Cara Hack - 'Cracked Website' berbasis Wordpress, dengan memanfaatkan kelemahan 'Plugin Revslider'

Liputan Indonesia || Tech, - 
Sekedar berbagi ilmu untuk anda programmer, lupa login blog jadi jarang update. Untuk sekedar bahas sedikit tentang hack meng-hack.

Tulisan ini dilatar belakangi oleh permintaan dari beberapa orang untuk hack ini lah hack itu lah hack dan lain lain.

Jadi apa yang mau dibahas ??
Ini tetang mainan nya script kiddies dan hacker wannabe, tentang deface men-deface website melalui celah keamanan pada website tersebut.
Kali ini yang bakal dibahas adalah salah satu vulnerability pada salah satu plugin CMS terkemuka yaitu wordpress.

Vulnerability atau kelemahan pada plugin ini memungkinkan hacker untuk dapat mengunduh file file penting didalam website tersebut untuk kemudian dimanfaatkan untuk menyerang dan mengambil alih kendali pada website tersebut.

Plugin apa ya? nama plugin nya "Revslider" atau slider revolution.
Nah loh, hati hati bagi yang di website nya menggunakan plugin ini.
Dari pembuktian yang penulis lakukan terbukti bahwa plugin ini dapat digunakan untuk mengunduh file wp-config.php pada website berbasis cms wordpress.
Lah trus kenapa emang kalo udah bisa mengunduh file wp-congig.php???
Wp-config.php ini merupakan file dewa yang apabila jatuh ketangan orang yang salah akan sangat berbahasa, kenapa? file ini berisi tentang setting database yang digunakan pada website, termasuk username, password, host, dan nama database yang digunakan.

Kalau kita sudah tau login databasenya, yang bisa kita lakukan berikutnya adalah ---- well banyak --- Login ke database nya.

Mau ngerusak? drop aja semua data yang ada.
Mau coba login ke wordpress nya dengan akses administrator?
Ubah aja password admin nya dan login atau mau login diam diam tanpa admin tahu? Buat akun baru dengan level admin.

Mau deface dan ubah tampilan utama website dengan latar belakan hitam dan tulisan merah bertulisakan nama keren anda? ubah aja file index.php lewat theme editor wp-nya.

Mau lebih dalam lagi? takut ketahuan dan login mu di apus admin??
Upload ada shell script sebagai backdoor.
Jadi kalaupun anda di depak oleh admin, anda masih bisa masuk ke server lewat shell script backdoor ini.

Dewa gak tuh file wp-config.php

Mau sekalian dibisiki gimana langkah sampe bisa dapetin akses admin di wordpress korban?

Pertama manfaatkan vulnerability si plugin revslider ini dulu.

Pastikan web yang akan jadi target terinstall plugin ini.
Masuk kehalaman -> http://situstarget.com/wp-admin/admin-ajax.php?action=revslider_show_image&img=../wp-config.php

maka apabila website target tersebut tertanya vulberable, maka file wp-config.php akan terdoanload dengan nama admin-ajax.php
Buka aja file itu, maka anda akan menemukan setting setting login database seperti dimaksud diatas.

Lanjut..
Setelah dapat data login database, selanjutnya kita coba masuk ke phpmyadmin. -> http://situstarget.com/phpmyadmin

Kalau di server website tersebut terinstall phpmyadmin maka kita tinggal login menggunakan data yang sudah kita dapat.

Sudah muncul data di databasenya??
Selanjutnya cari tabel user, lihat username admin nya apa, ganti isi kolom password dengan password yang anda inginkan, eits jangan lupa passwordnya di ubah ke md5 dulu yah, online encriptor untuk md5 banyak kok googling aja.

Setelah berhasil di ubah di databasenya, masuk ke
http://situstarget.com/wp-admin

Login dengan username dan password yang kita ubah tadi.

Nah, anda sudah masuk sebagai admin..
Selanjutnya kreatif kreatif aja..


Gampang amat??
Yups segampang itu memang, tapi tunggu dulu, ada beberapa kondisi yang harus terpenuhi agar cara tersebut bisa dilakukan.

1. Website harus terinstall plugin revslider yang vulnerable dan plugin tersebut aktif.

2. Kita harus bisa menghakses mysql server baik dari phpmyadmin atau mysql client.

Syarat agar bisa mengakses lewat phpmyadmin ya di server website tersebut harus terinstall phpmyadmin.
Dan syarat agar kita bisa mengakses database mysql selain lewat phpmyadmin adalah setting pada mysql server website tersebut mengizinkan akses dari remote host.

Jika tidak ada dari dua kondisi ini yang terpenuhi maka kita tidak bisa melakukan apapun walau kita bisa mendapatkan file dewa si wp-config.php

mau coba praktekin?
coba cari di google dengan keyword inurl:"plugins/revslider"
keluar dah tuh website website yang menggunakan plugin ini.



Disclaimer:
Tulisan ini hanya bertujuan sebagai pembelajaran, segala kerugian yang timbul akibat penyalahgunaan informasi yang terdapat pada tulisan ini bukan merupakan tanggung jawab programmer goBlog.


Tips.
Jika anda merupakan seorang web administrator dan menyadari bahwa salah satu website anda menggunakan plugin  ini maka segera lakukan update plugin dan pastikan plugin serta tema yang terinstall pada website anda merupakan versi terbaru.

Jika karena satu dan lain hal anda tidak dapat melakukan update terhadap plugin tersebut, dianjurkan untuk men-disable atau memberikan limitasi pada mysql server agar tidak dapat diakses dari remote.
Apabila anda menggunakan phpmyadmin maka pastikan phpmyadmin tidak dapat diakses secara langsung (baik dengan menyembunyikan url default phpmyadmin, atau dengan memberikan limitasi sehingga phpmyadmin hanya dapat diakses melalui cpanel misalkan)

Akhir kata semoga tulisan ini bermanfaat.



Penulis : red


Media Liputan Indonesia

DIATUR OLEH UNDANG - UNDANG PERS
No. 40 Thn. 1999 Tentang Pers


HAK JAWAB- HAK KOREKSI-HAK TOLAK


Kirim via:

WhatsApps / SMS:
08170226556 / 08123636556
Email Redaksi:
NewsLiputanIndonesia@gmail.com

PT. LINDO SAHABAT MANDIRI
Tunduk & Patuh Pada UU PERS.



Komentar

Artikel lainnya:


toko online liputan Indonesia

toko online zeirshopee
Pengunjung Hari ini
Isi Pemberitaan Tanggung Jawab Wartawan Masing-masing, PT. Lindo Sahabat Mandiri penerbit Media Liputan Indonesia hanya memberikan bantuan Hukum bilamana melanggar / tidak sesuai dengan Kode Etik Jurnalis sesuai UU Tentang Pers no. 40, Tahun 1999. Wartawan Liputan Indonesia Wajib Tunduk dan Patuh serta Bekerja Berdasarkan Kode Etik Jurnalis dan UU Tentang Pers No: 40 Thn 1999. Liputan Indonesia, Berita Terbaru, Berita Utama
Nama

#BeritaViral,248,Advertorial,327,BAIS,5,Berita Utama,2100,Berita-Terkini,1320,BIN,9,BNNK,8,BNNP,5,Capres 2024,5,Covid-19,131,Destinasi-Wisata,67,EkoBis,382,Galeri-foto-video,155,Gaya-Hidup,120,Hak Jawab,4,Hoax / Fakta,5,Hobby,63,HuKrim,1365,Info Haji,19,Internasional,357,Internet,82,Kesehatan,519,Kicau Mania,23,KPK,8,Kuliner,15,Laporan-Masyarakat,415,Lindo-TV,118,Liputan Haji Indonesia,5,Liputan-Investigasi,375,Lowongan Kerja,3,Melek-Hukum,68,Nasional,1687,Olahraga,91,Opini Rakyat,159,Otomotif,12,Pemerintah,1107,Pendidikan,126,Peristiwa,614,PERS,5,Pilpres 2024,1,Politik,550,POLRI,1518,Pungli,31,Regional,3767,Religi,192,Sejarah,56,Selebritis,76,Seni-Budaya,89,ShowBiz,104,Technology,137,Tips-Trick,116,TNI,721,
ltr
item
Berita Utama, Informasi Terbaru, Kabar Terkini, Indonesia dan Dunia - LiputanIndonesia.co.id: Cara Hack - 'Cracked Website' berbasis Wordpress, dengan memanfaatkan kelemahan 'Plugin Revslider'
Cara Hack - 'Cracked Website' berbasis Wordpress, dengan memanfaatkan kelemahan 'Plugin Revslider'
Cara Hack Website Blogger / Wordpress, Tutorial hack website wordpress
https://blogger.googleusercontent.com/img/a/AVvXsEjwGyqcyJ4AXiA2RzAeGH25mIepuTtevTFpYSDncpCysXMxNUBxeB2yh4ToHQrAU1nCIispRGYcQakzZeCt_RCnUpgHeVAJvbvl07bRugdI8V4aFSOOHUAf2fRj6PSamPtUqxRJuycIQSdI4DZMFa2VFBKSNYG3DZcMEgC4zKs5mAR-I099Xmax3ODLRQ
https://blogger.googleusercontent.com/img/a/AVvXsEjwGyqcyJ4AXiA2RzAeGH25mIepuTtevTFpYSDncpCysXMxNUBxeB2yh4ToHQrAU1nCIispRGYcQakzZeCt_RCnUpgHeVAJvbvl07bRugdI8V4aFSOOHUAf2fRj6PSamPtUqxRJuycIQSdI4DZMFa2VFBKSNYG3DZcMEgC4zKs5mAR-I099Xmax3ODLRQ=s72-c
Berita Utama, Informasi Terbaru, Kabar Terkini, Indonesia dan Dunia - LiputanIndonesia.co.id
https://www.liputanindonesia.co.id/2022/01/cara-hack-cracked-website-berbasis.html
https://www.liputanindonesia.co.id/
https://www.liputanindonesia.co.id/
https://www.liputanindonesia.co.id/2022/01/cara-hack-cracked-website-berbasis.html
true
2214155929705458232
UTF-8
Buka semua Berita BERITA TIDAK ADA BUKA SEMUA BACA JUGA BALAS Cancel saja HAPUS Penulis NEWS HALAMAN ARTIKEL BUKA SEMUA Penting Dibaca.. BERITA UTAMA Arsip CARI SEMUA BERITA YANG KAMU CARI TIDAK ADA BRO.. Kembali saja.. Sunday Monday Tuesday Wednesday Thursday Friday Saturday Sun Mon Tue Wed Thu Fri Sat January February March April May June July August September October November December Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec just now 1 minute ago $$1$$ minutes ago 1 hour ago $$1$$ hours ago Yesterday $$1$$ days ago $$1$$ weeks ago more than 5 weeks ago Followers Follow THIS PREMIUM CONTENT IS LOCKED STEP 1: Share to a social network STEP 2: Click the link on your social network Copy All Code Select All Code All codes were copied to your clipboard Can not copy the codes / texts, please press [CTRL]+[C] (or CMD+C with Mac) to copy Table of Content