kali ini saya akan kasih tutorial yg agak susah bagi saya :)
oke langsung saja ya jangan banyak cincong :v
Bahan" :
* CSRF : View
* Email yg masih aktif
* Otak and konsentrasi :)
Langkah" :
1. Cari dulu target dengan menggunakan google dork. :) Berikut Dork nya :
inurl:/member/daftar.php intext:"namakotatarget"
2.Setelah kalian menemukkan targetnya,kalian masukkan exploit berikut :
/member/daftar.php
3.Inilah dia penampakannya :
4. Kemudian kalian isi kotak yg kosong itu dan klik daftar/simpan
5. Setelah kalian klik daftar maka tapmpilannya akan seperti ini :
7. Lalu lihat di kotak masuk / di Spam , lalu klik Validasi Member (Lihat Gambar)
8. Setelah kita klik Validasi Member , maka tampilannya akan seperti ini :
9. Lalu klik Lanjutkan, dan masukan Username dan Passwordnya ;)
10. Setelah kita masuk, lalu buka CSRFnya ( Untuk upload shell )
11. Copy ( Web Depan / Web Sekolahnya ) dan paste webnya ke CSRF (Lihat Gambar)
13. Setelah itu, tinggal pasang shell backdoor kalian dan klik Upload :D ( Jika tidak punya shell backdoor, sebaiknya cari dulu di google, dan download )
14. Setelah kita klik Upload, maka akan ada bacaan seperti ini :
" Anda tidak diperkenankan mengakses fasilitas ini.
Silahkan daftar menjadi member dan login terlebih dahulu ". Itu tandanya kita berhasil memasang shell ^_^
15. Tempat akses shellnya : /materi/file.php ( ingat, walaupun shell yang kalian upload tadi bernama ganteng.php atau apalah yang sering kalian pake, maka setelah kita meng uploadnya, itu akan berubah menjadi file.php ) tetapi jika kita buka /materi/file.php malah 404 Not Found / 500 Internal Server / 403 Forbidden, saya sarankan kalian mencari target lain :p
contoh : http://site.sch.id/materi/file.php
16. Setelah shell kalian kebuka, kalian bebas deh mau ngapain aja :D tapi saya saranin sih jangan tebas indexnya :D cukup nitip file saja :D Nnti bisa di tangkep polisi kalau kalian tebas indexnya :v
Oke sekian tutorial saya terima kasih :)
Content Creator : Alsaskar Mirando Malalantang
Alsaskar_Attacker
Kalau kurang jelas bisa contact me : Facebook