[RISET] - XMLRPC DDos Attack bypass WAF

Saya ingin melakukan serangan ddos attack ke suatu website namun waf yang dimiliki sangat susah ditembus.. mengakibatkan beberapa serangan dari botnet saya gagal masuk ke sistem tersebut.. baik serangan UDP, Syn flood dll sudah saya coba dan gagal.. Dalam kasus seperti ini kita hanya bisa memanfaatkan server side DOS agar bisa menembus firewall website target.. Saya mencoba menggunakan form login untuk dibruteforce dengan 100 thread pada burpsuite dan melakukan checking pada device dengan provider yang berbeda agar bisa memvalidasi apakah benar" down atau tidak.. Saya juga menggunakan website checker seperti downOrJustme DLL untuk validasi.. setelah berbagai form saya coba bruteforce dengan 100 Thread website ini tetap saja tidak down.. Setelah saya selidiki, situs ini menggunakan wordpress dan melakukan enable pada xmlrpc..

-=Mikir=-

Saya ingat XMLRPC bisa digunakan untuk membruteforce username dan password wordpess.. Oleh karena itu saya menggunakan celah ini untuk melakukan bruteforce dengan 100 thread namun tetap tidak ada yang terjadi..

-=Mikir Part2=-

Saya berfikir untuk melakukan DOS dengan menggukan long char pada XMLRPC.. Disini saya ingat artikel yang pernah saya baca dimana Jika ada koneksi ke Database kemungkinan akan ada celah bruteforce dengan long char jika tidak disanitasi dengan tepat.

-=Mikir Part3=-

Saya mencoba mencari tools DDOS xmlrpc di github.. yakali cuma gw yang riset kayak gini, pasti orang luar udah ada yang mikir kayak gini juga.. ahirnya nemu tools dari seseorang WP XML-RPC DoS Exploit (github.com) ... Kagetnya ini tools udah dari 8 tahun yang lalu dan cuma satu satunya tools DDOS XMLRPC yang gw temuin (yang sama kayak pemikiran gw) dan tools ini kurang terkenal entah karena lama atau gimana.

-=Coba Tools=-

Gw Nyobain Tools itu dengan ubah sedikit codingannya pada line berikut (cuman ganti jadi target kita)

terus tinggal jalanin

python wp_dos.py

Hasilnya webnya beneran down dooong... seneng banget GW.. Tapi tools ini bukan tools buat beneran nyerang melainkan tools buat test apakah webnya vulnerable atau engga.. jadi setiap 100 request bakalan ada error.. Gw ubah range ke ribuanpun tetep error.. dan ga bisa buat real attack..

-=Breakdown Codingan=-

Disini gw terpaksa ngoding sendiri pakek bash dan multiproses intinya cuma ngirim payload ini ke xmlrpc target. 

-=Cobain Attack=-

Pertama gw Install Screen

sudo apt-get install screen

Kedua Gw bikin session

screen -S nakanosec 

Ketiga Gw Install tools gw dan langsung jalanin

git clone https://github.com/Adelittle/wpdos

cd wpdos

bash atk.sh

pastiin kasih https atau httpnya yang bener juga perhatiin pakek www atau engga.

-=Hasil=-

Setelah saya mencoba serangan tersebut saya berhasil menumbangkan web tersebut selama 6 bulan (Pakek 1 VPS dan 3 Screen Session)