IDOR or Parameter Tampering was able me to pay less than they should

IDOR or Parameter Tampering was able me to pay less than they should

[ Indonesia ]

 Halo Selamat datang diwebsite saya, kali ini saya akan berbagi pengalaman saya menemukan Bug Parameter Tampering di sebuah website yang memiliki program bug bounty. sayangnya bug yang saya temukan ini duplicate dan belum dipatch sehingga saya akan mensensor website tersebut. baiklah mari baca awal mula saya menemukan bug ini.

 The Stories

Saya sedang bermain game pada waktu itu, sampai saya bosen karena koneksi nya lemot. Akhirnya saya memutuskan untuk keluar game, dan saya seperti biasa nonton youtube dengerin lagu, typerace sama anas anas. Dan saya bicara dalam hati “Duh bosen nih, Iseng ah cari cari bug kali aja nemu hehehe”. Okelah setelah itu saya tertuju ke salah satu platform bug bounty dan interested dengan suatu program yang ada disana.

 Setelah 20 Menit mencari saya menemukan Celah yang membuat saya bisa membeli salah satu item yang ada di suatu PAKET ITEM. Tapi setelah saya cek lebih dalam hanya work pada paket yang isinya free. Saya bingung, paket item tersebut seharga 20ribu tapi setelah dibypass saya tidak perlu bayar dan dibawa kehalaman pemilihan item, dan boom item tersebut jadi gratis, lalu saya mencobanya dan berhasil. saat itu saya sudah mau menulis laporan tapi karena saya masih penasaran, saya pun mencoba paket lain. Ternyata jika item didalam paket tersebut masih bayar kita tidak bisa memakainya. jadi saya menyimpulkan wah ini mah bugnya hanya “Membeli item secara satuan dengan parameter tampering” sehingga saya ragu. tapi dalam benak saya “Wah ini kayanya bug nya bagus deh soalnya dia gk bisa beli satuan, tapi kalo di bypass dia bisa beli”. Ane pun seneng tuh, Eh saat ane dorking di google ternyata paketan satuan tersebut bisa didorking. Saya langsung sedih karena gagal senang :’V. 

 Saya sempet Istirahat sekitar 15 menitan trus saya mendapat wahyu “Oh iya kenapa engga Coba parameter Top Up ?”

Saat itu saya menemukan Parameter seperti ini :

 http://mytarget.com/payment.php?id=[IDPEMESANAN]&nm=[redacted]500000&hg=[vulnparameter]&nama=[urname]&tlp=213123&mail=[mail]&dom=[notimportant]&ex=[lulz]&tipe=2

Saya pun merubah parameter hg dengan nominal 1000 karena jika nominalnya 0 server nya menolak. Dan setelah saya forward dia berhasil, saya pun mulai tertawa sendiri dan seneng banget coy.

Disitu tertulis total yang harus dibayar hanya 1000 dan itemnya seharga 500000. tapi disitu tertulis tidak ada metode pembayaran yang tersedia akhirnya parameter tipe= saya ganti dari 2 jadi 1. disitu tersedia pembayaran via bank. saya pun langsung membayarnya dan Pembayaran sukses :)

Saya Pun membuat laporan dan melaporkannya ke Pihak mereka. Setelah seminggu menunggu ternyata Laporannya dianggap Duplicate dengan severity HIGH. 

Cukup sekian itu aja yang bisa saya bagikan, have a nice day :D

Timeline :
14 April = Found & Reported to their team
22 April = Accepted as Duplicate
Severity : High
Rewarded : SWAG as appreciation

English Language at my medium story @androgaming1912

Read more

Cara Mengatasi Konfirmasi Identitas agar Facebook Bisa di buka Kembali

Cara Mengatasi Konfirmasi Identitas agar Facebook Bisa di buka Kembali

Halo kawan kawan Rafli Hax0r kembali lagi bersama saya nih di website ini. Pada Kesempatan kali ini tepatnya besok adalah hari kedua saya ulangan ( Matematika coy ) saya mendapatkan ide untuk update blog ini. oleh karena itu kalian pasti butuhkan tutornya ? oke simak ya..

Konfirmasi Identitas Account Facebook biasanya terjadi ketika anda memposting hal berbau spam seperti gore, sara, dan pelecehan seksual serta pornografi. Jika sudah seperti ini anda biasanya dimintai Foto KTP ataupun identitas diri seperti KTP, SIM, dll. Nah kalian kan kaum milenial biasanya gk mau kan KTP nya kesebar / ribet nyari nyari KTP ? Nah saya ada solusinya nih simak baik baik yah.

Tutorial :

1. Buka Link FakeKTP terbaru : Disini
2. Nah Kalian isi deh tuh, kalau bisa nama di ktp disesuain sama nama FB nya ya agar mudah nantinya..
3.  Tunggu 1x24 Jam maka akun akan terbuka
   

Oke Itu aja untuk artikel kali ini, ini simple banget btw. Oh iya bagi kalian yang mau change name FB tanpa nunggu 60 hari bisa kunjungi artikel sebelumnya : Disini ( FakeKTP pakai link terbaru ) Semoga Bermanfaat sampai jumpa di lain artikel :)

Read more

Cara Rahasia Diterima Google Adsense Dengan Cepat, Cuma 2 hari !

 Cara Rahasia Diterima Google Adsense Dengan CepatCuma 2 hari !

     Tips Rahasia Diterima Google dengan cepat sebenarnya mudah, hanya saja butuh kesabaran ketelitian dan keuletan agar diterima. Nah Dipostingan kali ini semoga kalian bisa mengerti dan langsung diterima setelah membaca postingan ini. Tapi Pertama tama kalian disunnahkan untuk kl1k 1kl4n nya terlebih dahulu agar saya semangat ngeblog. Sebelum kalian tau apa tips and trick diterima adsense dengan mudah kalian harus tau dulu apa itu Google Adsense, siapa tau ada salah satu dari kalian yang belum mengerti.

     Google Adsense adalah program kerjasama periklanan melalui media Internet yang diselenggarakan oleh Google. Melalui program periklanan AdSense, pemilik situs web atau blog yang telah mendaftar dan disetujui keanggotaannya diperbolehkan memasang unit iklan yang bentuk dan materinya telah ditentukan oleh Google di halaman web mereka. Pemilik situs web atau blog akan mendapatkan pemasukan berupa pembagian keuntungan dari Google untuk setiap iklan yang diklik oleh pengunjung situs, yang dikenal sebagai sistem pay per click (ppc) atau bayar per klik.

Nah Kalian sudah tau kan ? Langsung aja nih saya akan kasih tau tips nya

1. Blog Tidak berisi hal-hal yang dilarang oleh google
   Google sudah tegas jika kalian mengandung unsur unsur yang berbau jahat pasti bakal dibanned / tidak memenuhi aturan. Yang "jahat" tapi diperbolehkan : mod;phising;deface;hacking.
   Contoh Terlarang : Crack, Film bajakan, Judi, Porno, dan musik copyright
2. Membuat halaman pendukung
   seperti : About Us, Contact Us, Disclaimer, dan Privacy Policy. Halaman pendukung ini sangat penting karena google selalu ingin agar tidak ada halaman kosong / rusak di website / blog pengiklan.
3. Template Responsive
   Template yang Responsive disenangi oleh google karena template yang responsive pasti membuat Visitor senang dengan pengalamannya berkunjung keblog tersebut. otomatis iklan juga akan tayang dengan benar dan pasti banyak klik.
4. Konsisten Mengupdate Artikel
   Google juga manusia, siapa pun yang caper ke dia pasti akan dituruti permintaannya. Sama halnya dengan daftar adsense, jika ingin cepat diterima kalian harus sering sering update artikel sebelum request ke Adsense, baru setelah keterima terserah anda.
5. Artikel Panjang, Jelas dan Detail
   Artikel yang bagus ia lah artikel yang memiliki lebih dari 300 karakter agar memerlukan waktu membacanya. Jika Visitor Membaca Terlebih dahulu maka jika diterima adsense maka visitor dapat melihat iklan dengan jelas dan mungkin saja tertarik lalu mengklik iklan tersebut.

Nah Tadi itu beberapa tips and trik Keterima Adsense, Tidak percaya ? Loh buktinya adsense saya ini keterima cuma 2 hari coy bayangin ! gimanna gk gampang tuh. Oke deh cukup sampai disini ya, sayanya juga sudah lelah ngetik ini sampai jumpa dipostingan berikutnya ya byebye :*

Read more

Fix / Patch Bug SQL injection [ Protect Website From Hacker ]

Fix / Patch Bug SQL injection [ Protect Website From Hacker ]

Halo sobat rafli haxor, pada kesempataan kali ini saya mau share cara fix Bug SQL Injection di Website mu. Tips and trick ini sudah 100% teruji oleh saya dan saya jamin tahan sql injection. tapi sebelum itu kalian harus tahu dulu apa itu sql injection.

SQL Injection

A SQL injection attack consists of insertion or "injection" of a SQL query via the input data from the client to the application. A successful SQL injection exploit can read sensitive data from the database, modify database data (Insert/Update/Delete), execute administration operations on the database (such as shutdown the DBMS), recover the content of a given file present on the DBMS file system and in some cases issue commands to the operating system. SQL injection attacks are a type of injection attack, in which SQL commands are injected into data-plane input in order to effect the execution of predefined SQL commands.

Source : OWASP

Nah sekarang kalian sudah tahukan apa itu sql injection, sudah pasti ini sangat berbahaya karena masuk top 10 Vulnerability di OAWSP hingga sekarang.

How To Patch

Kalian pasti ingin memperbaikinya kan ? ya pasti lah makanya kalian berkunjung ke blog ini kan ? wkawak.

1. Buka File yang melakukan Get / Post terhadap database,,, misal.
$id = $_GET['id'];
kalo url bakal seperti ini : .php?id=[id]
2. Kita Lakukan Filter di kode tersebut dengan menggunakan fungsi str_replace seperti ini.

$iso = $_GET['id'];$filter = array('concat', 'make_set', 'export_set', '!', 'null', 'and', 'false', 'true', 'sleep', 'or', 'select', 'extractvalue', 'from', 'dual', '-', '+'. '', '%23', '%27', 'by', 'select', 'union', 'order', '(', ')');$replace = "";$id = str_replace($filter, $replace, $iso);

*Jika Terdapat error pada $replace anda bisa menggunakan array seperti ini :$replace = array('', '', '', '', '', '', '', '', '', '', '', '', '', '', '', '', '', '', '', '', '', '', '', '', '');

3. Save Filenya
4. Test di server anda seharusnya sudah terprotect dari sql injection (blind, extrackvalue, union based, error based)

Terimakasih telah berkunjung kewebsite saya, saya harap kalian senang dan jangan sungkan sungkan untuk berkunjung kewebsite saya lagi.
BTW : Maafkan bila 1klan nya numpuk ea.

Tags : Perbaiki sql injection, fix sql injection, bypass sql injection, sql injection, cara fix sql injection, fix bug sql injection, patch sql injection, patching sql injection

Read more

Download Script Email Filter Terbaru 2018-2019 [ PHP CLI ]

Download Script Email Filter Terbaru 2018-2019

Halo Sobat Setia Rafli Hax0r apa kabar nih ? semoga aja baik yah.. Tanpa basa basi saya mau share Email Filter [ PHP CLI ] secara gratis dan bisa kalian recode. Script ini cocok banget buat kalian yang mau Kirim email secara Otomatis bersamaan untuk kebutuhan Promosi Hosting ( Misalnya ), C4rd1ng, Sp4ming, dan banyak hala. maka dari itu saya buat dan saya share disini..

Fitur :
Untuk Fitur saya baru sempat membuat 5 jenis email dikarenakan saya tidak tau email apa saja yang di butuhkan untuk filtering, yakni sebagai berikut :

• Google.com
• Aol.com
• yahoo.com
• orange.fr
• hotmail.com

Jika email yg ingin anda filter tidak ada di list kalian bisa edit Scriptnya dan ganti dengan emal yang kalian mau. sekali lagi saya mohon maaf bila script ini sangat simple dan masih kurang worth it. jika suka silahkan dowbnload jika tidak ya... download aja siapa tau berubah pikiran :D

Link Download :

Click here

Oke Sekian dari saya Rafli pasya jika kalian ingin request script silahkan hubungi saya, selagi saya bisa buat + bermanfaat akan saya buatkan. Wabilahitaufik Walhidayah wassalamualaikum warahmatullahi wabarakahtu

email filter priv8 email filter online email filter script email filter checker email filter domain email filter php email filter carding email filtering email filter tools email filter anonym0us email filter android email filter address email filter app email filter aol email filter appliance review email filter application email filter apple mail email filter appliance open source an email filter is email with filters create an email filter in outlook what is a email filtering create a filter email gmail web and email filtering sieve an email filtering language email filter by date email filter bayesian email filter by email filter byu email filter bigpond email filter bayes email filter bulk email filter by size email filter backup email filtering based on supervised learning and mutual information feature selection email filter cli email filter comcast email filter check email filter cloud email filter c# email filter client email filter cloveretl email filter definition email filter discard message email filter date range email filter disabled filter email di gmail filter email di outlook email domain filter online filter email disabled in outlook 2010 email filter extractor email filter en fortigate email filter exchange filter email excel outlook email filter enable filter email addresses excel efa email filter evolution email filter email filter for gmail email filter for iphone email filter from text email filter for outlook email filter free email filter for spam email filter for yahoo email filter for office 365 email filter for android f-secure email filtering email filter gmx email filter gartner email filter gateway email filtering gmail filter email greyed out filter email greyed out outlook 2010 filter email greyed out outlook 2013 forwarding email filter gmail set email filter gmail gmail filter gmail filter date gmail filters gmail filter or gmail filter unread gmail filter unread emails gmail filter from more than one address gmail filter by year gmail filter or condition email filter hotmail email filter header email filter help cpanel email filter in header email filtering hardware filter email help email heuristic filtering junk email filter hotmail email spam filter hardware gmail email filter has the words email filter iphone email filter in gmail email filter in outlook email filter in php email filter in cpanel email filter in javascript email filter in fortigate email filter in outlook 2013 email filter in office 365 email filter in outlook 2010 email filter javascript email filter jquery email filter js email filter jira email filter justhost email junk filter email junk filter outlook email junk filter iphone filter email javamail email filter kpn email spam filter kaspersky kaspersky email filter outlook junk email filter keywords k9 mail filter e mail spamfilter kpn kpn e mail filter werkt niet kindle email filter email filter lotus notes email filter linux email filter live mail email filtering log filter email list online filter email lotus laravel email filter email filter mac mail email filter mac email filter meaning email filter match case email filter mailing list email filter messages by sender cpanel email filter matches regex email filter yahoo mail m-filter email m-filter email auditor email filter not working email filter not working in outlook email filter not email filter new folder cpanel email filter not working yahoo email filter not working filter email not working in outlook 2016 email notification filter email filter office 365 email filter on iphone email filter outlook 2016 email filter outlook 2013 email filter outlook 2010 email filter on android email filter outlook 2007 email filter on thunderbird types of email filtering benefits of email filtering examples of email filters importance of email filtering definition of email filtering email filter python email filter program email filter pro email filter plugin servicenow email filter plugin email filter palo alto email filter project email filter quickbooks email filter regex email filter rules outlook email filter rules email filter reviews email filter roadrunner email filter results jira email_filter rabbitmq email filter remove fortigate email filter regular expression email filter spam email filter server email filter software free email filter software email filter service email filter servicenow email filter system email filter thunderbird email filter to spam email filter test email filter to cut out spam email filter tips email filter t-online email filtering tools filter email to folder gmail t-online email filter at&t email filters t-online email spam filter t-online email spam filter einstellen att email spam filter t-online email center filter email filter uipath email filter unread email filtering ubuntu email spam filtering using supervised machine learning techniques filter unread email in gmail filter unwanted email gmail filter unread email in outlook 2010 email url filtering ipad email filter unread iphone email filter unread filter_var email email filter validate email filter virtual appliance filter_validate_email not working filter_validate_email regex filter_validate_email php version filter_validate_email php 7 filter_validate_email doesn't work filter_validate_email in codeigniter email filter wireshark email filter wildcard email filter webmail email filter web.de email filter whitelist email filter windows live email filter website email filter works email filter xfinity email x-filter-id xeam email filter iphone x email spam filter email filter yahoo email spam filter yahoo cara filter email yahoo filter email by year filter email by year outlook yahoo email filter forward junk email filter yahoo yahoo email filter multiple senders email filter zimbra cara filter email zimbra zoho email filter zoneminder email filter zendesk email filter zammad email filter zimbra email filter not working zix email filter instellen email filter ziggo email filter fortigate 100d email spam filter 123 reg 1und1 email filter 1and1 email filter email spam filter windows 10 email spam filter ios 11 1&1 email filter 1&1 email spam filter outlook junk email filter 2010 filter email outlook 2010 disabled filter email di outlook 2010 ipad 2 email spam filter email spam filter office 365 email filtering office 365 junk email filter office 365 barracuda email filter office 365 365 email filter junk email filter outlook 365 create email filter outlook 365 sophos email filter office 365 3 junk email filter lists ispconfig 3 email content filter how email filter fortigate 5.4 fortigate email filter 5.2 iphone 5 email spam filter iphone 5 junk email filter note 5 email spam filter email filter iphone 6 email filter for iphone 6s iphone 6 email filters iphone 6 email spam filter iphone 6 email junk filter iphone 7 email filter iphone 7 email spam filter iphone 8 email filter ios 8 email spam filter ibm notes 9 email filter lotus notes 9 filter email sophos utm 9 email filtering

Read more

Burp Suite Pro Full Version 1.7.34 Free Download 2018

Burp Suite Pro Full Version 1.7.34 Free Download 2018

Hello visitors, come back with me on this website. in this post I will update the latest Burp Suite tool to you. For those of you who don't know what the burp suite is, you can read the explanation below. What Is Burp Suite?

Burp or Burp Suite is a graphical tool for testing Web application security. The tool is written in Java and developed by PortSwigger Web Security.

The tool has three editions. A Community Edition that can be downloaded free of charge, a Professional Edition and an Enterprise edition that can be purchased after a trial period. The Community edition has significantly reduced functionality. It was developed to provide a comprehensive solution for web application security checks. In addition to basic functionality, such as proxy server, scanner and intruder, the tool also contains more advanced options such as a spider, a repeater, a decoder, a comparer, an extender and a sequencer.

In the tool there are many features as follows.

• HTTP Proxy - It operates as a web proxy server, and sits as a man-in-the-middle between the browser and destination web servers. This allows the interception, inspection and modification of the raw traffic passing in both directions.
• Scanner - A web application security scanner, used for performing automated vulnerability scans of web applications.
• Intruder - This tool can perform automated attacks on web applications. The tool offers a configurable algorithm that can generate malicious HTTP requests. The intruder tool can test and detect SQL Injections, Cross Site Scripting, parameter manipulation and vulnerabilities susceptible to brute-force attacks.
• Spider - A tool for automatically crawling web applications. It can be used in conjunction with manual mapping techniques to speed up the process of mapping an application's content and functionality.
• Repeater - A simple tool that can be used to manually test an application. It can be used to modify requests to the server, resend them, and observe the results.
• Decoder - A tool for transforming encoded data into its canonical form, or for transforming raw data into various encoded and hashed forms. It is capable of intelligently recognizing several encoding formats using heuristic techniques.
• Comparer - A tool for performing a comparison (a visual "diff") between any two items of data.
• Extender - Allows the security tester to load Burp extensions, to extend Burp's functionality using the security testers own or third-party code (BappStore).
• Sequencer - A tool for analyzing the quality of randomness in a sample of data items. It can be used to test an application's session tokens or other important data items that are intended to be unpredictable, such as anti-CSRF tokens, password reset tokens, etc.

That's some information about Burp Suite, you can directly download the tool at the following link.

Download

Here is a Burst Suite Full Version Free 2018 installation video tutorial.

Read more

Download Shell IndoXploit v.3 terbaru 2018

Download Shell IndoXploit v.3 terbaru 2018

Halo Sobat, Kembali lagi di blog / website Rafli Hax0r walaupun saya bukan haaxor.. Pada Artikel kali ini saya akan share shell indoxploit terbaru 2018 dengan berbagai fitur menarik :) cekidot aja yuk kita liat screenshotnya

Apa itu Shell backdoor ?

A backdoor shell is a malicious piece of code (e.g. PHP, Python, Ruby) that can be uploaded to a site to gain access to files stored on that site. Once it is uploaded, the hacker can use it to edit, delete, or download any files on the site, or upload their own.

Screenshot :

Fiturnya Lengkap seperti :

• [ Home ]
• [ Upload ]
• [ Command ]
• [ Mass Deface ]
• [ Mass Delete ]
• [ Config ]
• [ Jumping ]
• [ CPanel Crack ]
• [ SMTP Grabber ]
• [ Zone-H ]
• [ CGI Telnet ]
• [ network ]
• [ Adminer ]


• [ Fake Root ]
• [ Auto Edit User ]
• [ Auto Edit Title WordPress ]
• [ WordPress Auto Deface ]
• [ WordPress Auto Deface V.2 ]
• [ CPanel/FTP Auto Deface ]
• [ K-RDP Shell]

Bagaimana ? Menarik bukan ? silahkan download di link dibawah ini :
[GOOGLE DRIVE]

Terimakasih Telah berkunjung ke website saya, i hope you like it and share this artikel to your hacker's friends. Jalan jalan Beli kerupuk, Akhir kata Assalamualaikum wr.wb

Read more