Scripting & automation (pembuatan skrip & otomatisasi) adalah penggunaan kode program untuk menjalankan tugas-tugas rutin atau berulang secara otomatis tanpa campur tangan manusia.

A. BASH — Sistem & Infiltrasi

Bahasa “asli” terminal Linux. Wajib dikuasai untuk membuat skrip post-exploitation, membersihkan log, hingga melakukan privilege escalation secara otomatis. Bash berjalan di hampir semua sistem Linux/Unix tanpa perlu instalasi tambahan — menjadikannya senjata pertama yang selalu tersedia.

Kasus penggunaan: Automated enumeration, log clearing, reverse shell one-liner, persistence via crontab, mass file searching.

B. PYTHON — Swiss Army Knife

Bahasa paling populer di dunia InfoSec. Digunakan untuk menulis exploit, alat scanning khusus, hingga manipulasi paket data. Library seperti requests, scapy, socket, paramiko, dan pwntools menjadikannya sangat powerful untuk security research.

Kasus penggunaan: Custom exploit development, web scraping, fuzzing, packet crafting, CVE PoC scripting, brute force tool.

C. GOLANG — Modern Tooling

Dikenal karena kecepatannya dan kemampuan kompilasi ke dalam satu file biner yang bisa langsung dijalankan di target tanpa dependency. Sangat populer untuk membuat tools recon masif seperti subdomain scanner, port scanner, atau C2 (Command & Control) framework modern.

Kasus penggunaan: Subdomain enumeration (Amass, subfinder), fast port scanning, malware/C2 development, cross-compile untuk berbagai OS target.

[PRINSIP KERJA]

Don’t Repeat Yourself (DRY): Jika kamu melakukan sebuah tugas lebih dari tiga kali secara manual — misal mengecek port terbuka di 100 IP — buatlah skripnya. Waktu adalah aset.

Modularity: Bangun skrip kecil yang bisa digabungkan. Gunakan piping di Linux untuk menghubungkan output skrip satu ke input skrip lainnya. Satu skrip, satu fungsi.

#!/bin/bash
# Sweep host aktif di subnet /24

read -p “[*] Masukkan subnet (contoh: 192.168.1): “ SUBNET

echo “[*] Scanning $SUBNET.0/24 …”

for i in {1..254}; do
  ping -c 1 -W 1 $SUBNET.$i >/dev/null 2>&1
  if [ $? -eq 0 ]; then
    echo “[+] Host aktif: $SUBNET.$i”
  fi
done

💡 Cara menjalankan: Simpan sebagai sweep.sh → chmod +x sweep.sh → ./sweep.sh

#!/usr/bin/env python3
# Simple TCP Port Scanner — by 0x6ick

import socket
import sys

def scan_port(host, port):
  try:
    s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    s.settimeout(1)
    result = s.connect_ex((host, port))
    if result == 0:
      print(f”[+] Port {port} OPEN”)
    s.close()
  except socket.error:
    pass

target = sys.argv[1]
print(f”[*] Scanning {target} …”)

for port in range(1, 1025):
  scan_port(target, port)

💡 Cara menjalankan: python3 scanner.py 192.168.1.1

#!/usr/bin/env python3
# HTTP POST Login Bruteforce — by 0x6ick
# Gunakan hanya di lab/sistem yang kamu miliki izin!

import requests

TARGET = “http://target.lab/login”
USERNAME = “admin”
WORDLIST = “rockyou.txt”

with open(WORDLIST, “r”, errors=“ignore”) as f:
  for password in f:
    password = password.strip()
    data = {“username”: USERNAME, “password”: password}
    r = requests.post(TARGET, data=data)
    if “Invalid” not in r.text:
      print(f”[+] Password ditemukan: {password}”)
      break

⚠️ Disclaimer: Semua contoh di atas hanya untuk keperluan edukasi, CTF, dan pengujian di sistem yang kamu miliki izin secara legal. Penggunaan di sistem orang lain tanpa izin merupakan tindakan ilegal.

• subfinder — Subdomain enumeration tool. Menemukan subdomain dari berbagai passive source sekaligus.
• httpx — HTTP probing masif. Mengecek status, title, teknologi dari daftar URL/domain dengan cepat.
• nuclei — Vulnerability scanner berbasis template. Ribuan template CVE siap pakai.
• ffuf — Web fuzzer berkecepatan tinggi untuk directory brute force, parameter fuzzing, dan vhost discovery.
• gobuster — Directory dan DNS brute force tool. Alternatif ffuf yang populer.
• naabu — Port scanner cepat berbasis Go. Bisa scan jutaan host dalam waktu singkat.

// Simple Port Scanner in Go — by 0x6ick
package main

import (
  “fmt”
  “net”
  “os”
  “sync”
)

func scanPort(host string, port int, wg *sync.WaitGroup) {
  defer wg.Done()
  addr := fmt.Sprintf(“%s:%d”, host, port)
  conn, err := net.Dial(“tcp”, addr)
  if err == nil {
    fmt.Printf(“[+] Port %d OPEN\n”, port)
    conn.Close()
  }
}

func main() {
  host := os.Args[1]
  var wg sync.WaitGroup
  for port := 1; port <= 1024; port++ {
    wg.Add(1)
    go scanPort(host, port, &wg)
  }
  wg.Wait()
}

[AUTOMATION PIPELINE : RECON FULL]

# Step 1: Subdomain Enumeration

subfinder -d target.com -silent | tee subdomains.txt

# Step 2: Probe HTTP/HTTPS aktif

cat subdomains.txt | httpx -silent | tee live_hosts.txt

# Step 3: Scan vulnerability dengan Nuclei

nuclei -l live_hosts.txt -severity medium,high,critical -o results.txt

# Step 4: Directory fuzzing pada host live

ffuf -u TARGET/FUZZ -w /usr/share/wordlists/dirb/common.txt -mc 200,301,403

💡 Tips Pipeline: Gunakan tee untuk menyimpan output sekaligus menampilkannya ke layar. Gunakan | (pipe) untuk mengalirkan output satu tool langsung ke tool berikutnya tanpa file sementara. Kombinasi ini adalah inti dari otomasi pentest modern.

• Selalu tambahkan banner/header — Cantumkan nama tool, versi, dan author di awal skrip.
• Validasi input — Selalu cek apakah argumen yang dibutuhkan sudah diberikan sebelum skrip berjalan.
• Gunakan warna di output — \e[32m untuk hijau (sukses), \e[31m untuk merah (error). Output yang terbaca lebih cepat = operasi lebih efisien.
• Error handling — Tangani exception/error agar skrip tidak crash di tengah operasi panjang.
• Tambahkan mode verbose/quiet — Flag -v untuk detail, default untuk output bersih.
• Logging otomatis — Simpan semua output ke file log dengan timestamp. Kamu tidak akan mengingat semua temuan jika tidak tercatat.
• Rate limiting — Tambahkan delay sleep antar request agar tidak memicu WAF atau rate limiter target.
• Jangan hardcode credentials — Gunakan environment variable atau file config eksternal untuk menyimpan API key atau password.

Kesimpulan

“Scripting mengubah kamu dari pengguna menjadi pencipta. Penguasaan logika pemrograman akan mempermudah kamu memahami bagaimana sebuah aplikasi beroperasi dan di mana letak kelemahannya.”

Mulai dari yang sederhana — otomasi tugas yang kamu lakukan berulang setiap hari. Dari situ, kemampuan scripting-mu akan berkembang secara organik seiring pengalaman di lapangan.

Selanjutnya: S5 — Web Technology →