Deface POC com_djclassifieds

Assalamu'alaikum


Langsung aja gapake ceng cong cengg

Alat dan bahan :

-Dork : inurl:com_djclassifieds site:  (kembangin lagi)

-Csrf : Download (save dengan ekstensi html)

-Software apa aja buat edit edit source code dari csrfnya (gw make notepad++, yg pake android di sesuain aja sama apk yg sering di pake buat edit sc)

-Exploit : index.php/en/?option=com_djclassifieds&task=upload&tmpl=component
.
.
.
Nb: Perhatikan posisi exploitnya ga semua web sama.
.
.
.
 Next...
 Dorking dulu mas..


Btw disini gw udh ada live target  :
https://anukah.io/en/?option=com_djclassifieds&view=items&cid=198:video-games-consoles&Itemid=795

 Masukin exploitnya jadinya kek gini
https://anukah.io/index.php/en/?option=com_djclassifieds&task=upload&tmpl=component

Nah buat cari tau webna bisa ditusbool apa kagak, liat gambar.

Kalo kek gitu, besar kemungkinan webna vuln..

Ingat yaa ga ada tulisan errornya

 
Kalo kek di atas tu 100% error gan, tinggalin ae..

Oke next kita copy url link yg vuln tadi
~> https://anukah.io/index.php/en/?option=com_djclassifieds&task=upload&tmpl=component

Nah selanjutnya kita menuju csrfna, disini gw make notepad++ buat edit csrfnya karena ntar link target kita bakal di masukin dalam codingan csrf ini..


Masukkan url link target kita disitu, yg gw lingkar merah..

Next.. Perhatikan yang gw lingkarin di bawah..

Ingat.. yang nentuin ekstensi sama nama sc/shell kita yg nanti ke upload itu dari csrfnya ya..
Jadi kalo lu mo edit nama sclu, harus edit dari csrfnya.
Disini gw  namain sc gw di csrfnya x.html.
Nah kalo udah beres semua, langsung save aja gan..
.
.
.
Nb: kalo mo up shell, biasanya ada web yg ngeblock ekstensi tertentu, jadi use your dengkul buat bypass ekstensinya ya puki!1!1 Ingat edit nama ato ekstensinya harus dari csrfnya! Gw saranin kalo mo up shell ubah aja ekstensinya jadi phtml atau php, kalo shell lu rusak berarti webna g bisa di up shell, up sc aja su :v


Lanjut buka csrf tadi.. tinggal upload shell/sc lu.

Kalo udah ke upload.. dirnya ada di tmp/djupload/sc.html.


https://anukah.io/tmp/djupload/v.html

Dah gitu doang cuk simple..
Selamat mencoba.
Jan lupa kalo depes nitip nick gw prizeHdru ok
.
.
.
.
.
.
.
-prizeHdru


sfx: ngeriinaa depeserrrr

Tinggalkan jejak barbar kalian di komentar :v

Share this post