همانطور که از اینستاگرام سوال را شروع کردیم و منابعی را در لینکدین برایتان ارائه کردیم ، قطعه کد های مرتبط با سریالیزیشن از #C به جیسون را در زیر میبینیم .
هدف آن است که یک آبجکت، حال ساده و یا پیچیده ، بتواند در قالب بایت یا تکست ( با حفظ ساختاری که قابل بازگشت باشد) قابل خواندن و انتقال باشد .

مثال کلاس سی شارپ

Serialization example

public class WeatherForecastWithPOCOs
{
public DateTimeOffset Date { get; set; }
public int TemperatureCelsius { get; set; }
public string Summary { get; set; }
public string SummaryField;
public IList<DateTimeOffset> DatesAvailable { get; set; }
public Dictionary<string, HighLowTemps> TemperatureRanges { get; set; }
public string[] SummaryWords { get; set; }
}

public class HighLowTemps
{
public int High { get; set; }
public int Low { get; set; }
}


سریالایز کردن

jsonString = JsonSerializer.Serialize<WeatherForecastWithPOCOs>(weatherForecast);

خروجی JSON بلاک کد بالا

{"Date":"2019-08-01T00:00:00-07:00","TemperatureCelsius":25,"Summary":"Hot","DatesAvailable":["2019-08-01T00:00:00-07:00","2019-08-02T00:00:00-07:00"],"TemperatureRanges":{"Cold":{"High":20,"Low":-10},"Hot":{"High":60,"Low":20}},"SummaryWords":["Cool","Windy","Humid"]}

@roozbeh_learning

مرتب تر در تصویر زیر 👇👇

و برعکس ، برای دیسریالیزیشن
یعنی خواندن از جیسون و ساختن ابجکت

The following example reads JSON from a string and creates an instance of the WeatherForecast class shown earlier for the serialization example:
@roozbeh_learning

weatherForecast = JsonSerializer.Deserialize<WeatherForecastWithPOCOs>(jsonString);

مثالی از آبجکت PHP که سریالایز شده

O:9:"SomeClass":2:{s:20:"%00SomeClass%00file_name";N;s:16:"%00SomeClass%00value";N;}

@roozbeh_learning
شما نباید از کاربر اطلاعات سریالایز شده در فرمتهای که قابل بازرسی نیستند دریافت کنید
مثال برای فرمت قابل قبول : جیسون

یکی از بهروشها برای کشف حمله در سریالیزیشن اینه :

Log deserialization exceptions and failures, such as where the incoming type is not the expected type, or the deserialization throws exceptions.
@roozbeh_learning
🚨خیلی دلم میخواد بدونم چند تا دولوپر یا طراح نرم افزار این لاگ رو تولید میکنند تا بندگان خدا در SOC بتونند یوزکیس مربوطه رو بنویسند

برای اطلاع عزیزان بگم که همه بحث سریالیزیشن از اینستاگرام آکادمی روزبه شروع شد ، اومد اینجا ، قدریش توی لینکدین بررسی شد ولی کلیتش رو اینجا داریم ادامه میدیم

ولی انتهای درسم میخوام از دوستان یک تعریف منسجم ، تمیز و قابل فهم از سریالیزیشن و عکس اون داشته باشم ببینم آخرش چه شد

و اگر سریالیزیشن رو یاد نگیرید ، حمله مرتبط و نحوه رفع و کشف اونرو هم فراموش کنید

خوبه نظر OWASP رو هم این میان ببینیم . داکیومنت نویسی OWASP عالیه

ولی برخی مواقع اگر افراد پیش زمینه اون حوزه رو نداشته باشن ، تا مقدمات رو یاد نگیرند ، جداول OWASP براشون جا نمیافته

@roozbeh_learning

https://owasp.org/www-project-top-ten/OWASP_Top_Ten_2017/Top_10-2017_A8-Insecure_Deserialization

بررسی سناریوی حمله :

در یک کوکی که اطلاعات کاربر را از فرم PHPگرفته است قرار است ID ، نقش و هش پسورد و سایر اطلاعات مرتبط با سشن کاربر ذخیره گردد

a:4:{i:0;i:132;i:1;s:7:"Mallory";i:2;s:4:"user";
i:3;s:32:"b6a8b3bea87fe0e05022f8f3c88bc960";}

نفوذگر با تغییر اطلاعات این کوکی ، سطح دسترسی خود را تغییر داده و هنگامی که ابجکت سرور این اطلاعات را میخواند ( دیسریالایز)، عملا اطلاعات هکر در برنامه تزریق شده است

a:4:{i:0;i:1;i:1;s:5:"Alice";i:2;s:5:"admin";
i:3;s:32:"b6a8b3bea87fe0e05022f8f3c88bc960";}

@roozbeh_learning
📚آکادمی آموزش روزبه
🔷شرکت امن گستران روزبه
پیاده سازی SOC بعنوان نسل جدید و جامع حفاظت امنیت سازمان با برترین و جامع ترین کنترل ها در عمق لازم با مجوز افتا و ارائه آموزش ها
www.roozbehsecurity.com
⏺ما به SOC بعنوان چتر امنیتی سازمان نگاه میکنیم و نگرش ما از یک سیستم تجمیع لاگ و یوزکیس نویسی های معمول فراتر است .

یکی از راههای دفاعی در خصوص حملات در حوزه سریالیزیشن اینه

Isolating and running code that deserializes in low privilege environments when possible.

که مسوول اصلی اش طراح و مسوول دوم دولوپر است . دولوپرها و طراحانی که اینو پیاده کردن اگر دوست دارند بگن که اسمشون رو اعلام کنیم

حالا اونهایی که تخصصشون امنیت نرم افرار است و با قدرت میخوان موضوع بحث شده در فوق رو پیگیری کنند ، این مستند رو بخونن
@roozbeh_learning
🔷شرکت امن گستران روزبه

🚨🚨ببینید دوستان
همه چیز بحث خوندن هست
در اینترنت همه چیز موحود است
همت عالی میطلبد و برنامه ریزی دقیق

همه ما زندگی داریم ، آرزو داریم ، کار داریم
باید با توازنی بین اینها، خودمون رو در امنیت سایبری به روز نگه داریم بلکه ، هر روز سعی کنیم در راستای ارتقای شغلی قدمی جدید برداریم


💫روزبه نوروزی CISSP, PMP
مدیر کنترل کیفیت آکادمی روزبه
اوایل پاییز ۹۹ ، تهران

صبحتان بخیر

🍁🍂یک وبینار در حوزه SOC از ISC2
با سرفصل هایی جالب ( در تصویر فوق)
اسپانسر : شرکت اسپلانک

🔷شرکت امن گستران روزبه
پیاده سازی SOC و مدیریت رخداد امنیتی با مجوز افتا

لینک ثبت نام :
https://www.isc2.org/News-and-Events/Webinars/EMEA-Webinars?commid=433274

🌎دومین جلسه پکیج ویژه آمادگی آزمون مدرک عالی امنیت CISSP


✅ با بالاترین آمار قبولی در آزمون رسمی در سنتر VUE

جمعه ساعت ۹ صبح

⏺ارائه توسط استاد روزبه نوروزی دارنده CISSP از سال 2011

📚آکادمی روزبه
🕹با مجوز افتا
واتس اپ و تلفن 09902857289

این ابزار جاسوسی ، بر روی سیستم عامل مک و لینوکس هم کار میکند

@roozbeh_learning 👈


Mac, Linux Users Now Targeted by FinSpy Variants | Threatpost
https://threatpost.com/mac-linux-attack-finspy/159607/

روزتان به خوشی 🌹

انشالله فرصتی پیدا کنید تا برای آینده برنامه ریزی کنید.

در هر شرایطی ، هرچقدر هم سخت ، راهکاری هست . مثل مساله ریاضی میماند .
برخی مواقع راه حل ها هم سخت هستند
ولی
بالاخره مساله حل میشود

پس

مهم شما هستید

با خود خلوت کنید و تصمیم بگیرید

🚨شماره تلفن مشاوره رایگان آکادمی روزبه
09902857290
فقط روزهای فرد از ساعت ۲۰ تا ۲۱
⏺ارسال CV به مدیر کانال تلگرام قبل از تماس الزامی است

@roozbeh_learning

با سلام و عرض پوزش

بنا بر برخی مشکلات این وبینار امشب برگزار نمیگردد

چطور میتوانم با کمک از یادگیری ماشینی ، عملیات هوش مصنوعی را در امنیت سایبری ارتقاء دهم ؟


آکادمی آموزش روزبه
@roozbeh_learning
https://searchsecurity.techtarget.com/tip/Unpack-the-use-of-AI-in-cybersecurity-plus-pros-and-cons?src=6588391&asrc=EM_ERU_136591305&utm_medium=EM&utm_source=ERU&utm_campaign=20200930_ERU Transmission for 09/30/2020 (UserUniverse: 320322)&utm_content=eru-rd2-rcpC

مژده
🏁 ارائه آموزش های حرفه ای امنیت سایبری (بازار کار) در دانشگاه صنعتی امیرکبیر ( پلی تکنیک تهران)
📚 توسط اکادمی آموزش روزبه
برای آماده سازی دانشجویان برای اشتغال

⏺اخذ امتحان و صدور مدرک توسط دانشگاه ( واحد آموزشهای آزاد)

🕹با مجوز افتای آکادمی روزبه

تماس با واتس اپ 09902857289

پروتکل ثبت نام بزودی اعلام میگردد
www.t.me/roozbeh_learning کانال تلگرام

#ایران_را_بسازیم🇮🇷
#مدرک_معتبر
#سواد_واقعی
#مهارت_بالا

🟢این یک تبلیغ است
اما
🔴نه تبلیغی برای پول درآوردن!!

✅تبلیغی است برای بهتر شدن
بهتر شدنِ خود و جامعه و کشور



📚آکادمی آموزش روزبه
🕹مجری آموزش امنیت سایبری در کشور با مجوز افتا
www.t.me/roozbeh_learning کانال تلگرام

#cissp #roozbehacademy
#آموزش_cissp #دوره_cissp #مدرک_cissp

کنفرانس آنلاینی که نباید از دست داد
رایگان
همراه با مزایای جانبی

**با تشکر از جناب علیرضا ثانی بابت اشتراک

📚آکادمی روزبه
@roozbeh_learning

https://www.hackerhalted.com/register-for-hacker-halted-2020/?ref_id=yW47447953&track=linkedin