Wednesday 23 September 2020

How to know Subdomain list from webshell and how to filter domain

Written by   on   in ,   with No comments

Hey do you have seen webshells and have a lot of domain list?

Example:

Yes its a domain but it can be subdomain too, if you dont believe it u can see on folder /home/$user/access-logs/, and u can see subdomain list on that website, and then u just mass deface :D 

but wait, you already mass deface it but you want copy that subdomain list manual? hell nah i will tell you how to filter that domain ok lets go

1.Open website http://domaincheckplugin.com/extractor
2. Drag + Copy all of them on access-logs, like this :
    example:
4.and then click find domain
5.You can see a result
Hope u enjoy
see ya

Share:

How to find Username Admin on Wordpress

Written by   on   in ,   with No comments
Hey Yo Today i will tell you hw to find username admin on wordpress but i thing its just admin okay first of all u know wordpress right ? wordpress is cms okay now i tell you step by step
 


first methode is ?author=1, put author=1 on site 
example:
site.com/index.php?author=1  
then website redirect to /wp/author/admin/
the username is admin 
not wordpress website can see admin user but just try it 

second methode is /wp-json/wp/v2/users, put /wp-json/wp/v2/users on site
example:
site.com//wp-json/wp/v2/users 
and it will be like this
the username is admin

ok just that hope u enjoy

Share:

Saturday 3 August 2019

XSS on Elevenia

Written by   on   with No comments
Halo,siapa yang belum tau elevenia?elevenia adalah salah satu marketplace terbesar di Indonesia dan baru-baru ini saya mendapatkan bug yang cukup critical di website elevenia.co.id bug ini biasa disebut Xss

 bagaimana saya mengesekusinya?

 1.Ubah alamat pada setting user dengan payload xss
2.lalu kita save 
3.Kita ke home dan mencoba membeli sesuatu yang kita mau 
4.dan pada saat pemilihan alamat alert akan muncul

dan saya mencoba melaporkan kepada admin elevenia namun hasilnya nihil

ok terima kasih dari saya semoga bisa memberikan informasi

Bug Report:
1.Bug Found 2/08/2019
2.Tidak ada perbaikan
ok terima kasih dari saya semoga bisa memberikan informasi

Share:

Thursday 13 June 2019

Clickjacking TamTam.chat

Written by   on   in , ,   with No comments
Hi,apa kalian tahu https://tamtam.chat/? jika kalian tidak tahu saya akan menjelaskannya,tamtam chat adalah web social media ya seperti halnya Line,Whatsapp.Baru-baru ini saya mendapatkan bug pada website tersebut nama bugnya biasa disebut clickjacking ya saya mencoba dikarenakan bug ini menurut saya cukup simple kita hanya memasukan url kedalam iframe ya itu sih setau saya jika ada salah mohon komen ya 😄
tidak perlu berlama lagi,saya akan memberitahu cara saya mengeksekusinya
1.Saya membuka https://tamtam.chat/
2.Saya lalu memasukan  https://tamtam.chat/ kedalam script saya
 <!DOCTYPE HTML>
<html lang="en-US">
<head>
<meta charset="UTF-8">
<title>I Frame</title>
</head>
<body>
<h3>clickjacking vulnerability</h3>
<iframe src=" https://tamtam.chat/" height="550px" width="700px"></iframe>
</body>
</html>
3.lalu saya menyimpan filenya dengan ext html
4.saya membuka file tersebut dan hasilnya web tersebut muncul
saya telah mereportnya melalui website https://hackerone.com namun mungkin bukan rejekinya hehe,saya mendapat status duplicate :( tapi ya tak apa saya jadikan pembelajaran saja
dan mungkin sekian dulu artikel dari saya semoga bisa membantu kalian
Share:

Monday 20 May 2019

Clickjacking Elevenia

Written by   on   in , ,   with No comments
Halo,siapa yang belum tau elevenia?elevenia adalah salah satu marketplace terbesar di Indonesia dan baru-baru ini saya mendapatkan bug yang cukup critical di website elevenia.co.id bug ini biasa disebut dengan clickjacking

saya akan mempersingkatnya jadi saya akan langsung menjelaskan bagaimana saya mengeksekusi clickjacking di website tersebut 
1.saya login dengan akun saya
2.saya mencoba untuk mengubah password dengan akun saya
3.saya mencoba burpsuite, karena saya membaca salah satu artikel tentang csrf di elevenia yaitu https://medium.com/@belvasaufa70/ dan pada saat itu saya menemukan referer:https://www.elevenia.co.id/register/passwordEditForm.do
4.dan saat itu juga saya berfikir untuk mencoba menggunakan teknik ClickJacking
lalu saya membuat scriptnya
5.dan saat membukanya saya agak kaget melihat ternyata website elevenia vuln clickjacking
ternyata setelah saya telusuri halaman userpun ternyata bisa di clickjacking
dan saya mencoba melaporkan kepada admin elevenia namun hasilnya nihil

ok terima kasih dari saya semoga bisa memberikan informasi

Bug Report:
1.Bug Found 18/05/2019
2.Tidak ada perbaikan

Share:

Sunday 5 May 2019

Tamper Data pada Website storage.lapor.go.id

Written by   on   in   with No comments
Hai,pada hari ini saya akan membuat artikel tentang bug yang saya temukan pada website https://storage.lapor.go.id/ ya sepertinya bug ini bisa menjadi fatal namun saya mentok mendalaminya jadi saya menuliskan saja di blog saya,dan perlu diketahui saya juga tidak begitu mengerti dengan nama asli bug ini ya jadi mohon maaf ya jika saya salah

ya saya mengexploitnya/mengeksekusinya dengan cara
1.saya masuk ke website https://www.lapor.go.id/
2.saya upload lampiran
3.saya pakai burp suite
saya merubah Content-Type yang tadinya video/mp4
menjadi text/html

(Sebelum mengalami Tamper)
(Sesudah mengalami Tamper)

4.setelah itu saya mengakses file hasil upload dan yang terjadi website tersebut membaca ext mp4 menjadi html
Dan begitu lah caranya saya mengeksekusi website tersebut,semoga artikel tersebut bisa menjadi ilmu bagi yang membaca,mohon maaf jika ada salah,dan jika tau nama bug tersebut bisa komen ya :) terimakasih

Share:

Monday 15 April 2019

Bug Profile Picture Itemku.com

Written by   on   in ,   with No comments

Hallo Kali ini saya akan sharing tentang bug yang saya temui di website itemku.com,perlu diingat saya juga tidak terlalu tahu apa nama bug sebenarnya jadi saya menyebutnya replace url.Saya terinspirasi dari suatu postingan di https://medium.com/@belvasaufa70/ saya ingin mencoba test lagi apakah saya masih menemukan suatu bug pertama-tama saya mencoba dulu bug yang ada di postingan https://medium.com/@belvasaufa70 ternyata sudah di patch dan setelah itu saya mencoba mendalami lagi website tersebut dan saya mencoba yang paling mudah yaitu dengan bagian foto profile,oh iya saya mengeksekusi bug tersebut menggunakan tools yaitu Burpsuite kalian bisa download di website resminya. Kembali ke topik,cara kerjanya sederhana saja,karena item ku tidak menyimpan foto profile user di websitenya melainkan ke cloud (mohon maaf jika salah kata) ok lanjut
cara kerjanya
1.Saya mengupload Foto yang ingin saya jadikan foto profile
2.lalu saya mengubah image_url foto profile menjadi url yang saya inginkan menggunakan burpsuite
3.Alhasil website itemku.com akan membaca profile saya sesuai url yang saya ingin kan tadi
Ini jika hasil upload tidak ditamper

ini hasil file yang ditamper menggunakan burpsuite

14 Apr 11.56 WIB : BUG Has been reported.
14 Apr 12.14 WIB: Got a response.
15 Apr 13.38 WIB : The BUG has been Fixed
15 Apr 17.17 WIB : Reward berupa apresiasi Terima kasih diberikan :)
Share:

Friday 19 October 2018

Cara Mengetahui subdomain suatu website dari Webshell dan cara cepat Filter subdomain

Written by   on   in ,   with No comments

Kalian pernah gak sih nemu website yang kalian tanam shellnya punya banyak dir?
contohnya seperti ini
Ya itu adalah domain tapi bisa jadi itu juga subdomain loh jika kalian tidak percaya coba kalian masuk kedalam folder /home/$user/access-logs/ (untuk $user itu maksudnya nama user website tersebut) disana akan terlihat subdomain-subdomain yang ada pada website tersebut.
tinggal kalian mass deface deh :D
but tunggu kalian kan udah tau kalau itu Subdomainnya tapi apa kalian gak cape copy manual subdomainnya? kali ini saya juga akan membagikan cara cepat agar subdomain bisa ke filter
yuk simak


1.Kalian buka website http://domaincheckplugin.com/extractor
2.Kalian drag+copy kan semua yang ada di dalam access-logs tadi seperti contoh:
3.Kalian paste ke domain http://domaincheckplugin.com/extractor contoh:
4.Setelah itu click find domain
5.Dan kalian bisa lihat hasilnya
yang tadinya Random sekarang jadi terfilter jadi Domain/subdomain semua 
jadi tidak menguras tenaga yang besar kan?

Jika ini membantu kalian bisa share ke temen-temen kalian

Share:

Sunday 19 August 2018

Mengapa Hoax mudah menyebar?

Written by   on   in   with No comments
Mengapa hoax mudah menyebar?

Mengapa Hoax bisa cepat menyebar ? sebelum kita membahas lebih dalam apakah kalian tau apa itu hoax ? jika belum tau ini penjelasannya.Hoax adalah adalah usaha untuk menipu atau mengakali pembaca/pendengarnya untuk mempercayai sesuatu, padahal sang pencipta berita palsu tersebut tahu bahwa berita tersebut adalah palsu. lalu mengapa hoax cepat sekali menyebar di Indonesia? berikut ini adalah Alasan saya mengapa Hoax cepat menyebar/cepat dibagikan

  1. Banyak orang mendapat berita hoax/hal-hal tentang Hoax dari teman,keluarga atau orang-orang yang ia kenal atau ia percayai dan mereka langsung saja membagikannya ke orang lain tanpa mencari tahu berita itu benar atau hanya sekedar hoax
  2. Karena benci nya terhadap sesuatu,misalkan saja orang yang membenci seseorang yang terkenal atau mungkin pejabat jika ada postingan/berita palsu yang menjatuhkan orang yang ia benci tersebut ia akan senang dan langsung membagikannya tanpa ingin mencari tahu kebenarannya,kenapa begitu? karna rasa bencinya tsb
  3. Sebagian orang hanya membaca sepenggal berita/informasi dari akun atau halaman sosial media dan langsung membagikannya tanpa mencerna baik baik isi berita tersebut,padahal sebagai pembaca yang baik alangkah baiknya memahami informasi yang dibagikan agar bisa menentukan informasi tersebut layak untuk dibagikan atau tidak,jika kiriman itu adalah ujaran kebencian atau hoax lebih baik tidak dibagikan
  4. Para pembaca enggan untuk melakukan vertifikasi sumber berita,para pembaca terkadang tidak mau melakukan vertifikasi apakah berita itu berasal dari sumber terpercaya
  5. Mudahnya ditipu dengan gambar edit,banyak penyebar hoax yang mengedit gambar agar banyak orang mempercayai berita bohongnya tersebut,dan sang pembaca melakukan apa yang seperti yang tertulis di nomor 4 yaitu memvertifikasi apa sumber berita tersebut dapat dipercaya atau tidak

Dan Itu lah alasan saya mengapa berita hoax mudah menyebar,jika ada kesalahan mohon dimaafkan atau kalian bisa memberi saran di contact us atau di komentar dibawah Mohon maaf kurang lebihnya semoga bisa memberikan informasi yang berguna 







Share:

Thursday 16 August 2018

Cara Deface methode bypass admin dengan No redirect

Written by   on   in   with 2 comments
Deface adalah teknik mengganti atau menyisipkan file pada server, teknik ini dapat dilakukan karena terdapat lubang pada sistem security (vulnerability) yang ada di dalam sebuah situs website. Hal ini bertujuan untuk melakukan perubahan tampilan pada website korban dengan tampilan yang dimiliki oleh si defacer.

 Dan saya akan memberitahu cara deface methode bypass admin dengan menggunakan No redirect adds on
  1. kalian download addson no redirect
    https://addons.mozilla.org/en-US/firefox/addon/noredirect/
  2. Masukan dork pada google
    "Welcome to Control PanelUse a valid Loginid and password to gain access to the administration console"
  3. Kalian copy link admin login ke no redirect kalian bisa klik alt lalu pilih tools untuk memunculkan tools no redirect
  4. setelah itu kalian klik ok dan masukkan link site.com/admin/main.php
  5. Sekarang bersenang-senang dengan websitenya
jika tidak bisa Tanam shell kalian bisa menggunakan teknik JSO jika tidak mengerti kalian cari saja di google 

Dan sekian itu tutorialnya semoga bermanfaat
Share:

Sunday 24 June 2018

Subdomain Kementrian Lingkungan Hidup dan Kehutanan diretas

Written by   on   with No comments
Deface adalah teknik mengganti atau menyisipkan file pada server, teknik ini dapat dilakukan karena terdapat lubang pada sistem security yang ada di dalam sebuah aplikasi. Hal ini bertujuan untuk melakukan perubahan tampilan pada website korban dengan tampilan yang dimiliki oleh si defacer.

 Baru-baru ini Subdomain kementrian lingkungan hidup dan kehutanan diretas oleh hacker,hacker ini menamai dirinya dengan 0N3R1D3R Ft. Cr0W_ID tidak ada motif yang jelas dari sang pelaku mendeface,namun pelaku hanya menitip kan filenya saja di http://pusdiklat.dephut.go.id/web/0.html,tampilan halam yang di deface oleh Hacker tersebut seperti gambar dibawah ini
Pada saat artikel ini dibuat belum ada fix dari admin website tersebut,apakah admin website indonesia sudah tidak memperdulikan keamanan website?.
Hacker tersebut juga menuliskan nama-nama teman cyber nya yaitu 

 "SPEEDY-03 | EBULOBO | x404.hz |
 SinonX | Xwizx404 | P0RTG4S-07 | AKEMI403 | ANARCHY99 | Mr.Klimis | ./M4RY_PR0S4 | NoNameUser | Yukiteru404 | MrKeyzID | m337ight | F0x35 | Xplo5ionS | ENVYSTIX | RebeLpanda44 | PockyDotID | MR_1D10T5 | Dav021 | XaOsMa | Mr.Swan | 3XPL01D3D | Mr.Adytm404
 | Cr0W_ID | HEX666T | Mr_R3Z | OxXtrO | ./BadmanCoders | M1nic0de"

Kalian bisa Lihat subdomain yang diretas dibawah ini
http://pusdiklat.dephut.go.id/web/0.html
http://bp2sdmk.dephut.go.id/web/0.html
http://bp2sdm.menlhk.go.id/web/0.html

Mengapa banyak terjadi peretasan di website Indonesia apa keamanan website di indonesia masih lemah atau sang developer yang kurang peduli,atau sang peretas lah yang handal?
bagaimana menurut kalian
Share: