Deface Admin Weak Pass E-KELULUSAN | Upload Shell

Deface Admin Weak Pass E-KELULUSAN | Upload Shell - www.draxploit.web.id

Banner

Hai Exploiters.

Bertemu kembali dengan saya disini.

Apa kabar dengan hari ini?, Baik-baik saja ya tentunya hhe....

Baiklah pada kesempatan kali ini saya akan membagikan tutorial Deface Admin Weak Pass.

Iyah sekarang kita akan bermain admin weak pass lagi, Karna tidak ada username password admin yang aman hha.

saya tidak tahu apakah memang rata rata website E-KELULUSAN itu weak pass username dan passwordnya, atau mungkin default.

Jadi saya hanya mencoba satu persatu website melalui Reverse IP.

Seperti biasa saya kalo mencari target jarang dorking enakan reverse IP, tapi tergantung sih tiap orang beda beda kan dalam mencari target.

nah disini saya mencoba Reverse IP satu website yang saya ambil IP nya...

Reverse IP

Nah bisa dilihat kan muncul banyak website tuh, Saya saat itu mencoba mencari website yang menurut saya menarik untuk saya coba test...

E-KELULUSAN

saya coba scroll kebawah untuk mencari website yang menurut saya menarik, dan akhirnya saya menemukan website website yang berhubungan dengan kelulusan, saya mencoba masuk kedalam websitenya

Website E-KELULUSAN

Bisa dilihat saya berada di website aplikasi kelulusan, saya disini mencoba memasukan payload /admin di url website kelulusan.com/admin saat itu saya hanya sekedar iseng, "Ah mungkin nggak bakalan ada admin loginya" *Dalam hati saya bilang begitu.

tapi al-hasil saya menemukan admin loginya hhe.

Form Login

Oke form login admin sudah muncul disini ya kan, saya disini iseng iseng masukin payload weak pass, sambil berharap dalam hati bisa login wkwkk..

pertama saya masukin payload :

username : administrator

password :  administrator

Cek Payload

Saya disini mencoba memasukan payload administrator terlebih dahulu yakan...

Gagal

Ternyata tidak bisa:'(, Saya betul betul kehilangan momen saat itu, untungnya hati saya bilang jangan nyerah dulu, saya mencoba tuh pake payload "admin/admin"

Berhasil Login Gans

eh ternyata nggak ada lagi tuh bacaan "username atau password salah!!!" malah saya masuk ke dashboard. Semenjak saat itu saya beralih ke pepsodent, dan nggak ada lagi tuh rasa gigi nyilu :D

disini saya mencoba untuk upload shell backdoor karna kemungkinan besar kalo udah di dashboard admin pasti bisa upload shell backdoor kan.

nah nggak ada salahnya dong saya coba upload shell backdoor.

Shell Backdoor

Dan boom, Saya berhasil menanam shell backdoor pada website tersebut hhe..

saya tidak tau ini default user password, atau mungkin admin weak pass, saya pikir ini hanya weak pass saja sih tapi kurang yakin juga hhe.

kalian mungkin bisa meyakinkan saya kalo ini adalah default username dan password E-KELULUSAN sama layaknya CMS SEKOLAHKU.

Disini saya bagi sedikit dork buat kalian gunakan guna mencari target, saya saranin sih reverse IP kaya saya karna pake Reverse IP kita bisa tau mana web kelulusan atau bukan karna bisa diliat dari subdomainya contohnya e-nggak-lulus.sekolah.sch.id gitu kira kira

Dork :

intitle:e-lulus

intitle:e-kelulusan

intext:kelulusan siswa

*Selebihnya kembangin atau dapet satu target reverse IP aja

oke mungkin segitu saja untuk tutorial kali ini semoga bermanfaat saya indofans sekian terimakasih and wassalamualaikum wr.wb