World Of Security
الذهاب إلى القناة على Telegram
5 538
المشتركون
+224 ساعات
+57 أيام
+8130 أيام
جارٍ تحميل البيانات
القنوات المماثلة
سحابة العلامات
الإشارات الواردة والصادرة
---
---
---
---
---
---
جذب المشتركين
نوفمبر '26نوفمبر '26
نوفمبر '26
+38
في 0 قنوات
أكتوبر '26
+149
في 2 قنوات
Get PRO
سبتمبر '26
+159
في 1 قنوات
Get PRO
أغسطس '26
+180
في 1 قنوات
Get PRO
يوليو '26
+265
في 2 قنوات
Get PRO
يونيو '26
+289
في 7 قنوات
Get PRO
مايو '26
+209
في 2 قنوات
Get PRO
أبريل '26
+62
في 0 قنوات
Get PRO
مارس '26
+33
في 0 قنوات
Get PRO
فبراير '26
+165
في 2 قنوات
Get PRO
يناير '26
+43
في 1 قنوات
Get PRO
ديسمبر '25
+155
في 2 قنوات
Get PRO
نوفمبر '25
+167
في 1 قنوات
Get PRO
أكتوبر '25
+100
في 2 قنوات
Get PRO
سبتمبر '25
+36
في 0 قنوات
Get PRO
أغسطس '25
+98
في 1 قنوات
Get PRO
يوليو '25
+33
في 0 قنوات
Get PRO
يونيو '25
+109
في 0 قنوات
Get PRO
مايو '25
+200
في 5 قنوات
Get PRO
أبريل '25
+75
في 1 قنوات
Get PRO
مارس '25
+51
في 1 قنوات
Get PRO
فبراير '25
+48
في 0 قنوات
Get PRO
يناير '25
+47
في 0 قنوات
Get PRO
ديسمبر '24
+227
في 3 قنوات
Get PRO
نوفمبر '24
+356
في 1 قنوات
Get PRO
أكتوبر '24
+178
في 2 قنوات
Get PRO
سبتمبر '24
+239
في 1 قنوات
Get PRO
أغسطس '24
+226
في 2 قنوات
Get PRO
يوليو '24
+86
في 1 قنوات
Get PRO
يونيو '24
+132
في 1 قنوات
Get PRO
مايو '24
+93
في 1 قنوات
Get PRO
أبريل '24
+326
في 5 قنوات
Get PRO
مارس '24
+350
في 7 قنوات
Get PRO
فبراير '24
+288
في 1 قنوات
Get PRO
يناير '24
+265
في 5 قنوات
Get PRO
ديسمبر '23
+367
في 6 قنوات
Get PRO
نوفمبر '23
+348
في 8 قنوات
Get PRO
أكتوبر '23
+216
في 5 قنوات
Get PRO
سبتمبر '23
+19
في 0 قنوات
Get PRO
أغسطس '23
+51
في 0 قنوات
Get PRO
يوليو '23
+35
في 0 قنوات
Get PRO
يونيو '23
+105
في 0 قنوات
Get PRO
مايو '23
+121
في 0 قنوات
Get PRO
أبريل '23
+258
في 0 قنوات
Get PRO
مارس '23
+159
في 0 قنوات
Get PRO
فبراير '23
+2
في 0 قنوات
Get PRO
يناير '23
+2
في 0 قنوات
Get PRO
ديسمبر '22
+2
في 0 قنوات
Get PRO
نوفمبر '22
+13
في 0 قنوات
Get PRO
أكتوبر '22
+136
في 0 قنوات
Get PRO
سبتمبر '22
+182
في 0 قنوات
Get PRO
أغسطس '22
+1 399
في 0 قنوات
| التاريخ | نمو المشتركين | الإشارات | القنوات | |
| 10 نوفمبر | +7 | |||
| 09 نوفمبر | +5 | |||
| 08 نوفمبر | +1 | |||
| 07 نوفمبر | +3 | |||
| 06 نوفمبر | +8 | |||
| 05 نوفمبر | +2 | |||
| 04 نوفمبر | +3 | |||
| 03 نوفمبر | +1 | |||
| 02 نوفمبر | +3 | |||
| 01 نوفمبر | +5 |
منشورات القناة
Repost from لیان - آموزش امنیت و تستنفوذ
⬅️ دوره SANS SEC575 - دوره تست نفوذ موبایل
⬅️ شروع دوره: پنجشنبه، 05 آذر 1405
⬅️ با تدریس: مهندس مهرشاد علیزاده
⬅️ تخفیف 20% برای خرید نقدی: SEC575
☺️ مشاهده جزئیات دوره و خرید:
https://liangroup.net/academy/pentest-course/sans-575
🔄 توضیح کوتاه در مورد دوره: دوره SANS SEC575 به تحلیل امنیت و تست نفوذ اپلیکیشنهای اندروید و iOS میپردازد و روشهای شناسایی آسیبپذیریها را با بررسی ساختار و رفتار برنامه آموزش میدهد. محورهای آن شامل تحلیل ایستا و پویا، بررسی ذخیرهسازی دادههای حساس و ارزیابی امنیت ارتباطات اپلیکیشن با سرور است.
🟣 اطلاع از شرایط اقساط: @liantrain
🔸 اطلاعات بیشتر:
☺️ 02191004151 | 😎 WhatsApp | 😎 Telegram
💻 گروه لیان
☺️ https://liangroup.net/
☺️ @AcademyLian
| 2 | 📌 برگزاری جلسه ویس چت :
با درود خدمت دوستان و همراهان عزیز،
در راستای ارتقای سطح دانش فنی و آشنایی بیشتر با مباحث امنیت سایبری، قصد داریم جلسهای تخصصی و آموزشی در خصوص Offensive Security به صورت ویس چت برگزار کنیم.
🎙 مهمان برنامه
👤 مهندس : میثم منصف
📅 زمان برگزاری: امشب
📍 پلتفرم: گوگل میت
🕗 ساعت : 21:00
🔖 لینک جلسه :
15 دقیقه قبل از شروع جلسه گذاشته می شود .
⁉️ موضوع جلسه :
📌 متدولوژی حرفهای Web Pentesting
🔔 نکته مهم:
جهت شرکت به موقع جلسه، حتماً کانال تلگرام را چک کنید تا از این جلسه جا نمونید .
➖➖➖➖➖➖➖➖➖➖➖➖➖➖
🆔 @RadioZeroPod
🆔 @TryHackBox | 144 |
| 3 | ضمن تشکر از تمام دوستانی که دوره رایگان تست نفوذ وب را مشاهده کردند و با پیامهای محبتآمیزشان از بنده تشکر کردند، لازم میدانم به یک سؤال پرتکرار پاسخ بدهم.
بسیاری از دوستان میپرسیدند: «چطور میتوانیم تجربه عملی خودمان را در زمینه تست نفوذ افزایش بدهیم و به یک متخصص واقعی تبدیل شویم؟»
پیشنهاد من شاید کمی متفاوت از چیزی باشد که انتظار دارید:
اول وارد محیط کار واقعی شوید، بعد وارد دنیای Bug Bounty!
سعی کنید در یک شرکت، تیم امنیت یا مجموعهای که فعالیت تخصصی در حوزه تست نفوذ دارد مشغول به کار شوید. در پروژههای واقعی شرکت کنید، با سیستمهای مختلف سروکار داشته باشید، گزارشهای تست نفوذ بنویسید و از تجربه همتیمیها و افراد باتجربهتر یاد بگیرید.
در این مسیر، تسلط بر OWASP و بهخصوص OWASP WSTG را جدی بگیرید. یاد بگیرید چطور یک وباپلیکیشن را بهصورت جامع و سیستماتیک بررسی کنید، نه اینکه صرفاً به دنبال پیدا کردن چند آسیبپذیری شناختهشده باشید.
دنیای Bug Bounty جذاب است؛ میتواند درآمد خوبی داشته باشد و فرصت عمیق شدن در برخی کلاسهای آسیبپذیری را فراهم کند، اما نباید اجازه بدهید تمام دانش و تجربه شما به چند نوع آسیبپذیری محدود شود.
در یک پروژه واقعی تست نفوذ، ممکن است با دهها سناریو، تکنولوژی، معماری و چالش امنیتی مواجه شوید که تجربه کار با آنها دید شما را بسیار گستردهتر میکند.
توصیه من:
ابتدا برنامهنویسی و مفاهیم فنی وب را خوب یاد بگیرید.
بر OWASP Top 10 و OWASP WSTG مسلط شوید.
وارد یک تیم یا شرکت فعال در حوزه امنیت شوید.
روی پروژههای واقعی کار کنید و گزارشنویسی حرفهای را یاد بگیرید.
بعد از کسب تجربه و ساختن یک پایه فنی قوی، وارد دنیای Bug Bounty شوید.
یادتان باشد، هدف فقط پیدا کردن یک باگ و دریافت جایزه نیست؛ هدف این است که بتوانید امنیت یک سیستم را از زوایای مختلف بررسی کنید و چیزی از قلم نیندازید.
یک متخصص تست نفوذ خوب، قبل از هر چیز باید دیدگاه یک متخصص امنیت را داشته باشد، نه صرفاً دیدگاه یک شکارچی باگ.
امیدوارم این دوره رایگان، قدم کوچکی در مسیر یادگیری و پیشرفت شما دوستان عزیز باشد. ❤️
میثم منصف
مدرس و متخصص امنیت سایبری
@SecCode | 367 |
| 4 | ای کاش تایم باگ بانتی که شرکت راوین مسئول انجامش هست رو بتونن جا به جا کنند :)
واقعا برای اشخاصی که مشغول هستند خیلی سخت میشه عملا وسط هفتس.
بنظرم اگر شما هم هم نظر هستید حتما زیر پست کانالشو این کامنت رو قرار بدید | 530 |
| 5 | 🎉 خبر خوب برای علاقهمندان به امنیت سایبری!
📢 دوره آموزش جامع تست نفوذ وب با همکاری وبسایت ChallengInno بهصورت کاملاً رایگان در اختیار علاقهمندان قرار گرفت. 🎁
🎓 مشخصات دوره:
👨🏫 مدرس: میثم منصف
⏱️ مدت آموزش: ۷۰ ساعت
🔐 موضوع: آموزش جامع تست نفوذ وب
هدف از انتشار رایگان این دوره، ایجاد فرصتی برای یادگیری و پیشرفت علاقهمندان به امنیت سایبری است. 🌱
دانش زمانی ارزشمندتر میشود که فرصت یادگیری و انتقال آن برای افراد بیشتری فراهم باشد. 🚀
نحوه ثبتنام و استفاده از دوره:
ابتدا وارد وبسایت ChallengInno شوید و ثبتنام کنید. سپس به لینک زیر مراجعه کنید:
🔗 https://challenginno.ir/roadmaps/courses
دوره آموزش رایگان تست نفوذ وب (Web Application Penetration Testing) را انتخاب کرده و روی گزینه «مشاهده و توضیحات» کلیک کنید. سپس گزینه «ثبتنام رایگان و شروع دوره» را بزنید.
در نهایت، از طریق بخش پروفایل و قسمت «دورههای آموزشی» میتوانید به محتوای دوره دسترسی داشته باشید.
با آرزوی موفقیت و پیشرفت برای همه علاقهمندان به دنیای امنیت سایبری ❤️
میثم منصف
مدرس و متخصص امنیت سایبری
@SecCode
@challenginno
@CafePentest | 520 |
| 6 | Chrome killed Manifest V2, so I ported Frans Rosén's postMessage-tracker to MV3
Service worker background
Works on strict-CSP sites (MAIN world injection)
Tracks postMessage listeners with url, domain & stack
Credit to @fransrosen for the original.
https://github.com/nexovir/postMessage-tracker-mv3 | 1 383 |
| 7 | 🍯🎙 هانیپات رسماً شروع شد!
بخش اول از اپیزود اول هانیپادکست منتشر شد! 🎬🔥
توی اولین اپیزود، میزبان استاد میثم منصف هستیم و قراره درباره چالشهای تست نفوذ وب، واقعیتهای این حرفه و دغدغههای متخصصان امنیت سایبری صحبت کنیم.
🎧 بخش اول همین حالا منتشر شده و میتونید از طریق یوتیوب تماشاش کنید.
📅 بخش دوم از اپیزود اول، ۱۵ آبان ۱۴۰۵ منتشر میشه.
این تازه شروع ماجراست… 🐝
لینک قسمت اول، بخش اول:
https://youtu.be/WKj2hnLXfdM | 264 |
| 8 | 📢 فرم درخواست پروژه تست نفوذ وب
برای ثبت و شروع پروژههای تست نفوذ وب، فرم دریافت اطلاعات اولیه پروژه آماده شده است.
در این فرم اطلاعاتی مانند:
🔹 مشخصات پروژه و آدرس سامانه
🔹 محدوده و داراییهای مجاز برای تست
🔹 فناوریها و معماری سامانه
🔹 حسابهای کاربری و سطح دسترسیها
🔹 محدودیتها و زمانبندی تست
🔹 استانداردها و خروجیهای مورد انتظار
دریافت میشود.
🛡 شروع یک تست نفوذ حرفهای، با شناخت درست پروژه آغاز میشود.
@SecCode | 371 |
| 9 | 🏛️ ۷ آبان، روز بزرگداشت کوروش بزرگ گرامی باد
کوروش تنها نامی در تاریخ نیست؛ نمادی از خرد، آزادگی، دادگری و احترام به انسانهاست.
هزاران سال از روزگار او گذشته، اما نام و اندیشهاش همچنان در قلب تاریخ ایران میدرخشد.
باشد که ما نیز وارثان شایستهای برای این سرزمین کهن و فرهنگ پرافتخارش باشیم.
درود بر کوروش بزرگ، درود بر تاریخ پرافتخار ایران و پاینده باد سرزمین اهوراییمان. ❤️🤍💚
۷ آبان، روز کوروش بزرگ مبارک باد. | 1 500 |
| 10 | دوستان کسی خبر داره باگ بانتی المپیک فناوری در تیم های چند نفری هست ماکسیمم منظورم هست | 219 |
| 11 | 🔴 آسیبپذیریهای بحرانی RCE در هسته PHP؛ موسوم به PHP2Shell 🔥
🆔 شناسهها:
CVE-2026-109618
CVE-2026-109619
⚠️ درجه خطر: 9.2 از 10 | Critical
دو آسیبپذیری بسیار خطرناک از نوع اجرای کد از راه دور (RCE) در بخش مدیریت حافظه هسته اصلی PHP کشف و افشا شدهاند که با نام PHP2Shell شناخته میشوند.
این آسیبپذیریها به مهاجم اجازه میدهند بدون نیاز به احراز هویت (Pre-Auth / Unauthenticated)، دستورات دلخواه خود را روی سرور اجرا کند؛ حتی پیش از آنکه درخواست به کدهای اپلیکیشن برسد.
⚙️ مکانیزم فنی حمله:
ریشه هر دو آسیبپذیری، مشکلات مدیریت حافظه (Memory Corruption / Use-After-Free) هنگام توقف ناگهانی پردازش درخواستها در موتور PHP است.
🔹 ۱. آسیبپذیری CVE-2026-109618
RCE via OOM Corruption
هنگامی که PHP در مرحله پارس اولیه یک درخواست HTTP (مانند multipart/form-data یا application/x-www-form-urlencoded) به سقف حافظه مجاز (memory_limit) میرسد، با فراخوانی longjmp() عملیات را متوقف میکند.
در این شرایط، برخی ساختارهای داخلی داده ناقص مقداردهی شدهاند؛ اما فرایند پاکسازی درخواست (Request Cleanup) آنها را معتبر فرض کرده و حافظهای را آزاد یا پردازش میکند که وضعیت آن قابل اعتماد نیست.
🔹 ۲. آسیبپذیری CVE-2026-109619
RCE via Stale Global State / UAF
در معماریهایی که یک PHP Worker چند درخواست را بهترتیب پردازش میکند، وقوع خطای کشنده (Fatal Error) هنگام پردازش آپلود فایل یا ثبت خطا میتواند باعث باقی ماندن اشارهگر به حافظه آزادشده (Dangling Pointer) شود.
در این وضعیت، درخواست بعدی که به همان Worker میرسد، پیش از بازنشانی وضعیت داخلی از اشارهگر نامعتبر استفاده میکند. این رفتار (Use-After-Free) میتواند به اجرای کد دلخواه منجر شود.
🚨 سرویسها و زیرساختهای زیر در معرض خطر قرار دارند:
▪️ وبسایتها و اپلیکیشنهای مبتنی بر PHP، از جمله WordPress، Laravel و Drupal
▪️ پنلهای میزبانی وب، مانند Plesk و cPanel
▪️ محیطهای اجرای PHP، از جمله:
▫️ Apache با mod_php
▫️ PHP-FPM در کنار Nginx
▫️ php-cgi
▫️ LiteSpeed و FrankenPHP
📌 نکته مهم:
از آنجا که پارسر درخواست پیش از رسیدن به کد اپلیکیشن اجرا میشود، تنظیمات پیشفرض سطح هسته PHP اهمیت بالایی دارد و میزان آسیبپذیری هر سرور به نسخه و پیکربندی محیط اجرای آن وابسته است.
🧩 نسخههای آسیبپذیر PHP:
▪️ شاخههای PHP 8.2، 8.3، 8.4 و 8.5 پیش از نسخههای اصلاحشده
▪️ نسخههای قدیمیتر و خارج از چرخه پشتیبانی (EOL)، شامل PHP 8.1، 8.0، 7.x و 5.x
🛠 راهکار فوری؛ بهروزرسانی PHP:
سریعاً PHP سرور خود را به یکی از نسخههای اصلاحشده زیر ارتقا دهید:
🔹 PHP 8.5.12
🔹 PHP 8.4.27
🔹 PHP 8.3.36
🔹 PHP 8.2.35
📌 وضعیت نسخههای قدیمی (PHP 8.1 و پایینتر):
شاخههای خارج از پشتیبانی، آپدیت رسمی مستقیم دریافت نمیکنند و مهاجرت به نسخه پشتیبانیشده باید در اولویت باشد. در توزیعهایی مانند Debian، Ubuntu یا RHEL، وضعیت بستههای PHP را در مخازن رسمی توزیع خود بررسی کنید (احتمال ارائه پچ بهصورت Backport).
📚 منابع فنی و اطلاعیههای رسمی:
۱. اطلاعیه رسمی تیم توسعه PHP:
https://www.php.net/archive/2026.php#2026-10-21-5
۲. جزئیات فنی آسیبپذیری CVE-2026-109618 (GHSA):
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
۳. جزئیات فنی آسیبپذیری CVE-2026-109619 (GHSA):
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
۴. راهنمای عملیاتی و لیست نرمافزارهای وابسته (NCSC-NL):
https://github.com/NCSC-NL/php2shell
۵. اطلاعیه مرکز امنیت سایبری کانادا:
https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619
🧪 لینکهای PoC و پچهای Backport:
https://github.com/eness/php2shell-CVE-2026-109618-CVE-2026-109619-PoC
https://github.com/php/php-src/tree/PHP-8.1-CVE-2026-109618-109619 | 1 924 |
| 12 | 🐝 اولین اپیزود هانیپات در راه است!
🎙️ مهمان: استاد میثم منصف
🔐 موضوع: تست نفوذ وب و چالشهای آن
در اولین اپیزود هانیپات، درباره تجربیات، چالشها و واقعیتهای دنیای تست نفوذ وب و امنیت تهاجمی گفتوگو میکنیم.
📅 انتشار بخش اول از اپیزود اول: ۸ آبان ۱۴۰۵
هانیپات؛ آخرین سنگر یه دانشجوی امنیت سایبری.
🎧 منتظر اولین گفتوگوی ما باشید! | 1 410 |
| 13 | ◀️ حفاظت از اطلاعات از طریق رمزنگاری و امضای دیجیتال؛ آشنایی با GPG
◀️ با بهرهگیری از GPG امکان رمزنگاری فایلها و پیامها وجود دارد تا تنها دارنده کلید خصوصی مربوطه بتواند به محتوای آنها دسترسی یابد. همچنین، از طریق امضای دیجیتال میتوان اصالت فرستنده و عدم دستخوردگی محتوا را تأیید نمود.
در این ویدئو که توسط مهندس علی خوشرو (از دانشجویان بورسیه شرکت لیان) ضبط شده است، به صورت ساده و روان توضیح داده شده است که GPG چیست و چگونه به حفاظت از اطلاعات کمک میکند.
🎞 مشاهده در آپارات:
https://www.aparat.com/v/zaf65v6
🎞 مشاهده در یوتیوب:
https://www.youtube.com/watch?v=blHYZ3-o0ig
💻 گروه لیان
☺️ https://liangroup.net/
☺️ @AcademyLian | 1 |
| 14 | از HTTP 100 Continue تا Request Smuggling
نگاهی به هدر Expect: 100-continue و اینکه چطور اختلاف در پردازش درخواست بین سرورها میتواند به HTTP Desync منجر شود. | 4 622 |
| 15 | دوستان نوع همکاری به صورت حضوری و تمام وقت هست | 572 |
| 16 | دوستان در حوزه تست نفوذ وب نیاز به یک
نیروی میدلول دارم جهت همکاری با شرکت آشنا ایمن
@nashenas_tm
رزومه ارسال کنید
دوستان حتما نیاز نیست تجربه کاری داشته باشید. | 613 |
| 17 | هر روز همون کارهای همیشگی رو انجام میدیم...
و هر شب به خودمون میگیم:
«یه روز زندگیم رو تغییر میدم.»
اما اون «یه روز» هیچوقت نمیرسه...
من تصمیم گرفتم تغییرش بدم.
نه از فردا...
از همین امروز.
تو چی؟
چرا تو هم همراه من
زندگیت رو تغییر نمیدی؟
اینجا شروع یک تغییره.
@CafePentest | 336 |
| 18 | 🔥 فکر میکنی WAF جلوی XSS را میگیرد؟
پس این چالش را ببین... 😏
🎯 Target:
https://www.elmanawy.info/demo/wehelp/
یک تارگت واقعی برای تست آماده کردهام که XSS دارد؛ اما مسئله فقط پیدا کردن یک Payload و اجرای آن نیست.
مسئله اینجاست:
🧠 آیا میدانی چرا XSS اتفاق میافتد؟
🔍 میدانی ورودی دقیقاً در چه Contextای قرار گرفته؟
🛡 میدانی WAF دقیقاً چه چیزی را تشخیص میدهد؟
⚙️ میدانی Filter، Sanitization و Encoding کجا و چگونه روی ورودی تأثیر میگذارند؟
🔥 و مهمتر از همه:
اگر یک Payload ساده Block شد، آیا واقعاً یعنی آسیبپذیری از بین رفته؟
اینجاست که تفاوت بین کسی که فقط ابزار استفاده میکند و کسی که واقعاً Web Pentesting را میفهمد مشخص میشود.
در تست نفوذ حرفهای، قرار نیست صدها Payload را حفظ کنی.
باید منطق وب، نحوه پردازش ورودی، Context، Parser و مکانیزم دفاعی را بفهمی.
📚 بخش مهمی از همین نگاه و مباحث در:
کتاب جامع تست نفوذ وب – جلد اول
بررسی شده؛ از پایههای وب و معماری گرفته تا تحلیل آسیبپذیریها و درک مکانیزمهای دفاعی.
💬 حالا سؤال:
اگر WAF Payload تو را Block کند،
اولین چیزی که بررسی میکنی چیست؟
اگر جواب این سؤال را نمیدانی، شاید وقتش رسیده بهجای حفظ Payload، پایهات را قویتر کنی. 🔐
🛒 خرید کتاب:
https://mrowasp.ir/buy-book
@SecCode | 567 |
| 19 | https://projectblack.io/blog/bypassing-edr-with-local-ai/ | 2 864 |
| 20 | 😎😎😎😎😎 | 472 |
