Bagaimana Cara Saya Memanipulasi Mega Device Sync Policy
Tutorial Asik
Perkenalan Mega Device Sync Policy
Mega Device Sync Policy merupakan ekstensi chrome berbasis kebijakan (Policy-Based Chrome Extension) yang dirancang untuk manajemen perangkat di lingkungan sekolah. Fungsi utamanya adalah melakukan lockdown (isolasi) pada browser siswa selama jam pembelajaran, dengan memblokir kata kunci tertentu, membatasi akses domain, dan mengharuskan verifikasi OTP (TOTP/PIN) untuk membuka kuncinya, terkadang juga beberapa kali ada sebuah bug yang menyebabkan lockdown tanpa alasan tertentu.
Bagaimana Cara Saya Memanipulasinya?
Karena kecacatan pada bug tersebut kerentanan ekstensi dapat dieksploitasi melalui beberapa vektor serangan yang saling berkaitan membentuk rantai eksploitasi (attack chain). Pertama, konfigurasi manifest.json yang tidak menerapkan Content Security Policy (CSP) secara ketat memungkinkan terjadinya celah Reflected Cross-Site Scripting (XSS) pada parameter URL internal ekstensi. Melalui celah ini, kode JavaScript arbitrer dapat disuntikkan untuk memanipulasi chrome.storage.local, memaksa sistem mengubah status perangkat menjadi "Admin" atau menonaktifkan flag isLocked secara paksa
Serangan yang paling ditunggu yaitu membuat Mega Device Sync menjadi cacat atau error bisa dieksploitasi melalui celah-celah besar pada manifest.json atau focus.js dan di celah-celah tersebut bisa disuntikkan Tab Script Injector untuk menembus menuju internal data ekstensi dan membuatnya error dan berhenti berfungsi.
Kesimpulannya adalah ekstensi Chrome "Mega Device Sync Policy" yang berfungsi mengunci browser siswa memiliki kerentanan keamanan akibat konfigurasi Content Security Policy (CSP) yang lemah dan bug sistem. Melalui celah tersebut, kode JavaScript dapat disuntikkan untuk memanipulasi penyimpanan lokal browser guna mengubah status perangkat menjadi "Admin" atau mematikan fitur penguncian secara paksa. Kelemahan pada file manifest.json dan focus.js dapat dieksploitasi menggunakan Tab Script Injector untuk membuat ekstensi mengalami error, hingga berhenti berfungsi.