{"id":392,"date":"2026-08-16T09:01:06","date_gmt":"2026-08-16T09:01:06","guid":{"rendered":"https:\/\/masterkurniawan.my.id\/?p=392"},"modified":"2026-08-16T09:27:37","modified_gmt":"2026-08-16T09:27:37","slug":"carolina-pentest-ai-beta-1-membangun-automated-ai-pentest","status":"publish","type":"post","link":"https:\/\/masterkurniawan.my.id\/index.php\/2026\/08\/16\/carolina-pentest-ai-beta-1-membangun-automated-ai-pentest\/","title":{"rendered":"Carolina Pentest AI Beta 1: Membangun Automated AI Pentest"},"content":{"rendered":"\n

<\/h1>\n\n\n\n

Carolina Pentest AI<\/strong> adalah eksperimen awal untuk menggabungkan automated penetration testing dengan bantuan Artificial Intelligence (AI). Tool ini dikembangkan sebagai Beta 1<\/strong>, dengan tujuan membuat proses pengujian keamanan web menjadi lebih sederhana, cepat, dan mudah dipahami, terutama untuk kebutuhan lab, pembelajaran cybersecurity, dan pengujian internal.<\/p>\n\n\n\n

Pada versi awal ini, Carolina Pentest AI sudah mampu melakukan beberapa pemeriksaan keamanan secara otomatis, mendeteksi parameter aplikasi, menjalankan sejumlah security test, menyimpan hasil pemeriksaan, serta memberikan analisis menggunakan AI.<\/p>\n\n\n\n

\n

Catatan:<\/strong> Carolina Pentest AI Beta 1 masih merupakan versi eksperimen. Hasil scanning belum dapat dianggap sebagai pengganti penetration test profesional atau security assessment manual.<\/p>\n<\/blockquote>\n\n\n\n

\n\n\n\n

Apa Itu Carolina Pentest AI?<\/h2>\n\n\n\n

Secara sederhana, Carolina Pentest AI merupakan web application yang berfungsi sebagai interface untuk menjalankan automated security testing.<\/p>\n\n\n\n

Alur kerjanya kurang lebih seperti berikut:<\/p>\n\n\n\n

Target \u2192 Discovery \u2192 Parameter Detection \u2192 Vulnerability Testing \u2192 Reporting \u2192 AI Analysis<\/strong><\/p>\n\n\n\n

Pengguna memasukkan target, misalnya:<\/p>\n\n\n\n

192.168.1.172\n<\/code><\/pre>\n\n\n\n
atau target dengan path tertentu, kemudian sistem melakukan proses pengujian terhadap aplikasi web tersebut.<\/p>\n\n\n\n
Hasil pengujian ditampilkan melalui dashboard dengan kategori:<\/p>\n\n\n\n
    \n
  • Critical<\/li>\n\n\n\n
  • High<\/li>\n\n\n\n
  • Medium<\/li>\n\n\n\n
  • Low<\/li>\n\n\n\n
  • Informational<\/li>\n\n\n\n
  • Exploitable<\/li>\n<\/ul>\n\n\n\n
    Selain scanner, tersedia pula fitur chat sehingga hasil pentest dapat ditanyakan kembali kepada AI.<\/p>\n\n\n\n
    \n\n\n\n
    Tampilan Dashboard<\/h2>\n\n\n\n
    Pada Carolina Pentest AI Beta 1, dashboard dibuat dengan konsep sederhana agar proses pengujian dapat dilakukan dari satu halaman.<\/p>\n\n\n\n
    Di bagian kiri terdapat:<\/p>\n\n\n\n
      \n
    • Target<\/li>\n\n\n\n
    • Pilihan HTTP\/HTTPS<\/li>\n\n\n\n
    • Identitas pentester<\/li>\n\n\n\n
    • Identitas klien<\/li>\n\n\n\n
    • Status AI<\/li>\n\n\n\n
    • Progress scanning<\/li>\n\n\n\n
    • Statistik vulnerability<\/li>\n\n\n\n
    • Daftar temuan<\/li>\n<\/ul>\n\n\n\n
      Sedangkan bagian utama digunakan sebagai interface AI assistant.<\/p>\n\n\n\n
      \"\"<\/figure>\n\n\n\n
      Dashboard tersebut memungkinkan pengguna menjalankan pentest dan langsung melihat ringkasan hasil tanpa harus membaca output terminal secara manual.<\/p>\n\n\n\n
      \n\n\n\n
      Fitur yang Sudah Tersedia<\/h1>\n\n\n\n
      1. Target Validation<\/h2>\n\n\n\n
      Sistem memiliki fungsi validate_target()<\/code> untuk melakukan validasi awal terhadap target.<\/p>\n\n\n\n
      Target dapat berupa domain maupun alamat IP.<\/p>\n\n\n\n
      Contohnya:<\/p>\n\n\n\n
      example.com\n192.168.1.100\nexample.com\/login\n<\/code><\/pre>\n\n\n\n
      Tujuan fitur ini adalah mencegah input target yang benar-benar tidak sesuai format.<\/p>\n\n\n\n
      Namun, pada Beta 1 validasi ini masih sangat sederhana dan masih perlu diperketat sebelum digunakan pada environment produksi.<\/p>\n\n\n\n
      \n\n\n\n
      2. Server Information Detection<\/h2>\n\n\n\n
      Tool melakukan HTTP request dan membaca beberapa HTTP header seperti:<\/p>\n\n\n\n
        \n
      • Server<\/li>\n\n\n\n
      • X-Powered-By<\/li>\n\n\n\n
      • Content-Type<\/li>\n\n\n\n
      • Set-Cookie<\/li>\n\n\n\n
      • HTTP status code<\/li>\n<\/ul>\n\n\n\n
        Informasi tersebut kemudian digunakan untuk membuat fingerprint sederhana terhadap server.<\/p>\n\n\n\n
        Misalnya hasilnya dapat menunjukkan:<\/p>\n\n\n\n
        Server: Apache\/2.4.x\nPowered-By: PHP\nStatus: 200\nContent-Type: text\/html\n<\/code><\/pre>\n\n\n\n
        Fitur ini berguna sebagai tahap awal reconnaissance.<\/p>\n\n\n\n
        \n\n\n\n
        3. Technology Detection<\/h2>\n\n\n\n
        Carolina Pentest AI Beta 1 juga mencoba mengidentifikasi teknologi yang digunakan target.<\/p>\n\n\n\n
        Saat ini deteksi masih sederhana dan terutama mengandalkan HTTP header.<\/p>\n\n\n\n
        Contohnya:<\/p>\n\n\n\n
        PHP Version\nWeb Server\nOperating System\nContent Type\n<\/code><\/pre>\n\n\n\n
        Ke depan, fitur ini dapat dikembangkan menjadi technology fingerprinting yang lebih lengkap.<\/p>\n\n\n\n
        \n\n\n\n
        4. Parameter Discovery<\/h1>\n\n\n\n
        Salah satu bagian penting dari automated pentest adalah menemukan parameter yang dapat diuji.<\/p>\n\n\n\n
        Beta 1 mencoba mengambil parameter dari:<\/p>\n\n\n\n
          \n
        • URL query string<\/li>\n\n\n\n
        • HTML form<\/li>\n\n\n\n
        • Input field<\/li>\n\n\n\n
        • Link dengan query parameter<\/li>\n\n\n\n
        • Beberapa pola AJAX<\/li>\n<\/ul>\n\n\n\n
          Misalnya sebuah aplikasi memiliki:<\/p>\n\n\n\n
          \/search.php?q=test\n<\/code><\/pre>\n\n\n\n
          maka parameter:<\/p>\n\n\n\n
          q\n<\/code><\/pre>\n\n\n\n
          dapat dimasukkan ke dalam daftar pengujian.<\/p>\n\n\n\n
          Konsep ini penting karena vulnerability seperti SQL Injection, XSS, LFI, dan Command Injection sering kali berada pada parameter yang menerima input pengguna.<\/p>\n\n\n\n
          \n\n\n\n
          5. SQL Injection Testing<\/h1>\n\n\n\n
          Beta 1 memiliki modul SQL Injection yang mencoba mendeteksi:<\/p>\n\n\n\n
            \n
          • Error-based SQL Injection<\/li>\n\n\n\n
          • Time-based SQL Injection<\/li>\n<\/ul>\n\n\n\n
            Sistem menggunakan beberapa payload pengujian dan kemudian melihat apakah response menunjukkan indikasi SQL error atau terjadi peningkatan waktu response.<\/p>\n\n\n\n
            Jika ditemukan indikasi, sistem dapat memberikan hasil seperti:<\/p>\n\n\n\n
            SQL Injection (Error based)\nSeverity: CRITICAL\n<\/code><\/pre>\n\n\n\n
            Pada screenshot pengujian, aplikasi berhasil menunjukkan indikasi SQL error pada aplikasi login.<\/p>\n\n\n\n
            \"\"<\/figure>\n\n\n\n
            Namun, hasil seperti ini tetap perlu diverifikasi secara manual.<\/p>\n\n\n\n
            Error SQL saja belum selalu berarti vulnerability dapat dieksploitasi sepenuhnya.<\/p>\n\n\n\n
            \n\n\n\n
            6. Reflected XSS Detection<\/h1>\n\n\n\n
            \"\"<\/figure>\n\n\n\n
            Beta 1 juga mempunyai modul untuk mendeteksi kemungkinan Reflected Cross-Site Scripting (XSS)<\/strong>.<\/p>\n\n\n\n
            Sistem mengirim beberapa payload uji dan kemudian mencari apakah payload tersebut muncul kembali pada response.<\/p>\n\n\n\n
            Contoh konsep pengujian:<\/p>\n\n\n\n
            <script>alert(123)<\/script>\n<\/code><\/pre>\n\n\n\n
            Kemudian scanner melihat apakah input tersebut direfleksikan oleh server.<\/p>\n\n\n\n
            Jika ditemukan, sistem memberikan status:<\/p>\n\n\n\n
            XSS (Reflected)\nSeverity: HIGH\n<\/code><\/pre>\n\n\n\n
            Pada pengujian internal, Carolina Pentest AI berhasil menemukan reflected XSS pada aplikasi target dan payload berhasil dieksekusi di browser.<\/p>\n\n\n\n
            Ini menjadi salah satu contoh menarik bahwa automated scanner sederhana pun dapat membantu menemukan vulnerability umum.<\/p>\n\n\n\n
            \n\n\n\n
            7. LFI \/ Path Traversal<\/h1>\n\n\n\n
            Modul lain yang tersedia adalah pengujian Local File Inclusion atau Path Traversal.<\/p>\n\n\n\n
            Beta 1 mencoba beberapa pola traversal untuk melihat apakah aplikasi dapat membaca file yang seharusnya tidak dapat diakses.<\/p>\n\n\n\n
            Dalam salah satu pengujian lab, scanner berhasil menemukan indikasi akses terhadap:<\/p>\n\n\n\n
            \/etc\/passwd\n<\/code><\/pre>\n\n\n\n
            Hasil tersebut ditampilkan sebagai:<\/p>\n\n\n\n
            LFI \/ Path Traversal\nSeverity: HIGH\n<\/code><\/pre>\n\n\n\n
            \"\"<\/figure>\n\n\n\n
            Temuan seperti ini tentunya harus dilakukan hanya pada sistem yang memang mendapatkan izin pengujian.<\/p>\n\n\n\n
            \n\n\n\n
            8. Command Injection Detection<\/h1>\n\n\n\n
            Beta 1 juga mempunyai modul untuk mencari indikasi Command Injection.<\/p>\n\n\n\n
            Konsepnya adalah mengirim input yang dapat memicu eksekusi command pada server dan kemudian mencari pola output command pada response.<\/p>\n\n\n\n
            Misalnya scanner dapat mendeteksi output berbentuk:<\/p>\n\n\n\n
            uid=...\ngid=...\ngroups=...\n<\/code><\/pre>\n\n\n\n
            Jika pola tersebut ditemukan, sistem mengklasifikasikannya sebagai:<\/p>\n\n\n\n
            Command Injection\nCRITICAL\n<\/code><\/pre>\n\n\n\n
            Fitur ini cukup sensitif karena pengujian command injection dapat berdampak langsung terhadap sistem target.<\/p>\n\n\n\n
            Oleh karena itu, pada pengembangan berikutnya mekanisme pengujian perlu dibuat lebih aman dan memiliki batasan scope yang jelas.<\/p>\n\n\n\n
            \n\n\n\n
            9. Deteksi Apache 2.4.49 \/ 2.4.50<\/h1>\n\n\n\n
            \"\"<\/figure>\n\n\n\n
            Beta 1 juga memiliki pemeriksaan khusus terhadap Apache versi tertentu yang berkaitan dengan:<\/p>\n\n\n\n