Jakarta — Tim GoPentest resmi memperluas jajaran tools recon dan vulnerability assessment yang bisa diakses langsung lewat website mereka. Toolkit ini dirancang ringan, berbasis JavaScript, dan ditujukan untuk mempercepat tahap awal security assessment sebelum tim masuk ke proses eksploitasi manual.
Di tengah maraknya kasus kebocoran data yang menimpa aplikasi berbasis web dan API di Indonesia, GoPentest menegaskan bahwa akar masalah bukan pada minimnya teknologi keamanan, melainkan kurangnya proses pengujian yang benar-benar mendalam. Toolkit yang baru dirilis ini dijadikan lapisan pertama, sementara temuan yang dianggap kritis tetap diverifikasi ulang secara manual oleh tim sebelum masuk ke laporan akhir.
Tujuh Tools, dari Recon Pasif sampai Exploit
Ada tujuh tools yang saat ini tersedia di halaman Tools GoPentest, terbagi antara versi gratis dan premium:
- URL / Dir Fuzzer (Premium) brute-force path dan file tersembunyi pada target menggunakan wordlist SecLists atau custom, dengan status HTTP yang ditampilkan persis seperti respons server.
- Vuln Scanner (Gratis) tools all-in-one dengan alur scan, recon, exploit, hingga report, dilengkapi fingerprinting, CVE lookup, lebih dari 30 modul, dan proof of concept (PoC) siap pakai.
- Vuln Scanner V2 (Premium) versi lanjutan dari Vuln Scanner dengan pipeline console terpisah untuk tiap tahap (scan, recon, exploit, report), plus backend exploit dan report engine yang diklaim lebih cepat.
- Subdomain Finder (Gratis) passive recon subdomain memanfaatkan log Certificate Transparency dari crt.sh, tanpa metode brute-force yang berisik dan mudah terdeteksi.
- Dork Finder (Gratis) generate Google/Bing dork otomatis dari satu URL target, mencakup exposed documents, directory listing, config file, login page, error SQL, subdomain, sampai penelusuran Wayback Machine.
- XSS Auto Finder (Gratis) melakukan crawling pada target, mengekstrak parameter dari URL dan form, lalu menguji satu per satu potensi Cross-Site Scripting dengan WAF bypass engine otomatis.
- API Pentest (Premium) request builder bergaya Postman untuk memanipulasi HTTP method, header custom, parameter, dan body payload guna mengidentifikasi celah pada API, termasuk bypass CORS.
Setiap tools disertai catatan penggunaan yang jelas: hanya untuk authorized testing, dan hanya boleh dipakai pada domain atau sistem milik sendiri atau yang sudah mendapat izin tertulis. GoPentest juga menegaskan bahwa tanggung jawab hukum atas penyalahgunaan tools sepenuhnya berada di tangan pengguna, bukan pemilik website.
Bukan Sekadar Scan, tapi Diuji Manual
GoPentest mengklasifikasikan metodologi kerja mereka ke dalam empat tahap: reconnaissance dan pengumpulan data, vulnerability scanning, eksploitasi, hingga reporting. Tools-tools di atas berperan besar di dua tahap pertama memetakan endpoint, subdomain, dan konfigurasi server yang berpotensi bermasalah. Namun tahap yang menentukan justru datang setelahnya: eksploitasi manual yang dilakukan langsung oleh tim untuk membuktikan dampak nyata dari sebuah celah, bukan sekadar mengandalkan hasil mentah dari scanner.
Cakupan pengujian mencakup kerentanan populer dalam daftar OWASP Top 10, pengujian keamanan API, mekanisme autentikasi dan manajemen sesi, hingga business logic abuse — jenis celah yang sering luput dari alat otomatis karena sifatnya yang kontekstual dan sulit dideteksi tanpa pemahaman terhadap alur bisnis aplikasi itu sendiri.
Salah satu contoh temuan yang pernah didokumentasikan tim adalah kerentanan broken object-level authorization pada sebuah API klien, yang berhasil diverifikasi dan telah dinyatakan remediated. Kasus semacam ini, menurut tim, adalah bukti bahwa celah paling berbahaya sering kali tidak muncul di laporan scanner biasa dan baru terlihat saat diuji langkah demi langkah oleh manusia.
Tiga Orang di Balik GoPentest
GoPentest dijalankan oleh tiga operator dengan spesialisasi berbeda. Anggi Prayitno menjabat sebagai pentester dengan fokus penetration testing, vulnerability assessment, dan bug bounty hunting, mengantongi pengalaman di OWASP Top 10, network forensics, dan CSIRT reporting. Nur Muhammad Wafa berperan sebagai security specialist yang menangani keamanan aplikasi web dan Linux system administration, dengan minat khusus pada riset account takeover dan eksploitasi kerentanan CORS, serta memegang sertifikasi Red Hat. Sementara itu, Sigit Dwiantoro mengisi peran data analyst, mengolah data mentah menjadi insight bisnis menggunakan SQL, Python, Power BI, dan Looker Studio, dengan spesialisasi di retail analytics dan fraud detection.
Kombinasi tiga peran ini yang membuat GoPentest tidak hanya berhenti di pengujian aplikasi, tapi juga bisa menangani kebutuhan infrastruktur Linux dan analitik data lewat kolaborasi dengan Xantus, mitra sysadmin dan data mereka.
Kolaborasi dengan Xantus untuk Infrastruktur dan Data
Untuk pekerjaan di luar cakupan pentest aplikasi, GoPentest menggandeng Xantus, mitra yang menangani sisi infrastruktur Linux dan analitik data. Pembagian ini membuat proyek yang melibatkan server hardening, monitoring dan logging, backup dan disaster recovery, hingga manajemen akses bisa dikerjakan tanpa harus berpindah vendor.
Di sisi data, Xantus juga menangani kebutuhan analisis menggunakan SQL dan Python, penyusunan dashboard Power BI, analisis log, sampai deteksi fraud — area yang menurut tim sering diabaikan padahal celah keamanan tidak jarang justru terlihat dari pola anomali di dalam data operasional sebuah sistem.
Laporan yang Bisa Dibaca Tanpa Latar Belakang Teknis Salah satu keluhan umum terhadap laporan pentest konvensional adalah bahasanya yang penuh jargon dan sulit ditindaklanjuti oleh tim non-teknis. GoPentest menyatakan setiap laporan yang mereka serahkan ditulis dengan bahasa yang lebih membumi, lengkap dengan detail temuan, tingkat keparahan, dan status remediasi, sehingga bisa langsung dipahami baik oleh developer maupun pengambil keputusan di level manajemen.
Layanan ini terbuka baik untuk skema proyek satu kali maupun retainer jangka panjang, dengan target klien mulai dari aplikasi web, API, hingga infrastruktur berbasis Linux. Toolkit recon yang baru dirilis juga bisa dicoba langsung lewat halaman Tools di website GoPentest, dengan pilihan versi gratis maupun premium sesuai kebutuhan.
Update terkait tools dan temuan terbaru tim dapat diikuti langsung melalui forum komunitas GoPentest, sementara catatan teknis dan write-up mendalam dipublikasikan secara berkala di hight.id. Tentang GoPentest GoPentest adalah tim penetration testing yang berfokus pada pengujian keamanan aplikasi web dan API secara manual, bertahap, dan terdokumentasi. Untuk kebutuhan infrastruktur dan analitik data, GoPentest bekerja sama dengan Xantus sebagai mitra sysadmin dan data.