedia. Tanpa "tambalan virtual", situs terekspos pada jendela waktu antara publikasi celah dan pemasangan pembaruan.

🛡️

Perlindungan PAJJAGA-GOWA

Aturan virtual patching memblokir pola eksploitasi plugin/tema yang umum di lapisan WAF, memberi perlindungan sementara hingga pembaruan resmi dipasang.

Virtual patch · vpatch Aksi: blokir 403

Bagaimana WAF Melindungi dari Serangan Ini?

PAJJAGA-GOWA berdiri sebagai reverse-proxy Layer 7 di depan aplikasi web. Setiap permintaan melewati empat lapis pemeriksaan sebelum diteruskan ke upstream.

Batasi laju

Rate limiting per-IP meredam banjir permintaan (HTTP DDoS) sebelum sempat membebani aplikasi.

Periksa header

Header Transfer-Encoding/Content-Length yang bertentangan (request smuggling) ditolak lebih awal.

Cocokkan signature

URL, body (termasuk multipart), cookie, dan referer dinormalisasi lalu diuji terhadap aturan SQLi, RCE, XSS, traversal, RFI/LFI, unggah berbahaya, SSRF, XML-RPC/REST, dan lokasi tertebak.

Ambil tindakan & keraskan respons

Serangan berat diblokir (403/400); percobaan login berulang dijawab 429 dan IP pelanggar berulang diblokir otomatis; permintaan lintas-situs ke jalur admin (CSRF) ditolak; respons yang lolos diperkuat dengan header anti-clickjacking.