LOW SIGNAL

بچها فردا DEFCON شروع می‌شه💀

یک Pull Request ساده، یا یک RCE تمام‌عیار؟ اگر از ابزارهایی مثل Claude Code برای بررسی یا کار روی Pull Requestها استفاده می‌کنید، این سناریو ارزش دیدن دارد. ایده حمله خیلی پیچیده نیست؛ مهاجم یک PR یا Repository به ظاهر کاملاً معمولی می‌سازد، اما داخل فایل‌های پیکربندی پروژه، تنظیماتی قرار می‌دهد که توسط Claude Code هنگام باز شدن پروژه پردازش می‌شوند. اگر کاربر بدون دقت پروژه را Trust کند، یا ابزار قبل از بررسی کامل این فایل‌ها را اجرا کند، نتیجه می‌تواند اجرای دستورات روی سیستم توسعه‌دهنده باشد. نکته نگران‌کننده اینجاست که دیگر فقط فایل‌های سورس کد سطح حمله نیستند؛ فایل‌هایی مثل .claude/settings.json، Hookها، تنظیمات MCP و سایر فایل‌های پیکربندی هم می‌توانند بخشی از زنجیره حمله باشند. به همین دلیل امروز یک Pull Request صرفاً مجموعه‌ای از تغییرات کد نیست، بلکه ممکن است رفتار ابزارهای هوش مصنوعی را هم تغییر دهد. این یعنی اگر توسعه‌دهنده بدون بررسی یک Repository ناشناس را باز کند، در بدترین حالت ممکن است: دستورات دلخواه مهاجم روی سیستم اجرا شوند. توکن‌های API یا Credentialها سرقت شوند. یا کل محیط توسعه (Developer Workstation) به خطر بیفتد. به نظرم با ورود AI Agentها باید نگاه‌مون به امنیت هم تغییر کنه. قبلاً می‌گفتیم «کد را Trust نکن.» اما امروز باید بگوییم «کل Repository را Trust نکن.» وقتی یک ابزار هوشمند می‌تواند فایل‌ها را بخواند، دستور اجرا کند، ابزارهای جانبی را صدا بزند و حتی به اینترنت متصل شود، دیگر هر فایل پیکربندی می‌تواند به یک سطح حمله تبدیل شود. فکر می‌کنم در آینده، بررسی فایل‌های تنظیمات و Policyها به اندازه خود کد اهمیت پیدا می‌کند؛ چون مهاجم لازم نیست همیشه باگ پیدا کند، گاهی فقط کافی است ابزار شما را قانع کند که کار اشتباهی را برایش انجام دهد.

یه آسیب‌پذیری جدید برای KVM منتشر شده که به نظرم ارزش داره مدیرهای سیستم و کسایی که با مجازی‌سازی کار می‌کنن حواسشون بهش باشه. اسمش Zapscape (CVE-2026-64561) هست و چیزی که خطرناکش می‌کنه اینه که اگر شرایط خاصی فراهم باشه، مهاجم می‌تونه از داخل ماشین مجازی فرار کنه و روی خود سیستم میزبان (Host) کد اجرا کنه. همون چیزی که بهش می‌گن VM Escape. حالا خبر خوب اینه که این آسیب‌پذیری همه‌ی کاربرهای لینوکس رو تهدید نمی‌کنه. برای سوءاستفاده ازش معمولاً باید: 🔺از KVM استفاده کنید. یعنی nested virtualization فعال باشه ( vm داخل vm ) 🔺مهاجم داخل ماشین مجازی دسترسی Root داشته باشه. و اون VM متعلق به یک کاربر غیرقابل اعتماد باشه. ⚠️در واقع این بیشتر برای سرویس‌دهنده‌های ابری، دیتاسنترها، Proxmox، OpenStack و هر جایی که ماشین مجازی کاربران مختلف رو میزبانی می‌کنه اهمیت داره، نه کسی که روی لپ‌تاپش یکی دو تا VM اجرا کرده. طبق اطلاعات منتشرشده، مشکل از بخشی به اسم Shadow MMU در KVM میاد. مهاجم با سوءاستفاده از یک باگ حافظه (Use-After-Free) می‌تونه باعث بشه Hypervisor کنترل اجرای کد رو از دست بده و در نهایت به سطح دسترسی Root روی Host برسه. از اونجایی که PoC هم منتشر شده، احتمال اینکه در آینده نزدیک اکسپلویت‌های بیشتری براش ببینیم وجود داره. 🛠️ اگر مسئول نگهداری سرورهای KVM هستید، بهتره هرچه زودتر وضعیت سیستم‌هاتون رو بررسی کنید، کرنل رو بعد از انتشار وصله امنیتی به‌روزرسانی کنید و اگر واقعاً نیازی به Nested Virtualization ندارید، غیرفعالش کنید. به نظرم این اتفاق دوباره نشون می‌ده که امنیت مطلق وجود نداره. خیلی وقت‌ها مجازی‌سازی رو مثل یه دیوار غیرقابل نفوذ تصور می‌کنیم، ولی در نهایت Hypervisor هم یه نرم‌افزار با میلیون‌ها خط کده و هر قابلیت جدیدی که بهش اضافه می‌شه، می‌تونه یه سطح حمله جدید هم ایجاد کنه. من همیشه ترجیح می‌دم قابلیت‌هایی که واقعاً بهشون نیاز ندارم رو فعال نکنم. Nested Virtualization قابلیت جذابیه، ولی اگر استفاده‌ای ازش ندارید، فقط داره ریسک سیستم رو بیشتر می‌کنه. به نظرم یکی از مهم‌ترین اصول امنیت اینه که هر چیزی که لازم نیست، روشن نباشه.

آخرین توییت عرفان و همچنین آخرین پست‌های کانال تلگرامیش خبر از اجرای حکم میده. قبل تر به ۱، ۲ و ۵ سال حبس محکوم شده بود که خب چون در ایران تجمیعی نیست در نهایت به ۵ سال تحمل مجبور خواهد بود و چیزی در حدود ۱۸ ماه باید بگذره که بتونه درخواست آزادی مشروط/عفو حکومتی و ... کنه. امیدواریم زودتر بتونه بخشودگی یا عفو دریافت کنه. @haghiri75_blog

💣 Russia has designated me as a “terrorist” for refusing its demands for mass surveillance and censorship on Telegram. Under Russian law, I’m banned from “publishing information on the Internet” 😌 Russian officials are clearly confused about who can ban whom from the Internet 😉

عقل دیکتاتور :

آسیب‌پذیری بحرانی جدیدی با شناسه CVE-2026-42533 در NGINX افشا شده که ریشه آن به حدود ۱۵ سال قبل بازمی‌گردد. این آسیب‌پذیری به مهاجم اجازه می‌دهد بدون نیاز به احراز هویت، تنها با ارسال درخواست‌های HTTP دستکاری‌شده، پردازش‌های Worker را دچار Crash کرده و باعث اختلال یا از دسترس خارج شدن سرویس شود. این باگ در پیکربندی‌هایی قابل بهره‌برداری است که از دستور map همراه با عبارات باقاعده (Regex) و متغیرهای Capture مانند $1 استفاده می‌کنند. مشکل از یک خطای Heap Buffer Overflow ناشی می‌شود؛ به این صورت که NGINX اندازه بافر را بر اساس نتایج اولیه Regex محاسبه می‌کند، اما در مرحله نوشتن داده، امکان تغییر مقدار وجود دارد و داده‌ای بزرگ‌تر از ظرفیت بافر در حافظه نوشته می‌شود. در سناریوهای عادی، نتیجه این آسیب‌پذیری معمولاً Crash شدن Worker و ایجاد شرایط Denial of Service است. با این حال، F5 هشدار داده که در صورت غیرفعال بودن ASLR یا امکان دور زدن آن، این نقص می‌تواند به اجرای کد از راه دور پیش از احراز هویت (Pre-auth RCE) نیز منجر شود. مدیران سرورها باید در اسرع وقت نسخه NGINX خود را به نسخه‌های وصله‌شده ارتقا دهند و پیکربندی‌های شامل map، Regex و متغیرهای Capture را مورد بررسی قرار دهند، زیرا تنها بخشی از استقرارهای NGINX تحت تأثیر این آسیب‌پذیری قرار می‌گیرند.

یک گروه هکری وابسته به دولت روسیه با استفاده از CAPTCHAهای جعلی کاربران، به‌ویژه اهداف اوکراینی، را فریب می‌دهد تا خودشان بدافزار را روی سیستم‌های ویندوزی اجرا کنند. در این حمله، صفحه‌ای شبیه به بررسی امنیتی نمایش داده می‌شود و از کاربر خواسته می‌شود چند دستور را اجرا کند؛ در حالی که همین کار باعث آلوده شدن سیستم می‌شود. همچنین مهاجمان با انتشار برنامه‌های امنیتی جعلی، دستگاه‌های اندرویدی را نیز به درب پشتی (Backdoor) آلوده می‌کنند. 🔹 اگر یک وب‌سایت از شما خواست برای اثبات اینکه ربات نیستید، دستوری را در Run، PowerShell یا Command Prompt اجرا کنید، تقریباً با اطمینان یک حمله است. CAPTCHA واقعی هرگز چنین درخواستی ندارد. 🔗 جزئیات بیشتر: https://thehackernews.com/2026/07/uac-0145-uses-clickfix-captchas-to.html

کتاب ghost in the wires هم خیلی جالبه از کوین میتنیک هست، هکر افسانه‌ای معروف. کتاب فنی نیست و خیلی جالبه برای کسایی که علاقه‌مند هستن به دوران اولیه اینترنت، هکر های اون موقع، متد هاشون، نوع نگاهشون و روش کارشون.

https://h4x0r.icu/library همه کتاب های دیجیتالمو ریختم اینجا، اکثرا فنی هستن ولی گفتم شاید بدرد بخوره از بینشون الان دارم The lean startup رو می‌خونم، جدی پیشنهادش می‌کنم برای همه

https://h4x0r.icu/hate/ صبحی اومدم با دوستم شوخی کنم یچیزی همینجوری وایب کد کردم و گذاشتم ردیت و خیلی استقبال شد 😂😂😂😂😂

هکرها با ترفند جالبی حساب‌های مایکروسافت ۳۶۵ رو هدف قرار دادن. از تماس تلفنی (vishing) استفاده می‌کنن و به کاربرها می‌گن باید «passkey» جدید تو Microsoft Entra ثبت کنن. صفحه‌ای که نشون می‌دن هم دقیقاً مثل صفحه رسمی مایکروسافته، ولی جعلیه. در نهایت passkey خودشون رو به حساب قربانی اضافه می‌کنن و دسترسی کامل می‌گیرن. این حمله بیشتر شرکت‌های خارجی تو صنایع غذایی، فناوری، بهداشت و مشابه رو هدف گرفته. برای کاربران ایرانی: فعلاً اصلاً نگران این حمله خاص نباشید. به خاطر تحریم‌ها و استفاده گسترده از ویندوز و نرم‌افزارهای کرکی، دسترسی رسمی به Microsoft ۳۶۵ و Entra ID خیلی محدود هست و این حمله تأثیر زیادی روی ما نداره. البته این رو هم بدونید که استفاده از نرم‌افزارهای کرکی در سازمان‌ها و شرکت‌ها بسیار خطرناکه و ریسک‌های امنیتی جدی مثل بک‌دور، بدافزار و سرقت اطلاعات داره. بهتره در بلندمدت به سمت راه‌حل‌های قانونی و امن حرکت کنیم. همیشه برای تعامل با لینک‌های مشکوک و تماس‌های ناشناس احتیاط کنید! @LOW_SIGNAL73 | BLOG

میایید تست کنم فقط؟ ببینم می‌شه استریم کرد یا نه؟ بعدا چیزای باحال تری استریم می‌کنیم، مثل مسابقات CTF، روند یادگیری چیزای جدیدم، جاست چت و اینها.

RUST BOOK LIVE STRAM RN : https://www.twitch.tv/low_signal73

گربه picoCTF 2021 | چالش: Information یه چالش فارنزیک از picoCTF بود. توضیح چالشش یه‌جوری نوشته شده بود که آدم فکر می‌کرد قراره خیلی درگیر بشه: > فایل‌ها همیشه می‌تونن یه جای مخفی تغییر کرده باشن. می‌تونی فلگ رو پیدا کنی؟ با خودم گفتم حتماً یه فایل عجیب غریبه، شاید یه چیزی پنهون‌ش کردن، شاید یه ترفند پیچیده به کار رفته، یا شایدم باید توی خود عکس دنبال سرنخ بگردم. ولی قضیه خیلی ساده‌تر از این حرفا بود. این‌بار جواب توی متادیتای فایل بود. توی راهنمای چالش نوشته بود: > یه نگاه به جزئیات فایل بنداز برای همین قبل از اینکه مثل همیشه بریم سراغ بیست‌تا ابزار فارنزیک و رو فایل بریزیم، اول یه نگاه به جزئیاتش انداختیم: exiftool cat.jpg و همون‌جا یه رشته‌ی مشکوک دیدیم که خیلی شبیه base64 بود. جالبه که چقدر اطلاعات توی متادیتای عکس‌ها می‌مونه که خیلی وقتا اصلاً بهش دقت نمی‌کنیم 😂 رشته رو دیکد کردیم: echo "cGljb0NURnt0aGVfbTN0YWRhdGFfMXNfbW9kaWZpZWR9" | base64 -d و این خروجی اومد: picoCTF{the_m3tadata_1s_modified} فلگ پیدا شد ✅ نتیجه‌ای که از این چالش گرفتم: قبل از اینکه بریم سراغ کارای پیچیده، شاید بهتره اول متادیتای فایل رو چک کنیم. چون بعضی وقتا اصلاً نیازی به اکسپلویت کردن نیست، فقط کافیه یه exiftool ساده بزنی. @LOW_SIGNAL73 | BLOG

خب، یک چالش ساده‌ی دیگه از picoCTF. این یکی بیشتر از اینکه شبیه هک کردن باشه، شبیه اینه که بخوای با یک کامپیوتر لجباز حرف بزنی که فقط با عدد جواب می‌ده. 😄 چالش می‌گه یک برنامه‌ی جالب وجود داره که می‌تونی با nc باهاش صحبت کنی، ولی انگلیسی بلد نیست. پس اول وصل می‌شیم:

nc wily-courier.picoctf.net 49625

و سرور به جای یک پیام قابل فهم، یک عالمه عدد تحویل ما می‌ده:

112
105
99
111
67
84
70
123
...
125
10

در نگاه اول انگار خروجی یک ماشین حسابه که وسط کار تصمیم گرفته شخصیت هنری پیدا کنه. ولی از چالش‌های قبلی مثل Let's Warm Up و Warmed Up یاد گرفتیم که ASCII چطور کار می‌کنه. همچنین از تجربه‌ی قبلی می‌دونیم که فلگ‌های picoCTF معمولاً با:

picoCTF{

شروع می‌شن. پس چند عدد اول رو بررسی می‌کنیم:

112 → p
105 → i
99  → c
111 → o
67  → C
84  → T
70  → F
123 → {

خب، لو رفت. این سرور نه زبان مخفی داشت، نه پیام رمزگذاری‌شده‌ی عجیب. فقط داشت ASCII رو به شکل Decimal ارسال می‌کرد. برای تبدیل کامل خروجی هم به جای اینکه بشینم ده‌ها عدد رو یکی‌یکی تبدیل کنم (چون هنوز کارهای مهم‌تری برای انجام دادن هست 😅)، از ابزار Decimal to ASCII Converter سایت PrePostSEO استفاده کردم: https://www.prepostseo.com/tool/decimal-to-ascii کل خروجی رو داخل ابزار گذاشتم و نتیجه رو گرفتم:

picoCTF{g00d_k1tty!_n1c3_k1tty!_d9476}

این چالش بیشتر از اینکه یک تکنیک جدید یاد بده، یک تمرین خوب برای یادآوری چند مفهوم پایه بود: * استفاده از nc برای ارتباط با سرویس‌های ریموت * شناخت ASCII * پیدا کردن الگوها در داده‌ها یک تغییر کوچک هم برای ادامه مسیر: احتمالاً دیگه برای چالش‌های خیلی ساده‌ی picoCTF، write-up کامل منتشر نمی‌کنم. نه به این دلیل که این چالش‌ها بی‌ارزش هستند. اتفاقاً برای شروع عالی‌اند و خودم هم از همین‌ها یاد گرفتم. ولی یک جایی write-up تبدیل می‌شه به: «وصل شو، عددها رو تبدیل کن، تبریک می‌گم! 112 همون حرف p است.» 😄 فکر نمی‌کنم اینترنت نیاز داشته باشه یک مقاله‌ی طولانی دیگه درباره‌ی تبدیل Decimal به ASCII بخونه. از این به بعد بیشتر روی چالش‌هایی تمرکز می‌کنم که واقعاً نیاز به فکر کردن داشته باشند: Exploit، Reverse Engineering، تحلیل باگ، یا آن لحظه‌هایی که ترمینال باعث می‌شه چند دقیقه به تصمیمات زندگی فکر کنی. همون چالش‌هایی که کامپیوتر هم کمی تلاش می‌کنه مقاومت کنه. @LOW_SIGNAL73 | BLOG