I'm Not Hacker Just Newbie: Hack Wordpress ( SQL Injection+Reset Password )
[ Search :

Hack Wordpress ( SQL Injection+Reset Password )

Hai guy's,setelah sekian lama blog ini gak keurus dikarenakan banyak hal di dunia nyata yang memaksa saya harus meninggalkannya untuk sesaat maka di kesempatan ini saya tuliskan sebuah tutor yang mungkin sedikit banyak berguna bagi para penggiat komputer yang hobi pentest web. ( walah bahasanya formil amat )
Kali ini saya menulis tentang keamanan di plugin WP,sebenarnya cukup banyak plugin wp yang rentan,tapi saya hanya membahas salah satunya saja.Ok tanpa banyak cingcong langsung aja deh...
peralatan yang dibutuhkan adalah:
  1. Kompie terhubung internet
  2. Havij
  3. dork: inurl:?fbconnect_action=myhome ( kreasi lagi yaa )
  4. Kesabaran dalam mencari target
  5. Rokok,Kopi dan musik yang kuenceng ( disarankan alirannya Rock,Metal ) hehehe
saya beri contoh satu korban yaitu http://www.40sale.com/?fbconnect_action=myhome&userid=14 pada bagian "userid=" di tambahin tulisan " fb" jadi bentuknya seperti ini http://www.40sale.com/?fbconnect_action=myhome&fbuserid=14 



















kalau udah scan dengan Havij dan cari tabel wp_user atau yang berhubungan dengan user lah,kalau udah ketemu cari column user_login dan user_activation_key




























heheh...dah ketemu tuh yang kita cari,
username:pico
Activation key: GBasuGIZFtbUjpP3MvWb
sekarang kita gunakan exploitnya yaitu 
wp-login.php?action=rp&key="kode aktivasi"&login="user login"










sampailah kita ke tahap me-reset password korban heheh,kalau udah direset kita tinggal login dan melakukan sekehendak kita





















saya cukup ngedit home.php nya aja dah,hehehe




















buseeeet hasilnya kelam banget dah...sory ya min



















pesan saya                                                     Don't Be Evil

3 komentar:

Unknown mengatakan...

Kang j0cker ajarin saya yg beginian dong, cari alamat web / korbannya susah utk di Sql Injection, itu gimana kl kpngen dpt korban yg almtnya udh gini http.//www.40sale.com/?fbconnect_action=myhome&userid=14 saya praktekin kgk berhasil trs, oiya lupa maaf blm kenalan, salam knl i'm Aarontatum80 DC. msh "newbie" :D

j0ck3r mengatakan...

karena sudah dibenahi oleh empunya web om,makanya gak bisa

Anonim mengatakan...

saat reset password dan login, nanti IP + mac nya terlacak gak ya?
ato masuk log file gitu?
thank you!

Posting Komentar