Session Hijacking: Dari Mixed Content Sampai Nyolong Session
Banyak yang mikir kalau website udah pakai HTTPS berarti udah aman dari segala serangan. Padahal brok, kenyataannya nggak sesimpel itu. Salah satu celah klasik yang sering diremehin adalah Mixed Content — dan dari sinilah kadang cerita “session hijacking” dimulai.
Baca Juga (Wajib Brok!):
Artikel ini adalah lanjutan dari pembahasan kita soal enkripsi. Kalau kau belum baca kenapa HTTPS itu fundamental, wajib banget cek dulu di sini: HTTP vs HTTPS: Kenapa Website Kau Harus Pake S!
Apa itu Mixed Content?
Mixed content terjadi waktu halaman utama udah pake HTTPS, tapi masih ada elemen-elemen di dalamnya yang pake HTTP biasa. Contohnya:
- Gambar dari
http:// - Script dari
http:// - Iframe atau stylesheet dari sumber non-HTTPS
Karena koneksi HTTP nggak terenkripsi, hacker bisa “nyelipin” script berbahaya ke dalam elemen itu. Dan begitu script itu jalan di browser user, tamat sudah — mereka bisa baca cookie, nyolong token, bahkan kendalikan sesi login.
Hubungan Mixed Content dengan Session Hijacking
Mixed content sendiri belum tentu langsung bikin session hijacking, tapi bisa jadi pintu masuk buat nyerang. Bayangin gini brok:
Website lu udah digembok kuat (HTTPS), tapi jendela kecil di dapur masih kebuka (HTTP). Ya maling tetep bisa nyusup lewat situ wkwk.
Kalau hacker berhasil injek script dari resource HTTP, mereka bisa:
- Ngintip atau nyolong session cookie
- Menjalankan request palsu ke server atas nama user (CSRF style)
- Melakukan session fixation — nyuruh user make session ID buatan hacker
Dan boom 💥 — session hijacking pun terjadi. Jadi, HTTPS itu penting, tapi tanpa konfigurasi yang bener tetep bisa jebol juga.
Cara Mencegahnya
- Pastikan semua resource (gambar, CSS, JS) di-load lewat HTTPS
- Gunakan Content Security Policy (CSP)
- Aktifkan HSTS (HTTP Strict Transport Security)
- Gunakan header keamanan seperti X-Content-Type-Options dan Referrer-Policy
Penutup
Dunia web security itu nggak pernah sesederhana “udah pakai HTTPS = aman”. Masih banyak celah kecil yang kalau diremehin bisa jadi malapetaka besar. Jadi brok, selalu cek resource dan konfigurasi header biar nggak jadi korban di session hijacking berikutnya 😎.
Posting Komentar