حمله RAMBO: نفوذ به سیستم‌های ایزوله با کانال‌های جانبی
حمله RAMBO (Radiation Amplification for Mitigating Bounded Observability) یکی از جدیدترین تکنیک‌های استخراج داده از سیستم‌های ایزوله (air-gapped) است که از سیگنال‌های Wi-Fi به‌عنوان یک کانال جانبی برای انتقال داده استفاده می‌کند. سیستم‌های ایزوله به‌طور فیزیکی از شبکه‌های خارجی جدا شده‌اند تا از نشت اطلاعات جلوگیری شود، اما این تحقیق نشان می‌دهد که حتی این سیستم‌ها نیز در برابر حملات پیچیده آسیب‌پذیر هستند.
مفهوم کانال‌های جانبی و ارتباط آن با RAMBO
کانال‌های جانبی روش‌هایی برای استخراج اطلاعات از یک سیستم هستند که از مسیرهای غیرمستقیم استفاده می‌کنند. برخلاف حملات معمولی که بر نقاط ضعف نرم‌افزاری یا سخت‌افزاری تمرکز دارند، حملات کانال جانبی از ویژگی‌های فیزیکی سیستم، مانند تشعشعات الکترومغناطیسی، نوسانات ولتاژ، یا تأخیرهای زمانی سوءاستفاده می‌کنند.
در حمله RAMBO، سیگنال‌های Wi-Fi به‌عنوان یک کانال جانبی مورد استفاده قرار می‌گیرند. این حمله از تغییرات سطح انرژی و الگوی ارسال داده در کارت شبکه Wi-Fi برای ایجاد یک سیگنال رمزگذاری‌شده استفاده می‌کند که توسط یک مهاجم در فاصله‌ای مشخص قابل‌دریافت است.
نحوه عملکرد حمله RAMBO
حمله RAMBO شامل چندین مرحله است:
تبدیل داده‌های حساس به یک الگوی سیگنال Wi-Fi: مهاجم روی سیستم ایزوله یک برنامه‌ی مخرب را اجرا می‌کند که با کنترل سطح انرژی کارت شبکه Wi-Fi، الگوهای خاصی از امواج را تولید می‌کند.
انتشار سیگنال‌های مخفی: این برنامه میزان تشعشعات را بر اساس داده‌های استخراجی تغییر می‌دهد و یک سیگنال قابل‌شناسایی برای دریافت‌کننده ایجاد می‌کند.
دریافت و رمزگشایی اطلاعات: مهاجم که در نزدیکی سیستم ایزوله قرار دارد، با استفاده از دستگاه‌هایی مانند آنتن‌های Wi-Fi یا نرم‌افزارهای تحلیل فرکانس، این سیگنال‌ها را دریافت و رمزگشایی می‌کند.
چالش‌ها و محدودیت‌ها
باوجود اینکه RAMBO یک روش پیچیده و هوشمندانه است، چالش‌هایی نیز دارد:
محدودیت فاصله: این حمله به حضور فیزیکی مهاجم در محدوده‌ی انتشار سیگنال نیاز دارد، بنابراین اجرای آن در محیط‌های کنترل‌شده سخت‌تر است.
نیاز به اجرای کد مخرب: برای موفقیت این حمله، ابتدا باید یک بدافزار روی سیستم هدف اجرا شود، که مستلزم یک روش ورود اولیه (مثلاً مهندسی اجتماعی یا حملات USB) است.
اثرپذیری از نویز محیطی: تشعشعات دیگر دستگاه‌های الکترونیکی می‌توانند روی دقت دریافت سیگنال تأثیر بگذارند.
روش‌های مقابله با حمله RAMBO
برای جلوگیری از این نوع حملات، اقدامات زیر پیشنهاد می‌شود:
حذف سخت‌افزارهای بی‌سیم در سیستم‌های ایزوله
ایجاد شیلدهای الکترومغناطیسی در محیط‌های حساس
نظارت بر مصرف انرژی و الگوی ارتباطی کارت‌های شبکه
استفاده از الگوریتم‌های تشخیص ناهنجاری در ارسال سیگنال‌ها
#آکادمی_روزبه
https://medium.com/radio-hackers/covert-channel-chronicles-the-rambo-attack-3b3e979dcb44
حمله RAMBO (Radiation Amplification for Mitigating Bounded Observability) یکی از جدیدترین تکنیک‌های استخراج داده از سیستم‌های ایزوله (air-gapped) است که از سیگنال‌های Wi-Fi به‌عنوان یک کانال جانبی برای انتقال داده استفاده می‌کند. سیستم‌های ایزوله به‌طور فیزیکی از شبکه‌های خارجی جدا شده‌اند تا از نشت اطلاعات جلوگیری شود، اما این تحقیق نشان می‌دهد که حتی این سیستم‌ها نیز در برابر حملات پیچیده آسیب‌پذیر هستند.
مفهوم کانال‌های جانبی و ارتباط آن با RAMBO
کانال‌های جانبی روش‌هایی برای استخراج اطلاعات از یک سیستم هستند که از مسیرهای غیرمستقیم استفاده می‌کنند. برخلاف حملات معمولی که بر نقاط ضعف نرم‌افزاری یا سخت‌افزاری تمرکز دارند، حملات کانال جانبی از ویژگی‌های فیزیکی سیستم، مانند تشعشعات الکترومغناطیسی، نوسانات ولتاژ، یا تأخیرهای زمانی سوءاستفاده می‌کنند.
در حمله RAMBO، سیگنال‌های Wi-Fi به‌عنوان یک کانال جانبی مورد استفاده قرار می‌گیرند. این حمله از تغییرات سطح انرژی و الگوی ارسال داده در کارت شبکه Wi-Fi برای ایجاد یک سیگنال رمزگذاری‌شده استفاده می‌کند که توسط یک مهاجم در فاصله‌ای مشخص قابل‌دریافت است.
نحوه عملکرد حمله RAMBO
حمله RAMBO شامل چندین مرحله است:
تبدیل داده‌های حساس به یک الگوی سیگنال Wi-Fi: مهاجم روی سیستم ایزوله یک برنامه‌ی مخرب را اجرا می‌کند که با کنترل سطح انرژی کارت شبکه Wi-Fi، الگوهای خاصی از امواج را تولید می‌کند.
انتشار سیگنال‌های مخفی: این برنامه میزان تشعشعات را بر اساس داده‌های استخراجی تغییر می‌دهد و یک سیگنال قابل‌شناسایی برای دریافت‌کننده ایجاد می‌کند.
دریافت و رمزگشایی اطلاعات: مهاجم که در نزدیکی سیستم ایزوله قرار دارد، با استفاده از دستگاه‌هایی مانند آنتن‌های Wi-Fi یا نرم‌افزارهای تحلیل فرکانس، این سیگنال‌ها را دریافت و رمزگشایی می‌کند.
چالش‌ها و محدودیت‌ها
باوجود اینکه RAMBO یک روش پیچیده و هوشمندانه است، چالش‌هایی نیز دارد:
محدودیت فاصله: این حمله به حضور فیزیکی مهاجم در محدوده‌ی انتشار سیگنال نیاز دارد، بنابراین اجرای آن در محیط‌های کنترل‌شده سخت‌تر است.
نیاز به اجرای کد مخرب: برای موفقیت این حمله، ابتدا باید یک بدافزار روی سیستم هدف اجرا شود، که مستلزم یک روش ورود اولیه (مثلاً مهندسی اجتماعی یا حملات USB) است.
اثرپذیری از نویز محیطی: تشعشعات دیگر دستگاه‌های الکترونیکی می‌توانند روی دقت دریافت سیگنال تأثیر بگذارند.
روش‌های مقابله با حمله RAMBO
برای جلوگیری از این نوع حملات، اقدامات زیر پیشنهاد می‌شود:
حذف سخت‌افزارهای بی‌سیم در سیستم‌های ایزوله
ایجاد شیلدهای الکترومغناطیسی در محیط‌های حساس
نظارت بر مصرف انرژی و الگوی ارتباطی کارت‌های شبکه
استفاده از الگوریتم‌های تشخیص ناهنجاری در ارسال سیگنال‌ها
#آکادمی_روزبه
https://medium.com/radio-hackers/covert-channel-chronicles-the-rambo-attack-3b3e979dcb44
Medium
Covert Channel Chronicles: The RAMBO Attack
At this time in modernity, in the technologically advanced year 2025 of the twenty-first century, Wi-Fi signals are ubiquitous as the…
👍2
با zeek چطور میتونیم بر حملات حرکت عرضی در شبکه روی پروتکل SMB نظارت داشته باشیم ؟
اسلاید فوق بخشی از درس در گروه کتاب سنز 599 که امروز و امشب درحال بررسی است
#آکادمی_روزبه
اسلاید فوق بخشی از درس در گروه کتاب سنز 599 که امروز و امشب درحال بررسی است
#آکادمی_روزبه
❤1👍1
بیاین با یک بک دور جدید لینوکسی آشنا شویم
#آکادمی_روزبه
مقاله کامل
https://zw01f.github.io/malware%20analysis/auto-color/
#آکادمی_روزبه
مقاله کامل
https://zw01f.github.io/malware%20analysis/auto-color/
ZW01f
Auto-color - Linux backdoor
A deep dive into the stealthy Linux ‘Auto-color’ Backdoor
👍1
برای دانشجویان دوره ISSMP ام
#آکادمی_روزبه
https://www.csoonline.com/article/3855823/how-cisos-can-balance-business-continuity-with-other-responsibilities.html
#آکادمی_روزبه
https://www.csoonline.com/article/3855823/how-cisos-can-balance-business-continuity-with-other-responsibilities.html
CSO Online
How CISOs can balance business continuity with other responsibilities
With business continuity, CISOs must navigate a complex mix of security, business priorities and operational resilience — often without clear ownership of the process.
هوش مصنوعی برای تیم های آبی و قرمز
#آکادمی_روزبه
https://abnormalsecurity.com/blog/offensive-ai-defensive-ai
#آکادمی_روزبه
https://abnormalsecurity.com/blog/offensive-ai-defensive-ai
Abnormal AI
Understanding Offensive AI vs. Defensive AI in Cybersecurity
Learn how AI is used in cybersecurity, what defensive AI vs. offensive AI means, and how to use defensive AI to combat offensive AI.
آزمایشگاه امنیت برپا کن
سر راست
#آکادمی_روزبه
**مقاله میتونست حجیم باشه ولی خب برای شروع خوبه
https://readmedium.com/my-virtual-homelab-introduction-caa2f34c73c3
سر راست
#آکادمی_روزبه
**مقاله میتونست حجیم باشه ولی خب برای شروع خوبه
https://readmedium.com/my-virtual-homelab-introduction-caa2f34c73c3
Readmedium
My Virtual HomeLab: Introduction
Simple Overview of My Virtualized HomeLab with VMware Workstation Pro
👍2
فناوری Fast Flux DNS یک تکنیک پنهان‌کاری است که توسط مهاجمان برای فرار از شناسایی و کاهش تأثیر اقدامات دفاعی امنیتی استفاده می‌شود. این تکنیک بیشتر در شبکه‌های بات‌نت، فیشینگ، و بدافزارها به کار می‌رود.
نحوه عملکرد Fast Flux DNS
در این روش، مهاجمان به‌طور مداوم آدرس‌های IP مربوط به یک نام دامنه را تغییر می‌دهند. این تغییرات معمولاً توسط یک شبکه گسترده از کامپیوترهای آلوده (botnet) انجام می‌شود که به‌عنوان پراکسی عمل می‌کنند. هدف این کار جلوگیری از مسدود شدن دامنه مخرب و ایجاد یک ساختار توزیع‌شده برای پنهان کردن سرور اصلی است.
انواع Fast Flux
Single Flux:
در این روش، آدرس IPهای مربوط به یک دامنه به‌طور مداوم و با TTL (Time-to-Live) بسیار کوتاه تغییر می‌کنند.
Double Flux:
علاوه بر تغییر مداوم IP دامنه، رکوردهای NS (Name Server) نیز در حال تغییر هستند. این روش امنیت را برای مهاجمان بالاتر می‌برد.
چرا Fast Flux مؤثر است؟
دور زدن فیلترهای امنیتی: چون IP به‌سرعت تغییر می‌کند، لیست‌های سیاه (blacklist) کارایی کمتری دارند.
مقاومت در برابر شناسایی: سرور واقعی پشت یک لایه از پراکسی‌های آلوده پنهان می‌ماند.
توزیع بار: باعث پایداری سرویس‌های مخرب مانند فیشینگ، بدافزار و C2 (Command and Control) می‌شود.
راه‌های مقابله با Fast Flux
تحلیل رفتار DNS: شناسایی تغییرات غیرعادی و مداوم در IPهای یک دامنه.
مقایسه TTLهای کوتاه: دامنه‌هایی با TTL بسیار کوتاه می‌توانند مشکوک باشند.
استفاده از اطلاعات Threat Intelligence:
سرویس‌هایی مانند Cisco Umbrella، OpenDNS، و Threat Intelligence Feeds می‌توانند دامنه‌های مشکوک را شناسایی کنند.
آنالیز ارتباطات شبکه: بررسی الگوی ارتباطات بات‌نت و شناسایی رفتارهای غیرعادی.
این روش یکی از تکنیک‌های پیشرفته فرار از شناسایی در دنیای تهدیدات سایبری است که همچنان توسط بدافزارها و مهاجمان استفاده می‌شود.
حالا گزارش جدید CISA رو بخونید
#آکادمی_روزبه
https://www.bleepingcomputer.com/news/security/cisa-warns-of-fast-flux-dns-evasion-used-by-cybercrime-gangs/
نحوه عملکرد Fast Flux DNS
در این روش، مهاجمان به‌طور مداوم آدرس‌های IP مربوط به یک نام دامنه را تغییر می‌دهند. این تغییرات معمولاً توسط یک شبکه گسترده از کامپیوترهای آلوده (botnet) انجام می‌شود که به‌عنوان پراکسی عمل می‌کنند. هدف این کار جلوگیری از مسدود شدن دامنه مخرب و ایجاد یک ساختار توزیع‌شده برای پنهان کردن سرور اصلی است.
انواع Fast Flux
Single Flux:
در این روش، آدرس IPهای مربوط به یک دامنه به‌طور مداوم و با TTL (Time-to-Live) بسیار کوتاه تغییر می‌کنند.
Double Flux:
علاوه بر تغییر مداوم IP دامنه، رکوردهای NS (Name Server) نیز در حال تغییر هستند. این روش امنیت را برای مهاجمان بالاتر می‌برد.
چرا Fast Flux مؤثر است؟
دور زدن فیلترهای امنیتی: چون IP به‌سرعت تغییر می‌کند، لیست‌های سیاه (blacklist) کارایی کمتری دارند.
مقاومت در برابر شناسایی: سرور واقعی پشت یک لایه از پراکسی‌های آلوده پنهان می‌ماند.
توزیع بار: باعث پایداری سرویس‌های مخرب مانند فیشینگ، بدافزار و C2 (Command and Control) می‌شود.
راه‌های مقابله با Fast Flux
تحلیل رفتار DNS: شناسایی تغییرات غیرعادی و مداوم در IPهای یک دامنه.
مقایسه TTLهای کوتاه: دامنه‌هایی با TTL بسیار کوتاه می‌توانند مشکوک باشند.
استفاده از اطلاعات Threat Intelligence:
سرویس‌هایی مانند Cisco Umbrella، OpenDNS، و Threat Intelligence Feeds می‌توانند دامنه‌های مشکوک را شناسایی کنند.
آنالیز ارتباطات شبکه: بررسی الگوی ارتباطات بات‌نت و شناسایی رفتارهای غیرعادی.
این روش یکی از تکنیک‌های پیشرفته فرار از شناسایی در دنیای تهدیدات سایبری است که همچنان توسط بدافزارها و مهاجمان استفاده می‌شود.
حالا گزارش جدید CISA رو بخونید
#آکادمی_روزبه
https://www.bleepingcomputer.com/news/security/cisa-warns-of-fast-flux-dns-evasion-used-by-cybercrime-gangs/
BleepingComputer
CISA warns of Fast Flux DNS evasion used by cybercrime gangs
CISA, the FBI, the NSA, and international cybersecurity agencies are calling on organizations and DNS providers to mitigate the "Fast Flux" cybercrime evasion technique used by state-sponsored threat actors and ransomware gangs.
👍5
از مندینت مقاله روز بخوانیم
این مقاله یک کمپین فیشینگ جدید را بررسی می‌کند که در اکتبر ۲۰۲۴ توسط گروه تهدیدات گوگل (GTIG) شناسایی شده و به یک عامل جاسوسی مرتبط با روسیه به نام UNC5837 نسبت داده شده است. در این کمپین، فایل‌های امضاشده‌ی .rdp به‌عنوان پیوست‌های ایمیل ارسال شده‌اند تا ارتباطات پروتکل دسکتاپ از راه دور (RDP) را از دستگاه‌های قربانیان برقرار کنند. برخلاف حملات معمول RDP که بر جلسات تعاملی تمرکز دارند، این کمپین به‌طور خلاقانه‌ای از قابلیت‌های RDP مانند تغییر مسیر منابع (مانند نگاشت سیستم فایل قربانی به سرورهای مهاجم) و RemoteApps (ارائه برنامه‌های کنترل‌شده توسط مهاجم به قربانیان) سوءاستفاده کرده است. شواهد نشان می‌دهد که این کمپین ممکن است از ابزاری مانند PyRDP برای خودکارسازی فعالیت‌های مخرب مانند استخراج فایل‌ها و ضبط داده‌های کلیپ‌بورد استفاده کرده باشد. هدف اصلی این حمله به نظر می‌رسد جاسوسی و سرقت فایل‌ها باشد. این مقاله به اهمیت آگاهی از خطرات امنیتی مرتبط با قابلیت‌های کمتر شناخته‌شده‌ی RDP و نیاز به دفاع پیشگیرانه تأکید می‌کند
#آکادمی_روزبه
https://cloud.google.com/blog/topics/threat-intelligence/windows-rogue-remote-desktop-protocol?linkId=13861189
این مقاله یک کمپین فیشینگ جدید را بررسی می‌کند که در اکتبر ۲۰۲۴ توسط گروه تهدیدات گوگل (GTIG) شناسایی شده و به یک عامل جاسوسی مرتبط با روسیه به نام UNC5837 نسبت داده شده است. در این کمپین، فایل‌های امضاشده‌ی .rdp به‌عنوان پیوست‌های ایمیل ارسال شده‌اند تا ارتباطات پروتکل دسکتاپ از راه دور (RDP) را از دستگاه‌های قربانیان برقرار کنند. برخلاف حملات معمول RDP که بر جلسات تعاملی تمرکز دارند، این کمپین به‌طور خلاقانه‌ای از قابلیت‌های RDP مانند تغییر مسیر منابع (مانند نگاشت سیستم فایل قربانی به سرورهای مهاجم) و RemoteApps (ارائه برنامه‌های کنترل‌شده توسط مهاجم به قربانیان) سوءاستفاده کرده است. شواهد نشان می‌دهد که این کمپین ممکن است از ابزاری مانند PyRDP برای خودکارسازی فعالیت‌های مخرب مانند استخراج فایل‌ها و ضبط داده‌های کلیپ‌بورد استفاده کرده باشد. هدف اصلی این حمله به نظر می‌رسد جاسوسی و سرقت فایل‌ها باشد. این مقاله به اهمیت آگاهی از خطرات امنیتی مرتبط با قابلیت‌های کمتر شناخته‌شده‌ی RDP و نیاز به دفاع پیشگیرانه تأکید می‌کند
#آکادمی_روزبه
https://cloud.google.com/blog/topics/threat-intelligence/windows-rogue-remote-desktop-protocol?linkId=13861189
Google Cloud Blog
Windows Remote Desktop Protocol: Remote to Rogue | Google Cloud Blog
A novel phishing campaign by Russia-nexus espionage actors targeting European government and military organizations.
این مقاله به بررسی حملات رله NTLM می‌پردازد که با وجود قدیمی بودن، همچنان تهدیدی جدی در محیط‌های Active Directory محسوب می‌شوند و می‌توانند به مهاجمان اجازه دهند تا به سادگی به سیستم‌ها نفوذ کرده و امتیازات خود را افزایش دهند. نویسنده توضیح می‌دهد که چگونه این حملات با استفاده از ابزارهایی مانند BloodHound قابل شناسایی و تحلیل هستند و به معرفی لبه‌های جدیدی در BloodHound می‌پردازد که مسیرهای حمله رله NTLM را نمایش می‌دهند. همچنین، تاریخچه پروتکل NTLM، نسخه‌های مختلف آن (NTLMv1 و NTLMv2)، و نقاط ضعف امنیتی مرتبط با هر نسخه مورد بحث قرار می‌گیرد. در نهایت، مقاله به راهکارهای مایکروسافت برای کاهش این تهدیدات و اهمیت پیاده‌سازی تنظیمات امنیتی مناسب برای جلوگیری از این نوع حملات اشاره می‌کند.
#آکادمی_روزبه
https://posts.specterops.io/the-renaissance-of-ntlm-relay-attacks-everything-you-need-to-know-abfc3677c34e
#آکادمی_روزبه
https://posts.specterops.io/the-renaissance-of-ntlm-relay-attacks-everything-you-need-to-know-abfc3677c34e
SpecterOps
The Renaissance of NTLM Relay Attacks: Everything You Need to Know
NTLM relay attacks have been around for a long time. While many security practitioners think NTLM relay is a solved problem, or at least a not-so-severe one, it is, in fact, alive and kicking and arguably worse than ever before. Relay attacks are the easiest…
پروژهٔ ida-pro-mcp یک سرور MCP (Model Context Protocol) برای IDA Pro است که امکان تعامل بین ابزارهای تحلیل باینری و مدل‌های زبانی بزرگ (LLM) مانند Claude، Roo Code و Cline را فراهم می‌کند. این پروژه توسط mrexodia توسعه یافته و به‌صورت متن‌باز تحت مجوز MIT منتشر شده است.
کاربرد اصلی
این سرور به LLMها اجازه می‌دهد تا به‌صورت برنامه‌نویسی‌شده با IDA Pro ارتباط برقرار کرده و عملیات تحلیل معکوس را انجام دهند. برخی از قابلیت‌های کلیدی آن عبارت‌اند از:
بررسی اتصال به افزونهٔ IDA
دریافت متادیتا از فایل جاری IDA
بازیابی توابع بر اساس نام یا آدرس
دریافت آدرس یا تابع فعلی انتخاب‌شده توسط کاربر
تبدیل اعداد به فرمت‌های مختلف (دهدهی، هگزادسیمال و غیره)
پیش‌نیازها
برای استفاده از این پروژه، نیاز به موارد زیر دارید:
Python نسخهٔ ۳.۱۰ یا بالاتر (ترجیحاً ۳.۱۱)
IDA Pro نسخهٔ ۸.۳ یا بالاتر (نسخهٔ ۹ توصیه می‌شود)
یک کلاینت MCP مانند Cline، Roo Code یا Claude
نصب و راه‌اندازی
برای نصب و راه‌اندازی، مراحل زیر را دنبال کنید:
۱. نصب یا به‌روزرسانی بستهٔ IDA Pro MCP:
۲. پیکربندی سرورهای MCP و نصب افزونهٔ IDA:
۳. برای نصب دستی، می‌توانید از ابزار uv استفاده کنید و مسیر پروژه را در تنظیمات کلاینت خود مشخص نمایید.
استفاده در عمل
پس از نصب و راه‌اندازی، می‌توانید از طریق کلاینت‌های پشتیبانی‌شده به IDA Pro متصل شده و عملیات تحلیل را انجام دهید. این امکان به‌ویژه برای توسعه‌دهندگان ابزارهای تحلیل معکوس و محققان امنیتی مفید است.
برای اطلاعات بیشتر و مشاهدهٔ کد منبع، به مخزن GitHub پروژه مراجعه کنید.
#آکادمی_روزبه
این MCP چیست؟
این MCP مخفف Model Context Protocol است. این پروتکل برای ارتباط بین ابزارهای تحلیل باینری (مثل IDA Pro) و مدل‌های زبانی بزرگ (LLM) طراحی شده است. هدف MCP این است که به مدل‌های زبانی اجازه دهد داده‌های مربوط به کد باینری را از IDA Pro بگیرند، پردازش کنند و پاسخ دهند.
پروژه ida-pro-mcp چه می‌کند؟
این پروژه یک سرور MCP برای IDA Pro است که اجازه می‌دهد ابزارهای هوش مصنوعی به IDA Pro وصل شوند و به اطلاعات آن دسترسی داشته باشند. مثلا:
✅ دریافت اطلاعات در مورد تابعی که در IDA Pro انتخاب شده است.
✅ فهمیدن اینکه در کجای باینری هستیم (مثل نام و آدرس توابع).
✅ تبدیل مقادیر عددی (مثلاً آدرس‌های حافظه) به فرمت‌های دیگر.
چرا این مفید است؟
تصور کن در حال تحلیل یک بدافزار در IDA Pro هستیم و می‌خواهیم ببینیم یک تابع چه کاری انجام می‌دهد. به جای جستجو و بررسی دستی، می‌توانیم از یک مدل هوش مصنوعی کمک بگیریم که با MCP اطلاعات را از IDA بگیرد و توضیح دهد. این باعث می‌شود تحلیل سریع‌تر و هوشمندتر شود
https://github.com/mrexodia/ida-pro-mcp
کاربرد اصلی
این سرور به LLMها اجازه می‌دهد تا به‌صورت برنامه‌نویسی‌شده با IDA Pro ارتباط برقرار کرده و عملیات تحلیل معکوس را انجام دهند. برخی از قابلیت‌های کلیدی آن عبارت‌اند از:
بررسی اتصال به افزونهٔ IDA
دریافت متادیتا از فایل جاری IDA
بازیابی توابع بر اساس نام یا آدرس
دریافت آدرس یا تابع فعلی انتخاب‌شده توسط کاربر
تبدیل اعداد به فرمت‌های مختلف (دهدهی، هگزادسیمال و غیره)
پیش‌نیازها
برای استفاده از این پروژه، نیاز به موارد زیر دارید:
Python نسخهٔ ۳.۱۰ یا بالاتر (ترجیحاً ۳.۱۱)
IDA Pro نسخهٔ ۸.۳ یا بالاتر (نسخهٔ ۹ توصیه می‌شود)
یک کلاینت MCP مانند Cline، Roo Code یا Claude
نصب و راه‌اندازی
برای نصب و راه‌اندازی، مراحل زیر را دنبال کنید:
۱. نصب یا به‌روزرسانی بستهٔ IDA Pro MCP:
pip install --upgrade git+https://github.com/mrexodia/ida-pro-mcp ۲. پیکربندی سرورهای MCP و نصب افزونهٔ IDA:
ida-pro-mcp --install ۳. برای نصب دستی، می‌توانید از ابزار uv استفاده کنید و مسیر پروژه را در تنظیمات کلاینت خود مشخص نمایید.
استفاده در عمل
پس از نصب و راه‌اندازی، می‌توانید از طریق کلاینت‌های پشتیبانی‌شده به IDA Pro متصل شده و عملیات تحلیل را انجام دهید. این امکان به‌ویژه برای توسعه‌دهندگان ابزارهای تحلیل معکوس و محققان امنیتی مفید است.
برای اطلاعات بیشتر و مشاهدهٔ کد منبع، به مخزن GitHub پروژه مراجعه کنید.
#آکادمی_روزبه
این MCP چیست؟
این MCP مخفف Model Context Protocol است. این پروتکل برای ارتباط بین ابزارهای تحلیل باینری (مثل IDA Pro) و مدل‌های زبانی بزرگ (LLM) طراحی شده است. هدف MCP این است که به مدل‌های زبانی اجازه دهد داده‌های مربوط به کد باینری را از IDA Pro بگیرند، پردازش کنند و پاسخ دهند.
پروژه ida-pro-mcp چه می‌کند؟
این پروژه یک سرور MCP برای IDA Pro است که اجازه می‌دهد ابزارهای هوش مصنوعی به IDA Pro وصل شوند و به اطلاعات آن دسترسی داشته باشند. مثلا:
✅ دریافت اطلاعات در مورد تابعی که در IDA Pro انتخاب شده است.
✅ فهمیدن اینکه در کجای باینری هستیم (مثل نام و آدرس توابع).
✅ تبدیل مقادیر عددی (مثلاً آدرس‌های حافظه) به فرمت‌های دیگر.
چرا این مفید است؟
تصور کن در حال تحلیل یک بدافزار در IDA Pro هستیم و می‌خواهیم ببینیم یک تابع چه کاری انجام می‌دهد. به جای جستجو و بررسی دستی، می‌توانیم از یک مدل هوش مصنوعی کمک بگیریم که با MCP اطلاعات را از IDA بگیرد و توضیح دهد. این باعث می‌شود تحلیل سریع‌تر و هوشمندتر شود
https://github.com/mrexodia/ida-pro-mcp
GitHub
GitHub - mrexodia/ida-pro-mcp: AI-powered reverse engineering assistant that bridges IDA Pro with language models through MCP.
AI-powered reverse engineering assistant that bridges IDA Pro with language models through MCP. - mrexodia/ida-pro-mcp
👍2
استک سایه‌ای (Shadow Stack)
این عملکرد یک مکانیزم امنیتی در پردازنده‌ها است که برای مقابله با حملات کنترل جریان کد (مثل حملات ROP - Return Oriented Programming) طراحی شده است.
چطور کار می‌کند؟
در یک برنامه معمولی، وقتی یک تابع اجرا می‌شود، آدرس بازگشت (Return Address) آن در استک اصلی ذخیره می‌شود تا بعد از اجرای تابع، پردازنده بتواند به آدرس مناسب برگردد. اما در حملات ROP، مهاجم می‌تواند این آدرس را تغییر دهد و برنامه را مجبور کند تا به کد دلخواهی بپرد.
استک سایه‌ای این مشکل را با ذخیره یک نسخه‌ی محافظت‌شده از آدرس‌های بازگشت در یک استک جداگانه که فقط پردازنده می‌تواند آن را تغییر دهد، حل می‌کند.
فرایند کلی:
وقتی یک تابع فراخوانی می‌شود، آدرس بازگشت هم در استک اصلی و هم در استک سایه‌ای ذخیره می‌شود.
وقتی تابع تمام شد، پردازنده آدرس بازگشت را از استک سایه‌ای و استک اصلی مقایسه می‌کند.
اگر این دو مقدار متفاوت باشند (یعنی اگر استک اصلی دستکاری شده باشد)، پردازنده برنامه را متوقف کرده و حمله را خنثی می‌کند.
مزایا:
✅ مقابله با حملات ROP و مشابه آن
✅ جلوگیری از تغییرات غیرمجاز در آدرس بازگشت
✅ بهبود امنیت بدون نیاز به تغییر در کد برنامه‌ها
محدودیت‌ها:
❌ به پشتیبانی سخت‌افزاری نیاز دارد (مثلاً Intel CET و AMD Shadow Stack)
❌ فقط از حملات مبتنی بر آدرس بازگشت محافظت می‌کند و روی حملات دیگر (مثل Jump-Oriented Programming) بی‌تأثیر است
این تکنیک در سیستم‌عامل‌های مدرن مثل Windows 11 و Linux Kernel (در برخی توزیع‌ها) به عنوان بخشی از کنترل جریان اجرا (CFI - Control Flow Integrity) استفاده می‌شود.
#آکادمی_روزبه
این عملکرد یک مکانیزم امنیتی در پردازنده‌ها است که برای مقابله با حملات کنترل جریان کد (مثل حملات ROP - Return Oriented Programming) طراحی شده است.
چطور کار می‌کند؟
در یک برنامه معمولی، وقتی یک تابع اجرا می‌شود، آدرس بازگشت (Return Address) آن در استک اصلی ذخیره می‌شود تا بعد از اجرای تابع، پردازنده بتواند به آدرس مناسب برگردد. اما در حملات ROP، مهاجم می‌تواند این آدرس را تغییر دهد و برنامه را مجبور کند تا به کد دلخواهی بپرد.
استک سایه‌ای این مشکل را با ذخیره یک نسخه‌ی محافظت‌شده از آدرس‌های بازگشت در یک استک جداگانه که فقط پردازنده می‌تواند آن را تغییر دهد، حل می‌کند.
فرایند کلی:
وقتی یک تابع فراخوانی می‌شود، آدرس بازگشت هم در استک اصلی و هم در استک سایه‌ای ذخیره می‌شود.
وقتی تابع تمام شد، پردازنده آدرس بازگشت را از استک سایه‌ای و استک اصلی مقایسه می‌کند.
اگر این دو مقدار متفاوت باشند (یعنی اگر استک اصلی دستکاری شده باشد)، پردازنده برنامه را متوقف کرده و حمله را خنثی می‌کند.
مزایا:
✅ مقابله با حملات ROP و مشابه آن
✅ جلوگیری از تغییرات غیرمجاز در آدرس بازگشت
✅ بهبود امنیت بدون نیاز به تغییر در کد برنامه‌ها
محدودیت‌ها:
❌ به پشتیبانی سخت‌افزاری نیاز دارد (مثلاً Intel CET و AMD Shadow Stack)
❌ فقط از حملات مبتنی بر آدرس بازگشت محافظت می‌کند و روی حملات دیگر (مثل Jump-Oriented Programming) بی‌تأثیر است
این تکنیک در سیستم‌عامل‌های مدرن مثل Windows 11 و Linux Kernel (در برخی توزیع‌ها) به عنوان بخشی از کنترل جریان اجرا (CFI - Control Flow Integrity) استفاده می‌شود.
#آکادمی_روزبه
و مقاله ی امشب
#آکادمی_روزبه
https://www.advania.co.uk/insights/blog/a-practical-guide-to-bypassing-userland-api-hooking/
#آکادمی_روزبه
https://www.advania.co.uk/insights/blog/a-practical-guide-to-bypassing-userland-api-hooking/
Advania UK
A practical guide to bypassing userland API Hooking - Perspective Risk
During a recent red-team engagement, we encountered hosts protected by different types of Endpoint Detection and Response solution (EDR).