Threat Signal

🧪THE BUG HUNTER'S ROADMAP | L E V E L 0 3 — VULNERABILITIES ⬅️خیلی ها منتظر بودن تا لول 3 منتشر بشه علت اینکه یکم دیر منتشر شد این بود که سعی داشتم پیش نیازی جا نمونه ، در این بخش از WORKFLOW & TOOLKIT شروع شده تا REPORT WRITING ادامه پیدا کرده ، موفق و پیروز باشید . 💻@ThreatSignal

💻توی جنگ اخیر ایران و آمریکا و اسرائیل و... یک گروه موسوم به CyberAv3ngers ( انتقام جویان سایبری ) حضور داشته برخلاف خیلی از گروه هایی که خیلی سر و صدا به پا میکنن این گروه یک حمله ای انجام داده که توجه منو به خودش جلب کرد ، شرکت claroty یه گزارشی رو منتشر کرد که توی اون گزارش نوشته شده این گروه با هدف از بین بردن اعتماد عمومی مردم اسرائیل و همچنین ایجاد اختلال در سیستم های هشدار دهنده ( آژیرهای حمله هوایی اسرائیل را در طول حمله موشکی ) سعی کرده که فاجعه ایجاد کنه یعنی زمانی که حمله انجام میشده این گروه آژیر ها رو مختل میکرده تا اگر موشک رسید اونجا تلفات بیشتری بگیرن و اومده این گروه رو وابسته به سپاه پاسداران و وزارت اطلاعات ایران معرفی کرده ، این گروه از یک آسیب پذیری استفاده کرده "CVE-2024-41700" که باعث میشده اون سخت افزار ها دائما Reboot بشن این محصولات هدف Barix SIP بودند، و از ابزاری استفاده کردن به اسم minab_school که به مدرسه میناب اشاره داره . ⬅️گزارش کامل رو میتونید اینجا بخونید : https://claroty.com/team82/research/a-cyber-psychological-operation-iran-linked-attackers-target-warning-systems 💻@ThreatSignal

💻آموزش واقعی رو باید توی آرشیو های قدیمی جست و جو کرد ، قبلا یک انجمنی بود به اسم انجمن IRANIAN ETHICAL HACKERS که اشتباه نکنم Mehrdad ICE و OP3N3R (علی) اونو مدیریت میکردن و خب توی تایمی که این آموزش ها رو میساختن یکی دو نفر دیگه هم بودن آقای منصف و شهاب شمس البته مدرس های دیگه ای هم بودن که کارشون خوب بود و خب خواستم بگم ما از روی همچین آموزش هایی رشد کردیم واقعا و پیشرفت داشتیم چون مثلا استاداش نیومدن دوره اوسپ بکنن تو پاچه ملت و بفرض SQL INJECTION رو با ابزار تست کنن میومدن میگفتن این اسیب پذیری چیه ، چطور اصلا به وجود میاد و با متد دستی شروع میکردن تست اون اسیب پذیری رو و ما عمیق تر اون اسیب پذیری ها رو درک میکردیم اونم تو تایمی که نه هوش مصنوعی وجود داشت نه چیزی و این یک آرشیو زیرخاکیه که باید قدرش رو بدونید ما برای اینکه چیزی یاد بگیریم باید یه عالمه پیام میدادیم تو این انجمن ها ایمیل ها و... که چیزی رو یاد بگیریم آموزش خیلی کمتر بود نسبت به الان ( ممنون از علیرضای عزیز که آرشیو کرده بود )

سرفصل ها : آموزش آسیب پذیری Sql injection متد GET آموزش آسیب پذیری Sql injection متد POST آموزش اسیب پذیری Authentication bypass اسیب پذیری sql injection در هدر user agent آموزش اسیب پذیری xss از نوع reflected و متد get اموزش اسیب پذیری xss از نوع reflected و متد post آموزش اسیب پذیری xss از نوع stored و متد get اموزش اسیب پذیری xss از نوع stored و متد post آموزش اسیب پذیری xss در هدر user agent متد اول آموزش اسیب پذیری xss در هدر user agent متد دوم آموزش اسیب پذیری xss در هدر http referrer آموزش اسیب پذیری os command injection اموزش اسیب پذیری SSI آموزش اسیب پذیری SSTI آموزش اسیب پذیری LFI اموزش اسیب پذیری RFI اموزش اسیب پذیری Unvalidated File Upload اموزش اسیب پذیری Unvalidated redirects and forwards vulnerability آموزش اسیب پذیری insecure direct object refrenses آموزش آسیب پذیری SSRF آموزش آسیب پذیری CSRF آموزش بایپس تابع addslashes در حملات sql injection آموزش بایپس addslashes در حملات xss اموزش بایپس تابع mysql_real_scape_string در حملات sql injection آموزش اسیب پذیری html injection

دانلود 👇 💻@ThreatSignal

💻حمله بسیار قدیمی اما هنوز هم به شدت کارآمد که چشمان شما رو به راحتی میتونه فریب بده "Homograph Attack" میخوام در مورد حمله Homograph صحبت کنم اما قبل از اون معنی این کلمه یعنی "هم‌نویس یا هم شکل" و اولین بار بین سال های 1999 تا 2001 توسط Alex Gontmakher و Evgeniy Gabrilovich در مؤسسه فناوری اسرائیل (Technion) مقالش رو به ثبت رسوندن و این حمله رو اثبات کردند از دید من میشه یک آسیب‌پذیری کلاسیک و همیشگی در نظرش گرفت و اولین بار هم در سال 2005 توسط یک هکر روی paypal انجام شد و هنوزم میتونه دردسر ساز باشه بدون اینکه حتی کاربر ذره ای متوجه اون بشه اینجا من به شما یک لینک میدم که توسط تلگرام تبدیل نشده :

gооglе.com

اصلا همین رو دقیقا کپی کنید ببرید بزارید تو مرورگر خودتون ریدایرکت میشید به xn--ggl-tdd6ba.com مگه همچین چیزی میشه ! بله امکان پذیر هست که دقیقا شما google.com رو به یک شخصی بدید حتی کپیش هم بکنه روش کلیک نکنه ببره بزاره تو مرورگر خودش و برسه به لینک اون مهاجم . اما واقعا داستان از چه قراره که این اتفاق میوفته ، این هم یک روش Encode هست اما برای این مدل اینکد از حروف شبیه‌ساز (سیریلیک-Cyrillic) استفاده میشه و به چیزی که مرورگر و اینترنت بفهمن از روشی به نام Punycode استفاده میشه که چشما رو گول میزنه . حالا کارش چیه Punycode : حروف غیرلاتین (مثل о سیریلیک) رو به مجموعه‌ای از حروف و اعداد انگلیسی + خط تیره تبدیل میکنه که با پیشوند xn-- شروع میشن مثل اون چیزی که بالا دادم . و اینکه این کدی هم که پایین میدم استفاده بد نکنید هدفش آموزش هست نیاید فردا my gov ir بفرستید به دانشگاه که سیستم آموزش رو دستتون بگیرید و بگید که من گفتم بهتون این کار رو انجام بدید :)

import idna HOMOGRAPH_MAP = { 'a': 'а', 'c': 'с', 'e': 'е', 'i': 'і', 'o': 'о', 'p': 'р', 'x': 'х', 'y': 'у', 'h': 'һ', 'k': 'κ', 'm': 'м', 'n': 'п', 'b': 'Ь', } def generate_fake_domain(word, tld): fake_word = "" for char in word: lower_char = char.lower() if lower_char in HOMOGRAPH_MAP: fake_word += HOMOGRAPH_MAP[lower_char] else: fake_word += char fake_domain = fake_word + tld return fake_domain def main(): print("=" * 50) print("Homograph Link Generator Tool") print("=" * 50) word = input("Enter the target word (e.g., 'coinbase'): ") tld = input("Enter the TLD (e.g., '.com'): ") destination = input("Enter the final destination URL (e.g., 'https://evil.com'): ") fake_domain = generate_fake_domain(word, tld) try: punycode_domain = fake_domain.encode('idna').decode('ascii') except Exception: punycode_domain = "Conversion failed" final_link = f"https://{fake_domain}" print("\n" + "=" * 50) print("Generated Results:") print("=" * 50) print(f"Fake Domain (User sees): {fake_domain}") print(f"Punycode (Actual DNS): {punycode_domain}") print(f"Final Link to give to the victim: {final_link}") print(f"This link will redirect the user to: {destination}") print("=" * 50) if __name__ == "__main__": main()

💻@ThreatSignal

دوستان عزیز اگر کسی از شما سابقه مهاجرت داره یا حتی بهتر در حال حاظر تو یه شرکت امنیتی خارج از ایران کار می‌کنه، ممنون می‌شم به من پیام بده... چند تا راهنمایی ساده می‌خوام بگیرم راستش من هیچ سررشته‌ای از این قضایا ندارم و نمی‌دونم از کجا باید شروع کنم و کجا برم، چیکار کنم... هیچ فامیلی هم در خارج از کشور ندارم که بتونه راهنماییم کنه واقعا ممنون میشم اگر کسی بتونه کمکی بکنه🙏

آقای بنجامین اریکسون یک محقق امنیتی در سوئد هستند یک سایتی دارند به آدرس ( beneri.se ) که داخلش دوتا تب جالب داره یکی از تب ها مربوط هست به Real Sec که چند تا چالش جذاب داره ، برای من که واقعا سرگرم کننده بود چون با محوریت کد نویسی امن تو دنیای واقعی بود و میتونه یک Low and medium level code review باشه برای خودش و یک تب جالب دیگه ای که داشت این بود Malware Analysis داخل این تب 172 صفحه وب شل آورده که برای من خیلی جالب بودش چون وب شل های بسیار قدیمی رو بینش دیدم که قبلا خودم باهاشون کار کرده بودم و اونارو آرشیو کرده تماما در چند حالت Deobfuscated code , Execution traces , Generated HTML , Original Code بهتون نشون میده و اینکه هش md5 تمام شل هارو هم گرفته اونجا قرار داده میتونید استفاده کنید . 💻@ThreatSignal

ساعت ۵ میخوام یه خاطره از صفحه جیگ‌ساو در دارک وب بگم و اگر این صفحه رو دیدید رسما فرار کنید حالا دلیلش رو تو ویس میگم بهتون یه مقدارم در مورد دارک وب صحبت خواهیم کرد .

😉حمله سایبری به زیرساخت‌های بانکی، آیا کار گروه گنجشک درنده بوده؟ در جواب ادعای روزنامه تلگراف که گفته پشت این حمله گروه گنجشک درنده بوده، هم میشه این ادعا رو تا حدی تأیید کرد و هم میشه ردش کرد. اول از همه باید یادآوری کنم که این گروه وقتی به صرافی نوبیتکس، جایگاه‌های سوخت و چند بخش دیگه حمله کرد، مسئولیت اون حملات رو از طریق کانال تلگرام خودش اعلام کرد. همین روند کاری، ادعای تلگراف رو تا حدی زیر سؤال می‌بره، چون تا این لحظه چنین اعلامی از طرف این گروه منتشر نشده. از اون طرف، بعضی‌ها میگن این گروه در زمان جنگ حمله نمی‌کنه که من این ادعا رو کاملاً رد می‌کنم. گنجشک درنده یک گروه هدفمنده و چه در شرایط جنگی و چه غیرجنگی سابقه حمله به زیرساخت‌های کشور رو داشته. البته از یه جهت هم میشه احتمال داد که این حمله کار همین گروه باشه، چون سابقه حمله به زیرساخت‌های مالی کشور رو داره. ولی اگر بخوام درصدی بگم، به نظر من بیشتر از ۲۰ درصد احتمال نداره که کار این گروه باشه؛ اون هم فقط به خاطر سابقه‌ای که داره. با توجه به روند کاری این گروه که معمولاً مسئولیت حملاتش رو اعلام می‌کنه، من شخصاً فعلاً این ادعا رو تأیید نمی‌کنم؛ تازه اگر اصلاً حمله‌ای در کار بوده باشه. =) 💻@ThreatSignal

💻 یه مقایسه میکردم که ببینم چرا بچها اصلا علاقه خاصی ندارن بیان توی امن سازی بخش های داخل و هانت تو ایران و بیشتر علاقه دارن به درآمد دلاری ، خب مشخصه که پرداختی که اونجا انجام میدن خیلی بیشتر از پرداخت های داخل ایران هست و خب 1 دلار به پول ایران الان چیزی حدود 167 هزار تومان هست این یعنی کمترین مقدار بانتی در خارج کشور برای ایرانی ها زیاد حساب میشه ، حالا داشتم یکم آمار میگرفتم چند تا سایت رو رفتم دیدم باید متاسف بود برای این سطح از شعور و سواد یعنی شما فرض کنید این لینک رو باز کنید : https://pihunter.net/iranbugbounty البته نمیدونم آپدیت شده یا خیر ، ولی سقف پاداش اینها رو با هم جمع بزنید میشه حدودا 7 میلیارد تومان یعنی یه هانتر بیاد رو تمام اینا باگ critical پیدا کنه بانتیش میشه 7 میلیارد کلا ! این درحالیه که نصف این مجموعه ها بار ها هک شدند به دلیل اینکه دید کافی برای امن سازی زیرساخت خودشون نداشتند مثل اسنپ و نوبیتکس و.... حالا یکی دیگه از پلتفرم های باگ بانتی تو ایران رو باز کردم اون پایین سایتشون این بندگان خدا خودشون آمار کل پرداخت هاشون رو گذاشتن که میشه 11 میلیارد و 700 میلیون تومان یعنی خیلی مسخره است این مبالغی که دارم میبینم و اون سازمان یا شرکت مقصر اصلیه که این مبالغ رو پیشنهاد میده . یک صرافی یا جایی مثل دیجی کالا دیگه حداقل حداقل برای یک vital یا یک critical در کمترین حالت ممکن دارم عرض میکنم باید 3 میلیارد کنار بزاره حالا این وسط بجز این پلتفرم های باگ بانتی یکسری بخش ها هستند مثل مرکز ماهر و کاشف و این آپا ها واقعا خیلی زشته اصلا من خدایی خجالت میکشم این مبالغ رو دارم میگم از 5 میلیون نهایت تا 30 میلیون تومان کل باگ بانتی ایران 100 میلیارد نمیشه واقعا نمیدونم من به این سطح از ( بی فرهنگی نخیر ) حماقت! چی بگم .... یه کسی که میاد باگ از سایت شما سامانه شما پیدا میکنه و خودشو کشته که به این نقطه رسیده و نمیاد استفاده بد داشته باشه از اون اسیب پذیری شما باید بیای و مبلغی رو در نظر بگیری که حداقل ابروی مجموعه خودت نره ! باگ بانتی ایرانی کار کنیم؟ : خیر به هیچ وجه مگه اینکه خیریه باز کرده باشید و دلتون برای اون مجموعه بسوزه. 💻@ThreatSignal

💻داشتم حملات اخیر رو یک مروری میکردم متوجه شدم که یه گروه طرفدار ایران به اسم آباببیل از میناب یکسری حملاتی داشته به اسرائیل و آمریکا و عربستان و ترکیه.. که خب سوتی های عجیبی داده ، اول از همه پراکندگی عملیاتش در انتخاب اهداف با هم نمیخونه یعنی اینکه رفته سراغ اسرائیل و آمریکا و عربستان بعد اومده رفته سراغ ترکیه که خب در همین ابتدای کار نمیشه اونو توی دسته بندی گروه هایی قرار داد که توسط یک واحد عملیاتی خاص مدیریت میشن ، بگذریم نمیخوام و علاقه ای هم ندارم که خیلی دیپ بشم ولی این گروه یه حمله ای انجام داده به سامانه حمل‌ونقل لس‌آنجلس (LA Metro) ، نکته قابل توجه ای که دیدم این بود hunt IO اومده پیگیر این گروه شده و دسترسی پیدا کرده به یک سرور عملیاتی (Staging/Upload Server) متعلق به زیرساخت Ababil of Minab که این سرور عملیاتی به صورت Open Directory در دسترس عموم قرار داشته و داخل اون تمام تاریخچه دستوراتی که حتی وارد کردن بوده حتی اطلاعاتی که دامپ کردن و تمام آثار عملیاتی که انجام داده اونجا وجود داشته و HUNT IO تونسته جلوی یک حمله دیگه رو هم بگیره ، با بررسی اطلاعات متوجه شدن که یک قربانی دیگه هم وجود داشته و اونو شناسایی کردن ، در نهایت خطرات جدی میتونه برای این گروه وجود داشته باشه چون معمولا سازمان های اطلاعاتی بیخیال آیپی هایی که روی این سرور ها پیدا میشه نمیشن... گزارش کامل رو میتونید اینجا بخونید : https://hunt.io/blog/ababil-of-minab-iranian-hackers-exposed-la-metro-breach-open-directory 💻@ThreatSignal

🧪THE BUG HUNTER'S ROADMAP | L E V E L 0 2 — A R C H I T E C T U R E ⬅️راستش Level 2 خیلی خیلی از من وقت گرفت؛ یعنی به جرأت می‌تونم بگم بیشتر از ۲۴ ساعت فقط نشستم فکر کردم که پیش‌نیاز چیه، چی رو باید قبل چی بخونید، اگر فلان بخش رو نخونید دقیقاً کجا کم می‌یارید و اصلاً کدوم بخش بعداً به چه دردتون می‌خوره و از همین اول بگم، احتمال زیاد توی این مرحله یکم اذیت می‌شید 😊 چون به‌جز بخشی که در مورد Notion گفتم، تقریباً بقیه مسیر کتاب‌محوره. یعنی باید بشینید کتاب بخونید، باز کتاب بخونید، و دوباره کتاب بخونید.... ولی خب شما دیگه Level 1 رو رد کردید؛ یعنی الان حداقل اون‌قدری انگلیسی بلدید که بتونید منابع اصلی رو بخونید از اینجا به بعد دیگه وقتشه وارد معماری بشید و بفهمید پشت صحنه واقعاً چه خبره! ⬅️سطح 2 مهم‌ترین بخش این roadmap هست، تاکید می‌کنم (مهم‌ترین بخش) و این رو به هیچ وجه skip نکنید! جدی میگم، حتی اگر ۱ سال، ۲ سال ازتون زمان گرفت مهم نیست؛ بشینید و اینارو می‌خونید چون اگر این foundation درست شکل نگیره، بعدا هرچقدر هم payload بلد باشید یا vulnerability بخونید، یه جاهایی حس می‌کنید دارید کورکورانه جلو می‌رید و نمی‌فهمید پشت صحنه دقیقاً چه خبره. ⬅️من از قِصد این Level رو سنگین طراحی کردم به دو دلیل: ✅اولاً چون اصولی‌ش همین‌ه؛ هرچقدر بیشتر روی هر بخش تحقیق کنید، برید عمیق‌تر سوال بپرسید، سرچ کنید، کتاب بخونید، آخرش خودتون خیلی جلوتر خواهید بود. ✅دوماً خواستم اون شخصی که واقعا وقت می‌ذاره و واقعا علاقه داره، وقتی وارد Level 3 شد بنیه‌اش حسابی قوی باشه. یعنی صادقانه بگم برام خیلی سخته تصور کنم کسی واقعاً Level 1 و 2 رو کامل رد کرده باشه و توی Level 3 گیر جدی داشته باشه. 💻@ThreatSignal

ایران یک قرارداد بسته که ترافیک خودشو منتقل کنه به Delta Telecom آذربایجان ! الان رو سیم کارت همراه اول یا ایرانسل خودتون میتونید آیپی ISP آذربایجان رو ببینید ، موضوعی که اینجا مطرح هست الان بسیاری سایت های ایرانی که IRAN ACCESS بودند وقتی واردشون میشید میبینید که میگه VPN خودتون رو خاموش کنید یک کشور اینقد دلقک بازار باشه که هیچیش هماهنگ نباشه ... بسیاری از مردم هم در جریان این تغییرات نیستند حدود 90 روز اینترنت یک کشور بخاطر مسائل شخصی یک عده آدم خوب محدود بود به بهانه امنیت ملی ! که توی این محدودیت طرح هایی اومد به اسم اینترنت پرو فرو کردن تو پاچه ملت و گفتند که ریز پرنده میاد و این چیزا حالا بزارید یه چیزی رو من بهتون بگم که پشت پرده چخبره ، چند وقت پیش اسرائیل یک تیم قدرتمند اطلاعاتی به آذربایجان فرستاد که تو جنگ اتفاقا خیلی هم کمکش کرد و اینا که الان اومدن 90 روز اینترنت شما مردم رو قطع کردند این ترافیک رو دارن مستقیم میفرستن به اون کشور ! درجریان صحبتم هستید که چی میگم؟؟ قضیه اصلا یوتیوبر ها و دور زدن تحریم ها و توسعه نیست قضیه اینه فردا هم نیاید زرت و گوز کنید امنیت ملی ها امنیت ملی تو امنیت ملی اسرائیل هست منافع مشترکی دارید باهم فقط مارو اینجا ایسگا کردید . 💻@ThreatSignal

🧪THE BUG HUNTER'S ROADMAP | L E V E L 0 1 — F O U N D A T I O N S ساختار ذهنی و مسیری که خودم برای یادگیری و رشد در این حوزه داشتم رو در قالب یک نقشه راه مرحله‌به‌مرحله براتون آوردم. این لزوماً تنها مسیر درست نیست اما می‌تونه یک دید کلی و پایه محکم برای شروع و ادامه مسیر بهتون بده چون بر اساس تجربه شخصی خودم این رو ساختم لول 2 بزودی منتشر خواهد شد . 💻@ThreatSignal

⬅️آسیب پذیری 0day در مرورگر ها که تا زمان انتشار patch نشده بوده ! چند ساعت قبل یک PoC منتشر شد برای مرورگر Firefox که حدودا 4-5 ساعت هست دارم patch ها رو با هم مقایسه میکنم و تستش میکنم در واقع مرورگر باید javascript: رو بلاک کنه و طبق حرفی که این محقق زده رو iOS یک race condition / TOCTOU داره ، مهاجم با flood کردن redirectهای عادی (HTTP→ HTTP) و زمان‌بندی درست میتونه validator را عقب بندازه و در لحظه مناسب یک redirect به javascript: رو جا بزنه و در نهایت اسکریپت با Origin سایت قبلی اجرا میشه یعنی (javascript:document.write(document.domain)) و زنجیره حملش هم به این صورت هست که قربانی روی لینک مهاجم کلیک میکنه و صفحه مهاجم با _self باز میشه و بعدش قربانی به یک open redirect روی دامنه معتبر (مثل Google) فرستاده میشه ، حالا redirect دوباره به مهاجم برمیگرده ولی context مرورگر هنوز به origin قبلی گره خورده توی PoC که منتشر شده تعداد زیادی redirect پشت سر هم می‌فرسته تا race trigger بشه و redirect نهایی javascript: میشه و خب اگر race موفق بشه JS در origin سایت معتبر اجرا می‌شه که این یعنی اجرای JS در دامنه قربانی!! حالا نکته ای که برام خیلی جالب بود اینجاست که طبق گفته محقق باید روی فایرفاکس باشه ولی خب از اونجایی که همه مرورگر ها یک درد مشترک دارن وقتی روی نسخه قبلی گوگل کروم که حدودا ماه قبل آپدیت براش گرفته بودم تست کردم نتیجه مثبت داشت و آپدیت کردم که مطمئن بشم Patch اعمال شده که در تصویر بالا میبینید سمت چپ نسخه آسیب پذیر هست و تصویر سمت راست هم نسخه Patch شده ... که احتمال میدم وقتی روی فایرفاکس اونو اجرا کرده روی بقیه ام بانتی گرفته باشه و بنظرم این PoC هم کامل نیست اما سرنخ خوبی میتونه باشه برای مهاجمین . 🌪PoC : https://github.com/v12-security/pocs/tree/main/firefox 💻@ThreatSignal