-->
Home
DEFACE

Deface POC Responsive File Manager (RFM) - Upload Shell

Saturday, January 09, 2021

Hallo guys!
Kembali lagi di blog kecil gw, Oke pada artikel kali ini gw akan share tutorial Deface POC Responsive File Manager (RFM) Upload Shell.

Gw share tutorial ini karna banyak temen-temen gw yang nanya gimana Upload Shellnya, Padahal menurut gw itu gampang banget. 😃

Oke langsung aja ke tutorialnya.

Cari Target (Dorking)

Tahap pertama adalah dorking, Yaps untuk mencari target yang akan di eksekusi.

Dork :
  • inurl:/admin/tinymce/plugins/filemanager/dialog.php
  • inurl:/filemanager/dialog.php
  • index of /filemanager intext:"dialog.php"
Kembangin lagi ya sampe dapet yang fresh, hehe.

Upload Shell

Setelah mendapatkan target maka langsung aja kalian upload shell tanpa berlama-lama lagi.
Untuk cara upload shell nya ada beberapa cara, Ditutorial kali ini gw akan share 2 cara yang biasanya di gunakan oleh para Defacer yaitu Inject Filename dan Tamper data.

Menurut gw pribadi lebih work yang tamper data, Soalnya gw pernah coba inject filename jarang banget berhasil wkwk.

Gimana cara Inject filename dan Tamper data? Berikut tutorialnya.


1). Inject filename
Cara ini cara yang banyak di pake oleh para Defacer, Gw liat banyak banget yang Show Off dengan POC RFM > Inject Filename. 

Caranya gampang banget, Kalian cukup Rename shell kalian dari shell.php ke shell.php<?.html dan Upload.

Kalo berhasil maka akan ada tanda Centang dan kalo nggak berhasil ya berarti harus pakai cara yang kedua yaitu Tamper data.

2). Tamper data
Cara ini gw andelin banget sampai saat ini, Kalo cara yang pertama yaitu Inject Filename gagal.
Caranya gampang banget, Cukup rename aja uploader kalian jadi jpg, Misalnya tadinya nama uploadernya uploader.php maka tinggal di rename jadi uploader.jpg

Untuk user PC bisa pake BurpSuite, Untuk user Andro bisa pakai Lightning browser sama Sandroproxy.
Berhubung laptop gw lagi lowbat gw pake andro ajalah.

Upload uploader.jpg (Pake Lightning Browser ya)


Kalo udah lanjut ke step berikutnya yaitu Cari teks POST di Sandroproxy > Edit > Rename filename jadi php.


Trus tap ikon Send dan Langsung aja liat, Berhasil ke-upload atau nggak.


Yapss berhasil, Tinggal Upload Shell ajadeh.


Yuhuuu shell berhasil terupload dengan mulus, Sekarang kalian bebas mau ngapain aja, Edit, Delete, Rename, Upload file bebas asal directory nya ijo. 😂

Oke mungkin cukup sekian tutorial dari gw, Semoga bermanfaat!
Jangan lupa share tutorial ini ke temen-temen kalian yang belum tau ya, Biar gw makin semangat lagi nulis artikel di blog kecil ini.

Post a Comment