Liburan Songkran 2018

Songkran merupakan tahun baru Thailand, dan merupakan hari yang sangat dirayakan di Thailand, seperti Lebaran di Indonesia atau Natal di negara mayoritas Kristen.  Libur utama Songkran sendiri hanya 3 hari, tapi seperti Natal/Lebaran, biasanya kantor akan libur sekitar seminggu.

Selama 11 tahun di sini, kami lebih sering pulang ketika Songkran, karena selain libur panjang, polusi udara di Chiang Mai biasanya sedang buruk. Polusi ini dikarenakan pembakaran ladang dari Thailand (sedikit, kurang dari 200 titik api) dan dari negara sekitar (banyak, ribuan titik api). Tapi sesekali kami tinggal di Chiang Mai. Dan tahun ini kami tinggal di Chiang Mai.

Menurut cerita dari penduduk Chiang Mai, dulu perayaan utama Songkran hanyalah memercik air sebagai simbol pensucian dan menghapus nasib sial, tapi sekarang dirayakan dengan festival saling siram air (dengan ember dan pistol air). Sebagai anak kecil, Jonathan sangat menyukai perang air ini, dan tahun lalu dia kecewa karena harus pulang ke Indonesia di masa Songkran.

Sebagian orang merayakan dengan naik kendaraan yang terbuka (bak terbuka, angkot/red car, bahkan motor) dan menyiram orang di jalanan, sebagian lagi (seperti kami) datang ke tempat tertentu (old city) yang menjadi pusat perang air. Tahun ini kami berangkat agak awal (sebelum jam makan siang, biasanya sesudah), sehingga belum terlalu ramai, tapi sudah cukup membuat kami basah kuyup. Hanya Jonathan dan Saya yang bermain air, Risna dan Joshua bermain di taman.

Sayangnya setelah hari perang air, Joshua demam walaupun tidak ikut basah, jadi hari berikutnya kami tinggal di rumah. Jadi hari itu bisa dipakai untuk ngoprek di rumah. Saya sudah lama penasaran dengan “talking pen” yang dimiliki Jonathan dan Joshua, jadi saya bongkar. Pen ini bisa disentuhkan ke buku tertentu dan akan membacakan teksnya. Ini bagus untuk belajar bahasa Thai.

Kapasitas pen ini 8GB dan bisa dipakai juga sebagai MP3 player. Sayangnya free space-nya cuma 1 GB dari total  8 GB. Saya pikir ketika dibongkar saya akan menemukan eMMC chip kapasitas 8 GB, ternyata isinya adalah micro SD 8 GB.

Tentu saya penasaran, jadi dicoba tukar dengan yang 16 GB (dan menyalin isi 8GB ke SD card yang baru). Ternyata bisa berjalan normal.

Selain bermain air, liburan kali ini diisi dengan jalan-jalan ke Royal Flora, Makro, dan Mall (di kondisi udara yang buruk, mall lebih baik).

Waktu liburan ini saya sempat mengerjakan satu soal challenge dari SecuriTeam_SSD

Saya pikir saya tidak akan menang karena hadiahnya cuma untuk peringkat 1 sampai 3 sementara saya mengirimkan tanggal 14 April (hari Sabtu 2 hari setelah diumumkan).  Saya tetap iseng mengerjakan karena ini cuma satu soal dan sudah lama tidak ikut CTF, minimal jika tidak menang bisa membuat writeup (sudah banyak yang nanya: Pak/Mas/Om kok udah lama nggak nulis writeup). Saya hanya mendapat jawaban singkat bahwa kiriman sudah diterima dan akan segera dicek.

Sepertinya SecuriTeam_SSD libur di akhir pekan, karena pemenang baru diumumkan 16 April. Puji Tuhan ternyata saya menang peringkat pertama, yang berarti akan mendapatkan tiket pesawat, hotel, dan tiket konferensi Bevx di Hong Kong bulan September depan. Beberapa jam kemudian pemenang kedua diumumkan, dan 2 hari kemudian pemenang terakhir diumumkan.

Meskipun semua pemenang sudah diumumkan, bagi yang masih ingin mencoba, bisa mendownload challengenya dari URL ini:

https://www.beyondsecurity.com/bevxcon/bevx-challenge-10

Writeup sudah saya tulis dan akan saya publish setelah diijinkan oleh panitia.

Kisah sebuah bug kecil

Saya mau cerita tentang sebuah bug yang saya perbaiki dan dapat bounty 200 USD plus kerjaan ekstra yang menyusul dari ini. Meski secara nilai ini kecil dibandingkan banyak proyek lain, tapi ada banyak hal yang membuat gembira dari satu bug kecil ini sehingga ingin saya ceritakan.

Maaf, ini bukan cerita tentang serangga, tapi bug software

Cerita singkatnya: teman saya memakai software open source QZ, sebuah library untuk printing via web browser. Jadi jika client menginstall software ini di PC-nya maka web app yang memakai library QZ bisa mengakses langsung printer lokal. Langsung di sini artinya bisa mengirimkan kode mentah, sehingga printing bisa cepat dan mendukung berbagai fitur spesifik printer. Fitur semacam ini dibutuhkan untuk software Point Of Sales, aplikasi bank atau sejenisnya yang butuh langsung mencetak ke printer yang tidak standar (misalnya printer thermal, printer buku tabungan, dsb). Continue reading “Kisah sebuah bug kecil”

Skrip dan Extension untuk Browsing

Sekarang ini banyak waktu saya habiskan di browser, bahkan ketika melakukan programming sekalipun perlu sering mencari solusi dengan Google. Untuk mempernyaman browsing, saya menggunakan berbagai browser extension baik yang diterbitkan resmi atau buatan sendiri plus beberapa bookmarklet.

Untuk yang belum tahu: browser extension adalah program yang bisa ditambahkan ke browser untuk menambah atau mengubah fungsionalits tertentu.  Supaya lebih singkat, berikutnya extension yang saya maksud di artikel ini adalah browser extension.

Salah satu contoh extension paling populer adalah untuk memblokir iklan. Ini membuat browsing jadi lebih nyaman, lebih cepat dan lebih hemat data. Extension lain yang banyak digunakan orang adalah password manager untuk mengingat password berbagai situs.

Semua browser modern saat ini mendukung extension. Browser yang saya gunakan sehari-hari adalah Chrome dan Firefox, tapi informasi yang saya tuliskan di sini berlaku untuk browser lain juga (semua browser sudah mendukung extension).

Dulu saya cukup percaya berbagai extension yang ada, tapi lama-lama kepercayaan itu mulai hilang. Ada banyak kasus yang menyebabkan saya kurang percaya, baik itu karena bug parah, karena kecerobohan developer, atau keserakahan developer. Continue reading “Skrip dan Extension untuk Browsing”

Hacking aplikasi web dengan Zaproxy

Saat ini kebanyakan tulisan di blog ini sifatnya cerita yang tidak sampai ke teknis detail. Tulisan kali ini sangat praktis, mengenai memakai Zaproxy untuk hacking (mencari bug atau mengeksplotasi bug) aplikasi web. Atau lebih tepatnya lagi aplikasi yang memakai komunikasi HTTP, baik itu aplikasi berbasis mobile, desktop, maupun browser. Sekaligus ini untuk menjawab berbagai pertanyaan mengenai hacking web yang sering diajukan ke saya.

Zaproxy pada dasarnya adalah sebuah intercepting proxy dengan berbagai fitur tambahan (scanner, spider, dsb). Sebuah intercepting proxy bisa mencegat komunikasi dari client ke server (request) dan balasan dari server (response). Defaultnya, komunikasi yang dicegat akan diteruskan saja dan dicatat (di-log), tapi kita juga bisa mengubah baik request maupun response.

Sebagai catatan, Zaproxy bukan satu-satunya tools yang ada, tapi tools ini gratis,  open source, cross platform (Windows, OS X, Linux) dan fiturnya lengkap. Alternatif populer adalah Burp suite, ini ada versi gratisnya, tapi fitur pentingnya berbayar (salah satu fitur paling penting yang berbayar adalah menyimpan sesi). Tools lainnya yang gratis dan bagus untuk Windows adalah Fiddler (saat ini Fiddler versi OS X dan Linux masih beta), sayangnya Fiddler tidak open source. Jika sudah menguasai salah satu tools ini, berpindah yang lain tidak terlalu sulit. Continue reading “Hacking aplikasi web dengan Zaproxy”

Bulan Penuh Diskon

Bulan November merupakan bulan penuh diskon, karena ada 11/11 (singles day) dan ada banyak diskon dari berbagai situs di China, lalu diikuti dengan Black Friday dan Cyber Monday yang penuh dengan diskon global.

Dibandingkan tahun lalu, tidak terlalu banyak diskon yang diberikan oleh AliExpress, benda mahal yang saya beli  hanya Proxmark3 versi paling sederhana (tidak memiliki konektor batere) dengan harga 66 USD (termasuk ongkos kirim). Proxmark3 ini adalah tool untuk eksplorasi RFID/NFC.

Sebenarnya dalam banyak kasus berbagai penstest dan hacking NFC bisa dilakukan dengan reader sederhana yang harganya kurang dari 5 USD, tapi proxmark ini diperlukan untuk sniffing dan juga untuk mengakses berbagai kartu yang tidak standar.

Texas Instruments baru saja meluncurkan board MSP43  baru (Launchpad dengan FRAM), dengan harganya 9.9 USD belum termasuk ongkos kirim, tapi saat ini  diskon menjadi 4.30 USD (sudah termasuk ongkos kirim). Diskonnya masih ada sampai Desember 2017. Development board dari TI ini bisa dipakai juga memprogram chip MSP430 lain.

Waktu pindah ke rumah baru, UPS yang tadinya baik-baik saja menjadi tidak berfungsi sama sekali. Setelah dibongkar, ternyata ada kabel yang kendor di dalamnya (mungkin kendor waktu pindahan). Tapi UPS-nya sudah tidak menyimpan daya lagi dan baterenya agak melendung (batere dari tahun 2012). Akhirnya  beli baru dan UPS-nya bisa berfungsi lagi.

Ada kit yang namanya Makey Makey yang fungsinya mengubah berbagai benda konduktif menjadi input device. Contoh benda dan aplikasinya bisa dilihat di situs tersebut, tapi beberapa di antaranya: mengubah pisang menjadi alat musik atau membuat tangga musikal dengan conductive tape.

Harga makey makey cukup mahal, jadi ketika saya lihat ada modul MPR121  di aliexpress yang harganya kurang dari 2 USD, saya langsung cek apakah mudah dipakai (dari beberapa tutorial dan video youtube), dan ternyata mudah. Dengan menghubungkan modul ini ke Arduino Leonardo, saya bisa membuat tiruan makey makey. Sebagai catatan, seri Arduino Leonardo dan Pro Micro bisa dengan mudah mengemulasikan USB, seri lain defaultnya tidak bisa kecuali dengan menambah beberapa komponen dan memakai software Lufa atau V-USB.

Cukup seru memainkan ini, tapi setiap kali selesai bermain dari kamar lain dan melihat pisangnya, Joshua berusaha ambil untuk dimakan.

Dan setelah share ini di Facebook, beberapa hari kemudian muncul iklan diskon Makey makey di Facebook feed.

Selain bulan diskon, di bulan November kami banyak melakukan aktivitas lain.  Tahun ini festival Loi Krathong dirayakan di awal bulan. Kami datang ke sungai dekat rumah untuk melihat orang-orang melarung krathong. Festival ini selalu bersamaan fetival Yi Peng, di mana orang menerbangkan sky lantern (seperti di film Tangled).

Beberapa kali ulang tahun Jonathan dirayakan bersama orang Indonesia di Chiang Mai, dan tahun ini lagi. Sekarang lebih ramai dari dulu karena lebih banyak keluarga yang punya anak. Tema tahun ini Doctor Who (sebelumnya Pokemon, dan sebelumnya lagi Paw Patrol).

Risna berhasil membuat tempe lagi tahun ini dengan ragi yang dibawakan oleh mama saya. Seperti biasa, demi privasi, foto-foto yang ada orang lain hanya diupload di Facebook untuk friends saja.

Untuk kesekian puluh kalinya, kami jalan-jalan di Night Safari. Sebenarnya tempat ini mahal (800 baht sekitar 320 rb rupiah per orang) tapi kami punya membership gratis masuk berapa kalipun dalam 6 bulan (membership 6 bulan hanya 500 baht sekitar 200 rb rupiah). Kami bisa menghabiskan waktu 3-6 jam di sini tiap kali datang. Ada bus keliling 2 jalur, totalnya sudah 1 jam, plus ada play ground (biasanya sekitar 1 jam main di play ground).

Joshua menjatuhkan iPad ke jempol kakinya dan hasilnya dalam beberapa hari kuku kakinya lepas, jadi kami membatasi jalan-jalan ke tempat yang tidak berdebu/berpasir. Ketika dibawa ke night safari, Joshua dengan semangat berlari di walking trail.

Ada tempat baru yang kami kunjungi: Rabbit Union. Di sini anak-anak bisa memberi makan dan mengelus-elus kelinci. Awalnya cukup menyenangkan bermain dan mengejar kelinci, tapi di akhir Joshua mulai berusaha mengangkat kelincinya.

Chiang Mai Citylife Garden Fair adalah acara tahunan outdoor. Di sini ada musik, banyak penjual makanan, pembaca kartu tarot, dan ada juga kegiatan untuk anak-anak.

Jonathan ikut menghias pot bunga, dan setelah itu potnya (dengan bunganya) bisa dibawa pulang.

Wii kami yang umurnya sudah hampir 10 tahun rusak. Sepertinya NAND-nya error secara fisik karena sudah dicoba restore dari backup (yang dibuat dengan BootMi) tapi gagal. Format ulang dan recreate juga gagal.

Terpikir untuk upgrade ke Wii U atau Switch, tapi akhirnya beli second hand console Wii lagi dari eBay. Nintendo Switch masih mahal dan tidak kompatibel dengan Wii Fit Board, sedangkan Wii U sepertinya masih agak bahaya jika Joshua membawa-bawa controllernya.

Teringat dulu saya pernah bikin beberapa app homebrew di console ini yang sampai saat ini masih berjalan karena Wii tidak mengupdate lagi firmwarenya.

Saya tidak mengikuti berita kalau Rasberry Pi meluncurkan majalah baru untuk oprekan hardware secara umum, bukan hanya Raspberry Pi. Versi PDFnya gratis bisa didownload dari hsmag.cc dan kita juga bisa berlangganan versi fisiknya.

Saya sempat heran kenapa ada majalah baru di kotak surat, ternyata sebagai pelanggan MagPi, saya dapat edisi pertama fisik gratis. Dan jika Anda ingin berlangganan, ada kode diskon 25 GBP di kertasnya.

Ke Belanda

Dari RHME2 tahun lalu saya mendapatkan hadiah mengikuti kursus security gratis di Riscure Delft, Belanda. Karena ini bukan perjalanan dinas dari kantor, jadi saya perlu mengurus segala sesuatu sendiri, dan saya bisa bebas menceritakan perjalanannya.

Visa

Di Chiang Mai tidak ada kedutaan Belanda, jadi untuk mengurus Visa saya perlu ke Bangkok. Sebenarnya mengurus Visa bisa dilakukan di kedutaan Belanda atau di VFSGlobal. Saya memilih menggunakan VFSGlobal karena mereka punya jasa kirim balik visa via EMS (menghemat uang dan waktu, tidak perlu kembali ke Bangkok lagi).

Website VFSGlobal sudah sangat bagus, ada checklist mengenai berbagai dokumen yang dibutuhkan sesuai dengan jenis Visa-nya. Karena saya ke sini untuk training, saya menggunakan Visa bisnis. Sebagai catatan, bidang security ini tidak ada hubungannya sama sekali dengan tempat saya bekerja sekarang, tapi tetap butuh surat pengantar dari tempat bekerja.

Tidak ada proses wawancara ketika menyerahkan dokumen. Saya hanya menyerahkan semuanya, diminta scan sidik jari, mengisi alamat pengiriman kembali paspor setelah selesai. Visa saya dapatkan sekitar seminggu, saya masukkan alamat kantor supaya yakin ada selalu orang yang menerima. Karena proses VISA sangat singkat, saya sempat makan siang dengan Pak Kief, alumni Informatika ITB yang saat ini bertugas di KBRI.

Perjalanan

Ada pesawat KLM dari Bangkok langsung ke Belanda. Perjalanannya 11 jam. Karena tidak ada connecting KLM dari Chiang Mai, jadi saya naik airline lain, dengan menyisakan waktu 4 jam. Ternyata 4 jam ini cukup pas, karena butuh menunggu bagasi, antri memasukkan bagasi, antri imigrasi, antri scan.

Di dalam pesawat ada Entertainment System. Kalo saya membawa peralatan yang lengkap, sistemnya sepertinya bisa dijebol. Sistemnya menerima input USB, dan biasanya sistem seperti ini rentan terhadap berbagai macam file yang corrupt. Sistemnya sendiri memakai HTML untuk user interfacenya, ini bisa terlihat dari sifatnya, misalnya file yang memiliki nama &lt; akan muncul sebagai tanda kurang dari (<).

 

Mengunjungi Keluarga Dea

Dulu banget dalam kisah pacaran kami ada Dea, saudara sepupu Risna yang meyakinkan Risna supaya mau pacaran dengan saya. Beberapa tahun kemudian Risna membantu Dea menulis surat ke calon suami Dea (yang sekarang jadi suami Dea saat ini). Karena Delf tidak terlalu jauh, jadi saya bisa mampir ke rumah mereka. Saya menginap semalam, dijamu jalan-jalan, dan diantarkan ke penginapan. Senang rasanya bisa ngobrol dan bertanya-tanya banyak hal mengenai Belanda.

(Catatan: untuk privasi, foto-foto orang lain tampak depan biasanya tidak akan ditampilkan tanpa ijin orangnya, dan foto-foto seperti itu biasanya saya share di Facebook untuk “Friends” saja)

Kebetulan sedang ada Pasar Raya Indonesia, jadi saya bisa beli makan malam sebelum diantar ke hotel.

Transportasi

Tempat pelatihan dan hotel jaraknya hanya 4 km, jadi saya punya beberapa opsi: jalan kaki, naik sepeda, taksi, dan Uber. Di hari pertama saya sudah menyewa sepeda, tapi tiba-tiba hujan yang agak deras dan tidak terlihat akan berhenti, jadi akhirnya manggil Uber. Padahal saya sudah susah payah mempelajari gimana cara mengamankan sepeda, cara membuka dan menutup kunci (dari Youtube), juga membaca seksama aturan dari hotel (misalnya hotel tidak bertanggung jawab kalo ban kempes, pompa aja sendiri).

Ternyata saya beruntung sekali di hari pertama bisa mendapatkan uber, karena di kota Delft ini saat ini uber sangat sedikit, sampai-sampai Uber akan memberikan bonus untuk driver yang melakukan 5 perjalanan di Delft. Pagi itu saya beruntung karena ada driver yang kebetulan baru mengantarkan salah satu peserta training yang sama ke Riscure. Benar saja pulangnya nggak  dapet uber, jadi saya mencoba jalan dan ternyata rasanya cukup menyenangkan.

Di Belanda rasanya aneh kalo tidak mencoba naik sepeda, jadi saya akhirnya mencoba menyewa sepeda lagi. Untuk memandu perjalanan, saya set tujuan di Google Maps, saya kantongi HP-nya dan mendengarkan petunjuknya dengan earphone. Perjalanan dengan sepeda lebih menyenangkan dari jalan kaki. Pulang dari pelatihan, saya sempat berkelana menyusuri suasana pedesaan walau sebenarnya itu nyasar, karena Google Maps/HP saya ngaco.

Kincir Angin

Pelatihan

Materi training yang saya ambil adalah “Embedded Systems Security“. Dalam banyak hal, materinya sebenarnya terlalu dasar buat saya. Tapi saya mengambil ini karena ingin menstrukturkan segala macam pengetahuan yang sudah saya miliki (dan menambal lubang dalam pengetahuan saya). Pelajaran terbanyak justru saya dapatkan dari ngobrol dengan pelatih dan peserta lain.

Dalam bidang lain (misalnya pemrograman), saya bisa dengan percaya diri menyusun materi pengajaran dengan struktur yang baik, tapi di bidang embedded security saya merasa masih bingung jika harus mengajarkan ilmunya ke orang lain. Ternyata belajar mereview semua hal dasar sangat berguna, dan bahkan orang-orang dari Riscure sendiri kadang diikutkan dalam training mereka (bukan sekedar mengisi slot, tapi mereka benar-benar belajar), misalnya ada karyawan yang ikut dalam kelas, karena meskipun jago enkripsi (memiliki PhD), tapi masih lemah dalam embedded system.

Training yang ada ditujukan untuk mengenali dan mencegah berbagai serangan terhadap embedded systems. Ini biasanya sangat berguna untuk berbagai perusahaan yang membuat hardware sendiri (supaya aman, tidak mudah dicopy pesaing, dsb), tapi juga berguna untuk mengevaluasi berbagai produk yang ada.

Misalnya salah satu target yang diberikan adalah webcam WIFI, yang ternyata mengirimkan statusnya ke China, dan semua semua streamnya bisa diakses dari seluruh dunia, dan bahkan secara teori bisa dipakai untuk menjebol jaringan internal karena melakukan NAT Traversal. Bayangkan jika Anda memilih webcam ini untuk dipakai di lembaga negara atau kamar pribadi Anda. Contoh hardware berbahaya lain adalah router, saat ini berbagai modem default dari ISP ternyata memiliki lubang yang membuat semua orang bisa masuk. Jika ada yang mengerti dan melakukan pengecekan dasar hardware, kasus semacam itu tidak akan terjadi.

Anak-anak

Saya jarang sekali pergi meninggalkan keluarga, walaupun hanya beberapa hari, karena anak-anak akan sangat kangen (dan saya kangen mereka). Jika kantor bisa mengirimkan orang lain, saya akan sangat senang daripada saya yang pergi. Di hari pertama sudah ada insiden: Joshua jatuh, gigi depannya lepas sampai ke akarnya. Risna pun segera dibantu oleh Bos dan Office Manager kami untuk ke UGD, lalu diteruskan ke dokter gigi (untuk memastikan tidak ada pecahan tersisa). Hasilnya: Joshua akan tumbuh gigi depan lagi yang permanen beberapa tahun yang akan datang, tapi tetap butuh dikontrol perkembangannya.

Pulang

Untuk menghemat, pulang dilakukan dengan naik Uber ke stasiun, disambung dengan naik kereta. Waktu sampe Belanda masih agak  nggak konsen baca kelas kereta dan jadwalnya (jam 8 malam, atau jam 2 pagi waktu Thailand), waktu pulang lebih jelas rasanya.

Perjalanan ke Thailand lancar, mendarat di Bangkok, dan beberapa jam kemudian diteruskan ke Chiang Mai. Joshua “ngambek” karena papanya pergi lama, setelah diajak main di mall dan naik kereta keliling mall, baru dia peluk papanya dan bilang “hug papa”.

Jonathan menunjukkan kalo dia beli kartu Bingo, tapi tidak bisa main dengan fun karena tidak bisa menghasilkan bilangan acak, jadi dia minta dibuatkan appnya. Akhirnya saya buatkan versi HTML5.

Dan Jonathan juga ingin makan telur karena oleh-oleh egg timer yang saya bawakan yang akan memainkan melodi tertentu tergantung level matang telurnya. Ternyata lagu terakhir adalah lagu kebangsaan Belanda, kalau misalnya mau bikin sendiri atau hack yang sudah ada, boleh nggak ya pake lagu kebangsaan Indonesia dalam telur rebus?

Telur Rebus

Kesibukan dan Oprekan Agustus 2017

Seperti biasa, jika sudah lama tidak posting, ceritanya digabung. Posting ini campuran cerita mengenai SIM Card Hologram, RHME3, perjalanan ke Singapore dan cerita mengenai tablet Android.

SIM Card Hologram

Tanggal 26 Juli 2017 saya melihat posting mengenai program developer untuk Hologram dan saya segera mendaftar untuk mendapatkan SIM Card gratis.

Secara singkat, dengan SIM card Hologram dan kerjasama mereka dengan jaringan GSM di (hampir) seluruh dunia, kita bisa membuat produk IOT (Internet of Things) yang bekerja secara internasional dan relatif murah.  Tidak perlu memikirkan roaming data dan tarif yang berbeda di tiap negara.

SIM card hologram ini bukan untuk dipakai di handphone dan browsing, tapi ditujukan untuk dipakai di embedded system yang butuh konektivitas data yang ukurannya relatif kecil dan di luar jangkauan WIFI, walau bisa juga sebagai komplemen atau cadangan WIFI.

Khusus untuk developer plan, diberikan jatah 1 MB/bulan gratis untuk development. Jika dipakai untuk browsing, satu megabyte itu bahkan tidak cukup untuk membuka halaman depan blog ini, tapi untuk keperluan pengiriman data dari sensor ini sudah cukup.

Tanggal 11 Agustus SIM Cardnya sudah sampai, dan saya test menggunakan modem HSDPA murah (kurang dari 9 USD, sudah termasuk ongkir). Percobaan saya lakukan di Linux dengan wvdial, dan koneksi bisa mudah dilakukan.

IP yang didapatkan adalah IP internal. Device bisa mengakses IP eksternal, dan waktu saya coba asal IP nya dari Saint Helier, Jersey. Untuk koneksi kebalikannya (dari eksternal ke device), kita bisa memakai API yang disediakan hologram (atau membeli nomor supaya bisa dikirimi SMS).

Sebenarnya saat ini saya nggak punya proyek khusus yang ingin saya lakukan, tapi ini bisa saya pakai untuk melakukan koneksi ke server rumah jika koneksi internet sedang mati.

CTF RHME3

Karena waktu saya semakin terbatas, sekarang ini saya hanya sempat mengikuti CTF jangka panjang, bukan CTF 2 hari di akhir pekan. Saat ini sudah ada beberapa yang rutin: Flare-On, Labyrenth, dan RHME.

Saya mulai ikut CTF RHME tahun lalu, dan tahun ini sudah dimulai lagi: The world first automotive CTF, begitu slogan RHME tahun ini. Registrasinya kemarin dibuka tanggal 7 Agustus dan ditutup tanggal 28 Agustus. Ada tiga soal yang cukup sulit, mereka mengalokasikan 500 device, tapi hanya 486 orang yang menyelesaikan minimal 1 soal.

Dari Indonesia cuma teman saya Deny yang berhasil mendaftar (padahal dah beberapa kali saya umumkan di group RE Indonesia yang anggotanya ratusan). Dari Thailand ada 7 orang yang mendaftar.  Device akan dikirimkan ke peserta mulai 1 November nanti.


Sekarang ini Joshua sedang sangat senang nempel ke saya, kadang minta dipangku nonton Youtube padahal bisa nonton di TV yang besar atau di tablet, sementara saya coding (split screen). Sepertinya sudah saatnya beli dua monitor.

HITB Singapore

Tahun ini saya mencoba lagi HITB ke Singapore, walau hasilnya kurang memuaskan (peringkat 14 offline dari 28 team). Pesertanya jauh lebih kompetitif dari terakhir kali kompetisi beberapa tahun yang lalu. Soal-soalnya juga jauh lebih sulit.

Meski tidak menang, tapi saya senang bisa bertemu lagi dengan teman-teman yang sudah lama tidak saya temui, dan juga bertemu teman baru.

Buat orang-orang yang meng-add saya di Facebook: segala macam hal-hal menarik saya buat jadi public di timeline saya atau di blog. Hal-hal yang sifatnya hanya untuk teman saja, saya publish untuk “Friend” (seperti misalnya foto teman-teman yang saya temui di Singapore), jadi sebenarnya nggak seru nge-add saya jadi friend di Facebook.

Bug Bounty

Meski sudah banyak bug yang saya laporkan ke berbagai pihak, biasanya balasannya cuma: makasih mas. Ada juga bahkan yang gak pake terima kasih, terus diem-diem benerin. Ada beberapa yang nawarin kerjaan/proyek, tapi kemudian nggak ada kabarnya lagi.

Setelah tahun lalu menemukan bug di payment gateway Master Card (dan menerima 8500 USD), tahun ini saya coba-coba lagi dan menemukan lagi bug di beberapa payment gateway. Sayangnya yang sangat tanggap cuma satu: Fusion Payments. Di bulan ini saya sudah menemukan 2 critical level bug di sana, yang pertama 400 USD dan berikutnya 500 USD.

Sebagai catatan: bug-bug yang saya temukan akan saya tuliskan detailnya, tapi saat ini masih belum bisa/boleh.

Tablet Android

Beberapa waktu yang lalu saya mendapatkan pekerjaan testing aplikasi Android yang hanya berjalan di versi tablet (layar besar). Ternyata aplikasinya berisi form yang banyak sekali sehingga perlu layar lebar. Biasanya saya memakai tablet Samsung Note 8 yang sudah bertahun-tahun umurnya, tapi sekarang ini tabletnya sudah rusak (mati/tidak bisa boot lagi). Karena aplikasinya selalu hang di emulator, akhirnya saya memakai Android di Pinebook.

Semua bisa berjalan dan testing bisa selesai, tapi ada yang mengganggu: Pinebook tidak punya touch screen, dan aplikasinya hanya mau jalan di mode landscape. Jadi saya terpaksa memakai laptop dalam posisi miring, dengan menggunakan keyboard eksternal.

Akhirnya saya beli Android murah dari AliExpress. Ratingnya bagus, katanya CPUnya 8 core, memorinya 4 GB dengan ROM 32 GB. Setelah sampai, kenyataannya CPUnya cuma 4 core, RAM nya cuma 2GB dan ROM cuma 16 GB. Ternyata kernelnya diakali sehingga jika memakai software dari play store pun, akan muncul kalau memorinya 4 GB, CPUnya 8 core, dan ROM-nya 32 GB.

Waktu mau coba root dengan langsung flash recovery partition baru, ternyata malah error, tidak bisa boot sama sekali dan nggak bisa dicharge juga. Akhirnya saya charge baterenya dengan cara membuka soldernya lalu memakai modul charger Lithium. Setelah mendapatkan file ROM asli dari sellernya, akhirnya bisa jalan normal lagi. Tapi benda ini sangat ringkih, jadi saya simpan saja untuk pentest berikutnya.

 

Sebenarnya masih banyak cerita dan detail lain bulan ini, tapi akan saya geser ceritanya ke bulan depan.