LOLCreds adalah database referensi kredensial yang dirancang untuk membantu profesional keamanan memetakan surface kredensial dari produk-produk nyata. Proyek ini mengumpulkan informasi tentang kredensial default, nilai yang di-generate saat instalasi, lokasi kredensial, dan pola exposure yang diketahui dari 159 produk yang mencakup berbagai kategori mulai dari CI/CD, database, AI API, network equipment, enterprise application, hingga cloud services. LOLCreds dikembangkan oleh haxx.it sebagai proyek open-source untuk defender dan authorized testers.
Dari 159 produk yang tercatat, 27 di antaranya memiliki kredensial default yang diketahui secara publik. Database ini mengkategorikan kredensial berdasarkan beberapa dimensi: nature (user defined, generated on install, static default, no auth, undocumented), type (username/password, secret value, token, API key, key pair, password, other, certificate), dan kategori produk. Setiap entri menampilkan jumlah kredensial yang terkait dengan produk tersebut, jenis-jenis kredensialnya, dan flag yang menunjukkan apakah kredensial tersebut bersifat static default, generated on install, atau user defined.
Yang membuat LOLCreds unik adalah pendekatannya yang terstruktur dan komprehensif. Database ini mencakup segala sesuatu mulai dari produk jaringan seperti Cisco IOS (9 kredensial), F5 BIG-IP (5 kredensial), Fortinet FortiGate (7 kredensial), hingga layanan AI seperti OpenAI (1 API key), Anthropic Claude (2 kredensial), Google Gemini (1 API key), dan DeepSeek (1 API key). Untuk setiap produk, database menunjukkan apakah kredensial tersebut bersifat static (selalu sama), generated on install (dibuat saat setup), atau user defined (ditentukan oleh administrator).
Beberapa contoh menarik dari database ini meliputi: Atlassian Confluence yang memiliki 7 kredensial termasuk static defaults yang sudah diketahui, GitLab yang memiliki 13 kredensial termasuk username/password dan token, Kubernetes Dashboard yang memiliki 6 kredensial termasuk opsi no-auth, Redis yang berjalan tanpa autentikasi secara default, dan MinIO yang menggunakan minioadmin:minioadmin sebagai default credentials — kredensial yang sama yang dieksploitasi dalam serangan JADEPUFFER yang baru-baru ini terungkap.
LOLCreds juga mencakup kredensial untuk perangkat keras seperti Dell iDRAC, HPE iLO, Supermicro IPMI/BMC, dan APC Network Management Cards — perangkat yang sering kali terlupakan dalam assessment keamanan namun memiliki dampak kritis jika terkompromi. Untuk produk database, PostgreSQL, MySQL, MongoDB, dan Redis semuanya tercatat dengan kredensial default mereka masing-masing, termasuk flag no-auth untuk Redis dan MongoDB yang berjalan tanpa autentikasi secara default.
Tutorial Penggunaan LOLCreds
Menggunakan LOLCreds sangatlah sederhana karena ini adalah website referensi yang interaktif. Kunjungi lolcreds.haxx.it untuk mengakses database. Halaman utama menampilkan semua 159 produk dengan opsi filter berdasarkan nature, type, dan kategori produk. Gunakan search bar di bagian atas untuk mencari produk spesifik — cukup ketik nama produk seperti “Apache”, “Jenkins”, atau “Redis” untuk langsung menemukan entri yang relevan.
Untuk melakukan assessment terhadap infrastruktur organisasi, mulai dengan mengidentifikasi semua produk yang berjalan di lingkungan produksi. Kemudian cari setiap produk di LOLCreds dan verifikasi apakah kredensial default masih aktif. Fokus pada entri yang bertanda “static default” karena ini adalah kredensial yang tidak berubah antar instalasi — artinya setiap instance produk tersebut di seluruh dunia menggunakan kredensial yang sama kecuali secara eksplisit diubah oleh administrator.
Untuk red team engagements, LOLCreds menjadi referensi yang sangat berharga saat reconnaissance phase. Ketika target menggunakan produk tertentu, tim red team dapat langsung mengetahui kredensial default yang mungkin masih aktif. Sebagai contoh, jika target menggunakan Confluence, tim dapat mencoba 7 kombinasi kredensial yang tercatat di LOLCreds. Jika target menggunakan MinIO, kombinasi minioadmin:minioadmin adalah percobaan pertama yang wajib dilakukan. Data ini juga tersedia dalam format JSON di GitHub repository haxxm0nkey/lolcreds-data untuk integrasi otomatis ke dalam tools assessment.
Analisa Retasan
LOLCreds menjawab kebutuhan nyata dalam industri keamanan siber yang selama ini kurang mendapat perhatian. Sementara NVD, CVE database, dan exploit database sudah berlimpah, tidak ada sumber referensi terpusat dan terstruktur untuk kredensial default produk. Profesional keamanan selama ini harus mengandalkan pengetahuan individual, Google search, atau dokumentasi vendor yang tersebar untuk menemukan informasi ini. LOLCreds menyatukan semua informasi tersebut dalam satu tempat yang mudah diakses dan terus diperbarui.
Yang paling mencolok dari database ini adalah betapa luasnya permukaan kredensial default yang masih eksis di dunia nyata. Dari 159 produk yang tercatat, 27 memiliki static defaults yang diketahui — dan ini baru merupakan sampel dari produk-produk yang paling umum digunakan. Dalam konteks serangan seperti JADEPUFFER yang baru-baru ini terungkap, di mana penyerang memanfaatkan
minioadmin:minioadminsebagai initial access vector, pentingnya database seperti LOLCreds menjadi sangat nyata. Tanpa pengetahuan tentang kredensial default ini, blue team tidak akan menyadari betapa rentannya infrastruktur mereka.Dari perspektif threat landscape Indonesia, LOLCreds memiliki relevansi yang sangat tinggi. Banyak organisasi di Indonesia yang menjalankan produk-produk seperti Jenkins, GitLab, Grafana, Prometheus, dan Redis tanpa mengubah kredensial default. Produk-produk ini sering kali terpapar ke internet melalui konfigurasi yang tidak sengaja atau keputusan deployment yang terburu-buru. Database ini menjadi reminder yang kuat bahwa security hygiene — khususnya penggantian kredensial default — masih menjadi salah satu pertahanan paling mendasar namun paling sering diabaikan. Setiap organisasi harus menjadikan LOLCreds sebagai checklist wajib dalam hardening prosedur mereka.
LOLCreds membuktikan bahwa banyak organisasi masih menjalankan produk dengan kredensial default yang sudah diketahui publik. Database ini menjadi pengingat bahwa security hygiene — penggantian kredensial default — masih menjadi pertahanan paling mendasar namun paling sering diabaikan.
Sumber: LOLCreds — Living Off the Land Credentials | GitHub – haxxm0nkey/lolcreds-data
