این مقاله به بررسی حملات رله NTLM می‌پردازد که با وجود قدیمی بودن، همچنان تهدیدی جدی در محیط‌های Active Directory محسوب می‌شوند و می‌توانند به مهاجمان اجازه دهند تا به سادگی به سیستم‌ها نفوذ کرده و امتیازات خود را افزایش دهند. نویسنده توضیح می‌دهد که چگونه این حملات با استفاده از ابزارهایی مانند BloodHound قابل شناسایی و تحلیل هستند و به معرفی لبه‌های جدیدی در BloodHound می‌پردازد که مسیرهای حمله رله NTLM را نمایش می‌دهند. همچنین، تاریخچه پروتکل NTLM، نسخه‌های مختلف آن (NTLMv1 و NTLMv2)، و نقاط ضعف امنیتی مرتبط با هر نسخه مورد بحث قرار می‌گیرد. در نهایت، مقاله به راهکارهای مایکروسافت برای کاهش این تهدیدات و اهمیت پیاده‌سازی تنظیمات امنیتی مناسب برای جلوگیری از این نوع حملات اشاره می‌کند.
#آکادمی_روزبه
https://posts.specterops.io/the-renaissance-of-ntlm-relay-attacks-everything-you-need-to-know-abfc3677c34e
#آکادمی_روزبه
https://posts.specterops.io/the-renaissance-of-ntlm-relay-attacks-everything-you-need-to-know-abfc3677c34e
SpecterOps
The Renaissance of NTLM Relay Attacks: Everything You Need to Know
NTLM relay attacks have been around for a long time. While many security practitioners think NTLM relay is a solved problem, or at least a not-so-severe one, it is, in fact, alive and kicking and arguably worse than ever before. Relay attacks are the easiest…
پروژهٔ ida-pro-mcp یک سرور MCP (Model Context Protocol) برای IDA Pro است که امکان تعامل بین ابزارهای تحلیل باینری و مدل‌های زبانی بزرگ (LLM) مانند Claude، Roo Code و Cline را فراهم می‌کند. این پروژه توسط mrexodia توسعه یافته و به‌صورت متن‌باز تحت مجوز MIT منتشر شده است.
کاربرد اصلی
این سرور به LLMها اجازه می‌دهد تا به‌صورت برنامه‌نویسی‌شده با IDA Pro ارتباط برقرار کرده و عملیات تحلیل معکوس را انجام دهند. برخی از قابلیت‌های کلیدی آن عبارت‌اند از:
بررسی اتصال به افزونهٔ IDA
دریافت متادیتا از فایل جاری IDA
بازیابی توابع بر اساس نام یا آدرس
دریافت آدرس یا تابع فعلی انتخاب‌شده توسط کاربر
تبدیل اعداد به فرمت‌های مختلف (دهدهی، هگزادسیمال و غیره)
پیش‌نیازها
برای استفاده از این پروژه، نیاز به موارد زیر دارید:
Python نسخهٔ ۳.۱۰ یا بالاتر (ترجیحاً ۳.۱۱)
IDA Pro نسخهٔ ۸.۳ یا بالاتر (نسخهٔ ۹ توصیه میشود)
یک کلاینت MCP مانند Cline، Roo Code یا Claude
نصب و راه‌اندازی
برای نصب و راه‌اندازی، مراحل زیر را دنبال کنید:
۱. نصب یا به‌روزرسانی بستهٔ IDA Pro MCP:
۲. پیکربندی سرورهای MCP و نصب افزونهٔ IDA:
۳. برای نصب دستی، می‌توانید از ابزار uv استفاده کنید و مسیر پروژه را در تنظیمات کلاینت خود مشخص نمایید.
استفاده در عمل
پس از نصب و راه‌اندازی، می‌توانید از طریق کلاینت‌های پشتیبانی‌شده به IDA Pro متصل شده و عملیات تحلیل را انجام دهید. این امکان به‌ویژه برای توسعه‌دهندگان ابزارهای تحلیل معکوس و محققان امنیتی مفید است.
برای اطلاعات بیشتر و مشاهدهٔ کد منبع، به مخزن GitHub پروژه مراجعه کنید.
#آکادمی_روزبه
این MCP چیست؟
این MCP مخفف Model Context Protocol است. این پروتکل برای ارتباط بین ابزارهای تحلیل باینری (مثل IDA Pro) و مدل‌های زبانی بزرگ (LLM) طراحی شده است. هدف MCP این است که به مدل‌های زبانی اجازه دهد داده‌های مربوط به کد باینری را از IDA Pro بگیرند، پردازش کنند و پاسخ دهند.
پروژه ida-pro-mcp چه می‌کند؟
این پروژه یک سرور MCP برای IDA Pro است که اجازه می‌دهد ابزارهای هوش مصنوعی به IDA Pro وصل شوند و به اطلاعات آن دسترسی داشته باشند. مثلا:
✅ دریافت اطلاعات در مورد تابعی که در IDA Pro انتخاب شده است.
✅ فهمیدن اینکه در کجای باینری هستیم (مثل نام و آدرس توابع).
✅ تبدیل مقادیر عددی (مثلاً آدرس‌های حافظه) به فرمت‌های دیگر.
چرا این مفید است؟
تصور کن در حال تحلیل یک بدافزار در IDA Pro هستیم و می‌خواهیم ببینیم یک تابع چه کاری انجام می‌دهد. به جای جستجو و بررسی دستی، می‌توانیم از یک مدل هوش مصنوعی کمک بگیریم که با MCP اطلاعات را از IDA بگیرد و توضیح دهد. این باعث میشود تحلیل سریع‌تر و هوشمندتر شود
https://github.com/mrexodia/ida-pro-mcp
کاربرد اصلی
این سرور به LLMها اجازه می‌دهد تا به‌صورت برنامه‌نویسی‌شده با IDA Pro ارتباط برقرار کرده و عملیات تحلیل معکوس را انجام دهند. برخی از قابلیت‌های کلیدی آن عبارت‌اند از:
بررسی اتصال به افزونهٔ IDA
دریافت متادیتا از فایل جاری IDA
بازیابی توابع بر اساس نام یا آدرس
دریافت آدرس یا تابع فعلی انتخاب‌شده توسط کاربر
تبدیل اعداد به فرمت‌های مختلف (دهدهی، هگزادسیمال و غیره)
پیش‌نیازها
برای استفاده از این پروژه، نیاز به موارد زیر دارید:
Python نسخهٔ ۳.۱۰ یا بالاتر (ترجیحاً ۳.۱۱)
IDA Pro نسخهٔ ۸.۳ یا بالاتر (نسخهٔ ۹ توصیه میشود)
یک کلاینت MCP مانند Cline، Roo Code یا Claude
نصب و راه‌اندازی
برای نصب و راه‌اندازی، مراحل زیر را دنبال کنید:
۱. نصب یا به‌روزرسانی بستهٔ IDA Pro MCP:
pip install --upgrade git+https://github.com/mrexodia/ida-pro-mcp ۲. پیکربندی سرورهای MCP و نصب افزونهٔ IDA:
ida-pro-mcp --install ۳. برای نصب دستی، می‌توانید از ابزار uv استفاده کنید و مسیر پروژه را در تنظیمات کلاینت خود مشخص نمایید.
استفاده در عمل
پس از نصب و راه‌اندازی، می‌توانید از طریق کلاینت‌های پشتیبانی‌شده به IDA Pro متصل شده و عملیات تحلیل را انجام دهید. این امکان به‌ویژه برای توسعه‌دهندگان ابزارهای تحلیل معکوس و محققان امنیتی مفید است.
برای اطلاعات بیشتر و مشاهدهٔ کد منبع، به مخزن GitHub پروژه مراجعه کنید.
#آکادمی_روزبه
این MCP چیست؟
این MCP مخفف Model Context Protocol است. این پروتکل برای ارتباط بین ابزارهای تحلیل باینری (مثل IDA Pro) و مدل‌های زبانی بزرگ (LLM) طراحی شده است. هدف MCP این است که به مدل‌های زبانی اجازه دهد داده‌های مربوط به کد باینری را از IDA Pro بگیرند، پردازش کنند و پاسخ دهند.
پروژه ida-pro-mcp چه می‌کند؟
این پروژه یک سرور MCP برای IDA Pro است که اجازه می‌دهد ابزارهای هوش مصنوعی به IDA Pro وصل شوند و به اطلاعات آن دسترسی داشته باشند. مثلا:
✅ دریافت اطلاعات در مورد تابعی که در IDA Pro انتخاب شده است.
✅ فهمیدن اینکه در کجای باینری هستیم (مثل نام و آدرس توابع).
✅ تبدیل مقادیر عددی (مثلاً آدرس‌های حافظه) به فرمت‌های دیگر.
چرا این مفید است؟
تصور کن در حال تحلیل یک بدافزار در IDA Pro هستیم و می‌خواهیم ببینیم یک تابع چه کاری انجام می‌دهد. به جای جستجو و بررسی دستی، می‌توانیم از یک مدل هوش مصنوعی کمک بگیریم که با MCP اطلاعات را از IDA بگیرد و توضیح دهد. این باعث میشود تحلیل سریع‌تر و هوشمندتر شود
https://github.com/mrexodia/ida-pro-mcp
GitHub
GitHub - mrexodia/ida-pro-mcp: AI-powered reverse engineering assistant that bridges IDA Pro with language models through MCP.
AI-powered reverse engineering assistant that bridges IDA Pro with language models through MCP. - mrexodia/ida-pro-mcp
👍2
استک سایه‌ای (Shadow Stack)
این عملکرد یک مکانیزم امنیتی در پردازنده‌ها است که برای مقابله با حملات کنترل جریان کد (مثل حملات ROP - Return Oriented Programming) طراحی شده است.
چطور کار می‌کند؟
در یک برنامه معمولی، وقتی یک تابع اجرا میشود، آدرس بازگشت (Return Address) آن در استک اصلی ذخیره میشود تا بعد از اجرای تابع، پردازنده بتواند به آدرس مناسب برگردد. اما در حملات ROP، مهاجم می‌تواند این آدرس را تغییر دهد و برنامه را مجبور کند تا به کد دلخواهی بپرد.
استک سایه‌ای این مشکل را با ذخیره یک نسخه‌ی محافظت‌شده از آدرس‌های بازگشت در یک استک جداگانه که فقط پردازنده می‌تواند آن را تغییر دهد، حل می‌کند.
فرایند کلی:
وقتی یک تابع فراخوانی میشود، آدرس بازگشت هم در استک اصلی و هم در استک سایه‌ای ذخیره میشود.
وقتی تابع تمام شد، پردازنده آدرس بازگشت را از استک سایه‌ای و استک اصلی مقایسه می‌کند.
اگر این دو مقدار متفاوت باشند (یعنی اگر استک اصلی دستکاری شده باشد)، پردازنده برنامه را متوقف کرده و حمله را خنثی می‌کند.
مزایا:
✅ مقابله با حملات ROP و مشابه آن
✅ جلوگیری از تغییرات غیرمجاز در آدرس بازگشت
✅ بهبود امنیت بدون نیاز به تغییر در کد برنامه‌ها
محدودیت‌ها:
❌ به پشتیبانی سخت‌افزاری نیاز دارد (مثلاً Intel CET و AMD Shadow Stack)
❌ فقط از حملات مبتنی بر آدرس بازگشت محافظت می‌کند و روی حملات دیگر (مثل Jump-Oriented Programming) بی‌تأثیر است
این تکنیک در سیستم‌عامل‌های مدرن مثل Windows 11 و Linux Kernel (در برخی توزیع‌ها) به عنوان بخشی از کنترل جریان اجرا (CFI - Control Flow Integrity) استفاده میشود.
#آکادمی_روزبه
این عملکرد یک مکانیزم امنیتی در پردازنده‌ها است که برای مقابله با حملات کنترل جریان کد (مثل حملات ROP - Return Oriented Programming) طراحی شده است.
چطور کار می‌کند؟
در یک برنامه معمولی، وقتی یک تابع اجرا میشود، آدرس بازگشت (Return Address) آن در استک اصلی ذخیره میشود تا بعد از اجرای تابع، پردازنده بتواند به آدرس مناسب برگردد. اما در حملات ROP، مهاجم می‌تواند این آدرس را تغییر دهد و برنامه را مجبور کند تا به کد دلخواهی بپرد.
استک سایه‌ای این مشکل را با ذخیره یک نسخه‌ی محافظت‌شده از آدرس‌های بازگشت در یک استک جداگانه که فقط پردازنده می‌تواند آن را تغییر دهد، حل می‌کند.
فرایند کلی:
وقتی یک تابع فراخوانی میشود، آدرس بازگشت هم در استک اصلی و هم در استک سایه‌ای ذخیره میشود.
وقتی تابع تمام شد، پردازنده آدرس بازگشت را از استک سایه‌ای و استک اصلی مقایسه می‌کند.
اگر این دو مقدار متفاوت باشند (یعنی اگر استک اصلی دستکاری شده باشد)، پردازنده برنامه را متوقف کرده و حمله را خنثی می‌کند.
مزایا:
✅ مقابله با حملات ROP و مشابه آن
✅ جلوگیری از تغییرات غیرمجاز در آدرس بازگشت
✅ بهبود امنیت بدون نیاز به تغییر در کد برنامه‌ها
محدودیت‌ها:
❌ به پشتیبانی سخت‌افزاری نیاز دارد (مثلاً Intel CET و AMD Shadow Stack)
❌ فقط از حملات مبتنی بر آدرس بازگشت محافظت می‌کند و روی حملات دیگر (مثل Jump-Oriented Programming) بی‌تأثیر است
این تکنیک در سیستم‌عامل‌های مدرن مثل Windows 11 و Linux Kernel (در برخی توزیع‌ها) به عنوان بخشی از کنترل جریان اجرا (CFI - Control Flow Integrity) استفاده میشود.
#آکادمی_روزبه
و مقاله ی امشب
#آکادمی_روزبه
https://www.advania.co.uk/insights/blog/a-practical-guide-to-bypassing-userland-api-hooking/
#آکادمی_روزبه
https://www.advania.co.uk/insights/blog/a-practical-guide-to-bypassing-userland-api-hooking/
Advania UK
A practical guide to bypassing userland API Hooking - Perspective Risk
During a recent red-team engagement, we encountered hosts protected by different types of Endpoint Detection and Response solution (EDR).
مایند مپ پن تست اکتیو دایرکتوری
#آکادمی_روزبه
https://orange-cyberdefense.github.io/ocd-mindmaps/img/mindmap_ad_dark_classic_2025.03.excalidraw.svg
#آکادمی_روزبه
https://orange-cyberdefense.github.io/ocd-mindmaps/img/mindmap_ad_dark_classic_2025.03.excalidraw.svg
🤝1
چرا روت کیت ها معمولا توسط EDR شناسایی نمیشوند!!
روزبه نوروزی
اینکه چرا روت‌کیت‌ها (Rootkits) معمولاً توسط EDRها شناسایی نمیشوند، به ماهیت خود روت‌کیت‌ها و نحوه کار EDR برمی‌گردد. بیایید مرحله‌به‌مرحله و ساده بررسی کنیم:
🔍 اول: روت‌کیت چیست؟
روت‌کیت یک نوع بدافزار پیشرفته است که:
در سطح بسیار پایین سیستم (مانند Kernel یا حتی Firmware) اجرا میشود.
هدف اصلی‌اش مخفی کردن حضور خودش یا سایر فایل‌ها، پردازش‌ها، و کانکشن‌ها است.
معمولاً به‌گونه‌ای طراحی میشود که هرگونه لاگ، اثر یا رفتاری که بتواند آن را لو بدهد، پنهان می‌کند.
🛡 محصولEDR چطور کار می‌کند؟
این EDR (Endpoint Detection and Response)در سطح کاربر (User Mode) یا بعضی وقت‌ها Kernel Mode اجرا میشود.
رفتار فایل‌ها، پردازش‌ها، رجیستری، شبکه، و APIهای سیستم را مانیتور می‌کند.
با استفاده از قوانین و الگوریتم‌های رفتارشناسی، تهدیدات را شناسایی و پاسخ می‌دهد.
❌ پس چرا EDR نمی‌تواند روت‌کیت را ببیند؟
چند دلیل مهم:
1. روت‌کیت خودش را از دید سیستم پنهان می‌کند
روت‌کیت‌ها می‌توانند:
لیست پردازش‌ها را در حافظه دستکاری کنند تا پردازش خودش را مخفی کند.
فایل‌ها را در درایوها طوری پنهان کنند که حتی APIهای فایل‌سیستم هم آن‌ها را نشان ندهند.
لاگ‌های سیستم را دستکاری کنند یا غیرفعال کنند.
بنابراین EDR که به داده‌های سیستم متکی است، داده‌های فریب‌خورده دریافت می‌کند.
2. روت‌کیت‌ها می‌توانند خودِ EDR را دور بزنند یا غیرفعال کنند
یک روت‌کیت در سطح کرنل ممکن است هوک‌های (hooks) مربوط به فعالیت EDR را از بین ببرد.
حتی ممکن است کاری کند که فعالیت EDR در لاگ ثبت نشود.
3.و EDRها اغلب به User-mode محدود هستند
بسیاری از EDRها برای سازگاری با سیستم‌عامل و جلوگیری از کرش، بیشتر فعالیت‌شان در User-mode است.
ولی روت‌کیت‌ها در Kernel-mode (یا پایین‌تر) کار می‌کنند، یعنی عملاً EDR نمی‌تواند آن سطح را ببیند.
🎯 پس چطور می‌توان روت‌کیت‌ها را شناسایی کرد؟
✅ روش‌های پیشرفته‌تر:
Memory forensics (تحلیل رم با ابزارهایی مثل Volatility):
تحلیل مستقیم ساختارهای حافظه که ممکن است توسط روت‌کیت‌ها تغییر یافته باشند.
به جای اعتماد به APIهای سیستم‌عامل، مستقیماً محتویات حافظه بررسی میشود.
Boot-time Scanning / Offline Scanning:
اسکن کردن سیستم قبل از بوت شدن سیستم‌عامل، مثلاً با Live CD.
چون روت‌کیت هنوز فعال نشده، قابل مشاهده است.
Hypervisor-based Security:
استفاده از تکنولوژی‌هایی مثل Hyper-V برای مشاهده رفتار سیستم از بیرون از سیستم‌عامل.
نقش XDR در کشف روت کیت :
با توجه به اینکه XDR ماژول هوش و تحلیل پیشرفته تری دارد و از آن مهمتر ماژول هایی خارج از هاست دارد احتمال کشف روت کیت توسط آن بالا است.
#آکادمی_روزبه
روزبه نوروزی
اینکه چرا روت‌کیت‌ها (Rootkits) معمولاً توسط EDRها شناسایی نمیشوند، به ماهیت خود روت‌کیت‌ها و نحوه کار EDR برمی‌گردد. بیایید مرحله‌به‌مرحله و ساده بررسی کنیم:
🔍 اول: روت‌کیت چیست؟
روت‌کیت یک نوع بدافزار پیشرفته است که:
در سطح بسیار پایین سیستم (مانند Kernel یا حتی Firmware) اجرا میشود.
هدف اصلی‌اش مخفی کردن حضور خودش یا سایر فایل‌ها، پردازش‌ها، و کانکشن‌ها است.
معمولاً به‌گونه‌ای طراحی میشود که هرگونه لاگ، اثر یا رفتاری که بتواند آن را لو بدهد، پنهان می‌کند.
🛡 محصولEDR چطور کار می‌کند؟
این EDR (Endpoint Detection and Response)در سطح کاربر (User Mode) یا بعضی وقت‌ها Kernel Mode اجرا میشود.
رفتار فایل‌ها، پردازش‌ها، رجیستری، شبکه، و APIهای سیستم را مانیتور می‌کند.
با استفاده از قوانین و الگوریتم‌های رفتارشناسی، تهدیدات را شناسایی و پاسخ می‌دهد.
❌ پس چرا EDR نمی‌تواند روت‌کیت را ببیند؟
چند دلیل مهم:
1. روت‌کیت خودش را از دید سیستم پنهان می‌کند
روت‌کیت‌ها می‌توانند:
لیست پردازش‌ها را در حافظه دستکاری کنند تا پردازش خودش را مخفی کند.
فایل‌ها را در درایوها طوری پنهان کنند که حتی APIهای فایل‌سیستم هم آن‌ها را نشان ندهند.
لاگ‌های سیستم را دستکاری کنند یا غیرفعال کنند.
بنابراین EDR که به داده‌های سیستم متکی است، داده‌های فریب‌خورده دریافت می‌کند.
2. روت‌کیت‌ها می‌توانند خودِ EDR را دور بزنند یا غیرفعال کنند
یک روت‌کیت در سطح کرنل ممکن است هوک‌های (hooks) مربوط به فعالیت EDR را از بین ببرد.
حتی ممکن است کاری کند که فعالیت EDR در لاگ ثبت نشود.
3.و EDRها اغلب به User-mode محدود هستند
بسیاری از EDRها برای سازگاری با سیستم‌عامل و جلوگیری از کرش، بیشتر فعالیت‌شان در User-mode است.
ولی روت‌کیت‌ها در Kernel-mode (یا پایین‌تر) کار می‌کنند، یعنی عملاً EDR نمی‌تواند آن سطح را ببیند.
🎯 پس چطور می‌توان روت‌کیت‌ها را شناسایی کرد؟
✅ روش‌های پیشرفته‌تر:
Memory forensics (تحلیل رم با ابزارهایی مثل Volatility):
تحلیل مستقیم ساختارهای حافظه که ممکن است توسط روت‌کیت‌ها تغییر یافته باشند.
به جای اعتماد به APIهای سیستم‌عامل، مستقیماً محتویات حافظه بررسی میشود.
Boot-time Scanning / Offline Scanning:
اسکن کردن سیستم قبل از بوت شدن سیستم‌عامل، مثلاً با Live CD.
چون روت‌کیت هنوز فعال نشده، قابل مشاهده است.
Hypervisor-based Security:
استفاده از تکنولوژی‌هایی مثل Hyper-V برای مشاهده رفتار سیستم از بیرون از سیستم‌عامل.
نقش XDR در کشف روت کیت :
با توجه به اینکه XDR ماژول هوش و تحلیل پیشرفته تری دارد و از آن مهمتر ماژول هایی خارج از هاست دارد احتمال کشف روت کیت توسط آن بالا است.
#آکادمی_روزبه
👍1
وقتی ویندوز نسخه جدید و به روز استفاده میکنی
پی نوشت : بالاخره بخاری هم از مایکروسافت بلند میشه.
**نکته : مانعی برای حملاتی در زمره Bring Your Own Vulnerable Driver (BYOVD)
#آکادمی_روزبه
پی نوشت : بالاخره بخاری هم از مایکروسافت بلند میشه.
**نکته : مانعی برای حملاتی در زمره Bring Your Own Vulnerable Driver (BYOVD)
#آکادمی_روزبه
❤1
نکته ی روز
استمرار و ممارست ؛ رمز موفقیت هست .
اما
استراحت هم لازمه این وسط؛
واقعا و جدا لازمه؛
استراحت از کار از مطالعه و هرچیز دیگه
خودتون رو محروم نکنید چون قربانی اصلیش همین استمرار میتونه باشه
استمرار و ممارست ؛ رمز موفقیت هست .
اما
استراحت هم لازمه این وسط؛
واقعا و جدا لازمه؛
استراحت از کار از مطالعه و هرچیز دیگه
خودتون رو محروم نکنید چون قربانی اصلیش همین استمرار میتونه باشه
👍6🤝1
شنود بلوتوث ؛ PoC
#آکادمی_روزبه
This repository contains the implementation of a proof of concept to record and replay audio from a bluetooth device without the legitimate user's awareness
https://github.com/TarlogicSecurity/BlueSpy
#آکادمی_روزبه
This repository contains the implementation of a proof of concept to record and replay audio from a bluetooth device without the legitimate user's awareness
https://github.com/TarlogicSecurity/BlueSpy
GitHub
GitHub - TarlogicSecurity/BlueSpy: PoC to record audio from a Bluetooth device
PoC to record audio from a Bluetooth device. Contribute to TarlogicSecurity/BlueSpy development by creating an account on GitHub.
👍1
مقاله امشب
#آکادمی_روزبه
https://captain-woof.medium.com/windows-process-cloning-how-to-dump-a-process-without-dumping-the-process-f3101cbea2e1
#آکادمی_روزبه
https://captain-woof.medium.com/windows-process-cloning-how-to-dump-a-process-without-dumping-the-process-f3101cbea2e1
Medium
Windows Process Cloning — How to dump a process without dumping the process
That title isn’t an exagerration or wordplay. There is a way to dump a process without opening a read handle to it. Read on.
👍5
روش‌های لود شدن درایورهای کرنل (Kernel Drivers)
در سیستم‌عامل‌ها (به‌ویژه ویندوز و لینوکس) بسته به معماری سیستم‌عامل و نوع درایور روش لود می‌توانند متفاوت باشند. در ادامه، روش‌های اصلی بارگذاری درایورها در کرنل را بررسی می‌کنم:
🔵 در ویندوز (Windows):
1. لود شدن از طریق Service Control Manager (SCM)
ویندوز از SCM برای مدیریت سرویس‌ها و درایورها استفاده می‌کند.
درایورها در رجیستری در مسیر زیر تعریف می‌شوند:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<DriverName>
در اینجا، کلید Start مشخص می‌کند درایور در چه زمانی بارگذاری شود (Boot، System، Manual، ...).
مقدار توضیح
0 لود درایور در زمان بوت شدن بوت‌لودر (BOOT_START)
1 لود درایور در زمان لود شدن کرنل (SYSTEM_START)
2 لود دستی توسط سیستم یا کاربر
3 لود دستی فقط با دستور صریح
4 غیر فعال (Disabled)
2. لود از طریق NtLoadDriver
این API سیستمی که برای لود دستی درایور از فضای User-mode استفاده میشود.
ابزارهایی مانند sc.exe, OSRLoader یا برنامه‌های سفارشی از این API استفاده می‌کنند.
3. لود از طریق فریم‌ورک‌های درایور (مانند KMDF/UMDF)
این Windows Driver Frameworks اجازه می‌دهند درایورها به صورت مدرن‌تر و کنترل‌شده‌تر لود شوند.
4. لود توسط بدافزار یا rootkit
گاهی از تکنیک‌هایی مانند بارگذاری درایور unsigned از طریق آسیب‌پذیری، استفاده از CVEها، یا Patch کردن Kernel Memory برای بای‌پس کردن امضا استفاده میشود.
🟢 در لینوکس (Linux):
1. لود در زمان بوت توسط initramfs/initrd
برخی ماژول‌های کرنل (درایورها) در مرحله بوت اولیه لود می‌شوند.
پیکربندی‌ها معمولاً در /etc/initramfs-tools/ یا /boot/ وجود دارند.
2. لود خودکار توسط udev
زمانی که یک سخت‌افزار شناسایی میشود، udev به صورت داینامیک ماژول مناسب را بارگذاری می‌کند.
با دستور modprobe یا insmod می‌توان به صورت دستی نیز ماژول را بارگذاری کرد.
3. لود دستی:
با ابزارهای:
modprobe <module>
insmod <module.ko>
و حذف با:
rmmod <module>
modprobe -r <module>
4. لود از طریق فایل /etc/modules
برای لود شدن خودکار ماژول‌ها در زمان بوت.
🛡 نکته امنیتی:
لود شدن درایور کرنل (به‌ویژه در ویندوز) نیاز به دسترسی سطح کرنل یا Administrative privileges دارد. سوءاستفاده از این مکانیزم می‌تواند باعث اجرای کد با دسترسی بالا و ساخت rootkit شود.
#آکادمی_روزبه
در سیستم‌عامل‌ها (به‌ویژه ویندوز و لینوکس) بسته به معماری سیستم‌عامل و نوع درایور روش لود می‌توانند متفاوت باشند. در ادامه، روش‌های اصلی بارگذاری درایورها در کرنل را بررسی می‌کنم:
🔵 در ویندوز (Windows):
1. لود شدن از طریق Service Control Manager (SCM)
ویندوز از SCM برای مدیریت سرویس‌ها و درایورها استفاده می‌کند.
درایورها در رجیستری در مسیر زیر تعریف می‌شوند:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<DriverName>
در اینجا، کلید Start مشخص می‌کند درایور در چه زمانی بارگذاری شود (Boot، System، Manual، ...).
مقدار توضیح
0 لود درایور در زمان بوت شدن بوت‌لودر (BOOT_START)
1 لود درایور در زمان لود شدن کرنل (SYSTEM_START)
2 لود دستی توسط سیستم یا کاربر
3 لود دستی فقط با دستور صریح
4 غیر فعال (Disabled)
2. لود از طریق NtLoadDriver
این API سیستمی که برای لود دستی درایور از فضای User-mode استفاده میشود.
ابزارهایی مانند sc.exe, OSRLoader یا برنامه‌های سفارشی از این API استفاده می‌کنند.
3. لود از طریق فریم‌ورک‌های درایور (مانند KMDF/UMDF)
این Windows Driver Frameworks اجازه می‌دهند درایورها به صورت مدرن‌تر و کنترل‌شده‌تر لود شوند.
4. لود توسط بدافزار یا rootkit
گاهی از تکنیک‌هایی مانند بارگذاری درایور unsigned از طریق آسیب‌پذیری، استفاده از CVEها، یا Patch کردن Kernel Memory برای بای‌پس کردن امضا استفاده میشود.
🟢 در لینوکس (Linux):
1. لود در زمان بوت توسط initramfs/initrd
برخی ماژول‌های کرنل (درایورها) در مرحله بوت اولیه لود می‌شوند.
پیکربندی‌ها معمولاً در /etc/initramfs-tools/ یا /boot/ وجود دارند.
2. لود خودکار توسط udev
زمانی که یک سخت‌افزار شناسایی میشود، udev به صورت داینامیک ماژول مناسب را بارگذاری می‌کند.
با دستور modprobe یا insmod می‌توان به صورت دستی نیز ماژول را بارگذاری کرد.
3. لود دستی:
با ابزارهای:
modprobe <module>
insmod <module.ko>
و حذف با:
rmmod <module>
modprobe -r <module>
4. لود از طریق فایل /etc/modules
برای لود شدن خودکار ماژول‌ها در زمان بوت.
🛡 نکته امنیتی:
لود شدن درایور کرنل (به‌ویژه در ویندوز) نیاز به دسترسی سطح کرنل یا Administrative privileges دارد. سوءاستفاده از این مکانیزم می‌تواند باعث اجرای کد با دسترسی بالا و ساخت rootkit شود.
#آکادمی_روزبه
👍5🤝2
فراخوان OWASP برای ایجاد یک چارچوب متحد جهانی برای شناسایی و مدیریت آسیب‌پذیری‌ها
بنیاد OWASP در مقاله‌ای به قلم استیو
اسپرینگت، نایب‌رئیس هیئت‌مدیره جهانی OWASP، فراخوانی برای ایجاد یک چارچوب متحد جهانی برای شناسایی و مدیریت آسیب‌پذیری‌ها منتشر کرد. این اقدام در پاسخ به نگرانی‌های فزاینده درباره اثربخشی برنامه CVE و پایداری نقش دولت ایالات متحده در مدیریت بزرگ‌ترین پایگاه داده آسیب‌پذیری‌های جهان صورت گرفته است.
دلایل این فراخوان چیست؟
برنامه CVE و پایگاه داده ملی آسیب‌پذیری‌ها (NVD) که در ابتدا برای محیط‌های نرم‌افزاری تجاری طراحی شده بودند، اکنون با چالش‌هایی مواجه هستند:
افزایش استفاده از نرم‌افزارهای متن‌باز:
بیش از ۹۰٪ از برنامه‌های مدرن به اجزای متن‌باز متکی هستند، اما برنامه CVE اغلب در شناسایی سریع و مؤثر آسیب‌پذیری‌های این اجزا ناکام است.
نیازهای نوظهور امنیتی:
شناسایی ضعف‌ها در الگوریتم‌های رمزنگاری مانند AES-128 یا مسائل امنیتی در سیستم‌های هوش مصنوعی و دستگاه‌های پزشکی، که در چارچوب سنتی آسیب‌پذیری‌ها جای نمی‌گیرند، نیازمند رویکردهای جدیدی است.
محدودیت‌های مدل متمرکز:
وابستگی به یک مرجع مرکزی برای مدیریت اطلاعات آسیب‌پذیری‌ها، در برابر تهدیدات گسترده و پیچیده امروزی ناکارآمد به نظر می‌رسد.
پیشنهاد OWASP چیست؟
اینجا OWASP پیشنهاد می‌کند که یک مدل فدرال و غیرمتمرکز برای شناسایی و مدیریت آسیب‌پذیری‌ها ایجاد شود. این مدل با همکاری بین‌المللی و مشارکت جوامع مختلف، از جمله تولیدکنندگان دستگاه‌های پزشکی و گروه‌های صنعتی، به دنبال ایجاد سیستمی انعطاف‌پذیر و قابل توسعه است که بتواند طیف گسترده‌ای از مسائل امنیتی را پوشش دهد.
چگونه می‌توان مشارکت کرد؟
انجمن OWASP از دولت‌ها، رهبران صنعت، پژوهشگران و کارشناسان جامعه دعوت می‌کند تا با ارائه نظرات، تخصص و منابع خود، در شکل‌گیری این مدل جدید همکاری کنند.
هدف، ایجاد سیستمی است که نه تنها آسیب‌پذیری‌های سنتی، بلکه مسائل امنیتی نوظهور را نیز در بر گیرد.
#آکادمی_روزبه
ثبت نام دوره آزمون CISSP
واتس اپ 09902857290
https://owasp.org/blog/2025/04/17/owasp-global-vulnerability-intelligence.html
بنیاد OWASP در مقاله‌ای به قلم استیو
اسپرینگت، نایب‌رئیس هیئت‌مدیره جهانی OWASP، فراخوانی برای ایجاد یک چارچوب متحد جهانی برای شناسایی و مدیریت آسیب‌پذیری‌ها منتشر کرد. این اقدام در پاسخ به نگرانی‌های فزاینده درباره اثربخشی برنامه CVE و پایداری نقش دولت ایالات متحده در مدیریت بزرگ‌ترین پایگاه داده آسیب‌پذیری‌های جهان صورت گرفته است.
دلایل این فراخوان چیست؟
برنامه CVE و پایگاه داده ملی آسیب‌پذیری‌ها (NVD) که در ابتدا برای محیط‌های نرم‌افزاری تجاری طراحی شده بودند، اکنون با چالش‌هایی مواجه هستند:
افزایش استفاده از نرم‌افزارهای متن‌باز:
بیش از ۹۰٪ از برنامه‌های مدرن به اجزای متن‌باز متکی هستند، اما برنامه CVE اغلب در شناسایی سریع و مؤثر آسیب‌پذیری‌های این اجزا ناکام است.
نیازهای نوظهور امنیتی:
شناسایی ضعف‌ها در الگوریتم‌های رمزنگاری مانند AES-128 یا مسائل امنیتی در سیستم‌های هوش مصنوعی و دستگاه‌های پزشکی، که در چارچوب سنتی آسیب‌پذیری‌ها جای نمی‌گیرند، نیازمند رویکردهای جدیدی است.
محدودیت‌های مدل متمرکز:
وابستگی به یک مرجع مرکزی برای مدیریت اطلاعات آسیب‌پذیری‌ها، در برابر تهدیدات گسترده و پیچیده امروزی ناکارآمد به نظر می‌رسد.
پیشنهاد OWASP چیست؟
اینجا OWASP پیشنهاد می‌کند که یک مدل فدرال و غیرمتمرکز برای شناسایی و مدیریت آسیب‌پذیری‌ها ایجاد شود. این مدل با همکاری بین‌المللی و مشارکت جوامع مختلف، از جمله تولیدکنندگان دستگاه‌های پزشکی و گروه‌های صنعتی، به دنبال ایجاد سیستمی انعطاف‌پذیر و قابل توسعه است که بتواند طیف گسترده‌ای از مسائل امنیتی را پوشش دهد.
چگونه می‌توان مشارکت کرد؟
انجمن OWASP از دولت‌ها، رهبران صنعت، پژوهشگران و کارشناسان جامعه دعوت می‌کند تا با ارائه نظرات، تخصص و منابع خود، در شکل‌گیری این مدل جدید همکاری کنند.
هدف، ایجاد سیستمی است که نه تنها آسیب‌پذیری‌های سنتی، بلکه مسائل امنیتی نوظهور را نیز در بر گیرد.
#آکادمی_روزبه
ثبت نام دوره آزمون CISSP
واتس اپ 09902857290
https://owasp.org/blog/2025/04/17/owasp-global-vulnerability-intelligence.html
owasp.org
OWASP Calls to Build a Unified Framework for Global Vulnerability Intelligence | OWASP Foundation
OWASP Calls to Build a Unified Framework for Global Vulnerability Intelligence on the main website for The OWASP Foundation. OWASP is a nonprofit foundation that works to improve the security of software.
❤4👌2
#جایزه
به هر دانشجوی کلاس CISSP که در آزمون رسمی قبول شود مبلغ 3 میلیون تومان جایزه پرداخت میشود🌹
این حداقل کاری است که برای قدردانی از شما قابل انجام است
انشالله استفاده شود ✅
روزبه نوروزی💫
به هر دانشجوی کلاس CISSP که در آزمون رسمی قبول شود مبلغ 3 میلیون تومان جایزه پرداخت میشود🌹
این حداقل کاری است که برای قدردانی از شما قابل انجام است
انشالله استفاده شود ✅
روزبه نوروزی💫
❤6👌3💯1🍓1
مقاله‌ی زیر به بررسی سوءاستفاده مهاجمان سایبری از ابزارهای مدیریت و نظارت از راه دور (RMM) مانند TeamViewer، AnyDesk و ScreenConnect می‌پردازد.
این ابزارها که برای مدیریت سیستم‌ها توسط ارائه‌دهندگان خدمات مدیریت‌شده (MSP) طراحی شده‌اند، در صورت عدم مدیریت صحیح، می‌توانند به نقاط ضعف امنیتی تبدیل شوند.
نکات کلیدی مقاله:
استفاده مخرب از ابزارهای RMM: مهاجمان با نصب ابزارهای RMM بر روی سیستم‌های قربانی، دسترسی پایدار و مخفیانه‌ای به شبکه‌ها پیدا می‌کنند. این دسترسی می‌تواند از طریق روش‌هایی مانند پروتکل Remote Desktop (RDP) یا فیشینگ به دست آید.
سوءاستفاده از نصب‌های قبلی: در برخی موارد، مهاجمان از نسخه‌های نصب‌شده‌ی قبلی ابزارهایی مانند TeamViewer که هنوز در سیستم‌ها فعال هستند، بهره‌برداری می‌کنند. این دسترسی‌ها ممکن است به دلیل افشای اطلاعات ورود یا عدم حذف کامل ابزارهای قدیمی باشد.
اهمیت مدیریت ابزارهای قدیمی: در صورتی که یک کسب‌وکار ارائه‌دهنده خدمات MSP خود را تغییر دهد، ابزارهای RMM قدیمی ممکن است همچنان در سیستم‌ها باقی بمانند و به عنوان درهای پشتی برای مهاجمان عمل کنند.
توصیه‌های امنیتی: مقاله پیشنهاد می‌کند که سازمان‌ها باید فهرستی دقیق از نرم‌افزارهای نصب‌شده و فعال در سیستم‌های خود داشته باشند و به‌ویژه فایل‌های لاگ مانند ‘connections_incoming.txt’ در TeamViewer را برای شناسایی دسترسی‌های مشکوک بررسی کنند.
در مجموع، مقاله هشدار می‌دهد که ابزارهای RMM، در صورت عدم مدیریت صحیح، می‌توانند به نقاط ضعف امنیتی تبدیل شوند و تأکید می‌کند که سازمان‌ها باید نظارت دقیقی بر این ابزارها داشته باشند تا از سوءاستفاده‌های احتمالی جلوگیری کنند.
#آکادمی_روزبه
https://www.huntress.com/blog/tales-of-too-many-rmms
این ابزارها که برای مدیریت سیستم‌ها توسط ارائه‌دهندگان خدمات مدیریت‌شده (MSP) طراحی شده‌اند، در صورت عدم مدیریت صحیح، می‌توانند به نقاط ضعف امنیتی تبدیل شوند.
نکات کلیدی مقاله:
استفاده مخرب از ابزارهای RMM: مهاجمان با نصب ابزارهای RMM بر روی سیستم‌های قربانی، دسترسی پایدار و مخفیانه‌ای به شبکه‌ها پیدا می‌کنند. این دسترسی می‌تواند از طریق روش‌هایی مانند پروتکل Remote Desktop (RDP) یا فیشینگ به دست آید.
سوءاستفاده از نصب‌های قبلی: در برخی موارد، مهاجمان از نسخه‌های نصب‌شده‌ی قبلی ابزارهایی مانند TeamViewer که هنوز در سیستم‌ها فعال هستند، بهره‌برداری می‌کنند. این دسترسی‌ها ممکن است به دلیل افشای اطلاعات ورود یا عدم حذف کامل ابزارهای قدیمی باشد.
اهمیت مدیریت ابزارهای قدیمی: در صورتی که یک کسب‌وکار ارائه‌دهنده خدمات MSP خود را تغییر دهد، ابزارهای RMM قدیمی ممکن است همچنان در سیستم‌ها باقی بمانند و به عنوان درهای پشتی برای مهاجمان عمل کنند.
توصیه‌های امنیتی: مقاله پیشنهاد می‌کند که سازمان‌ها باید فهرستی دقیق از نرم‌افزارهای نصب‌شده و فعال در سیستم‌های خود داشته باشند و به‌ویژه فایل‌های لاگ مانند ‘connections_incoming.txt’ در TeamViewer را برای شناسایی دسترسی‌های مشکوک بررسی کنند.
در مجموع، مقاله هشدار می‌دهد که ابزارهای RMM، در صورت عدم مدیریت صحیح، می‌توانند به نقاط ضعف امنیتی تبدیل شوند و تأکید می‌کند که سازمان‌ها باید نظارت دقیقی بر این ابزارها داشته باشند تا از سوءاستفاده‌های احتمالی جلوگیری کنند.
#آکادمی_روزبه
https://www.huntress.com/blog/tales-of-too-many-rmms
Huntress
Tales of Too Many RMMs | Huntress
In a highly interconnected world, remote monitoring and management (RMM) tools are critical to reducing cost and increasing efficiencies. However, these tools pose challenges and even significant risk if not properly managed.
👌3
به روزرسانی از راه دور UF اسپلانک
ابزار جدیدی به نام "Splunk Remote Upgrader for Linux Universal Forwarders" ارائه شده است که این ابزار به مدیران سیستم یا تیم‌های امنیتی کمک می‌کنه که Universal Forwarderهای لینوکسی خودشون رو از راه دور و به‌صورت متمرکز آپگرید کنن، بدون اینکه نیاز باشه به صورت دستی روی هر سرور این کار انجام بشه.
مشکل قبلی: آپگرید کردن Universal Forwarderها (UF) روی لینوکس‌ها معمولاً یک کار وقت‌گیر و دستی بود، به‌خصوص در محیط‌هایی که تعداد زیادی UF دارند.
راهکار جدید: Splunk یک اسکریپت Bash معرفی کرده که به صورت remote و اتوماتیک این کار رو انجام می‌ده.
مزایا:
صرفه‌جویی در زمان.
کاهش احتمال خطای انسانی.
سازگار با ابزارهای اتوماسیون و CI/CD.
میشه در مقیاس بزرگ ازش استفاده کرد.
چطوری کار می‌کنه:
فایل باینری جدید UF به یک مکان مرکزی کپی میشه.
از طریق SSH به سرورها وصل میشه.
اونUF قدیمی رو حذف یا بروز می‌کنه، کانفیگ‌ها حفظ می‌شن.
سرویس UF دوباره راه‌اندازی میشه.
پی نوشت :
درسته که Deployment Server (DS) توی Splunk برای مدیریت پیکربندی Universal Forwarderها استفاده میشه، اما باید به یه نکته‌ی مهم دقت کنیم:
سرور Deployment Server چی کار می‌کنه؟
فقط پیکربندی (configs) رو مدیریت می‌کنه: مثل inputs.conf, outputs.conf, props.conf و ...
میتونه این تنظیمات رو به گروهی از UFها push کنه.
اما...
این Deployment Server آپگرید نرم‌افزار UF رو انجام نمی‌ده.
یعنی:
اگر نسخه UF روی کلاینت 7.3 باشه و شما بخوای به 9.2 ارتقا بدی، DS نمی‌تونه خودش فایل باینری جدید رو نصب کنه.
اینDS کاری به خود بروزرسانی نسخه‌ی UF نداره. فقط کانفیگ می‌ده.
#آکادمی_روزبه
https://www.splunk.com/en_us/blog/platform/splunk-remote-upgrader-for-linux-universal-forwarders.html?utm_source=linkedin&utm_medium=social-media&linkId=799806695
ابزار جدیدی به نام "Splunk Remote Upgrader for Linux Universal Forwarders" ارائه شده است که این ابزار به مدیران سیستم یا تیم‌های امنیتی کمک می‌کنه که Universal Forwarderهای لینوکسی خودشون رو از راه دور و به‌صورت متمرکز آپگرید کنن، بدون اینکه نیاز باشه به صورت دستی روی هر سرور این کار انجام بشه.
مشکل قبلی: آپگرید کردن Universal Forwarderها (UF) روی لینوکس‌ها معمولاً یک کار وقت‌گیر و دستی بود، به‌خصوص در محیط‌هایی که تعداد زیادی UF دارند.
راهکار جدید: Splunk یک اسکریپت Bash معرفی کرده که به صورت remote و اتوماتیک این کار رو انجام می‌ده.
مزایا:
صرفه‌جویی در زمان.
کاهش احتمال خطای انسانی.
سازگار با ابزارهای اتوماسیون و CI/CD.
میشه در مقیاس بزرگ ازش استفاده کرد.
چطوری کار می‌کنه:
فایل باینری جدید UF به یک مکان مرکزی کپی میشه.
از طریق SSH به سرورها وصل میشه.
اونUF قدیمی رو حذف یا بروز می‌کنه، کانفیگ‌ها حفظ می‌شن.
سرویس UF دوباره راه‌اندازی میشه.
پی نوشت :
درسته که Deployment Server (DS) توی Splunk برای مدیریت پیکربندی Universal Forwarderها استفاده میشه، اما باید به یه نکته‌ی مهم دقت کنیم:
سرور Deployment Server چی کار می‌کنه؟
فقط پیکربندی (configs) رو مدیریت می‌کنه: مثل inputs.conf, outputs.conf, props.conf و ...
میتونه این تنظیمات رو به گروهی از UFها push کنه.
اما...
این Deployment Server آپگرید نرم‌افزار UF رو انجام نمی‌ده.
یعنی:
اگر نسخه UF روی کلاینت 7.3 باشه و شما بخوای به 9.2 ارتقا بدی، DS نمی‌تونه خودش فایل باینری جدید رو نصب کنه.
اینDS کاری به خود بروزرسانی نسخه‌ی UF نداره. فقط کانفیگ می‌ده.
#آکادمی_روزبه
https://www.splunk.com/en_us/blog/platform/splunk-remote-upgrader-for-linux-universal-forwarders.html?utm_source=linkedin&utm_medium=social-media&linkId=799806695
Splunk
Splunk Remote Upgrader for Linux Universal Forwarders | Splunk
Splunker Piotr Lenarczyk explains how the Splunk Remote Upgrader for Linux enhances the efficiency of upgrading Universal Forwarders.
❤3🤝2👍1👌1
BloodHound-MCP-AI is integration that connects BloodHound with AI through Model Context Protocol, allowing security professionals to analyze Active Directory attack paths using natural language instead of complex Cypher queries.
#آکادمی_روزبه
با مدل‌های LLM به بلادهاوند کوئری بزنید
https://github.com/MorDavid/BloodHound-MCP-AI
#آکادمی_روزبه
با مدل‌های LLM به بلادهاوند کوئری بزنید
https://github.com/MorDavid/BloodHound-MCP-AI
GitHub
GitHub - MorDavid/BloodHound-MCP-AI: BloodHound-MCP-AI is integration that connects BloodHound with AI through Model Context Protocol…
BloodHound-MCP-AI is integration that connects BloodHound with AI through Model Context Protocol, allowing security professionals to analyze Active Directory attack paths using natural language ins...
👌3🤝1