#research
📌 زنجیره حمله Triangulation ، پیچیده ترین حمله روی آیفون (CVE-2023-38606)


در 27 دسامبر 2023 به گزارش محققین کسپرسکی Boris Larin, Leonid Bezvershenko, و Georgy Kucherin
ارائه‌ای با عنوان :

«Operation Triangulation: What You Get When Attack iPhones of Researchers»

در سی و هفتمین کنگره ارتباطات آشوب (Chaos Communication Congress) (37C3) ارائه کردن که در مرکز کنگره هامبورگ برگزار شد. این ارائه نتایج تحقیقات طولانی مدت آنها در مورد عملیات مثلث سازی را که با همکاری، Igor Kuznetsov, Valentin Pashkov, and Mikhail Vinogradov انجام شد، خلاصه کرد.

◾️این اولین ارائه ای هستش که در اون جزییات کامل آسیب پذیری ها و اکسپلویتهای این حمله بصورت عمومی منتشر میشه. محققا گفتن که روزانه با حملات و اکسپلویتهای مختلفی روبرو هستن و بیش از 30 زیرودی در محصولات گوگل ، اپل ، مایکروسافت و Adobe کشف و گزارش کردن، اما این قطعا پیچیده ترین زنجیره حمله ای بوده که کشف کردن.

📌 مقاله ارائه 📌 ویدیو ارائه

🆔 @Vip_Security
🌐 www.VipSecurity.zone

Happy new year!❤️

🆔 @Vip_Security
🌐 www.VipSecurity.zone

⭕️ اسکریپت جمع آوری subdomain از Clouds از تیم Vip Security

📌 این اسکریپت دیتای دو منابع پابلیک را parse میکند و از اطلاعات parse شده دیتای مربوط به تارگت تعیین شده شما را در میاورد که شامل اطلاعاتی مثل : subdomain , ip , company

📌 یکی از کاربرد های مهم این اسکریپت امکان پیدا کردن IP اصلی دامینی که پشت CDN است.

بزودی کلی ابزار ، فریمورک های خیلی کاربردی تری براتون قرار میدیم که همه اختصاصی تیم است.

دوستانی که باگ بانتی کار میکنن حتما استفاده کنن :)

◾️ https://github.com/mrvcoder/cloud_data

ستاره از یاد نره ⭐️ :))

📌 توویت مرتبط با اسکریپت:
https://twitter.com/VC0D3R/status/1743438280434270418?s=19

🆔 @Vip_Security
🌐 www.VipSecurity.zone

#اخبار #خبر
💢 فوری: GitLab خود را بروزرسانی کنید !

📌اخیراً چندین آسیب‌پذیری را در GitLab کشف شده است که نیاز به توجه فوری دارند. این آسیب پذیری ها شامل CVE-2023-7028، CVE-2023-5356، CVE-2023-2030 و چندین مورد دیگر است.

درجه شدت این آسیب‌پذیری‌ها بین 3.5 تا 10.0 است.


◾️ CVE-2023-7028:
این آسیب پذیری به مهاجم اجازه می دهد تا احراز هویت را دور بزند و به GitLab شما دسترسی غیرمجاز پیدا کند. بروز رسانی به آخرین نسخه GitLab بسیار مهم است، زیرا یک پچ برای رفع این مشکل منتشر شده است.

◾️ CVE-2023-5356:
این آسیب پذیری اطلاعات حساس از جمله اعتبار کاربری را به دلیل اعتبارسنجی نامناسب ورودی در معرض نمایش قرار می دهد. برای کاهش این خطر، اکیداً توصیه می‌کنیم خود را بروزرسانی کنید و اقدامات دقیق تأیید ورودی را اعمال کنید.

◾️ CVE-2023-2030:
این آسیب پذیری به مهاجم اجازه می دهد تا کد دلخواه را روی سرور GitLab شما اجرا کند که به طور بالقوه منجر به به خطر انداختن کامل سیستم شما می شود. بروز رسانی به آخرین نسخه و اعمال هر گونه وصله امنیتی موجود ضروری است.

🆔 @Vip_Security
🌐 www.VipSecurity.zone

📚 #کتاب Evading EDR

👨‍💻نویسنده: Matt Hand

📌 تقریباً هر شرکتی از یک Endpoint Detection and Response (EDR) برای نظارت بر دستگاه‌های موجود در شبکه خود برای نشانه‌های حمله استفاده می‌کند. اما این بدان معنا نیست که مدافعان امنیتی درک کنند که این سیستم ها واقعا چگونه کار می کنند. این کتاب EDR را ابهام می‌کند و شما را به بررسی چگونگی شناسایی فعالیت‌های دشمن توسط EDRها می‌برد. فصل به فصل، خواهید آموخت که EDR یک جعبه سیاه جادویی نیست - بلکه فقط یک نرم افزار پیچیده است که بر روی چند مؤلفه آسان برای درک ساخته شده است.

👇🏿دانلود در پست بعدی👇🏿

🆔 @Vip_Security
🌐 www.VipSecurity.zone

📌 دوستان باگ هانتر و پنتستر وب اگر دوست داشتید صفحه توییتر منو دنبال کنید🌹
مطالب خوب ببینم اونجا هم میزارم و یا ریتوییت میکنم.. (اخبار ، تریک ها و..)

▪︎ https://twitter.com/VC0D3R

#اخبار #خبر
⭕️ برنامه GoAnywhere MFT خود را فوراً Patch کنید - آسیب پذیری بحرانی به هر کسی اجازه می دهد مدیر باشد !

یک نقص امنیتی مهم در نرم افزار انتقال فایل مدیریت شده GoAnywhere Fortra (MFT) فاش شده است که می تواند برای ایجاد یک کاربر سرپرست جدید مورد سوء استفاده قرار گیرد.

این موضوع که با شناسه CVE-2024-0204 دنبال می شود، دارای امتیاز CVSS 9.8 از 10 است.

✅ شرکت Fortra در توصیه‌ای که در 22 ژانویه
2024 منتشر شد، گفت: «دور زدن احراز هویت در GoAnywhere MFT Fortra قبل از نسخه 7.4.1 به یک کاربر غیرمجاز اجازه می‌دهد تا یک کاربر سرپرست از طریق پورتال مدیریت ایجاد کند».


✅ کاربرانی که نمی‌توانند به نسخه 7.4.1 ارتقا دهند، می‌توانند با حذف فایل InitialAccountSetup.xhtml در دایرکتوری نصب و راه‌اندازی مجدد سرویس‌ها، راه‌حل‌های موقتی را در استقرار غیر کانتینری اعمال کنند.

◾️POC:
https://github.com/horizon3ai/CVE-2024-0204

◾️Deep dive analysis:
https://www.horizon3.ai/cve-2024-0204-fortra-goanywhere-mft-authentication-bypass-deep-dive

🆔 @Vip_Security
🌐 www.VipSecurity.zone

📚 #کتاب Web Application Security 🔥

👨‍💻نویسنده: Andrew Haffman

اندرو هافمن، مهندس ارشد امنیت در Salesforce، سه ستون امنیت برنامه های وب را معرفی می کند: شناسایی، حمله و دفاع. روش‌هایی را برای تحقیق و تجزیه و تحلیل مؤثر برنامه‌های وب مدرن، از جمله برنامه‌هایی که مستقیماً به آنها دسترسی ندارید، یاد خواهید گرفت. همچنین یاد خواهید گرفت که چگونه با استفاده از آخرین تکنیک های هک وارد برنامه های وب شوید. در نهایت، شما یاد خواهید گرفت که چگونه برای استفاده در برنامه های کاربردی وب خود برای محافظت در برابر هکرها، اقدامات کاهشی ایجاد کنید.

👇🏿دانلود در پست بعدی👇🏿

🆔 @Vip_Security
🌐 www.VipSecurity.zone

📚 #کتاب Web Application Security, 2nd Edition 🔥

👨‍💻نویسنده: Andrew Haffman

اندرو هافمن در اولین ویرایش این کتاب (پست قبلی) که مورد تحسین منتقدان قرار گرفت، سه ستون امنیت برنامه را تعریف کرد: شناسایی، حمله و دفاع. در این ویرایش دوم اصلاح‌شده و به‌روز شده، او ده‌ها موضوع مرتبط، از جدیدترین انواع حملات تا مدل‌سازی تهدید، چرخه حیات توسعه نرم‌افزار ایمن (SSDL/SDLC) و موارد دیگر را بررسی می‌کند.

👇🏿دانلود در پست بعدی👇🏿

🆔 @Vip_Security
🌐 www.VipSecurity.zone

#اخبار #خبر
‼️فوری: GitLab را ارتقا دهید - نقص ایجاد فضای کاری حیاتی اجازه بازنویسی فایل را می دهد

📌 شرکت GitLab بار دیگر اصلاحاتی را برای رفع یک نقص امنیتی مهم در نسخه Community (CE) و Enterprise Edition (EE) منتشر کرد که مهاجم می‌توان از آن برای نوشتن فایل‌های دلخواه هنگام ایجاد یک فضای کاری سوء استفاده کند.

این آسیب‌پذیری که به‌عنوان CVE-2024-0402 دنبال می‌شود، دارای امتیاز CVSS 9.9 از حداکثر 10 است.

🆔 @Vip_Security
🌐 www.VipSecurity.zone

#اخبار #خبر

‼️ خبرگزاری مجلس هک شد

سایت خبرگزاری خانه ملت وابسته به مجلس شورای اسلامی دقایقی پیش از دسترس خارج شد. آن‌طور که ایسنا گزارش داده، به‌احتمال‌زیاد این خبرگزاری هک شده است.

ظاهراً یک گروه هکری مسئولیت این اتفاق را بر عهده گرفته و مدعی نفوذ به زیرساخت مجلس و دسترسی به اطلاعات محرمانه شده است.

🆔 @Vip_Security
🌐 www.VipSecurity.zone

📌 دوستان باگ هانتر و پنتستر وب اگر دوست داشتید صفحه توییتر منو دنبال کنید🌹
مطالب خوب ببینم اونجا هم میزارم و یا ریتوییت میکنم.. (اخبار ، تریک ها و..)

▪︎ https://twitter.com/VC0D3R

📌 ۱۰ تا از برترین تکنیکات وب هکینگ سال 2023

هر سال، شرکت PortSwigger بهترین مقالات ارسالی از طرف محققان امنیتی را که بازخورد مثبت کاربران را جلب کرده و مرتبط با وب هکینگ و امنیت وب باشند، در لیست ۱۰ تا از بهترین مقالات سال ، قرار می‌دهد.

https://portswigger.net/research/top-10-web-hacking-techniques-of-2023

🆔 @Vip_Security
🌐 www.VipSecurity.zone

#اخبار #خبر
⭕️   بیش از ۳ میلیون پرونده قوه قضاییه هک و در اینترنت در دسترس قرار گرفته است. !!

حداقل تبعات آن این است که هم اکنون مهاجمان سایبری در حال استخراج این داده‌ها هستند و با بکار بردن این اطلاعات، اعتماد قربانیان خود را افزایش می‌دهند.
تصور کنید پیامک فیشینگ که اطلاعات کامل پرونده شما را قرار داده است! تصور کنید سایت فیشینگ که مشخصات کامل شما را دارد! چقدر ممکن است اعتماد کنید؟

ما چه اقدامی می‌توانیم انجام دهیم؟
با بحث و گفتگو در مورد عدم اعتماد به تماس‌های تلفنی و پیامک‌ها برای ارائه اطلاعات تکمیلی هویتی و اطلاعات بانکی، می‌توانیم سطح آگاهی افراد اطراف خود را افزایش دهیم.
credit: @Webamoozir
🆔 @Vip_Security
🌐 www.VipSecurity.zone