WhatWeb: Tool Penting untuk Bug Bounty & Keamanan Website Developer
Dalam dunia cybersecurity atau bug bounty, fase terpenting bukanlah saat melakukan eksploitasi, melainkan saat Reconnaissance (pengumpulan informasi). Kita perlu tahu, "musuh" seperti apa yang sedang kita hadapi. Apakah servernya pakai Nginx? CMS-nya WordPress versi berapa? Atau jangan-jangan pakai framework kustom?
Di sinilah WhatWeb bermain.
Apa Itu WhatWeb?
WhatWeb adalah next-generation web scanner. Bayangkan ia sebagai "shazam" untuk website. Jika Shazam mendengarkan lagu untuk tahu judulnya, WhatWeb "mendengarkan" respons HTTP untuk mengetahui teknologi di balik sebuah situs.
Tool ini berbasis CLI (Command Line Interface) dan sudah menjadi standar industri bagi para penetration tester.
Cara Kerja WhatWeb
WhatWeb bekerja dengan mengirimkan request HTTP ke target, lalu menganalisis:
- HTTP Headers: Server string, cookie, dan security headers.
- HTML Content: Mencari tag meta generator atau struktur HTML spesifik.
- Script Tags: Mendeteksi library JavaScript seperti jQuery atau React.
Tutorial Penggunaan Dasar
Jika Anda menggunakan Linux (Ubuntu/Kali), instalasi cukup dengan sudo apt install whatweb. Berikut beberapa perintah yang sering saya gunakan:
1. Scan Standar (Stealthy)
Bash
whatweb example.com
Ini adalah scan paling sopan. Outputnya ringkas, memberitahu server apa yang dipakai, alamat IP, dan negara hosting.
2. Scan Agresif (Deep Scan)
Jika ingin menggali lebih dalam, gunakan opsi -a 3.
Bash
whatweb -a 3 example.com
Hati-hati, mode ini mengirim request lebih banyak dan bisa memicu alarm pada WAF (Web Application Firewall).
3. Output JSON untuk Otomatisasi
Sebagai developer, kita sering butuh data yang bisa diolah. WhatWeb mendukung output JSON yang bisa kita parsing menggunakan Python atau Node.js.
Bash
whatweb --log-json=hasil.json example.com
Mengapa Developer Harus Pakai?
Bukan cuma untuk hacker, developer wajib pakai WhatWeb untuk Self-Audit.
Seringkali kita lupa bahwa server kita membocorkan informasi sensitif, seperti versi software yang outdated (misal: PHP/5.6 atau Apache/2.2). Informasi versi ini adalah emas bagi penyerang untuk mencari celah keamanan (CVE).
Dengan WhatWeb, kita bisa melihat wajah website kita dari sudut pandang orang luar, lalu menutup celah informasi tersebut sebelum dimanfaatkan pihak tidak bertanggung jawab.
