Відкрити в Telegram
1 219
Підписники
Немає даних24 години
-27 днів
+1030 днів
Завантажуємо дані
Схожі канали
Немає даних
Виникли проблеми? Будь ласка, оновіть сторінку або зверніться до нашого support-менеджера.
Хмара тегів
Вхідні та вихідні згадування
---
---
---
---
---
---
Залучення підписників
жовтень '26жовт '26
жовтень '26
+253
в 2 каналах
вересень '260
в 3 каналах
Get PRO
серпень '260
в 2 каналах
Get PRO
липень '260
в 0 каналах
Get PRO
червень '260
в 6 каналах
Get PRO
травень '26
+3
в 4 каналах
Get PRO
квітень '26
+10
в 0 каналах
Get PRO
березень '26
+6
в 0 каналах
Get PRO
лютий '26
+186
в 7 каналах
Get PRO
січень '26
+14
в 0 каналах
Get PRO
грудень '25
+103
в 3 каналах
Get PRO
листопад '25
+58
в 3 каналах
Get PRO
жовтень '25
+110
в 6 каналах
Get PRO
вересень '25
+124
в 12 каналах
Get PRO
серпень '25
+117
в 2 каналах
Get PRO
липень '25
+165
в 2 каналах
Get PRO
червень '250
в 1 каналах
Get PRO
травень '25
+187
в 3 каналах
| Дата | Залучення підписників | Згадування | Канали | |
| 24 жовтня | +1 | |||
| 23 жовтня | +2 | |||
| 22 жовтня | +3 | |||
| 21 жовтня | +1 | |||
| 20 жовтня | +1 | |||
| 19 жовтня | 0 | |||
| 18 жовтня | 0 | |||
| 17 жовтня | +2 | |||
| 16 жовтня | +4 | |||
| 15 жовтня | +1 | |||
| 14 жовтня | 0 | |||
| 13 жовтня | +7 |
Дописи каналу
اPass the Hash هنوز هم بعد از این همه سال کار میکنه.
چرا؟ چون بخشی از معماری احراز هویت ویندوز هست و کامل پچ نمیشه.
به جای کرک کردن پسورد، مستقیم با NTLM Hash احراز هویت میکنی.
ادامه رشته توییت
https://x.com/KavehxNet/status/2110953930486083996
| 2 |  📚 مجموعه کتابهای کاربردی در دنیای امنیت
مهارت واقعی با خواندن شروع میشود، اما با تمرین و تجربه ساخته میشود؛ کتابی را انتخاب کن که قدم بعدی تو در مسیر حرفه‌ای شدن باشد.
📖 کتابچه "Mimikatz: تسلط عملی بر تکنیک‌های پیشرفته حملات Active Directory" از مقدماتی تا پیشرفته.
📕 جزئیات بیشتر کتاب
💰 قیمت : ۲۵۰ تومان
📖 وایرشارک برای ردتیمرها: از پایه تا پیشرفته
📕 جزئیات بیشتر کتاب
💰 قیمت : ۲۵۰ تومان
📖 شکار عملی باگ بانتی : از Recon تا Bounty واقعی : متدولوژی و شناسایی و آسیب پذیری های دنیای واقعی
📕 جزئیات بیشتر کتاب
💰 قیمت : ۳۶۰ تومان
📖 کتابچه Kerberos For Pentesters
📕 جزئیات بیشتر کتاب
💰 قیمت : ۲۶۹ تومان
ممکنه در آینده قیمت کتاب ها تغییر کنه و افزایش داشته باشه بنابراین اگر قصد خرید دارید، قیمت فعلی فرصت خوبی برای تهیه کتاب هاست.
📌 جهت خرید به ایدی زیر پیام دهید:
@THBxSupport | 171 |
| 3 | 📚 مجموعه کتابهای کاربردی در دنیای امنیت
مهارت واقعی با خواندن شروع میشود، اما با تمرین و تجربه ساخته میشود؛ کتابی را انتخاب کن که قدم بعدی تو در مسیر حرفه‌ای شدن باشد.
📖 کتابچه "Mimikatz: تسلط عملی بر تکنیک‌های پیشرفته حملات Active Directory" از مقدماتی تا پیشرفته.
📕 جزئیات بیشتر کتاب
💰 قیمت : ۲۵۰ تومان
📖 وایرشارک برای ردتیمرها: از پایه تا پیشرفته
📕 جزئیات بیشتر کتاب
💰 قیمت : ۲۵۰ تومان
📖 شکار عملی باگ بانتی : از Recon تا Bounty واقعی : متدولوژی و شناسایی و آسیب پذیری های دنیای واقعی
📕 جزئیات بیشتر کتاب
💰 قیمت : ۳۶۰ تومان
📖 کتابچه Kerberos For Pentesters
📕 جزئیات بیشتر کتاب
💰 قیمت : ۲۶۹ تومان
ممکنه در آینده قیمت کتاب ها تغییر کنه و افزایش داشته باشه بنابراین اگر قصد خرید دارید، قیمت فعلی فرصت خوبی برای تهیه کتاب هاست.
📌 جهت خرید به ایدی زیر پیام دهید:
@THBxSupport | 187 |
| 4 | در Active Directory، همه Service Accountها ارزش یکسانی برای مهاجم ندارند.
فرض کن در یک Internal Pentest به چند Service Account دسترسی پیدا کردی.
اینکه صرفاً Password یکی از آنها ضعیف باشد، تمام ماجرا نیست. باید بفهمی آن Account کجا استفاده میشود و چه دسترسی هایی دارد.
برای بررسی، چند سؤال مهم وجود دارد:
🔹 چه SPNهایی به این Account اختصاص داده شده؟
🔹 آیا برای چند سرویس مختلف استفاده میشود؟
🔹 چه Privilegeهایی دارد؟
🔹 آیا روی سرورها دسترسی Local Administrator دارد؟
🔹 آیا Password آن قدیمی است یا در چند سرویس استفاده شده؟
🔹 آیا امکان جایگزینی آن با gMSA وجود دارد؟
حالا یک سناریو را در نظر بگیر.
یک Service Account برای اجرای یک سرویس قدیمی استفاده میشود. Password آن مدت‌هاست تغییر نکرده و همان Account روی چند سیستم دسترسی دارد.
اگر مهاجم بتواند Credential این Account را به دست بیاورد، میزان دسترسی ای که از آن استفاده میکند به Permissionها و محل استفاده از Account بستگی دارد.
اینجاست که بررسی Service Account اهمیت پیدا میکند.
در Kerberoasting، مهاجم میتواند برای SPNهای ثبت‌شده درخواست TGS بفرستد و Material مربوط به Ticket را به صورت Offline برای حدس زدن Password بررسی کند.
اما موفقیت این مرحله به‌تنهایی به معنی دسترسی به کل Domain نیست.
اگر Password حساب قوی باشد، دسترسی های آن محدود باشند و از Credentialها به‌درستی نگهداری شود، مسیر حمله میتواند همانجا متوقف شود.
از سمت دفاع، چند اقدام مشخص اهمیت دارند:
▪️ استفاده از Passwordهای طولانی و تصادفی
▪️ استفاده از gMSA در سرویس های سازگار
▪️ حذف SPNهای غیرضروری
▪️ محدود کردن Privilegeهای Service Account
▪️ بررسی Password Reuse و دسترسی های غیرضروری
▪️ مانیتور درخواست های غیرعادی TGS و تغییرات SPN
در Active Directory، اسم یک Account به تنهایی چیزی درباره میزان ریسک آن نمیگوید.
باید بفهمی آن Account چه چیزی را اجرا میکند، به کجا دسترسی دارد و اگر Credential آن افشا شود، مهاجم از چه مسیری میتواند ادامه بدهد.
این دقیقاً بخشی از تحلیل Attack Path در یک Internal Pentest واقعی است.
به نظر شما در تحلیل ریسک Service Accountها، کدام مورد خطرناک‌تر است: Password ضعیف، دسترسی های بیش‌ازحد (Excessive Privileges) یا استفاده از یک Account در چند سرویس و سرور؟ چرا؟
@KavehOffSec
#ActiveDirectory #RedTeam #CyberSecurity | 1 705 |
| 5 | پاک کردن تاریخچه مرورگر، تاریخچه‌ای که گوگل نگه داشته را پاک نمیکند گوگل یک کپی جداگانه به حساب شما وصل کرده و نگه می‌دارد این کپی در صفحه‌ای است که اکثر مردم حتی یک‌بار هم بازش نکرده‌اند.
برای پاک کردن کاملش :
https://x.com/KavehxNet/status/2108763797020156052 | 1 583 |
| 6 | کشورهای آسیای مرکزی به خاطر یک مورد مشکوک در آزمایشگاه طاعون روسیه،مرزهاشون رو بستن.
ایران هنوز هیچ اقدامی نکرده ، سلامت مردم نباید قربانی روابط سیاسی بشه. حداقل کنترل بهداشتی مسافران و مسیرهای مرتبط با روسیه رو جدی بگیرین.
#طاعون_روسی #سلامت_عمومی #پیشگیری
https://x.com/KavehxNet/status/2107231004100583598 | 602 |
| 7 | یکی از چیزایی که هنوز خیلیها اشتباه میفهمن Lateral Movement هست.
یعنی بعد از دسترسی اولیه، چطور بدون اومدن دوباره از بیرون، داخل شبکه حرکت کنی و به ماشینهای دیگه برسی.
پست کامل در لینک زیر :
https://x.com/KavehxNet/status/2106769316464959807
#Red_Team #RedTeam | 2 355 |
| 8 | در Golden Ticket، یکی از چیزهایی که برای Hunting باید بهش دقت کنی، رابطه بین TGT و TGS است.
در حالت عادی:
اول Client یک TGT میگیرد.
بعد با استفاده از آن TGT برای Service موردنظر TGS درخواست میکند.
پس روی Domain Controller معمولاً میتوانی ارتباطی بین:
4768 → TGT Request
و
4769 → TGS Request
ببینی ، حالا یک سناریو را تصور کن:
برای یک Account، Event 4769 داری.
اما Event 4768 متناسب با آن پیدا نمیکنی.
این میتواند یک Signal مهم باشد.
مخصوصاً اگر همزمان ببینی:
لAccount Privileged است.
اSource سیستم معمولی نیست.
اAccount وضعیت عادی ندارد یا حتی دیگر وجود ندارد.
یک Identity برای تعداد زیادی Service درخواست میدهد.
یا الگوی Kerberos در آن سیستم با رفتار معمولش فرق دارد.
اینجا احتمال Ticket Forgery جدی تر میشود.
اما یک نکته مهم:
نبودن 4768 به معنی Golden Ticket قطعی نیست.
ممکن است TGT از قبل Cache شده باشد.
ممکن است Logها کامل نباشند.
اVPN، NAT و Cross-Domain Referral هم میتوانند Correlation را پیچیده کنند.
پس Hunting درست این نیست که بگویی:
4769 بدون 4768 = Golden Ticket
بلکه باید بگید:
4769 بدون 4768 + رفتار غیرعادی + Identity مشکوک + دسترسی Privileged
حالا ارزش بررسی دارد.
در Detection، هیچ Eventی را جدا از Context خودش نبین.
اGolden Ticket دقیقاً جایی خطرناک میشود که یک Ticket جعلی بتواند در بین Authenticationهای کاملاً legitimate گم شود.
@KavehOffSec
#Red_Team #RedTeam | 1 809 |
| 9 | ویندوز و مک بدون اجازه ت کلی داده ازت جمع میکنن
لینوکس این کار رو نمیکنه (یا حداقل کنترلش دست خودته)
فرق اصلیشون رو ساده و کاربردی میگم:
https://x.com/KavehxNet/status/2105180790027956224
اگر به این جور موضوعات علاقه دارین
توییت های بیشتری درباره حریم خصوصی نظارت و امنیت دیجیتال میذارم | 2 673 |
| 10 | 06:: PORTS 25/465/587
اSMTP برای ارسال و انتقال ایمیل استفاده میشود
ادامه در :
https://x.com/KavehxNet/status/2104984100004098326 | 970 |
| 11 | یکی از چیزهایی که در Active Directory باید جدی بگیری DCSync است ، چون اینجا مهاجم لزوماً نمیرود سراغ NTDS.dit. به جایش از مکانیزم Replication خود Active Directory استفاده میکند.
مهاجم باید دسترسی های خاص Replication را داشته باشد.
مثل:
DS-Replication-Get-Changes
و
DS-Replication-Get-Changes-All
بعد میتواند با استفاده از MS-DRSR درخواست Replication بفرستد و Credential Material را دریافت کند.
اینجاست که ماجرا جدی میشود.
چون اطلاعاتی که ممکن است در این فرآیند به دست بیاید شامل:
NTLM Hash
Kerberos Keys
Credentialهای Privileged Accountها
و حتی Key مربوط به KRBTGT
است اما از دید Detection، دنبال چه چیزی میگردیم؟
یکی از Eventهای مهم:
4662
اگر روی Domain Controller، این Event همراه با:
AccessMask = 0x100
و GUIDهای مربوط به Replication Rights دیده شود، باید بررسی شود که چه Accountای این دسترسی را استفاده کرده.
بعد سؤالهای مهم شروع میشوند:
این Account چه کسی است؟
از چه سیستمی آمده؟
آیا Source یک Domain Controller است؟
آیا این Account واقعاً باید Replication انجام دهد؟
آیا اخیراً Replication Permission گرفته؟
و آیا قبل از آن تغییری در ACLهای Active Directory اتفاق افتاده؟
مثلاً اگر یک User معمولی یا یک سیستم غیر-DC درخواست‌های DRSUAPI داشته باشد، در حالی که در محیط شما چنین رفتاری برای آن Account تعریف نشده، این دیگر یک Event ساده نیست.
باید آن را در کنار:
4662
4624
ACL Changes
Source IP
Replication Activity
و Alertهای Identity Security
بررسی کرد.
نکته مهم اینجاست:
4662 به‌تنهایی به معنی DCSync نیست.
محیط های واقعی ممکن است سرویس های Sync، Backup یا Identity Management داشته باشند که به Replication Permission نیاز دارند.
پس Detection درست یعنی:
اول Allowlist رفتارهای legitimate را بشناس.
بعد هر چیزی که خارج از آن رفتار است را بررسی کن.
در یک Attack Path واقعی، DCSync میتواند نقطه‌ای باشد که مهاجم از یک دسترسی محدود عبور میکند و به Credentialهای سطح Domain می‌رسد.
برای همین، فقط اینکه «DCSync را میشناسیم» کافی نیست.
باید بدانیم در Logها چطور پیدایش کنیم.
@KavehOffSec
#Red_Team #RedTeam | 681 |
| 12 | ویندوز از هر عکسی که تا حالا پاک کردی، یه تصویر کوچک (thumbnail) نگه میداره.
این تصاویر داخل فایلی به اسم thumbcache_256.db ذخیره میشن و کارشناسان جرم شناسی دیجیتال مرتب ازشون استفاده میکنن. ۱۵ تا مخزن دیگه هم مثل این وجود داره.
اینجا میگم چطور پیداشون کنی و پاکشون کنی:
https://x.com/KavehxNet/status/2104307645696123143 | 1 200 |
| 13 | 🚨 الان همه اطلاعات حساس و لو رفته تون رو از اینترنت پاک کنید.
۲۰ ساله که پروفایل میسازید، سایت میرید و رد پای دیجیتال به جا میذارید.
همه ش رو تو ۲ دقیقه پاک کنید: ↓↓
https://x.com/KavehxNet/status/2104090338293846369 | 652 |
| 14 | توی Active Directory، دیدن یک Event به تنهایی معمولاً داستان کاملی بهت نمیده ، مثلاً Event ID 4769 را میبینی ، یک TGS Request ثبت شده.
خب؟ آیا یعنی Kerberoasting اتفاق افتاده؟
نه.
باید ببینی چه کسی درخواست را فرستاده، برای چه سرویسی بوده و قبل و بعدش چه اتفاقی افتاده.
مثلاً:
یک User در مدت کوتاه برای تعداد زیادی SPN مختلف TGS میگیرد.
بعد قبل از آن، LDAP Query برای پیدا کردن servicePrincipalName داشته.
بعد روی همان سیستم، Processهای غیرمعمول یا PowerShell اجرا شده.
اینجا دیگر فقط با یک Event طرف نیستی.
چند Artifact مختلف دارند یک رفتار واحد را نشان میدهند.
در Kerberoasting میتوانی این موارد را کنار هم قرار بدهی:
4769
LDAP SPN Enumeration
4688 / Sysmon
PowerShell
Source IP
Requester Account
Service Name / SPN
Ticket Encryption Type
حتی 0x17 یا RC4-HMAC هم به تنهایی اثبات Kerberoasting نیست.
ممکن است سیستم Legacy یا Service Account قدیمی هنوز از RC4 استفاده کند.
پس Hunting واقعی یعنی:
Event → Context → Correlation → Attack Path
نه اینکه فقط دنبال یک Event ID خاص بگردی.
همین مدل فکر کردن در Golden Ticket، Silver Ticket و DCSync هم اهمیت دارد.
چیزی که در AD مهم است فقط این نیست که «چه Eventی ثبت شد».
مهم‌تر این است که:
چه کسی؟
از کجا؟
برای چه چیزی؟
در چه زمانی؟
و بعد از آن چه کاری انجام داده؟
وقتی این قطعات را کنار هم می گذاری، Logها از یک لیست Event تبدیل میشوند به یک Attack Story.
@KavehOffSec | 727 |
| 15 | آبان ... | 593 |
| 16 | پورت 23 Telnet :
کاملاً بدون رمزنگاری. نام کاربری، پسورد و تمام دستورات به صورت متن ساده ارسال میشن ..
https://x.com/KavehxNet/status/2103142796173455650
#ردتیم | 1 238 |
| 17 | وقتی وارد یک Active Directory میشی، خیلی زود با این چهار تا اسم روبه‌رو میشی:
Kerberoasting
Golden Ticket
Silver Ticket
DCSync
ولی مسئله این نیست که اسم این تکنیک‌ها رو بلدی.
مسئله اینه که بفهمی هر کدوم چه چیزی رو هدف میگیره و بعد از موفق شدنش چه اتفاقی میتونه بیفته.
اKerberoasting معمولاً از Service Account شروع میشه.
مهاجم SPNها رو بررسی میکنه، برای سرویس های مرتبط TGS میگیره و بعد Ticket رو برای Password Cracking آفلاین بررسی میکنه.
نکته مهم اینجاست که برای درخواست معمولی Service Ticket، الزاماً به Administrator Privilege نیاز نداری.
یعنی یک Domain User معمولی هم میتونه نقطه شروع این مسیر باشه.
حالا فرض کن Credential یک Service Account به دست اومده.
اینجا تست واقعی تازه جالب میشه.
این Account چه Privilegeهایی داره؟
روی چه سیستم هایی استفاده میشه؟
چند SPN داره؟
آیا Credential روی جای دیگه‌ای هم Reuse شده؟
اگر همین Account بتونه مسیر بعدی Attack رو باز کنه، Kerberoasting دیگه فقط یک Finding جداگانه نیست.
بخشی از یک Attack Chain محسوب میشه.
حالا برسیم به Golden Ticket.
اینجا شرایط کاملاً فرق میکنه.
مهاجم به Key مربوط به KRBTGT دسترسی پیدا کرده و میتونه یک TGT جعلی ایجاد کنه.
یعنی دیگه بحث یک Service Account خاص نیست.
اTicket میتونه برای یک Identity و Privilege مشخص ساخته بشه و بعد برای گرفتن Service Ticketهای مختلف در Domain مورد استفاده قرار بگیره.
اSilver Ticket از این نظر متفاوت تره.
اینجا مهاجم Key مربوط به یک Service یا Computer Account رو داره و برای یک SPN مشخص TGS جعلی می سازه.
مثلاً:
CIFS
HTTP
HOST
MSSQLSvc
در نتیجه Scope حمله بیشتر به Serviceهایی وابسته است که با همون Key محافظت میشن.
و بعد می‌رسیم به DCSync.
اینجا دیگر مسئله ساخت Ticket نیست.
مهاجم از مکانیزم Replication خود Active Directory استفاده میکنه.
اگر یک Identity دسترسی های لازم برای Replication داشته باشه، میتونه Credential Material مربوط به Directory رو از DC دریافت کنه.
این اطلاعات میتونه شامل NTLM Hashها و Kerberos Keyها باشه.
حتی Key مربوط به KRBTGT.
حالا اگر بخوام این چهار مورد رو خیلی ساده توی ذهنم نگه دارم:
Kerberoasting
SPN → TGS → Offline Cracking
Golden Ticket
KRBTGT Key → Forged TGT
Silver Ticket
Service Key → Forged TGS
DCSync
Replication Rights → Credential Material
اما چیزی که در یک تست واقعی برای من مهم تره، خود تکنیک نیست.
اAttack Path مهمه.
ممکنه کار رو با یک Domain User معمولی شروع کنی.
به یک Service Account برسی.
اCredential اون Account رو به دست بیاری.
از اون Credential برای حرکت به یک سیستم دیگه استفاده کنی.
بعد به Identityای برسی که Replication Rights داره.
و از اونجا Credentialهای بیشتری از Domain به دست بیاری.
اینجا دیگه چهار تا Technique جدا از هم نداری.
یک زنجیره حمله داری.
برای همین وقتی Active Directory رو تست میکنی، فقط نپرس:
«آیا Kerberoasting ممکنه؟»
یا:
«آیا DCSync ممکنه؟»
سؤال مهم‌تر اینه:
«اگر این مرحله موفق بشه، مسیر بعدی کجاست؟»
این تفاوت بین اجرای چند Technique و فهم واقعی Active Directory .
در Red Team قرار نیست فقط ثابت کنی یک تکنیک قابل اجراست.
باید بفهمی یک دسترسی از کجا شروع میشه، چه چیزی رو باز میکنه و در نهایت مهاجم رو تا کجا میتونه جلو ببره.
@KavehOffSec
#ActiveDirectory #RedTeam #Kerberoasting #GoldenTicket #SilverTicket #DCSync #Red_Team | 1 021 |
| 18 |  📚 بازخورد یکی از خواننده‌های «Kerberos For Pentesters»
ممنون از اعتمادتون ❤️
هدف TryHackBox اینه که محتوا واقعاً در مسیر یادگیری و کار عملی به دردتون بخوره. | 2 012 |
| 19 |  📚 بازخورد یکی از خواننده‌های «Kerberos For Pentesters»
ممنون از اعتمادتون ❤️
هدف TryHackBox اینه که محتوا واقعاً در مسیر یادگیری و کار عملی به دردتون بخوره. | 963 |
| 20 | https://www.linkedin.com/in/kaveh-m | 1 024 |
