🔺 حمله‌ی SSRF روی پلتفرم اشتراک‌گذاری ویدئوی Vimeo

آسیب‌پذیری‌ای که امروز از Vimeo منتشر شده (مربوط به ماه May)، ایده‌ی خیلی خوبی به آدم میده. قضیه این بوده که وقتی توی این پلتفرم می‌خوایم ویدئویی آپلود کنیم چند گزینه پیش روی ماست. یکی اینکه مستقیم از روی سیستم خودمون آپلود انجام بدیم و دیگر اینکه از روی یه سرور یا فضای اشتراک‌گذاری دیگه ویدئومون رو وارد کنیم. می‌دونید که الگوی آسیب‌پذیری SSRF هم از همین گزینه‌ی دوم ناشی می‌شه معمولا همه جا. مثلا یه جا می‌شه عکس پروفایل رو از یه سرور دیگه درخواست داد، یا مثلا مستندات و فایل‌های نوشتاری رو میشه از یه سایت دیگه وارد کرد، اینجام ویدئو رو. منتها چالش اینجا فقط این پروسه‌ی وارد کردنه نبوده. این محقق اومده بررسی کرده دیده وقتی ویدئو رو می‌خوایم از یه سرور دیگه درخواست بدیم، Vimeo اول یه درخواست میده ببینه اصلا سایز اون فایل چقدره؟ اگه از یه حدی بالاتر باشه درخواست دریافت اون ویدئو رو «یکجا» نمیده. بخش بخش می‌فرسته درخواست‌هارو. طی چند درخواست. این بابا هم اومده تست کرده ببینه آیا بین این درخواست‌ها می‌شه یه چیز دیگه به خورد Vimeo داد؟ مثلا درخواست رو هدایت کرد به یه جای دیگه و یه پاسخ دیگه بهش داد؟ دیده بله میشه. یه وب‌سرور کوچیک نوشته و درخواست‌هارو گرفته و Partially پاسخ داده و بینش یه ریدایرکشن تعریف کرده به سمت یه فایل txt (که می‌تونه مثلا پیلود حمله‌مون باشه) و بعد ادامه‌ی محتوای ویدئو. حالا البته نگفته تهش تونسته از این حمله بهره‌ی خاصی ببره یا نه (مثلا دستور اجرا کنه و..) که احتمالا نتونسته ولی همین ایده‌ش به اندازه کافی قشنگه و چهار هزار دلار بهش دادن. می‌تونید اینجا بخونید گزارشش رو.
منبع:آفسک
@UseLinux

یک شرکت دانش بنیان معتبر در زمینه احراز هویت دیجیتال برای تکمیل نیروی انسانی خود در استان تهران از کارشناسان بینایی ماشین و پردازش تصویر دعوت به همکاری می‌نماید
جهت اطلاعات بیشتر به لینک زیر مراجعه فرمایید
https://jobinja.ir/181934
@uselinux

🔰شخصی این عکس را توویت کرده و گفته دیتاهای توویت شما اینگونه آنالیز و مانیتور میشوند!!!
https://twitter.com/MayhemDayOne/status/1205987400759087104?s=20

@UseLinux

🔰Reverse TCP shell with Powershell
این پیلود قادر به بایپس تمامی فایروالها و آنتی ویروس ها میباشد:
https://github.com/ZHacker13/ReverseTCPShell

@UseLinux

✳️ یه محقق امنیتی خوش ذوق اومده و نحوه کار Stack رو به صورت انیمیشن دراورده و بعد از اون حمله Buffer overflow رو شبیه سازی کرده. خیلی ایده جالبی بوده برای آموزش. کسانی که علاقه دارند میتونن برن تو سایت ایشون و ببینن.
https://nagarrosecurity.com/blog/interactive-buffer-overflow-exploitation
منبع:آفسک

@UseLinux

🔰ابزاری برای بایپس SSL Pinning در اندروید:
https://github.com/51j0/Android-CertKiller

@UseLinux

🔰WriteUps:

2FA Bypass Techniques — Only Checklists
https://t.co/wSLkHr9Jx3

Find Secret API-Keys
https://t.co/eqkBkw2EyQ

GraphQL IDOR leads to information disclosure
https://t.co/xtVBfp6Xpw

How I got your phone number through Facebook
https://t.co/7oAEPazpdu

@UseLinux

@uselinux
معماری جالب و مباحث فنی پشت کافه بازار
(بیشتر فرانت اند هست تمرکز مقاله vue.js/nuxt.js)
لینک
@uselinux

@uselinux
سال جدید میلادی رو به همه تبریک میگیم
امیدواریم سالی پر از موفقیت برای همه عزیزان باشه 🤩🥳
@uselinux

@uselinux
💥کرنل لینوکس در ورود به سال 2020 به 27.8 میلیون خط در گیت رسید اما در سال 2019 دولوپران کمتری روی آن کار کردند!
@uselinux
در سال 2019 کرنل لینوکس 74,754 کامیت دریافت کرد درحالی که این تعداد پایین ترین میزان از سال 2013 بوده است
در سال 2017 و 2018 کامیت ها 80k و در سال 2016 حدود 77k و در سال های 2014 , 2015 به میزان 75k بوده است
@uselinux
علاوه بر کامیت ها میزان دولوپران نیز کمتر بوده است
در سال 2019 حدود 4189
در سال 2018 حدود 4362
و در سال 2017 نیز 4402
@uselinux
و با وجود کامیت های کمتر 3,386,347 خط کد جدید به آن اضافه و 1,696,620 خط از آن حذف شده است
و لینوس توروالدز بیشترین میزان کانتریبیوت را داشته است .
@uselinux
منبع

وقتی یکی ازم میپرسه چه توزیع لینوکسی نصب کنم ,درحالی که #جنگ_جهانی_سوم #WW3 ترند توییتر شده😕
@uselinux

🔰#نکات_لینوکسی:
1) تو ترمینال میشه خیلی ساده بازدن <Ctrl+u> تو ترمینال کل اون سطر رو‌بپاکید به جای اینکه انگشتتونو بزارید رو backspace😐

2) به جای اینکه هر دفعه بزنید clear تا صفحه پاک بشه خیلی راحت میتونید با زدن <Ctrl+l> همینکارو انجام بدید :)

➖@UseLinux➖

🔰بیش از ۴۰۰ سورس پلاگین brup suite و بیش از ۵۰۰ ویدیو و تصویر:

https://github.com/alphaSeclab/awesome-burp-suite

➖@UseLinux➖

🔰آسیب پذیری 0day در مدیا پلیر ویندوز به مهاجمان امکان دسترسی به اطلاعات حساس را میدهد. برای اکسپلویت کردن این آسیب پذیری مهاجم باید با هدف ارتباط برقرار کند به این منظور کاربر باید یک صفحه ویا فایل مخرب را باز کند. این آسیب پذیری مربوط به مکانیسم کد گذاری MPEG است.
منبع:آپا
➖@UseLinux➖

🔰مجموعه‌ای از لیست پیلود ها:
Command Injection:-
https://t.co/FKLGsBxpYZ

XSS Payloads:-
https://t.co/kmf9Ep11VA

XXE Payload List:-
https://t.co/izzAiaVJHG

SQLI Payload List:-
https://t.co/x8NEKwnKDJ

RFI/LFI :-
https://t.co/8ApByen6Bk

Open Redirect:-
https://t.co/7W7I6d4mjC

➖@UseLinux➖

🔰ابزاری برای اسکرپ اطلاعات گروه‌های تلگرام:
https://securityonline.info/telegram-scraper-telegram-group-scraper-tool/

➖@UseLinux➖

🔰[PoC] Mozilla Firefox – Denial Of Service

Remove 'https:// & .com/' from the following URL 'firefoxcrash.000webhostapp.com/.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a.a_'
Make sure to include the underscore '_' at the end of the URL string.

https://t.co/EsLUVzLilO

@UseLinux

🔰بایپس تشخیص روت بودن گوشی از اپ‌ها:
https://medium.com/@sarang6489/root-detection-bypass-by-manual-code-manipulation-5478858f4ad1

@UseLinux

در این وبینار به بررسی لینوکس و استفاده آن در صنعت خواهیم پرداخت

ای وبینار بصورت کاربردی است . که برای شما مسیر راه و ساختار تجاری و سازمانی را بازگو میکند .
⏱این وبینار در تاریخ ۱۹ دیماه ۹۸ ساعت ۱۶ برگزار خواهد شد .
نکته: همچنین وبیناررکورد خواهد شد



جهت ثبت نام کلیک نمایید .

آنچه در وبینار خواهیم گفت :

💡سهم لینوکس در ابر کامپیوتر ها
💡تفاوت توزیع های گنو/لینوکس
💡تاریخچه لینوکس
💡بحث Linux Virtual Appliance Library و مباحث appliance
💡 لینوکس و پایگاه داده اوراکل
💡 لینوکس به عنوان utm و فایروال (معرفی ابزار و ساختارهای آن )
💡لینوکس و روتینگ (معرفی ابزار و ساختارهای routing suite )
💡لینوکس و nas (معرفی ابزار و ساختارهای آن )
💡لینوکس و Network Access Control
💡لینوکس و شبکه
ا💡 freeipa در لینوکس
ا💡 ipam و لینوکس
💡لینوکس و e-kids
💡لینوکس و physiological computing
💡لینوکس و Physical Computing
💡لینوکس و IOT
💡لینوکس و embedded device & Embedded os
💡لینوکس و Virtualization
💡لینوکس و Cloud Computing
💡لینوکس و geolocation
💡لینوکس و Search engine
💡لینوکس و Dns
💡لینوکس و Inventory
و ...

🔰Blind sql inj. without an "in":

http://medium.com/p/1e14ba1d4952

@UseLinux

🔰امسال (۲۰۲۰) باید از خیلی چیزها خداحافظی کرد:

+پایتون۲😭
+ویندوز۷(کمتر از ۷روز دیگر)
+ساپورت نشدن Windows Server 2008 R2(کمتر از ۷روز دیگر):
https://www.microsoft.com/en-us/cloud-platform/windows-server-2008

➖@UseLinux➖

🔰Django < 3.0 < 2.2 < 1.11 - Account Hijack:

https://www.exploit-db.com/exploits/47879

➖@UseLinux➖

🔰بایپس آنتی ویروس ها از طریق اجرای فایل exe در مموری:
https://blog.dylan.codes/bypassing-av-via

➖@UseLinux➖

🔰رایت آپی جالب در مورد اپلود کردن .htaccess به عنوان image جهت بایپس فیلترها:
medium.com/p/71dfcf797a86

➖@UseLinux➖

@uselinux
🥀🖤 وقتی که نمیدونی آخرش اینطور تموم میشه ..
وقتی که اکانتت برای همیشه خاموش خواهد موند ..
و شوخی ای که بجای خنده , اشک آدما رو در میاره .. .


مجتبی عباس نژاد از درگذشتگان سانحه هوایی امروز.. و اخرین توییتش قبل از پرواز ..
#تسلیت_ایران . .
تسلیت به تمام خانواده های داغ دار این حادثه..
@uselinux

💥هایو ابر رو احتمالا با سرور های باکیفیت و قیمت مناسب فرانسه اش میشناسید ,
دیروز علاوه بر لوکیشن های فرانسه و امریکا ,سرور لوکیشن ایران هم به زیرساخت های ابریش اضافه کرد👌🏻

https://www.haio.ir/
@haioir
@uselinux

🔰NordVPN
برخی ها خیلی خوش‌شانس هستند.
طرف فقط لاگ‌های اسکنر رو کپی پیست کرده و ریپورت داده بانتی 500$دلار گرفته😐

https://hackerone.com/reports/751876

@UseLinux