E-paper hacked dan disisip shell. mohon info bugnya dimana ?

Assalam,.. 
yg kmarin pernah juga spam pemesanan epaper dan spam inbox.
tp anehnya spam tersebut dengan user admin.,
jadi admin seperti mengirim pesan ribuan kali dan juga pemesanan epaper ribuan kali.

Assalam,.. 
rupanya di tanam adminer sama dia.
 
gimna caranya dia upload file php ke system ?

Assalam,.. untuk epaper memang belum kita filter untuk semua inputan gan dan akan mudah sekali diserang.
untuk mengamankannya bisa dengan menyisipkan function berikut saja pada file "config/koneksi.php"
function anti_injection($data){
  $filter = mysql_real_escape_string(stripslashes(strip_tags(htmlspecialchars($data,ENT_QUOTES))));
  return $filter;
}
 
Simpan dan kemudian setiap file yang dikirim di filter saja dengan fungsi tersebut, ex :
$username = anti_injection($_POST['username']);
$id_epaper = anti_injection($_GET['id_epaper']);
dan variable lainnya yang perlu di filter...

Assalam,.. Terimakasih gan bukhari..
kalau implementasi script ke koneksi.php saya mngerti.
 
namun kalau maksud dari setiap file yang dikirim di filter saja dengan fungsi tersebut, ex :
$username = anti_injection($_POST['username']);
$id_epaper = anti_injection($_GET['id_epaper']); 
belum saya mngerti gimna

Assalam,.. web anda metro24 kan?
 
bugnya ada di bypass admin ketika javascript dimatikan, dan pengaksesan modul yang tidak diberi hak akses :D

Assalam,..  Mas daffa wiastama jadi gimna solusinya mas ?
mas yg pentest?

Assalam,.. use your brain :D

Assalam,.. ahaha thanks for your information
WTF this forum..
sombong2 banget usernya,,, 

Assalam mas "Ade Mashartanto"
mohon maaf baru bisa respon lagi, dan harap tidak menggunakan kata2 kotor
karena kita juga harus gantian jawab ratusan pertanyaan dari user lain di WA/Email dan disini
sedangkan anggota disini terbatas, dan untuk menjawab pertanyaan seputar koding tidakah sederhana, 
harus dijelaskan panjang lebar seperti yang akan saya lakukan dibawah ini. :)
 
untuk penggunaan fungsi seperti ini sebenarnya adalah hal dasar dari php :
$username = anti_injection($_POST['username']);
$id_epaper = anti_injection($_GET['id_epaper']); 
 
dan di atas sudah kita contohkan juga, tinggal dicobakan dulu, 
karena butuh sedikit usaha untuk menjadi programmer, seperti yang dikatakan agan di atas "use your brain" 
 
baiklah kita contohkan disalah satu file penggunaannya, buka dengan teks editor file "halaman.php'
pada baris 6 cari : $i = mysqli_fetch_array(mysqli_query($koneksi,"SELECT * FROM rb_halaman where id_halaman='$_GET[id]'"));
ubah menjadi : $i = mysqli_fetch_array(mysqli_query($koneksi,"SELECT * FROM rb_halaman where id_halaman='".anti_injection($_GET[id])."'"));
dan lakukan pada variable2 lain yg belum di filter seperti cara di atas.
 
untuk menutup hak akses luar / non user bisa dengan menambahkan pada config/koneksi.php fungsi :
function cek_session(){
	if ($_SESSION['level'] == ''){
		echo "<script>document.location='index.php';</script>";
	}
}
 
terakhir buka content.php lalu pada modul2 yang tidak berhak di akses non user bisa ditambahkan seperti ini :
elseif ($_GET['view']=='pesanmasuk'){
	include "pesan-masuk.php";	  
}
 
ubah menjadi :
elseif ($_GET['view']=='pesanmasuk'){
cek_session();
	include "pesan-masuk.php";	  
}
 
selesai, semoga bermanfaat. :)

Assalam,.. Mohon maaf mas bukari bukan bermaksud menyinggung yg benar benar "developer" disini
maklum basic saya bukan di web. jadi saya bertanya di forum ini. kebetulan aplikasi yg saya gunakan dari sini. namun ya sperti itulah mas jawaban beberapa member.
 
Ok mas bukhari saya coba dlu saranya. :)
 

Assalam,.. oke mas tidak masalah, jika agak telat jawab harap dimaklumi dan bersabar
karena tiap hari saya mesti list dan jawab ratusan pertanyaan yang masuk. :D
jika ada kendala lain dan belum paham bisa di reply lagi di topic ini atau jika ada kendala lain bisa buat topic yang baru.

Assalam,.. ok mas terimakasih.
saya coba dlu saran mas. 

Assalam,.. Om baukhari.
pada variable mysql menggunakan '".anti_injection($_GET[id])."'"))
namun kalau variable biasa dengan seperti ini ya? $alamat = anti_injection($_POST[d]);
tanpa titik ?

Assalam,.. iya gan jika pada variabel biasa tanpa titik, jika pada query pake titik.

Assalam,.. ok makasih mas..