ru
Feedback
از نگاه احسان

از نگاه احسان

Открыть в Telegram

از چیزایی می‌گم که ارزش فکر کردن دارن 💭 Life • Web3 • Ideas • People 🔗 x.com/ehsan_ton

Больше
Иран38 362Криптовалюты12 622
7 136
Подписчики
-1524 часа
-927 дней
-56430 день
Архив постов
از نگاه احسان
از نگاه احسان
7 136
آسیب‌پذیری جدید سرویس AutoMinify کلودفلیر توی استاندارد ECMAScript 2015 (نسخه 6) جاواسکریپت ما از قابلیت Templace Strings می‌تونیم بهره ببریم که کاراکتر ` بجای کوتیشن مارک‌ها استفاده خواهد شد. بخاطر اینکه رشته‌ها در جاواسکریپت از محدودیت‌های خاصی رنج می‌برن!‍ از اونجایی که در این موقعیت اگر ما از // و امثالهم استفاده کنیم، این استاندارد در هرصورت این کاراکترها رو نادیده می‌گیره و literally برمی‌گردونه، اما مثل اینکه در سرویس Auto Minify کلودفلیر جریان جور دیگری برقراره. بطوری که وقتی این کد: 
var redirect = 'offsec.ir';
var url = `https://somewhere.com/r/${redirect}`;
`;alert('pwned');`;
در وبسایت من استفاده می‌شه و وقتی توسط اون سرویس خاص کلودفلیر قراره Minifty بشه محتویات بعد از // به کامنت تبدیل می‌شه و از آخر که Minify شد، به من بازدیدکننده اینو تحویل می‌ده: 
var redirect ='offsec.ir';var url=`https:`;alert('pwned');
گفته شده این تکنیک در مورد محتویاتی که بین /* و */ قرار می‌گیرن هم کار می‌کنه. @offsecmag https://blog.jli.host/posts/cf-auto-minify

از نگاه احسان
از نگاه احسان
7 136
تشریح آسیب‌پذیری CVE-2017-5489 در WordPress توسط کاشف آسیب‌پذیری در دسترس عموم قرار گرفت. به‌این صورت که برای اکسپلویت کردن این آسیب‌پذیری، مهاجم باید حداقل دسترسی کاربری وردپرس برای آپلود فایل رو داشته باشه. به‌طور خلاصه، اول مهاجم یه فایل SWF بر روی سایت آپلود میکنه، سپس به کمک اون فایل، اقدام به خوندن CSRF Token و سپس اضافه کردن مدیر جدید میکنه. توضیحات تکمیلی + فیلم : @digmemore https://ahussam.me/Leaking-WordPress-CSRF-Tokens

از نگاه احسان
از نگاه احسان
7 136
🤔 مطلبی در مورد #bad_usb من به دنبال روشی بودم که فلش خودمو که ظاهر طبیعی داره رو تبدیل به bad usb بکنم اما موفق نشدم و فهمیدم اون پیلود فقط روی یک سری از usb ها جواب میده و هیچکدوم از مدل هارو توی بازار ایران پیدا نکردم. با سرچ توی یوتیوب فهمیدم گروه hak5 داره usb rubber ducky رو میفروشه و به این فکر افتادم که خودم یه دونه بسازم. برای ساخت bad usb از برد arduino pro micro و یک تبدیل microusb به usb استفاده کردم. بعدشم یه سری سایتا هستن که DuckyScript رو تبدیل به کد Arduino می کنند مثل این: http://roothaxor.gitlab.io/ducky2arduino/ برای نمونه ای که من ساختم ویدیو های‌ Seytonic توی یوتیوب رو ببینید اسکریپت reverse shell برای usb rubber ducky http://seytonic.com/2016/11/20/usb-rubber-ducky-reverse-shell/ علاوه بر Arduino pro micro با استفاده از ‌DigiSpark هم می تونید یک bad usb بسازید که ارزون تره اما محدودیت زیاد داره: https://www.youtube.com/watch?v=fGmGBa-4cYQ

از نگاه احسان
از نگاه احسان
7 136
اگر توی برنامه نویسی وب (جاوا اسکریپت) از innerHTML زیاد استفاده می کنید باید حواستون رو جمع بکنید. چون innerHTML کد هارو یکمی دستکاری میکنه و هکر هم می تونه از این دستکاری ها به نفع خودش توی حملات XSS استفاده بکنه. توضیحات بیشتر رو راجع به حملات mXSS# یا Mutation XSS رو توی این کنفرانس گروه #OWASP مشاهده کنید ⁣https://www.youtube.com/watch?v=Haum9UpIQzU

از نگاه احسان
از نگاه احسان
7 136
یه بنده خدایی از مدیران ویکی‌پدیا دیروز به مدت ۷ دقیقه جاواسکریپت ویکی‌پدیای فارسی رو دستکاری کرده‌ بود تا از کامپیوتر بازدید
یه بنده خدایی از مدیران ویکی‌پدیا دیروز به مدت ۷ دقیقه جاواسکریپت ویکی‌پدیای فارسی رو دستکاری کرده‌ بود تا از کامپیوتر بازدیدکننده‌ها استفاده کنه برای کریپتوکارنسی ماینینگ. @offsecmag

از نگاه احسان
از نگاه احسان
7 136
#ctf #url_filter

از نگاه احسان
از نگاه احسان
7 136
URL filter bypassing by dynamic type binding @digmemore vrgl.ir/jVbay

از نگاه احسان
از نگاه احسان
7 136
وب سرویس های #restful این روزا طرفدار زیادی دارند. توی این مقاله چگونگی #fuzzing این وب سرویس هارو یاد بگیرید.

از نگاه احسان
از نگاه احسان
7 136

از نگاه احسان
از نگاه احسان
7 136
⁠اگر به تست نفوذ اندروید علاقه دارید ، مقاله پیش رو یکی از مقالات خوب با زبانی روان هست که تکنیک های مخلتف تست نفوذ روی برنامه های اندرویدی رو بررسی میکنه. ⁣😭 نویسنده هم اعتقادی گذاشتن عکس نداره و داکیومنت رو فقط به شکل متن خام نوشته -_- #android @PentesterSchool

از نگاه احسان
از نگاه احسان
7 136
⁣🖥 ⁣استخراج Shellcode از یک بدافزار Fileless ⁣https://goo.gl/rFEqws #shellcode #malware

از نگاه احسان
از نگاه احسان
7 136
⁣🤓 ⁣⁣اسکن بلوتوث با BTScanner در کالی لینوکس ⁣https://goo.gl/ER5fR4 #bluetooth #kali

از نگاه احسان
از نگاه احسان
7 136
اه، کالی لینوکس هم شعار داشت و ما خبر نداشتیم. #طنز #kali @PentesterSchool
اه، کالی لینوکس هم شعار داشت و ما خبر نداشتیم. #طنز #kali @PentesterSchool

از نگاه احسان
از نگاه احسان
7 136
⁣😎 بیش ازاین وقتتان را تلف نکنید و بیشتر درباره هکینگ یاد بگیرید ! ⁣https://goo.gl/yDQsQE #misc

از نگاه احسان
از نگاه احسان
7 136
🤓 گروه تخصصی تست نفوذ ، ۲۰۰ نفره شد. نمی خواید که به جمع ما بپیوندید؟ درخواست عضویت 👇👇 https://goo.gl/forms/imt7Kjna2jT5j0
🤓 گروه تخصصی تست نفوذ ، ۲۰۰ نفره شد. نمی خواید که به جمع ما بپیوندید؟ درخواست عضویت 👇👇 https://goo.gl/forms/imt7Kjna2jT5j08t2

از نگاه احسان
از نگاه احسان
7 136
⁣⁣🎧 قسمت دوم - داستان حملات SQL Injection #voice #web_security

از نگاه احسان
از نگاه احسان
7 136
یه بنده خدا رفته توی ردیت پست کرده که Siacoin خریده و نمیتونه وارد کیف پولش بشه و seed اشو پست کرده چون مطمئنه غلطه ! یه برنامه نویس بیکارم نشسته غلطو با استفاده از سورس گیت هاب پیدا و فیکس کرده و 2000 یورو تو والت بنده خدارو هک کرده 😁 (البته داستان جالب تر ایناست .. خودتون بخونیدش .. ) توضیحات بیشتر: https://goo.gl/DLcL1T #siacoin @PentesterSchool

از نگاه احسان
از نگاه احسان
7 136
بزرگترین حمله DDOS تاریخ به Github با حجم ۱.۳۵ TB انجام شد! #news @pentesterschool
بزرگترین حمله DDOS تاریخ به Github با حجم ۱.۳۵ TB انجام شد! #news @pentesterschool

از نگاه احسان
از نگاه احسان
7 136
حمله هکر های ایرانی و چینی به چند دانشگاه استرالیایی را در گزارش جدید ZDnet بخوانید ! https://goo.gl/cxc7wq #news @PentesterSchool

از نگاه احسان
از نگاه احسان
7 136
دوستان عزیزی که تا هم اکنون فرم رو پر کرده بودند بررسی و افرادی که تایید شدند به گروه اضافه شدند. برخی از دوستان هم تایید شدن اما مشخصات تماسی که ارسال کرده بودن اشتباه بود و ما نتونستیم اون هارو به گروه اضافه کنیم.