Hack OJS: Salah satu lubang untuk terjadinya deface website OJS.

Step by Step :

1. Dorking, sudah tahu belum?

inurl: seperti namanya, inurl berarti “di url” atau “dalam url” gunanya untuk mencari website yang di url-nya terdapat suatu string atau kata yang kita masukkan. Contoh: inurl:.ojs maka yang akan muncul adalah site-site yang di urlnya mengandung “.ojs” Sedangkan saudaranya inurl adalah “allinurl:”, maksudnya command tersebut digunakan untuk mencari keseluruhan nama domain website yang telah kita input/tentukan
intitle: seperti namanya, intitle berarti “di judul” atau “dalam judul” fungsinya untuk mencari site yang artikelnya memuat judul sesuai yang kita inginkian. Contohnya di sini saya bikin dork intitle:”jurnal” hasilnya site yang judul postnya mengandung kata “jurnal” muncul. Intitle juga ada kata kunci lain seperti inurl, yaitu “allintext:” namun command tersebut tidak terlalu berpengaruh terhadap hasil pencarian, malah menurut saya memakai “intext:” lebih menguntungkan.
intext: nah kalau yang satu ini sifatnya lebih universal(umum) perintah ini sendiri artinya “di teks” atau “dalam teks” jadi, jika misalnya kita memasukkan dork intext:”ilmiah” di kotak pencarian google maka yang muncul adalah site yang mengandung kata “ilmiah” entah itu di url, judul, dll. Pokoknya semua yang mengandung kata “ilmiah” ditampilkan.
filetype: berarti “tipe file” kalo yang ini biasanya jarang dipake untuk heking-hekingan karena biasanya perintah ini buat donlot/nyari file dengan lebih spesifik sesuai kebutuhan kita seperti kalau kita sedang mencari lagu/ebook(nanti saya jelaskan di bawah) dan disini saya ambil contoh intext:”hacking” filetype:pdf maka hasil yang keluar adalah sekumpulan file pdf siap donlot dan karena saya kasih intext:”hacking” maka munculnya yang mengandung kata-kata/bertopik tentang “hacking”.
site: kalau yang ini berfungsi untuk mencari (Country domain) site yang kita tentukan, perintah ini juga sering digunakan sama heker untuk nentuin site negara mana yang pengen dia bobol dengan memasukan domain negaranya. Misalnya anda mau belanja online di webshop amerika maka dork yang harus anda buat kurang lebih seperti ini intext:”jurnal” site:.ac.id maka yang tampil akan seperti ini.
link: perintah ini gunanya mencari keseluruhan link yang berada dalam satu website. 

2. Kalo udah pilih target, mending cek dlu vuln apa ngga nya, kalo ane cara ngecek nya cuma nambahin /files/journals/ di belakang url target, Contoh : www.targetojs.com/files/journals/ kalo Not Found atau forbidden tinggalin aja
3. Setelah nomor 2. kalian balik lagi ke halaman register.
4. Register asalan ya.
5. Setelah selesai daftar, calon pemudik, klik New Submission 

6. Step ke2 baru bisa upload shell
7. Akses shell adalah hal paling ribet, klo kalian kaga cepet paham.

www.targetojs.com/files/journals/1/articles/[iduser]/submission/original/[nama file].phtml
238 adalah id user dan 238-22-1-SM.phtml adalah file nya.
angka 1 itu juga gak tentu, kadang ada di 2,3,4 atau yg lain, tergantung usernya

ingat!! saya sama sekali tidak bermaksud mengajarkan tindak kejahatan, hanya untuk sharing pengetahuan dan antisipasi saja. 😅