کانال بایت امن

#سوال: میلاد داخل ویندوز میشه توکن ادمینو بدون uac روو خودت با identification level برداری impersonate کنی؟ .... الان یه سری چیزا روو impersonation یه یوزر دیگه تست کردم که خب ریزالتش یه چیزی شد واقعا نمی فهمم چرا یه یوزر دیگه رو بدون SeImpersonatePriv میشه یه لول بالا ازش گرفت .... فورشا توو این مقاله way around uac ش گفته که اون چیزی که مایکروسافت داکیومنت کرده گفته فلان پریویلج رو میخواد توو پیاده سازی یه priv دیگه پیا ه سازی کرده #پاسخ: یک نکته مهندسی هست که میگوید به میزانی که پروژه نرم افزاری شما رشد کرده و بزرگ میشود، سوتی ها و مشکلات داخل آن ها به تناسب رشد کرده و بزرگ میشود. در هر صورت، ویندوز به خاطر ساختار در هم تنیده ای که داره خیلی مستعد مشکل هست. این تکنیک که هم شما الان در موردش صحبت کردید، قدیمی است، نباید الان جواب بدهد. حتی یادم هست، این داستان ها روش های Fileless اش هم یه مدت استفاده میشد. مثلا این یک نمونه اش https://gist.github.com/dezhub/c0fee68d1e06657a45ec39365362fca7 هست. در هر صورت، تقریبا تمام کسانی که تحلیل کار می کنند، این بحث های Token و این جور چیزها را داخل ویندوز خوب متوجه نشدن و نمیشوند. در هر صورت، خیلی خلاصه بهت میگم ما دو جور توکن داریم، یک دونه خود primary token هست که در واقع مربوط به سرور هست. یک دونه هم access token هست که مربوط به کلاینتی میشه. میشه به سادگی کاری کرد که این دو تا توکن در قالب دسترسی های OpenProcessToken و OpenThreadToken که انجام میدی با هم تضاد داشته باشن و به نتیجه ای که می خواهی نرسی. به اضافه اینکه خود اون توکن primary هم یه security descriptor داره که میشه توش تعیین کرد امکان دسترسی به چه نوع دسترسی هایی بده وقتی کلاینت می خواد دسترسی رو. ببین من هم نگفتم ساده هست. فقط زیربناش اینه که شما به اینکه هر دو توکن کلاینت و سرور در یک پروسه هست توجه نمی کنی. حتی این رو میشه با تغییرات توی GPO هم جلوش رو گرفت اگر توکن primary و توکن access هم در قالب پروسه های متفاوت باشن، یه مقدار بحث کلا عوض میشه. اونجاست که بحث چیزایی مثل AccessCheck() و این جور چیزها میاد وسط که خودش باز یک داستان دیگه هست. خلاصه اینکه اگر فورشاو اینطوری میگه، پس باید داستان رو از خود فورشاو پیگیر شی که ببینی واقعا مسئله چی هست. هوووم. ببین این چیزی که فارشو گفته، چند تا پیش شرط داره خوب. اولش اینه که Token Level برابر با Identification باشه. دومین موردش اینه که پروسه سطح دسترسی یا همون Priviledge برای Impersonate هم داشته باشه. البته قبول دارم، راه های دیگر هم می تواند داشته باشد، مثلا توکن هایی که از قبل در سیستم معرفی شدن و مبداشون هم مشخصه، اصطلاحا بهشون Over-The-SHoulder میگن. بهرحال این پیش شرط ها و شرایط وجود داره و میشه با GPO اینها رو محدود کرد. اگر هم طبق اون چیزی که گفتم access و primary هر دو در یک پروسه نباشن (یعنی کلا بحثت دور زدن UAC نباشه، بلکه کپی کردن توکن یه پروسه ی حساس در سیستم باشه)، این شرایط سخت تر میشه و قابل کنترل تر. @miladkahsarialhadi

سوء استفاده از عدم آگاهی دیگران ادامه دارد. برنامه TelegramX یا TeleX که در تصویر بالا بیان میکند نسخه بلاکچین و ضد فیلتر و رسمی تلگرام است، ارتباط مستقیم با هاتگرام دارد و فقط قصد دارد با ایجاد شباهت اسمی با TelegramX رسمی، به هدف خود برسد. 🚫نسخه بلاکچین تلگرام وجود ندارد 🚫برنامه های موبایل را از استور های رسمی دانلود کنید 🚫به شباهت های اسمی برنامه ها با نسخه اصلی توجه کنید با یک تحلیل ساده از نسخه ای که معرفی شده میشه فهمید ارتباط مستقیم با هاتگرام دارد یا نسخه ویرایش شده هاتگرام است. JsonObjectRequest jsonObjectRequest = new JsonObjectRequest(1, "http://rgapi.hotgram.ir/v12/user/register?slt=" + System.currentTimeMillis() + "&appid=3" @securebyte

#FAQ ❓سئوال : سلام یه سئوال داشتم در مورد تفاوت و شباهت های برنامه Ollydbg و Immunity Debugger و اینکه چرا Immunity Debugger استفاده بیشتری در مباحث Exploit Development داره و اینکه درست هست Immunity قابلیت بایپس اتومات DEP - ASLR و SEH رو داره ؟ ✅ جواب برنامه Immunity Debugger از لحاظ ساختار و رابط کاربری شباهت زیادی به Olly دارد به این خاطر که Immunity نسخه Fork برنامه Ollydbg 1.10 هست. اما تعامل بین زبان برنامه نویسی پایتون با Immunity که یکی از تفاوت های چشم گیر هست که در Ollydbg این امکان وجود ندارد و اسکیریپت هایی که در زمینه Exploit Development برای Immunity در زبان پایتون ساخته شده، باعث میشه Immunity بیشتر در Exploit Development به کار گرفته شود. بخش سوم سئوال شما اصلا درست نیست چرا که قرار نیست برای بایپس کردن DEP خود Immunity این مسئله را متوجه بشه و ROP Chain را برای شما به وجود بیاره. در مرحله اول Exploit Development باید بفهمید که تارگت شما دارای چه پروتکشن هایی است مثل DEP - ASLR یا ... و این اطلاعات را Mona که یکی از محبوب ترین اسکیریپت های Immunity برای Exploit Development است در اختیار شما قرار می دهد یا اینکه میتوانید از Process Explorer برای فهمیدن این موضوع استفاده کنید و یا از پلاگین OllySEH در Ollydbg 2 استفاده کنید اما قرار نیست که بایپس کردن این لایه های امنیتی بر دوش دیباگر باشد. @securebyte

#FAQ ❓سئوال : تیم ما یک برنامه اندروید تولید کرده و الان سعی داریم از لحاظ امنیتی برنامه خودمون رو تست کنیم. مثلا بتونیم جلوی ابزار هایی مثل Frida رو بگیریم یا حتی Xposed . میتونید راهنمایی کنید به چه روشی اینکارو انجام بدیم ؟ ✅ جواب زمانی که شما قصد دارید برنامه ای رو شناسایی که آیا در حال اجرا هست یا نه از یک سری ویژگی ها میتوانید استفاده کنید به طور مثال 1 - چک کنید پروسس برنامه در حال اجرا هست یا نه 2 - اگر برنامه سرویسی داره چک کنید سرویس در حال اجرا هست یا نه 3 - اگر برنامه از پورت خاصی داره استفاده میکنه بررسی کنید که آن پورت در حالت Listening هست یا نه 4 - و خیلی روش های دیگر در مورد برنامه Frida میشه اسم و پورت را مورد بررسی قرار دهید اما برنامه Frida فایل پیکربندی داره یعنی اینکه در این فایل میشه پورت پیشفرض که 27047 هست را تغییر داد یا اینکه با ایجاد تغییرات در فایل باینری خود Frida اسم پروسس که fridaserver هست را تغییر داد. من پیشنهاد میکنم اول با ساختار برنامه Frida آشنا بشید و بررسی کنید که از چه روش هایی میشه Frida را غیر قابل شناسایی کرد و بعد سعی کنید روشی پیدا کنید که اگر هم تغییراتی در برنامه Frida یا فایل پیکربندی ایجاد شد باز هم روش شما برای شناسایی Frida مفید باشد. راهنمایی : ابزارهایی مثل Frida از Code Injection استفاده میکنند پس بررسی کنید ببینید فایل ها Frida در حافظه Map شده اند یا خبر. @securebyte

#FAQ ❓سئوال : آقای محمودنیا ، بیشتر آموزش هایی که تو نت هست میان و فایل اگزه بررسی میکنن حالا اگر فایل هدف من یه فایل DLL باشه چطوری میتونم به صورت داینامیک دیباگش کنم ؟ ✅ جواب دو روش معمول برای تحلیل فایل های DLL وجود دارد 1 - تغییر خواص فایل DLL به فایل Exe ( که در شرایطی خاصی اینکار را انجام میدیم ) 2 - استفاده از قابلیت های دیباگر. زمانی که فایلی را در دیباگر باز میکنید به همراه آن تمامی DLL های وابسته هم بارگذاری می شوند. به عنوان مثال در برنامه Olly با استفاده از کلید های ترکیبی Alt + E و یا رفتن به منوی View و انتخاب زیر منوی Executable Modules و یا کلیک کردن بر روی دکمه E در نوار ابزار می توانید به تمامی فایل ها دسترسی داشته باشید. روش دیگر فعال کردن قابلیت Break on new module از تب Events واقع در منوی Options و انتخاب زیر منوی Debugging option هست. با فعال کردن این گزینه هر DLL ی که وابسته به فایل اجرایی شما باشد قبل از فراخوانی شدن میتوانید به تحلیل کدهای آن بپردازید میشه گفت معادل ایجاد نقطه توقف در LoadLibrary می باشد. اما اگر از x64dbg استفاده میکنید میتوانید تب Symbols را از تب هایی که زیر نوار ابزار وجود دارند انتخاب کنید و یا از منوی View زیر منوی Symbol Info و یا کلید های ترکیبی Ctrl+Alt+S استفاده کنید. @securebyte

#ReverseEngineering #Ghidra ویدئو آموزشی نحوه آنالیز استاتیک Firmware با استفاده از برنامه Ghidra. در این ویدئو مثال خوبی از فرایند تحلیل به صورت استاتیک بیان شده است و دوستانی که سئوال داشتند در رابطه با تفاوت های تحلیل استاتیک و داینامیک, این ویدئو میتواند به درستی فرایند تحلیل استاتیک را نمایش دهد. @securebyte

⭕️ تخفیف ویژه به مدت بسيار محدود بسته های آموزشی کایت،مرجع بسیاری از تیمها و اساتید! جهت دريافت اطلاعات بيشتر مانند قيمت ، سيلابس، تخفيف، خدمات ويژه دارك كايت ، رزومه اساتيد ، نمونه ويديوهاي آموزشي و ... : @RedDragonIR

کانال برنامه نویسی و امنیت نرم افزار بایت امن آگهی دعوت به همکاری شماره 6 @securebyte #ADV گروه فناوری اطلاعات و ارتباطات اطلس استخدام برنامه‌نویس سیستم گروه فناوری اطلاعات و ارتباطات اطلس، فعال در حوزه توسعه راهکارهای شبکه و امنیت اطلاعات، در ردیف شغلی ذیل اقدام به جذب نیروی آقا و خانم می نماید : ▪️تسلط کامل به حداقل یکی از زبان های برنامه نویسی شامل : C - C++ - assembly - Java ▪️تسلط کامل به حداقل دو مورد از بانک های اطلاعاتی شامل : Oracle - DB2 - MongoDB - MsSql - MySql - NoSql - NewSql ▪️تسلط به مفاهیم اصلی و تکنیک های مهندسی معکوس ▪️تسلط به ماژول نویسی Kernel و Driver نویسی در ویندوز ▪️بیمه پایه + بیمه تکمیلی + سنوات + پاداش + مزایای نقدی ▪️مدل کاری به صورت تمام وقت و پاره وقت (برای ساکنین غیر از استان تهران در صورت قبولی در مصاحبه، امکان دورکاری فراهم خواهد بود) ▪️امکان گذراندن خدمت سربازی برای فارغ التحصیلان کارشناسی ارشد و دکترا با شرایط، میسر میباشد. لطفا رزومه های خود را جهت بررسی به آدرس ایمیل زیر ارسال بفرمایید : 📝 job@atlasnegar.net 🌐 https://atlasnegar.net -

کانال برنامه نویسی و امنیت نرم افزار بایت امن 🆔@securebyte

کانال برنامه نویسی و امنیت نرم افزار بایت امن آگهی دعوت به همکاری شماره 5 @securebyte #ADV گروه فناوری اطلاعات و ارتباطات اطلس استخدام کارشناس امنیت شبکه و تست نفوذ گروه فناوری اطلاعات و ارتباطات اطلس، فعال در حوزه توسعه راهکارهای شبکه و امنیت اطلاعات، در ردیف شغلی ذیل اقدام به جذب نیروی آقا و خانم می نماید : ▪️ تسلط کامل بر مفاهیم امنیت و راهکارهای ایمن سازی شبکه و وب - بر اساس سرفصل های تعریف شده در Cisco - SANS - EC-Council و سایر استانداردهای رایج ▪️ تسلط کامل بر مفاهیم شبکه بر اساس استاندارد های متداول بین المللی ▪️ تسلط کامل بر انواع حملات شبکه و وب - بر اساس سرفصل های تعریف شده در SANS - EC-Council و سایر استانداردهای متداول ▪️تسلط کامل بر ابزارهای ارزیابی امنیتی و تست نفوذ شبکه شامل سیستم های عامل، اپلیکیشن ها و تکنیک ها ▪️بیمه پایه + بیمه تکمیلی + سنوات + پاداش + مزایای نقدی ▪️مدل کاری به صورت تمام وقت و پاره وقت (برای ساکنین غیر از استان تهران در صورت قبولی در مصاحبه، امکان دورکاری فراهم خواهد بود) ▪️امکان گذراندن خدمت سربازی برای فارغ التحصیلان کارشناسی ارشد و دکترا با شرایط، میسر میباشد. لطفا رزومه های خود را جهت بررسی به آدرس ایمیل زیر ارسال بفرمایید : 📝 job@atlasnegar.net 🌐 https://atlasnegar.net -

کانال برنامه نویسی و امنیت نرم افزار بایت امن 🆔@securebyte

ايرانم تسليت، شیرازم تسلیت بی شبهه و شک یقین مان کامل شد غم نامهٔ سرزمین مان کامل شد کم بود بدون "سکه" ،یک"سین"، اما "سیل" آمد و هفت سین مان کامل شد! @securebyte

سال 1398 را به همه شما عزیزان تبریک میگم و امیدوارم که در سال جدید بهترین اتفاق ها را پیش رو داشته باشید. از درگاه خداوند متعال برای همه شما سلامتی و توفیق روز افزون مسالت دارم. یاشار محمودنیا

#Misc #News ابزار DTrace جهت تشخیص ، ردیابی و رفع عیب مشکلات مربوط به کرنل و سایر برنامه های سطح کاربر در بروز رسانی های جدید ویندوز 10 پشتیبانی خواهد شد. این خبر جالبی برای دوستان علاقه مند به مهندسی معکوس به ویژه کرنل خواهد بود. برای اطلاعات بیشتر در رابطه با ابزار DTrace : https://www.wikiwand.com/en/DTrace منبع خبر : https://arstechnica.com/gadgets/2019/03/microsoft-brings-oracles-open-source-dtrace-tracing-to-windows/ @securebyte

در تهديدات سايبري جديد توجه هكرها و سودجويان معطوف به نفوذ از طريق افراد خودِي در سازمان مي‌باشد و براي رسيدن به هدف خود، گزينه‌هايي به وسعت تمام كارمندان ناآگاه شما دارند. اين كتاب خود آموز تصميم دارد تا كاستي ‌هاي موجود در اين حوزه را با دانش جامع و به ‌روز متخصصان بدنه كارشناسي، استاندارد ها، به روش هاي بين المللي و همچنين تجربه بيش از يك دهه تخصص مديريت امنيت نويسنده به عنوان مشاور، مميز و مدرس مرتبط با حوزه ، برطرف نمايد. نویسنده کتاب دوست خوبم عليرضا شبان قهرود لینک خرید کتاب : http://yon.ir/Xhc5B @securebyte

#eBook #ReverseEngineering 📗Advanced Apple Debugging & Reverse Engineering Second Edition 2nd Edition ➖By: Derek Selander ➖Pages: 488 ➖Publisher: Razeware LLC ➖Pub Date: 2017 ➖ISBN : 9781942878476 @securebyte

کانال برنامه نویسی و امنیت نرم افزار بایت امن آگهی دعوت به همکاری شماره 4 @securebyte #ADV گروه فناوری اطلاعات مثبت: استخدام کارشناس امنیت وب از متخصصان و علاقمندان در حوزه امنیت وب که شرایط زیر را دارا می باشند دعوت به همکاری می گردد: ▪️ تسلط به یکی از زبان های برنامه نویسی تحت وب (Server Side) ▪️ آشنا با زبان برنامه نویسی جاوااسکریپت ▪️آشنا با متدولوژی OWASP ، سیستم عامل کالی و ابزارهای آزمون نفوذ مانند burp ▪️ آشنایی با لینوکس و دستورات مهم آن، روحیه کار تیمی و تسلط به زبان تخصصی الزامی است ساکن تهران به صورت تمام و قت و با تمام مزایا در ضمن از میان پذیرفته شدگان، همکاران برگزیده میتوانند خدمت سربازی را با تمامی حقوق و مزایای شرکتی در این مجموعه بگذرانند. جهت اعلام همکاری صرفا از طریق ثبت نام در فرآیند جذب شرکت به نشانی زیر اقدام نمایید: 🌐www.mosbatgroup.ir/Resume -

کانال برنامه نویسی و امنیت نرم افزار بایت امن 🆔@securebyte