KALI/SANA — CURL-01 · HTTP Manual Workbench

Metode HTTP

GET POST HEAD OPTIONS PUT DELETE

Jejak per Request

1 BARIS

paling senyap di access.log

Sesi DVWA

-c JAR · -b

Status Kunci

403

"ada tapi dilarang" — pengakuan

01Konsep

curl: Bicara HTTP Tanpa Browser

curl adalah pena HTTP: satu permintaan, satu baris log, kendali penuh atas metode, header, cookie, dan body. Semua tool web lain (gobuster, wpscan) pada dasarnya mengotomasi yang bisa kamu lakukan manual di sini — memahami curl = memahami cara kerja mereka.

RED — KELUARGA PERINTAH

-sI header saja — banner & hardening.
-c jar -d login form → simpan sesi.
-b jar pakai sesi → modul DVWA dari CLI.
-X OPTIONS — metode yang diizinkan.

BLUE — SINYAL RENDAH

Satu curl = satu baris — tak mungkin diberi alert.
Yang dilihat SOC: pola agregat (ratusan GET) — curl satuan lolos, dan justru karena itu canary & baseline penting.

02Builder

Susun curl

Metode

URL

-d Data (POST)

-H Header

-c Simpan Cookie

-b Pakai Cookie

curl

03Playbook DVWA

Sesi Lengkap Login → Modul SQLi

tiga langkah DVWA dari CLI

# 1. LOGIN — simpan cookie sesi:
curl -s -c jar.txt -d 'username=admin&password=p@ssw0rd' \
  http://dvwa1.abdurrozak.my.id/login.php -o /dev/null -w '%{http_code}\n'
302                                  # redirect = login sukses

# 2. SET LEVEL + BUKA MODUL SQLI (perhatikan kutip setelah id=1):
curl -s -b jar.txt -b 'security=low' \
  "http://dvwa1.abdurrozak.my.id/vulnerabilities/sqli/?id=1'&Submit=Submit" | grep -i error
# error SQL muncul → kerentanan terkonfirmasi dari CLI tanpa browser

# 3. METODE YANG DIIZINKAN + BANNER:
curl -s -X OPTIONS -i http://dvwa1.abdurrozak.my.id | head -n 10
curl -sI http://dvwa1.abdurrozak.my.id | grep -iE 'server|powered|cookie'

KENAPA INI PENTING

Langkah yang sama inilah yang dipakai gobuster (cookie sesi), wpscan (login), dan setiap modul DVWA dari terminal. Kuasai tiga perintah di atas dan seluruh fase eksploitasi CLI terbuka.