Hacking LFI & upload shell via tamper data

1. Mencari target via bot scanner ato googling..
contoh dork : inurl:com_ckforms

2. Setelah nemu target, cek dl apa target tsb vuln LFI ato tdk dgn mnambahkan perintah ../ :
contoh :
http://www.target.com/index.php?option= … p;view=../

tambah dgn printah etc/passwd untuk mencari file passwd, jika masih keluar error maka kita tambahin perintah ../ sampe g keluar error ato file passwd bisa di eksekusi.
http://www.target.com/index.php?option= … etc/passwd <-- klo msh error , cari lg..

http://www.target.com/index.php?option= … etc/passwd <-- contoh ini sdh tdk error lg.

cara kerja nya hmpr sama dgn sql injeksi , klo d sql injeksi kta dwajibkan mencari magic no dgn mnggunakan angka , sdgkan pada LFI injeksi kta mnggunakan printah ../

3. bila sudah tidak error lagi ato file passwd dah bisa di eksekusi maka slnjutnya kita ubah etc/passwd
mnjdi proc/self/environ
http://www.target.com/index.php?option= … lf/environ

stlh environ bsa d akses , mka kita akan k tahap slnjut nya...

4. upload shell via tamper data ( https://addons.mozilla.org/en-US/firefox/addon/966 )

5. klo udah ad tamper data nya , buka tuh tamper data n start tamper. stlh itu refresh lg target nya

6. ubah User-Agent yg ad pda tamper data menjadi script injection shell.

7. stlh itu klik ok,maka mozilla yg di url target
http://www.target.com/index.php?option= … lf/environ
akan ngeloading,kalo dah selesai loading,kalo keluar forbidden ato error,maka gagal.stop tamper datanya.

8. klo sukses uploadnya , silahkan buka shell anda..
http://www.target.com/shellanda.php