Cara Deface Web Dengan Teknik OJS (Open Journal System) Exploit

Hallo.. sobat BagasUnix maaf yah jarang update soalnya lagi UAS nh, doain yang biar lulus trus IPKnya tinggi.. Ammmiiinnn.... :D

Kali ini saya akan mensharing ilmu saya yang saya barusan dapet dikampus (bukan pelajaran kampus), saya melihat seorang hacker dengan mudahnya mendeface web dengan teknik open journal system atau disingkat OJS. 

Oke penjelasan sedikit mengenai OJS (Open Journal System), Open Journal System (OJS) merupakan sistem pengaturan dan penerbitan jurnal dan website. Open Journal System (OJS) meliputi semua aspek penerbitan jurnal online, dari pembuatan website jurnal hingga tugas operasional seperti proses submisi penulis, peer review (pengkoreksian), pengeditan, publikasi, archives dan indeks jurnal. Open Journal System (OJS) juga membantu pengaturan aspek pengguna dalam menyusun sebuah jurnal, termasuk menyimpan track hasil kerja editor, reviewer, dan penulis, memberi tahu pembaca, dan bantuan menggunakan koresponden.

Nah, udah pada tau kan seedikit mengenai OJS itu apa, disini saya akan kasih tau cara membobol situs yang menggunakan OJS. Namanya juga gratis pasti ada aja celah yang ditemukan di sebuah website.

Cara Deface Website Dengan OJS

Oke, disini saya akan menjelaskan caranya, kalau sobat tidak mengerti bisa komen pada kolong komentar di bawah artikel ini dan kalau suka silahkan di sharing :D Tapi inget dosa ditanggung masing" :v

Ciri web yang vuln:

1. Bisa melihat folder /files pada url, contohnya dibawah ini
2. Bisa mendaftar menjadi Author/penulis
3. Bisa mengakses file backdoor dengan format file ".phtml"

Dork: inurl:/index.php/index/user/register

1. Cari website dengan dork diatas, setelah menemukannya kalian bisa cek vuln web dengan ciri-ciri diatas. Sobat daftar web target, cari saja tempat atau bacaan "register" atau bisa tambahkan "/index.php/index/user/register" diweb target, Jangan Lupa untuk mencentang Registrasi sebabagi Author / penulis & Jangan ceklis Email konfimasi.

2. Setelah mengisi semua data dan setelah register, Klik "New Submission"

3. Setelah itu, nanti ada seperti tampilan dibawah ini. Ceklist semua kolom yang ada dan klik "Save and continue".

4. Sobat dapat upload shell (format shell : namashellsobat.phtml)

*Note Upload Shell yang ukuran kecil aja, contoh 8 kb boleh juga lebih.

5.Jika sukses maka akan seperti gambar dibawah ini.

Keterangan : File Name 158-497-1-SM.phtml

iduser sobat adalah : 158

Shell path:

/files/journals/1/articles/[iduser]/submission/original/[nama file].phtml

Contoh : files/journals/1/articles/158/submission/original/158-497-1-SM.phtml

Note: untuk "1" tidak mesti angka "1", kalau sobat tidak bisa coba sobat cari dengan teliti sesuaikan dengan iduser sobat.

Nah gimana tutorialnya? Lengkapkan? semoga bermanfaat yah :D Tapi inget dosa ditanggung sendiri :p