کانال بایت امن

#Note تو چند پست اخیر خواستم این مطلب رو برسونم که مدل‌های زبانی جدید فقط برای توضیح کد استفاده نمی‌شوند. با اتصال ابزارهایی مثل Decompiler، Disassembler و Scriptها می‌توانند در یک Workflow تحلیلی قرار بگیرند و به بازسازی نرم‌افزار از روی Binary کمک کنند. اما نکته اصلی این نیست که AI جای Reverse Engineer را می‌گیرد. تغییر واقعی این است که یک تحلیلگر می‌تواند با کمک AI حجم زیادی از کارهای تکراری، تحلیل اولیه و مستندسازی را سریع‌تر انجام دهد. آینده Reverse Engineering احتمالا ترکیبی از دانش انسان، ابزارهای تخصصی و Agentهای هوشمند خواهد بود. اگر میخواید پیشرفت کنید تو این موضوع به جای گفتن آی AI جای مارو گرفت خودتون رو ارتقا بدین و در مسیر درست حرکت کنید. کانال بایت امن | گروه بایت امن _

#AI #ReverseEngineering در ادامه موضوع Agentic Reverse Engineering یک پروژه جالب برای ترکیب AI و Reverse Engineering برای AI Agentهاست که به مدل کمک می‌کند در مواجهه با APK، Binary، JavaScript، Malware، Firmware و CTF فقط حدس نزند که باید چه کاری انجام دهد. ابتدا Agent نوع مسئله را تشخیص می‌دهد، سپس به مسیر مناسب هدایت می‌شود و ابزارهایی مثل IDA Pro، Ghidra، radare2، Frida و jadx را در یک Workflow مشخص به کار می‌گیرد. پروژه شامل 45 ماژول برای حوزه‌های مختلف امنیت و Reverse Engineering است. کانال بایت امن | گروه بایت امن _

#LLM #ReverseEngineering استفاده از LLM در Reverse Engineering دیگر فقط به توضیح pseudocode یا پیشنهاد اسم برای Functionها محدود نیست. این ارائه درباره مرحله بعدی این مسیر است یعنی Agentic Reverse Engineering مدل به جای اینکه فقط کنار Analyst نقش یک دستیار را داشته باشد، می‌تواند وارد چرخه تحلیل شود. از disassembler و decompiler اطلاعات بگیرد، Xrefها را بررسی کند، فرضیه بسازد، اسکریپت تولید کند، transformation یا patch انجام دهد و نتیجه را دوباره تحلیل کند. این موضوع مخصوصا در Deobfuscation اهمیت پیدا می‌کند چون Deobfuscation ذاتا یک فرایند iterative است. اما نکته جالب تر ارائه تغییر مقیاس تحلیل است. به جای تحلیل Function به Function، Agent می‌تواند الگوهای Obfuscation را در سطح Call Graph و حتی کل Binary پیدا کند و transformationهای به دست آمده را در مقیاس بزرگ اعمال کند. اگر Reverse Engineering به سمت Agentic شدن حرکت کند، Obfuscation آینده باید چطور طراحی شود که در برابر Agent ها هم مقاوم باشد؟ اینجاست که بحث Anti-Agentic Obfuscation مطرح می‌شود. ( موش و گربه ) کانال بایت امن | گروه بایت امن _

#EDR واقعا EDR چطور متوجه رفتار مشکوک یک Process در ویندوز می‌شود؟ این مقاله به جای توضیحات تئوری، برای پاسخ به این سوال یک EDR آزمایشی را تقریبا از صفر می‌سازد. نویسنده از معماری Windows و تفاوت User Mode و Kernel Mode شروع می‌کند، به System Call، SSDT و PatchGuard می‌رسد و بعد وارد یکی از بخش‌های مهم EDRها یعنی Kernel Callbackها می‌شود. در نهایت یک EDR کوچک با سه جزء می‌سازد: • یک Kernel Driver برای دریافت رویدادهای ایجاد Process • یک Static Analyzer برای بررسی باینری‌ها • یک Agent برای مانیتور کردن رفتار Processها در User Mode بخش جالب‌تر، ترکیب Static و Dynamic Detection است. مثلا باینری از نظر Signature، Importهای مشکوک و برخی نشانه‌های دیگر بررسی می‌شود و در زمان اجرا نیز رفتارهایی مثل ایجاد حافظه RWX تحت نظر قرار می‌گیرند. در دموی نهایی، EDR ساخته شده تلاش برای Shellcode Injection را شناسایی کرده و Process را متوقف می‌کند. ارزش اصلی مقاله این است که EDR را از یک Black Box خارج می‌کند و قدم به قدم نشان می‌دهد Kernel Driver، Cal کانال بایت امن | گروه بایت امن _

#EDR واقعا EDR چطور متوجه رفتار مشکوک یک Process در ویندوز می‌شود؟ این مقاله به جای توضیحات تئوری، برای پاسخ به این سوال یک EDR آزمایشی را تقریبا از صفر می‌سازد. نویسنده از معماری Windows و تفاوت User Mode و Kernel Mode شروع می‌کند، به System Call، SSDT و PatchGuard می‌رسد و بعد وارد یکی از بخش‌های مهم EDRها یعنی Kernel Callbackها می‌شود. در نهایت یک EDR کوچک با سه جزء می‌سازد: • یک Kernel Driver برای دریافت رویدادهای ایجاد Process • یک Static Analyzer برای بررسی باینری‌ها • یک Agent برای مانیتور کردن رفتار Processها در User Mode بخش جالب‌تر، ترکیب Static و Dynamic Detection است. مثلا باینری از نظر Signature، Importهای مشکوک و برخی نشانه‌های دیگر بررسی می‌شود و در زمان اجرا نیز رفتارهایی مثل ایجاد حافظه RWX تحت نظر قرار می‌گیرند. در دموی نهایی، EDR ساخته شده تلاش برای Shellcode Injection را شناسایی کرده و Process را متوقف می‌کند. ارزش اصلی مقاله این است که EDR را از یک Black Box خارج می‌کند و قدم به قدم نشان می‌دهد Kernel Driver، Cal کانال بایت امن | گروه بایت امن _

#EDR واقعا EDR چطور متوجه رفتار مشکوک یک Process در ویندوز می‌شود؟ این مقاله به جای توضیحات تئوری، برای پاسخ به این سوال یک EDR آزمایشی را تقریبا از صفر می‌سازد. نویسنده از معماری Windows و تفاوت User Mode و Kernel Mode شروع می‌کند، به System Call، SSDT و PatchGuard می‌رسد و بعد وارد یکی از بخش‌های مهم EDRها یعنی Kernel Callbackها می‌شود. در نهایت یک EDR کوچک با سه جزء می‌سازد: • یک Kernel Driver برای دریافت رویدادهای ایجاد Process • یک Static Analyzer برای بررسی باینری‌ها • یک Agent برای مانیتور کردن رفتار Processها در User Mode بخش جالب‌تر، ترکیب Static و Dynamic Detection است. مثلا باینری از نظر Signature، Importهای مشکوک و برخی نشانه‌های دیگر بررسی می‌شود و در زمان اجرا نیز رفتارهایی مثل ایجاد حافظه RWX تحت نظر قرار می‌گیرند. در دموی نهایی، EDR ساخته شده تلاش برای Shellcode Injection را شناسایی کرده و Process را متوقف می‌کند. این پروژه قرار نیست جای CrowdStrike یا Defender را بگیرد 😂 ارزش اصلی مقاله این است که EDR را از یک Black Box خارج می‌کند و قدم به قدم نشان می‌دهد Kernel Driver، Cal

💠معرفی دوره های آموزشی آکادمی DWORD برای مدت محدود، تمامی دوره‌های آکادمی DWORD با 25٪ تخفیف ویژه ارائه می‌شوند و شرایط پرداخت اقساطی نیز در نظر گرفته شده است. 📊دوره آموزشی برنامه نویسی تهاجمی تیم قرمز |سطح متوسط - پیشرفته 📑 خرید نقدی : 11,250,000 | خرید اقساط 15.000.000 🔗لینک توضیحات و خرید دوره | دیدن ویدیو های دوره 🖥دوره آموزش برنامه نویسی سیستمی ویندوز | سطح متوسط - پیشرفته 📑 خرید نقدی : 6.000.000 | خرید اقساط 8.000.000 🔗لینک توضیحات و خرید دوره | دیدن ویدیو های دوره 📊دوره آموزش مهندسی معکوس نرم افزار | مقدماتی - متوسط 📑 خرید نقدی : 6.000.000 | خرید اقساط 8.000.000 🔗لینک توضیحات و خرید دوره | دیدن ویدیو های دوره 🖥دوره آموزش زبان برنامه نویسی C و ++C ویندوز و لینوکس | سطح مقدماتی - متوسط 📑 خرید نقدی : 4.500.000 | خرید اقساط 6.000.000 🔗لینک توضیحات و خرید دوره | دیدن ویدیو های دوره 📊دوره آموزش زبان برنامه نویسی اسمبلی ویندوز و لینوکس | مقدماتی - متوسط 📑 خرید نقدی : 3.750.000 | خرید اقساط 5.000.000 🔗لینک توضیحات و خرید دوره | دیدن ویدیو های دوره تمامی دوره‌ها شامل: ⬅️مدرک پایان دوره ⬅️ گروه پشتیبانی اختصاصی ⬅️ دریافت بروزرسانی‌های دوره ⬅️ سناریوها، تمرین‌ها و چالش‌های عملی ⬅️ راهنمایی مستقیم دانشجو توسط مدرس 🌐 ارتباط با مدرس دوره ها | @YMahmoudnia 🦅 کانال بایت امن | گروه بایت امن _

با وجود پیشرفت ابزارهای امنیتی و EDR ها در سال های اخیر، DLL Hijacking همچنان یکی از تکنیک های پرکاربرد در حملات ویندوزی محسوب می شود. در این مطلب، نویسنده به بررسی این تکنیک، نحوه سوء استفاده از فرآیند بارگذاری DLL ها و دلایلی می پردازد که باعث شده DLL Hijacking همچنان برای اجرای کد، ماندگاری و افزایش سطح دسترسی مورد توجه مهاجمان قرار بگیرد. تقریبا تمامی روش ها در این مقاله پوشش داده شده. 🦅 کانال بایت امن | گروه بایت امن _

#AI #EDR پروژه Project Onyx یک پروژه تحقیقاتی Red Team است که به جای استفاده از روش های سنتی مخفی سازی فایل و کد، روی پنهان کردن رفتار و اجرای چند لایه تمرکز دارد. در این معماری چند تکنیک مختلف با هم ترکیب شده اند از جمله جعل تله متری مبتنی بر هوش مصنوعی، وابسته کردن اجرا به سخت افزار هدف، مخفی سازی داده ها داخل مدل های ONNX، اجرای کد در محیط WebAssembly و استفاده از به روزرسانی مدل ها برای ارتباط با سرور کنترل. نویسنده تاکید می کند که این پروژه یک بای پس عملی برای EDR های تجاری نیست و بیشتر به عنوان یک نمونه تحقیقاتی و نقطه شروع برای بررسی ایده های جدید در حوزه EDR Evasion طراحی شده است. همچنین Payload نهایی عمدا بسیار محدود است و فقط یک Beacon ساده ارسال می کند تا بتوان کل زنجیره اجرا را بدون انجام فعالیت های مخرب یا Post Exploitation بررسی کرد. 🦅 کانال بایت امن | گروه بایت امن _

مهندسی معکوس یک Rootkit امضاشده توسط مایکروسافت، درایور Netfilter اخیرا به مقاله‌ای برخوردم که یکی از اتفاقات جالب دنیای امنیت ویندوز را بررسی می‌کند و اون ماجرای درایور مخربی به نام Netfilter که در سال ۲۰۲۱ توانست با امضای معتبر مایکروسافت منتشر شود. نویسنده مقاله در حین بررسی روش‌های دور زدن Driver Signing Enforcement (DSE) سراغ این نمونه رفته و نشان می‌دهد مهاجمان چگونه توانستند از فرآیند امضای درایورها عبور کنند و یک Rootkit را با ظاهری کاملا معتبر روی سیستم‌های ویندوز اجرا کنند. برخی از موضوعات مطرح‌شده در این تحلیل: 🔹 نحوه عملکرد درایور Netfilter 🔹 فرآیند امضای درایورها در ویندوز 🔹 تکنیک‌های مورد استفاده در Rootkitهای سطح Kernel 🔹 دلایل موفقیت این نمونه در دریافت امضای معتبر 🔹 تغییراتی که مایکروسافت پس از این حادثه در فرآیند تأیید و امضای درایورها اعمال کرد 🦅 کانال بایت امن | گروه بایت امن _

#Security #IncidentResponse سناریو : در این تحلیل، یک سناریوی واقعی از کشف و بررسی بدافزار ValleyRAT در یک شبکه سازمانی صنعتی مورد بررسی قرار گرفته است. ماجرا از جایی آغاز شد که یک هشدار در کنسول Endpoint Detection ثبت شد. یک ورک‌استیشن ویندوزی در شبکه تولید، تغییر مشکوکی را در کلیدهای استاندارد Run رجیستری نشان می‌داد. این سناریو مربوط به یک تیم Incident Response است که پس از هشدار EDR و تایید SIEM مبنی بر تغییر مشکوک در کلیدهای Startup رجیستری، وارد فاز تحلیل عمیق بدافزار می‌شود. هدف اصلی، درک کامل رفتار ValleyRAT، شناسایی قابلیت‌های مخرب آن و استخراج زیرساخت فرماندهی و کنترل (C2) برای اقدامات دفاعی بعدی است. 🔹 بررسی مکانیزم‌های ماندگاری (Persistence) در سیستم و نحوه تثبیت بدافزار 🔹 تحلیل تغییرات مشکوک در Run Key رجیستری و ارتباط آن با اجرای خودکار 🔹 استخراج و رمزگشایی Payloadهای رمزگذاری‌شده درون فایل 🔹 بررسی نحوه اجرای Shellcode و تزریق آن در حافظه 🔹 تحلیل تکنیک‌های دور زدن مکانیزم‌های امنیتی و کاهش احتمال شناسایی 🔹 استخراج تنظیمات داخلی، ساختار ارتباطی و آدرس‌های سرورهای C2 🦅 کانال بایت امن | گروه بایت امن _

🚀 دوره‌ی Foundations of Linux Reverse Engineering and Exploitation به صورت کامل منتشر شد! دوستان سلام؛ تمام محتوای دوره شامل اسلایدها، نمونه‌کدها و مطالب آموزشی، اکنون به‌صورت کامل در گیت‌هاب قرار گرفته است. این دوره برای آشنایی عمیق با Internal لینوکس، مهندسی معکوس باینری‌ها، آسیب‌پذیری‌ها و تکنیک‌های عملی اکسپلویت طراحی شده است. 📚 در این دوره یاد می‌گیرید: - درک ساختار داخلی Linux، حافظه، ELF و system callها - مهندسی معکوس باینری‌های لینوکس با ابزارهای مختلف - تحلیل آسیب‌پذیری‌های رایج - نوشتن و تست اکسپلویت - حل چالش‌های واقعی CTF و ساخت Proof of Concept 🔎 سرفصل‌ها شامل: - Linux Internals Overview - Exploitation Fundamentals - Security Mechanisms and Exploitation Tools - Solving Narnia Challenges - Basic x64 Exploitation - ROP Basics - ELF Details, GOT, PLT - Advanced ROP - CVE-2021-4034 💻 مخزن دوره: https://github.com/akazemi67/Linux-Exploit-Development-Course اگر به Linux Exploitation، Reverse Engineering، CTF و امنیت سطح پایین علاقه دارید، این دوره می‌تواند یک مسیر آموزشی کامل و کاربردی برای شما باشد. نظرات و بازخوردهای شما باعث بهتر شدن ادامه‌ی مسیر خواهد شد 🙌 #linux #exploitdev #ReverseEngineering #Exploitation #CTF #CyberSecurity #Pwntools #ROP #ELF #GDB #Ghidra

تو آپدیت های دوره برنامه نویسی تهاجمی و مهندسی معکوس برای این موضوع در زمینه ابزار نویسی و تحلیل استاتیک حتما اپدیت خواهم داد.

آیا برنامه نویسی مرده است ؟ از وقتی هوش مصنوعی خیلی بلد شد، از اون طرف هم بحث‌های برنامه‌نویسی تموم شد داغ شد (البته احتمالا هر صنفی این حرف‌ها رو درباره حوزه خودش شنیده.) جالب اینجاست که بعضی دوستان، وابستگان و حتی اساتید حوزه هوش طبیعی 😅، برداشت‌ها و تحلیل‌های شخصی خودشون رو به‌عنوان واقعیت مطرح می‌کنن. این ویدیو رو ببینید، خلاصه همون چیزیه که حدود دو ساله مدام به دانشجوهام می‌گم و توضیح می‌دم. خوشحال شدم که بالاخره یک نفر خیلی خوب و شفاف بیانش کرده. عزیزان، جلوی تکنولوژی مقاومت نکنید، ازش استفاده کنید. منظورم هم صرفا پرامپت‌نویسی نیست. بعد از دیدن ویدیو متوجه می‌شید دقیقاً منظورم چیه. 🦅 کانال بایت امن | گروه بایت امن _

و اما چالش، بله، اکثریت گزینه‌ی درست را انتخاب کردند و پاسخ Stack است. در Virtual Memory و Heap نیاز به آزاد سازی حافظه دارید. در Virtual Memory با استفاده از VirtualFree یا VirtualFreeEx در Heap اگر Allocate شده باشه HeapFree اگر Private Heap باشه HeapDestroy 🦅 کانال بایت امن | گروه بایت امن _

بریم برای جواب چالش ها : امروز داشتم ویدیو جدید بچه های آفنسیو رو رکورد میکردم که در رابطه با مفاهیم و اینترنال Heap بود برای همین سئوالات رو مطرح کردم و البته نتیجه برام مشخص بود چون معمولا مفاهیم Virtual Memory - Heap و Stack تا حدودی نیاز به مطالعه بیشتری داره : جواب سئوال اول : Heap در Heap به سمت آدرس های بالا رشد میکنه و Stack به سمت آدرس های پایین. جواب سئوال دوم : Heap به این دلیل که شما وقتی با HeapAlloc درخواست فضا میکنید Heap Manager به دنبال فضای خالی بین Heap Block ها میگرده و ممکنه فضاهای درخواست شده پشت سر هم و دنباله دار نباشند بنابر این External Fragmentation به وجود میاد و اگر فضای خالی وجود نداشته باشه پای Page به وسط میاد. 🦅 کانال بایت امن | گروه بایت امن _ جواب سئوال سوم : HeapAlloc به این دلیل که HeapAlloc به صورت پیشفرض به دنبال Heap Block در Heap Segment میگرده تا فضا مورد نیاز رو در اختیار شما قرار بده یعنی 32 بایت درخواست میکنید نهایت 40 بایت به شما اختصاص میده ولی همینکار با VirtualAlloc تا زیر 4KB همون 4KB رو ایجاد میکنه ( به اندازه یک Page ) و سربار زیادی به وجود میاد.

بچه ها گزینه HealAlloc منظورم HeapAlloc بوده اشتباه تایپ کردم