No Light

Halo gengs apakabar ? kali ini saya akan membagikan tutorial deface website yang menggunakan CMS Joomla. Trik deface ini memanfaatkan sebuah halaman untuk upload file CSV. File CSV sendiri adalah sebuah dokumen table yang mirip dengan document excel tetapi lebih ringkas dan sederhana. Namun pada saat upload file, tidak hanya file dengan format CSV saja yang dapat di upload melainkan file seperti Image, HTML dan PHP juga dapat di upload.


Seperti biasa disini saya akan menyensor sepenuhnya website-website yang saya tunjukan disini, karena website ini memiliki disclaimer yang mana hanya untuk tujuan pembelajaran saja, untuk targetnya kalian dapat mencarinya dengan dork berikut ini :

inurl:viewTable?cid= site:com
inurl:viewTable?cid= site:ru
inurl:viewTable?cid= site:ac
inurl:viewTable?cid= site:id
inurl:viewTable?cid= site:my
inurl:viewTable?cid= site:co

Jika pencarian website nya cukup susah kalian bisa hilangkan site dan titik ganda setelah inurl.  Website yang menjadi target ciri-ciri URL nya seperti ini :

URL-1 : website-ru.sak/index.php?option=com_fabrik&task=viewTable&cid=9


URL-2 : https://rusakin.aja/component/fabrik/viewTable?cid=


Jika dilihat dari tampilan kedua website diatas dapat dilihat bahwa halaman menampilkan tulisan "Sorry this form..." berarti website tersebut dapat di beri exploit, gunakan exploit dibawah ini :

Exploit : /index.php?option=com_fabrik&c=import&view=import&filetype=csv&table=1

Setelah di exploit nantinya website akan menampilkan sebuah halaman form Import CSV. Lalu pilih file dan klik tombol upload.


Secara umum file akan berada pada folder media jadi buka file dengan URL seperti ini, jika file tidak ada atau tidak dapat dibuka berarti CMS tersebut sudah di patch atau di tambal celahnya :

URL : alamat-website.com/media/nama-file.html

Happy hacking dan sampai jumpa pada tutorial berikutnya.


Tulis di kolom komentar jika belum ada yang kalian pahami.