DPAPI (Data Protection API) یک تکنولوژی است که توسط مایکروسافت برای حفاظت از داده‌ها در سیستم‌عامل‌های ویندوز طراحی شده است. این تکنولوژی برای رمزنگاری اطلاعات حساس مانند پسوردها، کلیدهای رمزنگاری، و دیگر داده‌های مهم استفاده می‌شود. DPAPI برای کاربران و برنامه‌ها امکان حفاظت از داده‌هایشان را فراهم می‌کند و به صورت خودکار از طریق کلیدهای رمزنگاری خاص سیستم عامل، داده‌ها را حفاظت می‌کند. حمله به DPAPI: حمله به DPAPI معمولاً به منظور استخراج داده‌های رمزنگاری‌شده از سیستم یا نفوذ به اطلاعات حساس انجام می‌شود. این نوع حملات می‌تواند بر روی سیستم‌های آسیب‌پذیر یا زمانی که دسترسی به سیستم یا کلیدهای خاص موجود باشد، انجام گیرد. روش‌های رایج حمله به DPAPI: 1. دسترسی به فایل‌های رمزنگاری‌شده: * اگر یک مهاجم به فایل‌هایی که با DPAPI رمزنگاری شده‌اند دسترسی داشته باشد، ممکن است قادر به استخراج داده‌های رمزنگاری‌شده باشد. البته این داده‌ها تنها زمانی قابل رمزگشایی هستند که مهاجم به کلیدهای مناسب دسترسی داشته باشد. 2. دسترسی به کلیدهای DPAPI: * برای رمزگشایی اطلاعاتی که توسط DPAPI رمزنگاری شده‌اند، مهاجم باید به کلیدهای خاص سیستم دسترسی پیدا کند. در حالت عادی، این کلیدها باید به طور امن ذخیره شوند، ولی در صورتی که مهاجم بتواند به این کلیدها دسترسی پیدا کند، می‌تواند داده‌های رمزنگاری‌شده را رمزگشایی کند. 3. حملات مبتنی بر حافظه (Memory Dumping): * یکی از روش‌های معمول حمله به DPAPI، dump کردن حافظه سیستم است. در این روش، مهاجم ممکن است بتواند از حافظه سیستم (که کلیدهای DPAPI در آن ذخیره می‌شوند) اطلاعاتی استخراج کند. در صورتی که مهاجم به حافظه فیزیکی یا حافظه سیستم دسترسی داشته باشد، ممکن است بتواند کلیدها یا داده‌های رمزنگاری‌شده را شبیه‌سازی کند. 4. حملات به ذخیره‌سازی و پروفایل‌های سیستم: * بسیاری از اطلاعاتی که با DPAPI رمزنگاری می‌شوند، در پروفایل‌های کاربران ویندوز ذخیره می‌شوند. اگر مهاجم به پروفایل‌های خاص یا فولدرهای مربوط به کاربران دسترسی پیدا کند، می‌تواند به اطلاعات رمزنگاری‌شده یا کلیدهای لازم برای رمزگشایی آنها دسترسی پیدا کند. 5. مهندسی اجتماعی (Social Engineering): * در برخی از موارد، مهاجم ممکن است از تکنیک‌های مهندسی اجتماعی برای فریب کاربران و به دست آوردن دسترسی به سیستم‌ها یا حساب‌های کاربری استفاده کند. در این صورت، مهاجم می‌تواند از دسترسی به داده‌های رمزنگاری‌شده استفاده کند. نتیجه‌گیری: حمله به DPAPI معمولاً زمانی اتفاق می‌افتد که مهاجم به سیستم تارگت دسترسی پیدا کرده باشد یا از آسیب‌پذیری‌های موجود در سیستم بهره‌برداری کند. برای کاهش خطرات مربوط به DPAPI، باید از روش‌های امنیتی مختلف مانند رمزنگاری کامل دیسک، تایید هویت چندعاملی، و نظارت دقیق بر سیستم استفاده کرد. @KavehAPT

TGT چیه ؟ خیلی ساده بخوام بگم بهتون اینه که فرض کنیم میری یه هتل خیلی لوکس. وقتی وارد می‌شی، ابتدا به دفترش می‌رسی و کارت هویتت رو نشون میدی. اونها یه کارت ورود به هتل بهت میدن. این کارت می‌گه: "این فرد شناسایی شده، می‌تونه تو هتل حرکت کنه." حالا هر جا که می‌خوای (رستوران، استخر، اتاق)، به جای اینکه هر دفعه اسم و کدملیت رو بگی، فقط همون کارت ورودی رو نشون می‌دی. در دنیای شبکه و Kerberos: "دفتر هتل" = KDC (Key Distribution Center) "کارت ورودی" = TGT (Ticket Granting Ticket) "رستوران یا استخر" = سرویس‌های مختلف در شبکه مثل فایل سرور، وب سرور و غیره پس: TGT یعنی یه بلیط اولیه که وقتی کاربر وارد سیستم می‌شه (با نام کاربری و رمز) از سرور KDC دریافت می‌کنه و باهاش می‌تونه بدون دوباره وارد کردن رمز، به سرویس‌های مختلف دسترسی پیدا کنه. چرا TGT مهمه؟ چون: رمز عبور تو رو نگه نمی‌داره، ولی قدرتش رو داره! یعنی اگه مهاجم بتونه این بلیط رو از حافظه سیستم استخراج کنه، می‌تونه به جای تو از حقوق و دسترسی‌ات استفاده کنه بدون دونستن رمز عبورت! طول عمر زیادی داره مثلاً یه TGT می‌تونه ۱۰ ساعت یا بیشتر فعال بمونه. پس اگه مهاجم بتونه اون رو بدزده، می‌تونه چندین بار ازش استفاده کنه. دروازه ورود به شبکه‌های داخلیه وقتی یه مهاجم TGT یه حساب با دسترسی بالا (مثل مدیر دامنه) رو داشته باشه، می‌تونه تمام شبکه رو تحت کنترل بگیره . مثال ساده: تو یه روزی که سر کار می‌رسی، لاگین می‌کنی و سیستم متوجه می‌شه "آره، این آدم حق دسترسی داره"، و یه جواز حرکت بهش میده.این جواز تو سیستم تو ذخیره می‌شه. اگه یه هکر بفهمه کجا نگه داشته شده و اونو برداره، الان او هست تو ! می‌تونه جای تو به همه چیز دسترسی داشته باشه. چرا باید نگران باشیم؟ چون: مهاجمان می‌تونن با ابزارهایی مثل Mimikatz یا Rubeus ، این TGT‌ها رو از حافظه (lsass.exe) استخراج کنن. این کار رو بدون دونستن رمز عبور انجام بدن. حتی می‌تونن این اعتبارنامه‌ها رو به سرورای دیگه منتقل کنن و بدون نیاز به حضور فیزیکی بودن تو محل ، دسترسی داشته باشن. @KavehAPT

delegation چه خطراتی داره یا چطوری می‌شه ازش سوءاستفاده کرد کمی توضیح بدمش به زبون ساده : ببینید، delegation تو Kerberos یعنی اینکه یه سرویس (مثلاً سرویس A) بتونه با هویت کاربر، به سرویس دیگه‌ای (مثلاً سرویس B) وصل بشه و کار انجام بده. این موضوع وقتی مهم میشه که سرویس‌ها به همدیگه اعتماد دارن و باید به جای کاربر درخواست بفرستن. حالا خطرش چیه؟ اگه هکری بتونه به یه سرویسی که delegation داره نفوذ کنه، می‌تونه با هویت هر کاربری که به اون سرویس وصل شده، به سرویس‌های دیگه هم دسترسی پیدا کنه. یعنی عملاً می‌تونه خودش رو جای اون کاربر جا بزنه و به منابع حساس دسترسی بگیره! به همین خاطر باید delegation فقط برای سرویس‌هایی فعال باشه که واقعاً نیاز دارن و امنیتشون تضمین شده‌ست. @KavehAPT

در راستای کمک به دوستان علاقه‌مند به تحلیل شبکه و استفاده از ابزار Wireshark، یک فایل آموزشی به زبان فارسی تحت عنوان «Wireshark برای Red Teamers» را درحال ترجمه کردنش هستم. این فایل شامل مباحث پایه‌ای تا پیشرفته در استفاده از Wireshark برای ردیابی، تحلیل و دستکاری ترافیک شبکه از دیدگاه Red Team است و می‌تواند منبع بسیار مفیدی برای همه علاقه‌مندان به امنیت شبکه و ردتیم باشد. جهت حمایت از ادامه کار و تکمیل ترجمه بخش‌های باقی‌مانده، چند صفحه اول این فایل را رایگان قرار داده‌ام. در صورت تمایل به دریافت نسخه کامل فایل، خواهشمند است یک دونیت نمادین انجام دهید. با دونیت شما، می‌توانم بخش‌های بعدی را نیز تکمیل و در اختیار دوستان قرار دهم. لینک دونیت 🙏 سپاس فراوان از حمایت شما!

این مخزن حاوی اطلاعاتی درباره سیستم‌های EDR است که می‌تواند در تمرینات رد تیم (Red Team Exercise) مفید باشه . https://github.com/Mr-Un1k0d3r/EDRs/ @KavehAPT

بسی رنج بردم در این سال سی عجم زنده کردم بدین پارسی 25 اردیبهشت بزرگداشت فردوسی بزرگ

دوستان خوشحال میشم اگر این کتاب هم واستون مفید هست توی گیت هاب حمایت کنید .

💠 یک بررسی جامع و دقیق درباره پروتکل Kerberos که به ویژه برای متخصصان تست نفوذ و ردتیم در محیط‌های مبتنی بر Active Directory بسیار مفید است. این کتاب ابتدا به تاریخچه و تکامل Kerberos می‌پردازد، سپس به تشریح اصول و ساختار کلی پروتکل Kerberos نسخه ۵ می‌پردازد و تفاوت‌های آن با نسخه‌های قبلی را توضیح می‌دهد. 🔶️ در ادامه، کتاب به مفاهیم کلیدی و اصطلاحات مهم در Kerberos مانند Realm، Principal، KDC (مرکز توزیع کلید) و انواع بلیط‌ها (TGT و Service Ticket) می‌پردازد و نحوه عملکرد فرآیند احراز هویت را با تشبیه‌های ساده و نمودارهای گرافیکی توضیح می‌دهد. همچنین، مراحل مختلف تبادل پیام‌ها در پروتکل Kerberos مطابق با RFC 4120 به تفصیل شرح داده شده است. 🔹 بخش مهمی از کتاب به پیاده‌سازی Kerberos در Active Directory اختصاص یافته است که تفاوت‌ها و ویژگی‌های خاص این پیاده‌سازی را بیان می‌کند، از جمله نقش کنترل‌کننده دامنه به عنوان KDC، نحوه ذخیره‌سازی اطلاعات کاربران در فایل ntds.dit و مکانیزم پیش‌احراز هویت (Pre-authentication) که در Active Directory به صورت پیش‌فرض فعال است. 🔶️ علاوه بر این، کتاب به جزئیات فنی مانند الگوریتم‌های رمزنگاری مورد استفاده، نحوه تولید کلیدها، و ساختار پیام‌های مختلف در پروتکل می‌پردازد. همچنین به کاربردهای عملی Kerberos در محیط‌های مختلف و اهمیت آن در امنیت شبکه اشاره شده است. ⭕ برای تیم‌های ردتیم (Red Team) و تست نفوذ، درک عمیق این پروتکل بسیار حیاتی است، زیرا بسیاری از حملات کلاسیک و جدید علیه Active Directory و سیستم‌های مبتنی بر Kerberos طراحی شده‌اند. شناخت دقیق نحوه عملکرد Kerberos به تیم‌های امنیتی کمک می‌کند تا آسیب‌پذیری‌ها را بهتر شناسایی و حملات پیچیده‌تر را شبیه‌سازی کنند. 🧩 https://github.com/TryHackBox/Books/ 🆔 @TryHackBox

📖 بخش رایگان کتاب kerberos برای پنتسترها و ردتیمر ها 🔖 این کتاب در گیت هاب در دسترس است : 💠 دانلود کتاب + امتیاز دادن 🔶️ توضیحات در پست بعدی . ➖➖➖➖➖➖➖➖ 🧩 #Kerberos 🆔 @TryHackBox

📚 کتابچه "Mimikatz: تسلط عملی بر تکنیک‌های پیشرفته حملات Active Directory" از مقدماتی تا پیشرفته. اگر در حوزه امنیت سایبری و تست نفوذ Active Directory فعالیت میکنید، این کتابچه ضروریترین منبعی است که میتوانید داشته باشید! منبعی کامل برای تیم‌های قرمز (Red Team)، شامل دستورات عملی، اسکریپت‌های آماده، و تکنیک‌های evasion است که مستقیماً در تست‌های نفوذ استفاده میشوند. همین حالا این کتاب تخصصی را به زبان فارسی بخوانید. 🔥 عرضه ویژه اولین فروش:  💰 قیمت اصلی: ۲۵۰,۰۰۰ تومان  💥 با ۴۰٪ تخفیف: فقط ۱۵۰,۰۰۰ تومان  ⚠️ مهلت تخفیف: تنها ۵ روز دیگر!  📌 جهت خرید و کسب اطلاعات بیشتر، به ایدی زیر پیام دهید: @THBxSupport

WinRM چیست؟ (ریموتینگ ویندوز) یک پروتکل خاص است که برای مدیریت کامپیوترها و سرورهای ویندوزی از طریق یک API که روی یک وبسرور در دسترس قرار می‌گیرد، استفاده می‌شود. WinRM در دو نسخه ارائه می‌شود: 1. **WinRM کلاسیک که روی پورت 5985** در دسترس است. 2. **WinRM با پوشش TLS که روی پورت 5986** قرار دارد. از دیدگاه یک هکر، WinRM یک هدف جذاب به نظر می‌رسد، چون به‌صورت رمزنگاری‌نشده (unencrypted) در معرض ارتباط است. بنابراین، باید امکان relay احراز هویت NTLM از طریق SMB/LDAP/HTTP به این endpoint وجود داشته باشد.

فعلا جایی هستم و ممکنه سیستم دستم نیاد

دوستان موافقید کمی از مطالب دوره های ردتیم براتون بزارم با ریکشن نشون بدید موافقد(👍)

ابزار Cable یک ابزار امنیتی است که برای و بهره‌برداری (post-exploitation) از ضعف‌های مرتبط با دسترسی‌های کاربران در شبکه‌های اکتیودایرکتوری طراحی شده است. این ابزار به محققان امنیتی کمک می‌کند تا نقاط ضعف موجود در سیستم‌های اکتیودایرکتوری را شناسایی کرده و از آن‌ها برای تست نفوذ استفاده کنند. https://github.com/logangoins/Cable/ @KavehAPT

«سال نو، فصل نو، امید نو» هم میهنان عزیز، نوروز، این آیین دیرینه و زیبای ایرانی، بار دیگر از راه می‌رسد تا به ما یادآوری کند که هر پایان، آغازی دوباره است. در آستانه سال جدید، بیایید با هم پیمان ببندیم که فرهنگمان را زنده نگه داریم، دانش را گسترش دهیم، و ایرانی آزاد و آباد برای فرزندانمان بسازیم. نوروز تنها تغییر فصل نیست؛ نماد تغییر سرنوشت است. همان‌طور که طبیعت از خواب زمستانی بیدار می‌شود، ما نیز می‌توانیم با همدلی و همبستگی، ایران را از تاریکی‌ها به سوی روشنایی هدایت کنیم. در این سال نو، آرزو می‌کنم:     فرهنگ و آیین‌مان همچون سرو، همیشه سبز و پابرجا بماند.     مردم ایران در کنار هم، با هر دین و آیین و پوششی، آزادانه زندگی کنند.     زمین‌هایمان از برکت آبادانی سرسبز شود و اقتصاد کشور رونقی دوباره بگیرد.     صلح و آزادی، مهمان خانه‌های همه ایرانیان باشد. بیایید در این سال نو، با علم، عدالت، و عشق، گام‌هایمان را محکم برداریم و آینده‌ای روشن برای ایران بسازیم. نوروزتان پیروز، سالتان پربرکت، و ایران‌مان همیشه سربلند. با امید فردایی بهتر کاوه @KavehAPT