تو این مقاله راجب CORS Policy حرف میزنیم تا ببینیم کلا چی هستش، چرا از نظر امنیتی مهمه و چطور در بک اند ارور های مروبط بهش رو بفهمیم و دیباگ بکنیم.

https://vrgl.ir/SO8nh

join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

⭕️ شرکت امنیتی Hudson Rock یک گزارش تهیه کرده و نوشته سیستم یکی از کارمندان شرکت اسنپ فود به بدافزار StealC آلوده شده و از طریق اون دسترسی به اطلاعات پیدا کردند.

یکی از مشکلات شرکت ها و سازمان های ایران رو به شکل خیلی ساده و خلاصه میشه یا همین روش ها هک کرد.
دلیل اصلی هم نبود متخصص و دیدگاه مدیریت اشتباه هستش.
مثلا همه فکر میکنند که کار Blue Team توی سازمان ، این هست که چندتا مانیتورینگ نصب کنند و یه دوره اسپلانک توی اکادمی فلانی ثبت نام کنند و بعنوان Soc کار استخدامی بشن.
کل تیم رو میذاری روی Network Packet Analysis و هیچکدوم نمیتونند یک کار مفیدی انجام بدن پکت ها رو تحلیل کنند.
نکته مهم اینه امروزه تحلیلگر بدافزار نیاز قطعی هر شرکت و سازمانی هست ولی متاسفانه بخاطر نبود مدیر لایق و فنی و ترویج بیسوادی در جامعه به سمت اسکریپت کیددی ساختن توی حوزه Bug Bounty که فقط وب رو مبنای همه چیز قرار میدن ، باعث شده سازمان و شرکت و هرجایی اینطور موارد رو میبینه دیگه به بحثهای عمیق امنیت توجهی نداشته باشه.
اگر اسنپ فود با این روش که استیلر روی سیستم یکی از کارمندهاش بوده و هک شده بنظرم یک بار دیگه از صفر کل زیرساخت شرکت و تمام نیروی انسانی چه فنی چه اداری و غیره ، همه رو آموزش بدید و یک Review بزنید کل سیستم های اینها رو.
هدف قرار دادن کارمندهایی که دسترسی بیشتری در سازمان دارن ، توی پروژه های Red Team معمولا تعریف میشه ، چیزی که اسنپ فود و کل تیم اسنپ همچین موردی نداشتن و شایدم ما هیچوقت ندیدیم همچین چیزهایی ازشون.
درهرصورت اگه توی یک کمپانی که داری محصول و دیتا هست کار میکنید، بدنیست بجز اون شرکت امنیتی یا تیم امنیتی که پیمانکارِ ثابت شما هست ، سالی یک بار یه پروژه Red Team بدید خارج از این اکیپ های خودتون بلکه اقدام مناسبی جهت امنیت شرکت و سازمان خودتون داشته باشید.
source: @securation

https://www.infostealers.com/article/mysterious-hacker-strikes-iran-with-major-cyberattacks-against-industry-leading-companies/

join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

20 فوریه طی یه عملیات به اسم Cronos ا 11 کشور و یوروپل تونستن یه سری از دامنه های دارک نت که تحت مدیریت گروه LockBit بود رو توقیف کنن، و گفته شد که با اسیب پذیری عمومی PHP 8.1.2 با CVE-2023-3824 بهش نفوذ کردن.

در روز 21 فوریه NCA خبر داد که سورس کد LockBit به همراه اطلاعات زیادی از شرکت های وابسه و فعالیت هاشون به دست آوردن،‌ 200 حساب کریپتو که مربوط به این گروه هستش رو مسدود کردن و 33 تا از سرور هاشون رو حذف کردن،‌ همچنین 1k کلید مورد نیاز برای رمزگشایی دیتای های کریپت شده رو بدست آوردن و دوتا از اعضای گروه رو در لهستان و اوکراین گرفتن و...

روز 22 فوریه وزارت امورخارجه US برای هرکسی که بتونه اطلاعاتی راجب رهبر و افراد کلیدی این گروه بده جایزه 10 میلیون دلاری گذاشت و همچنین 5 میلیون دلار جایزه برای هرکسی که بتونه اطلاعاتی راجب بقیه افراد گروه و موارد مربط بهشون بده . همچنین گفتن که LockBit رو مختل کردن یه سری از شرکت های وابسطه رو دستگیر و توقیف کردن...

روز 23 فوریه یه شمارنده گذاشتن( افرادی که عملایت Cronos انجام دادن) تو سایت LockBit و گفتن میدونیم LockBitSupp کیه، کجا زندگی میکنه و...که اخرشم پاسخ های مسخره ای دادن و هیچی نشد و... بعدتر LockBit طی صحبتی که با گروه Vx-underground (تو حوزه بد افزار فعالیت میکنن) گفت که دروغ میگن و اگر کسی هویت ما رو میدونه اطلاعات رو بفرسته بهش جایزه 20 میلیون دلاری میدیم و جایزه رو برد بالاتر و....

26 (24 تکست نوشته شده) فوریه LockBit برگشت و گفت که FBI (و بقیشون) فقط به دلیل انتخابات بود که تصمیم گرفتن این عملیات هک رو انجام بدن وگرنه منتظر میموندن رو سرور که اطلاعات من و همکار هام رو به دست بیارن، داخل سرور اسنادی بود که حاوی چیز های جالبی راجب پرونده های قضایی دونالد ترامپ هم میشد که میتونست رو انتخابات تاثیر بزاره(هک Fulton تو ژانویه) و...
همچنین گفت که من حمله های بیشتری رو به بخش های gov انجام میدیم تا قوی تر بشم و از گشادی در میام و...
گفت اسم شرک هایی که پیدا کردن نیک نیم هاشون هست و هیچ ارتباطی باهاشون نداره و فکر میکنم افرادی که دستگیر شدن فقط اون هایی هستن که پولشویی ارز های دیجتال رو انجام میدن و...
بعد اشاره کرد که تنها مورد مهم کد منبع پنل هستش که ممکنه بعدا ازش برای هک کردن مجدد و... استفاده بکنن.

متن تکست منتشر شده از Lockbit رو هم میتونید اینجا بخونید:
https://samples.vx-underground.org/tmp/Lockbit_Statement_2024-02-24.txt

#lockbit

join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

https://www.phoronix.com/news/Linux-6.8-Networking


join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

⭐️ ایردراپ Major که توسط مدیران نظارتی خودِ تلگرام مدیریت میشه

تو این ربات میتونید با انجام وظایف روزانه، دعوت دوستان و رأی کاربران رتبه‌ت رو بالا ببری و پول تلگرام (Stars) دریافت کنی!

قیمت هر ۱۰ Stars در حال حاضر ۱.۳ دلاره!

شما با استارز میتونید قابلیت پریمیوم بازی‌های ایردراپ رو پرداخت کنید و جوایز چند برابر بگیرید، میتونید اکانت پریمیوم بخرید و در آینده‌ای نزدیک میتونید اونو تبدیل به TON کنید و سپس نقدش کنید!

⭐️ورود به ایردراپ Major

@Major

این رو دیدم جالب بود، اقای Werner Fischer لایه های مختلف storage لینوکس رو تو ورژن های مختلف داخل دیاگرام نمایش داده ( از لایه اپلیکیشن تا فایل سیستم و پیج کش, io و... تا درایور ها و سخت افزار)‌، هر قسمت رو هم لینک کرده به صفحه مربوط بهش داخل kernel.org (‌ البته برای کرنل 6.2 به بعد لینک شده )

https://www.thomas-krenn.com/en/wiki/Linux_Storage_Stack_Diagram

join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

تو ماستادون داشتم میگشتم که این لینک رو دیدم و جالب بود:

https://djangotv.com/videos/
یه آرشیو از کنفرانس‌ها و ویدیوهای مربوط به جنگو داخلش هست که میتونید ببینید و...

join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

تو این پست یه نگاهی میندازیم به آسیب پذیری 0.0.0.0 Day مروگر ها که ببینیم چطوری نبودن ip 0.0.0.0 داخل PNA لیست به همراه درخواست fetch تو مد mode: no-cors میتونه باعث بشه که هکر به شبکه لوکال ما دست رسی پیدا بکنه و...

https://vrgl.ir/mQJXG

join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

یکی از دوستام این ابزار رو بهم معرفی کرد، اگه میخواید داخل شلتون راحت تر سرچ کنید و بتونید خیلی سریع کامند ها رو فیلتر کنید و... میتونید ازش استفاده کنید یا حتی سینک بکنید با هیستوری شل یه جای دیگه و...

به جای فایل هیستوری عادی از یه دیتابیس sqlite استفاده میکنه تا خیلی بهتر هیستوری منیج بشه و یه سری اپشن و ui خوب هم داخل ترمینال بهتون میده .

https://www.youtube.com/watch?v=Em0TdAftXAA
https://github.com/atuinsh/atuin
https://docs.atuin.sh/


join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

این هم تصویر قشنگی بود.

وقتی ما برای تغیر یا فیچری که ایجاد کردیم یه Pull Request میفرستیم، معمولاً منتظر می‌مونیم که مینیتنر یا کسی که مسئول ریویو هست بیاد برسی بکنه و نظرش رو بگه. اینجا اگه مثلا بگه باید اون قسمت رو تغیر بدید یا اینشکلی میتونست بهتر باشه و... بهتر که ما تو زمان کوتاهی بهش جواب بدیم و تعامل داشته باشیم، چون وقتی فاصله زیادی بیفته طرف مقابل یادش میره اصلا تغیر چی بود، نظر خودش چی بود،‌ مرج های که این وسط انجام شده چی بوده و... که در نهایت باعث میشه اصلا تغیر مرج نشه و کسی سراغش نره :))

برای همین وقتی یه پول ریکوست میفرستیم باید کد ریویو هایی که انجام میشه برامون اولویت بیشتری داشته باشن و سریع برسی کنیم تا به نفع هردو طرف باشه.

join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

این سری از ویدیوهای دیباگ اقای باشسیز خیلی مفید و کاربردی هستش، بهتون کمک میکنه که بفهمید اگر مشکل x رو داشتید باید از کجا شروع کنید به برسی کردن، چه چیز هایی رو برسی کنید و چطوری مشکل رو حل کنید. ‌در کل ذهنیت اینکه چطوری و ازکجا ترابل‌شوت کنید رو یاد میده.

پیشنهاد می‌کنم حتماً ببینید و دنبال کنید.

https://www.youtube.com/playlist?list=PLRMCwJJwWR1DiUU4AQv5XzYrXUHLpiTI_

join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

امروز این پروژه رو دیدم و جالب بود :
https://github.com/GTFOBins/GTFOBins.github.io
https://gtfobins.github.io/

یه لیست از ابزار (‌کامند) های یونیکسی که اگر جایی به اشتباه استفاده یا کانفیگ بشن رو قرار دادن که می‌تونه به هکر کمک کنه تا محدودیت‌ها رو دور بزنه یا سطح دسترسی بیشتری بگیره و... البته خود کامندها مشکل امنیتی ندارن، اما استفاده اشتباه شون ممکنه باعث آسیب‌پذیری بشه.

برای هر ابزار توضیحات کافی و مثال هم نوشته شده که می‌تونید بخونید و از اشتباهات احتمالی جلوگیری کنید یا حتی توی CTFها و... ازش استفاده کنید. :)

مثلا این CTF یه آسیب پذیری داشت که مروبط میشد به فایل build.sh که یه خطش نوشته بود:‌

tar -C .overlay -xf $LAYER --overwrite

اینجا چون متغیر $LAYER داخل کوتیشن نبود هکر میتونست اینجکت بکنه و آرگومان‌های دیگه ای که tar قبول میکنه رو بده بهش و یه دیتایی رو با دسترسی روت هرجایی اکسترکت بکنه، مثلا اینجا فایل auth رو تغیر داد، میتونست فایل passwd خودش رو بزاره یا حتی RCE بگیره و... که میتونید از اینجا WriteUp کاملش رو هم بخونید:
https://ctftime.org/writeup/39694


join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

تو هفته گذشته یه CVE برای آسیب پذیری command injection روی روتر های Four-Faith مدل F3x24 و F3x36 اومده بود. به هکری که احراز هویت کرده باشه اجازه میده از راه دور ریورس شل بگیره و طبق چیزی Censys گفته مثل اینکه 15,000روتر وجود داره که ممکنه این آسیب پذیری رو داشته باشن.

مشکل از اطلاعات احراز هویت دیفالت سیستم عامل هستش که اگر کاربر(صاحب روتر) تغیر نداده باشه هکر میتونه از مقادیر پیشفرض استفاده بکنه.
در حالت عادی با فرستادن درخواست POST به اندپوینت apply.cgi امکان تغیر زمان سیستم عامل وجود داشته ولی اینجا داخل درخواست POST پارمتر adj_time_year باگ داشته و هکر میتونسته مقدارش رو inject بکنه تا کامند خودش اجرا بشه و ریورس شل بگیره.

لینک ویدیو دمو:
https://youtu.be/JaFKvqdpjicCVE-2024-12856
لینک مقاله اصلی:
https://vulncheck.com/blog/four-faith-cve-2024-12856


join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

این خبر از ShadowServer هم جالب بود که حدود 3.3 میلیون سرویس POP3/IMAP داریم که TLS روشون فعال نیست و ترافیکشون قابل sniff کردنه :)
https://www.bleepingcomputer.com/news/security/over-3-million-mail-servers-without-encryption-exposed-to-sniffing-attacks/

https://x.com/Shadowserver/status/1875200702659883397


join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

این هم یه پروژه جالب و فان با WebAssembly هستش(سورس کدش C و کامپیل شده) که به جای حل Captcha های عادی یه نسخه مینیمال از بازی Doom رو تو سطح سختش بازی میکنید و بعد از کشتن دشمن ها، کپچا حل میشه.

https://doom-captcha.vercel.app/

https://github.com/rauchg/doom-captcha

https://arstechnica.com/gaming/2025/01/someone-made-a-captcha-where-you-play-doom-on-nightmare-difficulty/

join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

تقریبا 2 هفته ای میشه که LLM بدونه سانسور OnionGPT خبرش داخل فروم dread اومد و داره بیشتر هم میشه، جواب هایی که میده بغیر از موارد جنسی بچه ها... محدودیتی نداره و میتونید هر سوالی رو ازش بپرسید.. :))) (اپدیت هم میشه و دیتای مروبط به دارک نت هم بهش اضافه میشه و...)

البته بعضی قابلیت ها مثل ارسال عکس و... نداره، تکست بیس هستش و استیت هم ندارید، هربار یه سوال میپرسید یکم طول میکشه تا جواب رو جنریت بکنه و بهتون بده و بعد برمیگردید دوباره سوال میپرسید.

روی شبکه تور میتونید دست رسی داشته باشید:

http://oniongpt6lntsoztgylhju7nmqedlq6fjexe55z327lmxyae3nutlyad.onion

join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

این دوتا مقاله پایین هم به نظرم مفید بودن، قانون و بست پرکتیس هایی رو میگن که هم برای مروگر tor و هم در حالت کلی برای OPSEC مفید هستش و اگر به امنیت و حریم خصوصی مون اهمیت میدیم بهتر که بهشون توجه کنیم.

مثلا از پسورد منیجر هایی مثل KeepassXC یا Bitwarden استفاده کنیم، تا جای ممکن از برنامه های متن‌باز استفاده کنیم، هر اکستنشنی رو نصب نکنیم چون ممکنه الان یا بعدا باگش پیدا بشه، js رو غیرفعال کنیم(حد اقل داخل مروگر tor)، داخل برنامه هایی که پیام میدیم و.. تا جای ممکنه مطمن بشیم که دیتامون E2E رمزگذاری شده، همیشه اپدیت باشیم، ترافیک مون obfuscate شده باشه و بقیه مواردی که داخل مقاله ها هستش...

( اگر از Tails استفاده میکنید به صورت دستی اپدیت کنید به ورژن 6.11 چون یه سری باگ مهم داشته که چند روز پیش فیکس شده)


https://foss4.org/20.html
https://www.notrace.how/threat-library/mitigations/digital-best-practices.html

join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

این تحقیق هم خیلی جالب بود.

اومدن شل‌هایی که قبلاً هکرها یا اسکریپت‌کیدی‌ها و... استفاده می‌کردن مثل c99، r57، PHPJackal و... رو پیدا کردن و کدهاشون رو بررسی کردن. اکثرا خود اون کسی که شل رو نوشته یه بک دور داخلش گذاشته که مثلا یه درخواست به ظاهر ساده رو برای گرفتن یه عکس یا گیف یا حتی یه get ساده با یه سری پارامتر و.. رو به یه دامینی بفرسته، اینجوری افرادی که از شل اون هکر اصلی استفاده میکردن بعد از زدن تارگتشون بدونه اینکه خبر داشته باشن به هکر اصلی اطلاع میدادن و اون هم میتونسته وارد سرور بشه و خیلی راحت دست رسی بگیره :)))) (جزئیات ریز ترش داخل مقاله هست)

حالا توی این تحقیق فهمیدن که خیلی از این دامین هایی که توی این وب‌شل‌ ها استفاده می‌شده، الان غیرفعال هستش و تمدید نمیشه!! بعد رفتن این دامین ها رو خریدن و صرفا درخواست هایی که بهش میومده رو لاگ کردن و طی همین برسی بیشتر از 4000 دامین اینشکلی پیدا کردن که بک دور رو دارن و همینجوری تعدادشون بیشتر میشه، حتی دامین های gov هم داخلش بوده...

https://labs.watchtowr.com/more-governments-backdoors-in-your-backdoors/

join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖

امروز این پروژه رو اتفاقی دیدم و به نظرم خیلی کاربردی و خوب هستش:
https://github.com/louislam/uptime-kuma

راحت میتونید ایمیج داکرش رو بگیرید بیارید بالا( یا اینکه دستی دیپندسی ها رو نصب کنید و ران کنید)‌ و بعد یه سیستم مانیتورینگ با UI باحال داشته باشید که از وضعیت uptime کلی سیستم، سرویس، دیتابیس و.. تون با نوتیفای هاش باخبر بشید .

تایپ های مختلفی برای مانیتورینگ داره، مثلا dns, ping, postgresql, kafka, http و... کافیه آدرس سرویس و مواردی که نیاز هست رو ست کنید و بعد بهش بگید به صورت اینتروال هر n ثانیه بیاد چک بکنه ببینه سرویس اوکی هستش یا نه و اگر نبود از طریق ایمیل، تلگرام یا خیلی چیزای دیگه بهتون خبر بده...

حالت دمو هم داره میتونید تست کنید :
https://demo.kuma.pet/start-demo

join: 👇
➖➖➖➖➖➖➖➖➖➖➖
T.ME/S3CURITY_GRAY
➖➖➖➖➖➖➖➖➖➖➖