Hootan HemmatiHootan Hemmati
پترن 𝗢𝘂𝘁𝗯𝗼𝘅 چیه و چرا انقدر مهمه؟
حتماً تا حالا برات پیش اومده که بخوای پیام یا داده‌ای رو از یک سرویس به سرویس دیگه بفرستی، اما نگران باشی که اگه اون سرویس مقصد موقتاً از کار بیفته، تکلیف پیامت چی میشه؟ یا اینکه اگه هنگام آپدیت پایگاه داده‌ات خطایی رخ بده، اطلاعات و رویدادها ناهماهنگ نشن؟
مشکل کجاست؟
وقتی شما یه سری تغییرات (مثلاً ایجاد یا ویرایش محصول) توی دیتابیس انجام میدی و هم‌زمان میخوای یه پیام (event) رو هم برای سرویس دیگه‌ای بفرستی – مثلاً از طریق RabbitMQ یا Kafka – ممکنه یکی از این مراحل موفق بشه و اون یکی شکست بخوره. این اتفاق باعث میشه که یک سرویس آپدیت بشه و سرویس دیگه بی‌خبر بمونه و در نتیجه داده‌ها ناهماهنگ شن.
پترن Outbox چجوری به کمکمون میاد؟
اینجاست که الگوی Outbox به دادمون میرسه. توی این روش، اول تمام تغییرات و رویدادهایی که میخوایم ارسال کنیم رو توی جدولی (Outbox Table) در دیتابیس خودمون ذخیره میکنیم. این کار در همون تراکنش (Transaction) اصلی دیتابیس انجام میشه که بقیه تغییرات هم انجام شدن. بعد یه فرآیند جدا (بهش میگن Outbox Process) دائماً میاد این جدول رو چک میکنه و هر رویدادی که اضافه شده رو برمیداره و میفرسته به Message Broker (مثل RabbitMQ). اگر با موفقیت فرستاد، اون سطر (رویداد) رو از دیتابیس پاک میکنه. اگه نشد، توی دور بعدی دوباره تلاش میکنه.
چرا این کار مفیده؟
- اول از همه، هماهنگی داده‌ها بین سرویس‌های مختلف رو تضمین میکنه.
- دوماً، قابل اطمینانه: حتی اگه Message Broker موقتاً از دسترس خارج بشه، رویدادهایی که بایستی ارسال شن از توی Outbox پاک نمیشن و هر وقت Broker دوباره در دسترس باشه فرستاده میشن.
- سوماً، مقیاس‌پذیره: هر وقت بخوای سرویس‌های جدید اضافه کنی یا پیام‌ها رو جای دیگه بفرستی، همین روال رو ادامه میدی.
در واقع Outbox Pattern یه تضمین آسون و محکم برای اینه که رویدادها از دست نرن و سیستم‌های مختلف همیشه با هم هماهنگ بمونن. این الگو برای ساخت سیستم‌های توزیع‌شده و میکروسرویس‌ها خیلی مهمه و به ما کمک میکنه با خاطری آسوده توی دیتابیس تغییر ایجاد کنیم و مطمئن باشیم پیام‌هامون هم هیچ جا گم نمیشن.
پترن 𝗢𝘂𝘁𝗯𝗼𝘅 چیه و چرا انقدر مهمه؟
حتماً تا حالا برات پیش اومده که بخوای پیام یا داده‌ای رو از یک سرویس به سرویس دیگه بفرستی، اما نگران باشی که اگه اون سرویس مقصد موقتاً از کار بیفته، تکلیف پیامت چی میشه؟ یا اینکه اگه هنگام آپدیت پایگاه داده‌ات خطایی رخ بده، اطلاعات و رویدادها ناهماهنگ نشن؟
مشکل کجاست؟
وقتی شما یه سری تغییرات (مثلاً ایجاد یا ویرایش محصول) توی دیتابیس انجام میدی و هم‌زمان میخوای یه پیام (event) رو هم برای سرویس دیگه‌ای بفرستی – مثلاً از طریق RabbitMQ یا Kafka – ممکنه یکی از این مراحل موفق بشه و اون یکی شکست بخوره. این اتفاق باعث میشه که یک سرویس آپدیت بشه و سرویس دیگه بی‌خبر بمونه و در نتیجه داده‌ها ناهماهنگ شن.
پترن Outbox چجوری به کمکمون میاد؟
اینجاست که الگوی Outbox به دادمون میرسه. توی این روش، اول تمام تغییرات و رویدادهایی که میخوایم ارسال کنیم رو توی جدولی (Outbox Table) در دیتابیس خودمون ذخیره میکنیم. این کار در همون تراکنش (Transaction) اصلی دیتابیس انجام میشه که بقیه تغییرات هم انجام شدن. بعد یه فرآیند جدا (بهش میگن Outbox Process) دائماً میاد این جدول رو چک میکنه و هر رویدادی که اضافه شده رو برمیداره و میفرسته به Message Broker (مثل RabbitMQ). اگر با موفقیت فرستاد، اون سطر (رویداد) رو از دیتابیس پاک میکنه. اگه نشد، توی دور بعدی دوباره تلاش میکنه.
چرا این کار مفیده؟
- اول از همه، هماهنگی داده‌ها بین سرویس‌های مختلف رو تضمین میکنه.
- دوماً، قابل اطمینانه: حتی اگه Message Broker موقتاً از دسترس خارج بشه، رویدادهایی که بایستی ارسال شن از توی Outbox پاک نمیشن و هر وقت Broker دوباره در دسترس باشه فرستاده میشن.
- سوماً، مقیاس‌پذیره: هر وقت بخوای سرویس‌های جدید اضافه کنی یا پیام‌ها رو جای دیگه بفرستی، همین روال رو ادامه میدی.
در واقع Outbox Pattern یه تضمین آسون و محکم برای اینه که رویدادها از دست نرن و سیستم‌های مختلف همیشه با هم هماهنگ بمونن. این الگو برای ساخت سیستم‌های توزیع‌شده و میکروسرویس‌ها خیلی مهمه و به ما کمک میکنه با خاطری آسوده توی دیتابیس تغییر ایجاد کنیم و مطمئن باشیم پیام‌هامون هم هیچ جا گم نمیشن.
❤3
🔵 عنوان مقاله
Microsoft Fixes Windows Server 2022 Bug Breaking Device Boot (2 minute read)
🟢 خلاصه مقاله:
مایکروسافت اخیراً رفع اشکالی را برای ویندوز سرور ۲۰۲۲ منتشر کرده است که باعث می‌شد سیستم‌هایی با دو یا چند گره NUMA در هنگام راه‌اندازی شکست بخورند. گره‌های NUMA به طور معمول برای بهینه‌سازی استفاده از CPU و حافظه استفاده می‌شوند. علاوه بر این، مایکروسافت اعلام کرده است که در حال کار بر روی رفع مشکلی در ویندوز سرور ۲۰۲۵ است که منجر به شکست در بوت شدن محیط‌های iSCSI می‌شود. این تلاش‌ها نشان می‌دهد که مایکروسافت مصمم است در پیشگیری و حل مشکلات سخت‌افزاری مرتبط با سرویس‌های خود به سرعت عمل کند تا اطمینان حاصل شود که کاربران به راه‌اندازی و استفاده‌های بهینه از سیستم‌های خود ادامه دهند.
🟣لینک مقاله:
https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-windows-server-2022-bug-breaking-device-boot/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Microsoft Fixes Windows Server 2022 Bug Breaking Device Boot (2 minute read)
🟢 خلاصه مقاله:
مایکروسافت اخیراً رفع اشکالی را برای ویندوز سرور ۲۰۲۲ منتشر کرده است که باعث می‌شد سیستم‌هایی با دو یا چند گره NUMA در هنگام راه‌اندازی شکست بخورند. گره‌های NUMA به طور معمول برای بهینه‌سازی استفاده از CPU و حافظه استفاده می‌شوند. علاوه بر این، مایکروسافت اعلام کرده است که در حال کار بر روی رفع مشکلی در ویندوز سرور ۲۰۲۵ است که منجر به شکست در بوت شدن محیط‌های iSCSI می‌شود. این تلاش‌ها نشان می‌دهد که مایکروسافت مصمم است در پیشگیری و حل مشکلات سخت‌افزاری مرتبط با سرویس‌های خود به سرعت عمل کند تا اطمینان حاصل شود که کاربران به راه‌اندازی و استفاده‌های بهینه از سیستم‌های خود ادامه دهند.
🟣لینک مقاله:
https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-windows-server-2022-bug-breaking-device-boot/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
BleepingComputer
Microsoft fixes Windows Server 2022 bug breaking device boot
Microsoft has fixed a bug that was causing some Windows Server 2022 systems with two or more NUMA nodes to fail to start up.
🔵 عنوان مقاله
Telegram-Based “Sneaky 2FA” Phishing Kit Targets Microsoft 365 Accounts (3 minute read)
🟢 خلاصه مقاله:
مقاله‌ای که بررسی شده، به تشریح یک کیت فیشینگ جدید به نام Sneaky 2FA می‌پردازد که حساب‌های Microsoft 365 را هدف قرار داده است. این کیت، که از طریق پلتفرم تلگرام به عنوان یک خدمت عرضه می‌شود، شامل تکنیک‌هایی برای جلوگیری از شناسایی است و به این ترتیب، تهدید قابل توجهی برای امنیت سایبری به حساب می‌آید. به سازمان‌ها توصیه می‌شود که تهدیدات را به دقت زیر نظر داشته باشند و تدابیر امنیتی خود را به منظور مقابله با این خطر رو به رشد تقویت بخشند. استفاده از تلگرام برای ارائه این کیت نشان دهنده تطبیق پذیری و پیچیدگی افزایش یافته در روشهای فیشینگ است. این امر لزوم بررسی و تقویت مستمر فرایند‌های امنیتی را بیش از پیش ضروری می‌سازد تا از حساب‌های کاربری و داده‌ها محافظت شود.
🟣لینک مقاله:
https://hackread.com/telegram-sneaky-2fa-phishing-kit-microsoft-365-accounts/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Telegram-Based “Sneaky 2FA” Phishing Kit Targets Microsoft 365 Accounts (3 minute read)
🟢 خلاصه مقاله:
مقاله‌ای که بررسی شده، به تشریح یک کیت فیشینگ جدید به نام Sneaky 2FA می‌پردازد که حساب‌های Microsoft 365 را هدف قرار داده است. این کیت، که از طریق پلتفرم تلگرام به عنوان یک خدمت عرضه می‌شود، شامل تکنیک‌هایی برای جلوگیری از شناسایی است و به این ترتیب، تهدید قابل توجهی برای امنیت سایبری به حساب می‌آید. به سازمان‌ها توصیه می‌شود که تهدیدات را به دقت زیر نظر داشته باشند و تدابیر امنیتی خود را به منظور مقابله با این خطر رو به رشد تقویت بخشند. استفاده از تلگرام برای ارائه این کیت نشان دهنده تطبیق پذیری و پیچیدگی افزایش یافته در روشهای فیشینگ است. این امر لزوم بررسی و تقویت مستمر فرایند‌های امنیتی را بیش از پیش ضروری می‌سازد تا از حساب‌های کاربری و داده‌ها محافظت شود.
🟣لینک مقاله:
https://hackread.com/telegram-sneaky-2fa-phishing-kit-microsoft-365-accounts/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Hackread
Telegram-Based “Sneaky 2FA” Phishing Kit Targets Microsoft 365 Accounts
Follow us on Bluesky, Twitter (X) and Facebook at @Hackread
🔵 عنوان مقاله
GitXRay (GitHub Repo)
🟢 خلاصه مقاله:
GitXRay است ابزار امنیتی مخصوص مخازن GitHub که از APIهای عمومی GitHub برای اهداف مختلفی مانند OSINT (استخراج اطلاعات از منابع باز) و پزشکی قانونی استفاده می‌کند. این ابزار قادر است تا اطلاعات حساس، فعالان تهدید، و مخازن جعلی یا آلوده را شناسایی کند. کاربران می‌توانند با نصب و اجرای GitXRay، امنیت مخزن خود را افزایش دهند و دیدگاه‌های ارزشمندی به دست آورند. استفاده از GitXRay به کاربران کمک می‌کند تا با افزایش آگاهی نسبت به مسائل امنیتی و شناسایی مخاطرات احتمالی، مدیریت بهتری بر روی محیط توسعه‌ی خود داشته باشند. به این ترتیب، GitXRay ابزاری کارآمد برای تقویت امنیت در میان توسعه‌دهندگان و سازمان‌هایی است که از GitHub به عنوان پلتفرم اصلی خود برای مدیریت کد استفاده می‌کنند.
🟣لینک مقاله:
https://github.com/kulkansecurity/gitxray?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
GitXRay (GitHub Repo)
🟢 خلاصه مقاله:
GitXRay است ابزار امنیتی مخصوص مخازن GitHub که از APIهای عمومی GitHub برای اهداف مختلفی مانند OSINT (استخراج اطلاعات از منابع باز) و پزشکی قانونی استفاده می‌کند. این ابزار قادر است تا اطلاعات حساس، فعالان تهدید، و مخازن جعلی یا آلوده را شناسایی کند. کاربران می‌توانند با نصب و اجرای GitXRay، امنیت مخزن خود را افزایش دهند و دیدگاه‌های ارزشمندی به دست آورند. استفاده از GitXRay به کاربران کمک می‌کند تا با افزایش آگاهی نسبت به مسائل امنیتی و شناسایی مخاطرات احتمالی، مدیریت بهتری بر روی محیط توسعه‌ی خود داشته باشند. به این ترتیب، GitXRay ابزاری کارآمد برای تقویت امنیت در میان توسعه‌دهندگان و سازمان‌هایی است که از GitHub به عنوان پلتفرم اصلی خود برای مدیریت کد استفاده می‌کنند.
🟣لینک مقاله:
https://github.com/kulkansecurity/gitxray?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
GitHub
GitHub - kulkansecurity/gitxray: A multifaceted security tool which leverages Public GitHub REST APIs for OSINT, Forensics, Pentesting…
A multifaceted security tool which leverages Public GitHub REST APIs for OSINT, Forensics, Pentesting and more. - kulkansecurity/gitxray
🔵 عنوان مقاله
AI-Supported Spear Phishing Fools More Than 50% of Targets (3 minute read)
🟢 خلاصه مقاله:
در یک مطالعه، گروهی از پژوهشگران اثربخشی ایمیل‌های فیشینگ هدفمند (spear-phishing) را که توسط عامل‌های هوش مصنوعی، با بهره‌گیری از Claude 3.5 Sonnet و GPT-4o تهیه شده بودند، بررسی کردند. این عامل‌های AI با جمع‌آوری اطلاعات از اینترنت درباره اهداف، ایمیل‌ها را تولید کرده‌اند. نتایج نشان داد که نرخ کلیک (CTR) برای ایمیل‌های تولید شده توسط AI 54% بود که در مقایسه با گروه کنترل که CTR آنها 12% بود، به شکل قابل توجهی بالاتر است. ایمیل‌های دست‌ساز انسانی نیز CTR مشابهی (54%) به دست آوردند، اما با هزینه‌ی ۳۰ برابر بیشتر. با این حال، ایمیل‌هایی که با ترکیب خروجی AI و ورودی‌های انسانی ساخته شده بودند، CTR بالاتری (56%) داشتند، اما با هزینه‌ای ۴ برابر بیشتر. این تحقیق نشان می‌دهد که استفاده از هوش مصنوعی در تولید ایمیل‌های فیشینگ می‌تواند به خصوص در بهینه‌سازی هزینه‌ها، مؤثر باشد.
🟣لینک مقاله:
https://www.malwarebytes.com/blog/news/2025/01/ai-supported-spear-phishing-fools-more-than-50-of-targets?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
AI-Supported Spear Phishing Fools More Than 50% of Targets (3 minute read)
🟢 خلاصه مقاله:
در یک مطالعه، گروهی از پژوهشگران اثربخشی ایمیل‌های فیشینگ هدفمند (spear-phishing) را که توسط عامل‌های هوش مصنوعی، با بهره‌گیری از Claude 3.5 Sonnet و GPT-4o تهیه شده بودند، بررسی کردند. این عامل‌های AI با جمع‌آوری اطلاعات از اینترنت درباره اهداف، ایمیل‌ها را تولید کرده‌اند. نتایج نشان داد که نرخ کلیک (CTR) برای ایمیل‌های تولید شده توسط AI 54% بود که در مقایسه با گروه کنترل که CTR آنها 12% بود، به شکل قابل توجهی بالاتر است. ایمیل‌های دست‌ساز انسانی نیز CTR مشابهی (54%) به دست آوردند، اما با هزینه‌ی ۳۰ برابر بیشتر. با این حال، ایمیل‌هایی که با ترکیب خروجی AI و ورودی‌های انسانی ساخته شده بودند، CTR بالاتری (56%) داشتند، اما با هزینه‌ای ۴ برابر بیشتر. این تحقیق نشان می‌دهد که استفاده از هوش مصنوعی در تولید ایمیل‌های فیشینگ می‌تواند به خصوص در بهینه‌سازی هزینه‌ها، مؤثر باشد.
🟣لینک مقاله:
https://www.malwarebytes.com/blog/news/2025/01/ai-supported-spear-phishing-fools-more-than-50-of-targets?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Malwarebytes
AI-supported spear phishing fools more than 50% of targets
AI-supported spear phishing emails tricked 54% of users in a controlled study that compared AI and human cybercriminal success rates.
🔵 عنوان مقاله
Microsoft shares temporary fix for Outlook crashing when writing emails (2 minute read)
🟢 خلاصه مقاله:
مایکروسافت اخیراً اسکریپتی را برای بازگشت به نسخه قدیمی‌تری از اوت‌لوک که دارای مشکلاتی هنگام نوشتن ایمیل بود، به اشتراک گذاشته است. نسخه جدیدتر اوت‌لوک مشکلاتی را برای کاربران ایجاد کرده بود که شامل توقف و خراب شدن برنامه هنگام کار با ایمیل‌ها می‌شد. به دنبال این مشکلات، مایکروسافت تصمیم گرفت تا راه‌حلی برای بازگرداندن نسخه قبلی که بدون این مشکل بود را فراهم کند. اسکریپت ارائه شده توسط مایکروسافت این امکان را به کاربران می‌دهد که با اجرای آن، به نسخه پایدارتر و قدیمی‌تر اوت‌لوک بازگردند تا بتوانند به کار خود بدون مشکل ادامه دهند. این گام بخشی از تلاش‌های مایکروسافت برای حفظ رضایت کاربران و پایداری عملکرد محصولاتش است.
🟣لینک مقاله:
https://www.bleepingcomputer.com/news/microsoft/microsoft-shares-temp-fix-for-outlook-crashing-when-writing-emails/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Microsoft shares temporary fix for Outlook crashing when writing emails (2 minute read)
🟢 خلاصه مقاله:
مایکروسافت اخیراً اسکریپتی را برای بازگشت به نسخه قدیمی‌تری از اوت‌لوک که دارای مشکلاتی هنگام نوشتن ایمیل بود، به اشتراک گذاشته است. نسخه جدیدتر اوت‌لوک مشکلاتی را برای کاربران ایجاد کرده بود که شامل توقف و خراب شدن برنامه هنگام کار با ایمیل‌ها می‌شد. به دنبال این مشکلات، مایکروسافت تصمیم گرفت تا راه‌حلی برای بازگرداندن نسخه قبلی که بدون این مشکل بود را فراهم کند. اسکریپت ارائه شده توسط مایکروسافت این امکان را به کاربران می‌دهد که با اجرای آن، به نسخه پایدارتر و قدیمی‌تر اوت‌لوک بازگردند تا بتوانند به کار خود بدون مشکل ادامه دهند. این گام بخشی از تلاش‌های مایکروسافت برای حفظ رضایت کاربران و پایداری عملکرد محصولاتش است.
🟣لینک مقاله:
https://www.bleepingcomputer.com/news/microsoft/microsoft-shares-temp-fix-for-outlook-crashing-when-writing-emails/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
BleepingComputer
Microsoft shares temp fix for Outlook crashing when writing emails
Microsoft has shared a temporary fix for a known issue that causes classic Outlook to crash when writing, replying to, or forwarding an email.
👍1
🔵 عنوان مقاله
Preventing unintended encryption of Amazon S3 objects (6 minute read)
🟢 خلاصه مقاله:
در تحقیق اخیر AWS، فعالیت‌های رمزگذاری غیرمجاز در Amazon S3 تشخیص داده شد که به دلیل وجود بازیگران خرابکار با اعتبارهای معتبر صورت گرفته بود. AWS به مشتریان توصیه می‌کند که برای جلوگیری از چنین حوادثی، از اعتبارهای کوتاه‌مدت استفاده کنند، روشهای بازیابی داده‌ها را پیاده‌سازی کرده و الگوهای دسترسی را زیر نظر داشته باشند. همچنین، مسدود کردن استفاده از رمزگذاری SSE-C می‌تواند امنیت در برابر دسترسی‌های غیرمجاز را افزایش دهد. این توصیه‌ها به مشتریان کمک می‌کند تا از داده‌های خود در برابر تهدیدات امنیتی محافظت کرده و اطمینان حاصل کنند که منابع آنها در امان می‌ماند.
🟣لینک مقاله:
https://aws.amazon.com/blogs/security/preventing-unintended-encryption-of-amazon-s3-objects/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Preventing unintended encryption of Amazon S3 objects (6 minute read)
🟢 خلاصه مقاله:
در تحقیق اخیر AWS، فعالیت‌های رمزگذاری غیرمجاز در Amazon S3 تشخیص داده شد که به دلیل وجود بازیگران خرابکار با اعتبارهای معتبر صورت گرفته بود. AWS به مشتریان توصیه می‌کند که برای جلوگیری از چنین حوادثی، از اعتبارهای کوتاه‌مدت استفاده کنند، روشهای بازیابی داده‌ها را پیاده‌سازی کرده و الگوهای دسترسی را زیر نظر داشته باشند. همچنین، مسدود کردن استفاده از رمزگذاری SSE-C می‌تواند امنیت در برابر دسترسی‌های غیرمجاز را افزایش دهد. این توصیه‌ها به مشتریان کمک می‌کند تا از داده‌های خود در برابر تهدیدات امنیتی محافظت کرده و اطمینان حاصل کنند که منابع آنها در امان می‌ماند.
🟣لینک مقاله:
https://aws.amazon.com/blogs/security/preventing-unintended-encryption-of-amazon-s3-objects/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Amazon
Preventing unintended encryption of Amazon S3 objects | Amazon Web Services
March 18, 2025: This post was updated to include additional guidance around monitoring and detection. January 17, 2025: We updated this post to highlight the importance of using short-term credentials to mitigate the risk of unauthorized techniques such as…
👍1
🔵 عنوان مقاله
Finding SSRFs in Azure DevOps (14 minute read)
🟢 خلاصه مقاله:
محققان شرکت Binary Security سه آسیب‌پذیری جدی از نوع SSRF (Server-Side Request Forgery) در Azure DevOps کشف کرده‌اند. این آسیب‌پذیری‌ها عبارتند از: آسیب‌پذیری پروکسی اندپوینت، دور زدن DNS rebinding و SSRF هوک‌ها با تزریق CRLF. این نقص‌ها به مهاجمان اجازه می‌دهد که درخواست‌های نامعتبری از سمت سرور ارسال کنند که می‌تواند به دسترسی غیرمجاز یا دستکاری داده‌ها منجر شود. شناسایی این آسیب‌پذیری‌ها نشان‌دهنده اهمیت ایمن‌سازی APIها و سرویس‌های درون شبکه است تا از حملات SSRF و مخاطرات ناشی از آن جلوگیری شود. توصیه می‌شود که تیم‌های توسعه از روشهای تأیید امنیتی جامع برای محافظت از برنامه‌های کاربردی خود در برابر آسیب‌پذیری‌های مشابه استفاده کنند.
🟣لینک مقاله:
https://binarysecurity.no/posts/2025/01/finding-ssrfs-in-devops?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Finding SSRFs in Azure DevOps (14 minute read)
🟢 خلاصه مقاله:
محققان شرکت Binary Security سه آسیب‌پذیری جدی از نوع SSRF (Server-Side Request Forgery) در Azure DevOps کشف کرده‌اند. این آسیب‌پذیری‌ها عبارتند از: آسیب‌پذیری پروکسی اندپوینت، دور زدن DNS rebinding و SSRF هوک‌ها با تزریق CRLF. این نقص‌ها به مهاجمان اجازه می‌دهد که درخواست‌های نامعتبری از سمت سرور ارسال کنند که می‌تواند به دسترسی غیرمجاز یا دستکاری داده‌ها منجر شود. شناسایی این آسیب‌پذیری‌ها نشان‌دهنده اهمیت ایمن‌سازی APIها و سرویس‌های درون شبکه است تا از حملات SSRF و مخاطرات ناشی از آن جلوگیری شود. توصیه می‌شود که تیم‌های توسعه از روشهای تأیید امنیتی جامع برای محافظت از برنامه‌های کاربردی خود در برابر آسیب‌پذیری‌های مشابه استفاده کنند.
🟣لینک مقاله:
https://binarysecurity.no/posts/2025/01/finding-ssrfs-in-devops?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Binary Security AS
Finding SSRFs in Azure DevOps
Binary Security found three SSRF vulnerabilities in Azure DevOps that we reported to Microsoft. This blog post outlines the way we identified these vulnerabilities, and demonstrates exploitation techniques using DNS rebinding and CRLF injection.
🔵 عنوان مقاله
Investigating an "evil" RJ45 dongle (5 minute read)
🟢 خلاصه مقاله:
میخال زالوسکی یک دانگل RJ45 مشکوک را که از چین آمده بود، بررسی کرده و نتیجه گرفت که این دستگاه مخرب نیست، بلکه از ویژگی نرم‌افزاری CD-ROM برای نصب درایورها استفاده می‌کند. دانگل حاوی یک تراشه بود که وظیفه تقلید از یک CD-ROM را داشت تا نصب درایور را ساده‌سازی کند، و به این ترتیب نگرانی‌ها درباره احتمال وجود بدافزار را برطرف ساخت. این تحقیق اهمیت تحقیق و صبر در درک سیستم‌های سخت‌افزاری پیچیده را برجسته ساخت. کار زالوفسکی نمونه‌ای بارز از چگونگی ارزیابی و دستکاری تکنولوژی‌های مدرن با استفاده از دانش فنی عمیق می‌باشد.
🟣لینک مقاله:
https://lcamtuf.substack.com/p/investigating-an-evil-rj45-dongle?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Investigating an "evil" RJ45 dongle (5 minute read)
🟢 خلاصه مقاله:
میخال زالوسکی یک دانگل RJ45 مشکوک را که از چین آمده بود، بررسی کرده و نتیجه گرفت که این دستگاه مخرب نیست، بلکه از ویژگی نرم‌افزاری CD-ROM برای نصب درایورها استفاده می‌کند. دانگل حاوی یک تراشه بود که وظیفه تقلید از یک CD-ROM را داشت تا نصب درایور را ساده‌سازی کند، و به این ترتیب نگرانی‌ها درباره احتمال وجود بدافزار را برطرف ساخت. این تحقیق اهمیت تحقیق و صبر در درک سیستم‌های سخت‌افزاری پیچیده را برجسته ساخت. کار زالوفسکی نمونه‌ای بارز از چگونگی ارزیابی و دستکاری تکنولوژی‌های مدرن با استفاده از دانش فنی عمیق می‌باشد.
🟣لینک مقاله:
https://lcamtuf.substack.com/p/investigating-an-evil-rj45-dongle?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Substack
Investigating an "evil" RJ45 dongle
Reverse-engineering hardware can be difficult -- but sometimes, all you need is a comfy armchair and some Google Translate.
👍1
🔵 عنوان مقاله
IAM Simulate (GitHub Repo)
🟢 خلاصه مقاله:
مقاله‌ای که مورد بررسی قرار گرفته، به معرفی و توضیح یک شبیه‌ساز AWS IAM پرداخته است که قادر است توضیحات دقیقی در مورد نحوه ارزیابی یک سیاست امنیتی ارائه دهد. این شبیه‌ساز از ویژگی‌های مختلف IAM مانند سیاست‌های هویتی، سیاست‌های منابع و غیره پشتیبانی می‌کند. همچنین، این سیستم به طور خودکار ورودی‌ها را بررسی و تایید می‌کند. در آینده‌ای نزدیک، قرار است ویژگی‌های جدیدی چون سیاست‌های جلسه و پشتیبانی از درخواست‌های ناشناس به آن افزوده شود. این شبیه‌ساز به کاربران کمک می‌کند تا درک بهتری از نحوه عملکرد و ارزیابی سیاست‌های IAM در محیط AWS داشته باشند.
🟣لینک مقاله:
https://github.com/cloud-copilot/iam-simulate?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
IAM Simulate (GitHub Repo)
🟢 خلاصه مقاله:
مقاله‌ای که مورد بررسی قرار گرفته، به معرفی و توضیح یک شبیه‌ساز AWS IAM پرداخته است که قادر است توضیحات دقیقی در مورد نحوه ارزیابی یک سیاست امنیتی ارائه دهد. این شبیه‌ساز از ویژگی‌های مختلف IAM مانند سیاست‌های هویتی، سیاست‌های منابع و غیره پشتیبانی می‌کند. همچنین، این سیستم به طور خودکار ورودی‌ها را بررسی و تایید می‌کند. در آینده‌ای نزدیک، قرار است ویژگی‌های جدیدی چون سیاست‌های جلسه و پشتیبانی از درخواست‌های ناشناس به آن افزوده شود. این شبیه‌ساز به کاربران کمک می‌کند تا درک بهتری از نحوه عملکرد و ارزیابی سیاست‌های IAM در محیط AWS داشته باشند.
🟣لینک مقاله:
https://github.com/cloud-copilot/iam-simulate?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
GitHub
GitHub - cloud-copilot/iam-simulate: An IAM Simulator that outputs detailed explains of how a request was evaluated.
An IAM Simulator that outputs detailed explains of how a request was evaluated. - cloud-copilot/iam-simulate
🔵 عنوان مقاله
Roles (GitHub Repo)
🟢 خلاصه مقاله:
مقاله‌ای که مرور شده در خصوص ابزاری به نام Roles می‌پردازد که با استفاده از زبان برنامه‌نویسی Golang نوشته شده است. هدف اصلی این ابزار، تست و شناسایی نقش‌های IAM (Identity and Access Management) در AWS (Amazon Web Services) است که بدون نیاز به احراز هویت قابل دسترسی هستند. این تست به منظور بررسی امنیت تنظیمات IAM در محیط‌های AWS و شناسایی خطرات امنیتی احتمالی ناشی از دسترسی‌های ناخواسته یا اشتباه به منابع انجام می‌گیرد. استفاده از این ابزار می‌تواند به مدیران سیستم و متخصصان امنیتی کمک کند تا سطوح دسترسی را به شکل موثرتری مدیریت و نظارت کنند، در نتیجه از پتانسیل سوء استفاده و دسترسی‌های نامناسب به داده‌ها و منابع جلوگیری می‌کند.
🟣لینک مقاله:
https://github.com/RyanJarv/roles?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Roles (GitHub Repo)
🟢 خلاصه مقاله:
مقاله‌ای که مرور شده در خصوص ابزاری به نام Roles می‌پردازد که با استفاده از زبان برنامه‌نویسی Golang نوشته شده است. هدف اصلی این ابزار، تست و شناسایی نقش‌های IAM (Identity and Access Management) در AWS (Amazon Web Services) است که بدون نیاز به احراز هویت قابل دسترسی هستند. این تست به منظور بررسی امنیت تنظیمات IAM در محیط‌های AWS و شناسایی خطرات امنیتی احتمالی ناشی از دسترسی‌های ناخواسته یا اشتباه به منابع انجام می‌گیرد. استفاده از این ابزار می‌تواند به مدیران سیستم و متخصصان امنیتی کمک کند تا سطوح دسترسی را به شکل موثرتری مدیریت و نظارت کنند، در نتیجه از پتانسیل سوء استفاده و دسترسی‌های نامناسب به داده‌ها و منابع جلوگیری می‌کند.
🟣لینک مقاله:
https://github.com/RyanJarv/roles?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
GitHub
GitHub - RyanJarv/roles: Unauthenticated enumeration of AWS IAM Roles.
Unauthenticated enumeration of AWS IAM Roles. Contribute to RyanJarv/roles development by creating an account on GitHub.
🔵 عنوان مقاله
Python-Based Bots Exploiting PHP Servers Fuel Gambling Platform Proliferation (2 minute read)
🟢 خلاصه مقاله:
پژوهشگران امنیت سایبری به تازگی کمپینی را کشف کرده‌اند که سرورهای PHP را با استفاده از بات‌های مبتنی بر پایتون هدف قرار می‌دهد تا وب‌سایت‌های قمار در اندونزی را ترویج کند. این حملات شامل استفاده از GSocket برای بهره‌برداری از وب شل‌ها در سرورهایی است که از پلتفرم‌های محبوبی مانند Moodle استفاده می‌کنند. به مالکان سایت‌ها توصیه شده است تا با به‌روزرسانی پلاگین‌ها، مسدود کردن دامنه‌های مخرب و حذف حساب‌های مشکوک، از خود در برابر این بدافزار دفاع کنند. این اقدامات امنیتی به منظور کاهش خطر نفوذ و تأثیرات منفی ناشی از این کمپین مخرب در نظر گرفته شده‌اند. استفاده هوشمندانه از این رویکردها می‌تواند به محافظت از داده‌ها و عملکرد سالم وب‌سایت‌های تحت تأثیر کمک کند.
🟣لینک مقاله:
https://thehackernews.com/2025/01/python-based-bots-exploiting-php.html?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Python-Based Bots Exploiting PHP Servers Fuel Gambling Platform Proliferation (2 minute read)
🟢 خلاصه مقاله:
پژوهشگران امنیت سایبری به تازگی کمپینی را کشف کرده‌اند که سرورهای PHP را با استفاده از بات‌های مبتنی بر پایتون هدف قرار می‌دهد تا وب‌سایت‌های قمار در اندونزی را ترویج کند. این حملات شامل استفاده از GSocket برای بهره‌برداری از وب شل‌ها در سرورهایی است که از پلتفرم‌های محبوبی مانند Moodle استفاده می‌کنند. به مالکان سایت‌ها توصیه شده است تا با به‌روزرسانی پلاگین‌ها، مسدود کردن دامنه‌های مخرب و حذف حساب‌های مشکوک، از خود در برابر این بدافزار دفاع کنند. این اقدامات امنیتی به منظور کاهش خطر نفوذ و تأثیرات منفی ناشی از این کمپین مخرب در نظر گرفته شده‌اند. استفاده هوشمندانه از این رویکردها می‌تواند به محافظت از داده‌ها و عملکرد سالم وب‌سایت‌های تحت تأثیر کمک کند.
🟣لینک مقاله:
https://thehackernews.com/2025/01/python-based-bots-exploiting-php.html?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
🔵 عنوان مقاله
What is this Stealer (GitHub Repo)
🟢 خلاصه مقاله:
خلاصه مقاله:
مقاله مورد بحث به بررسی و توضیح یک مخزن قوانین YARA مربوط به سرقت اطلاعات اعتباری (credential stealer) می‌پردازد که برای حفاظت از اطلاعات سیستمی طراحی شده‌اند. YARA، به عنوان یک ابزار قوی برای کمک به تحلیلگران امنیتی در شناسایی و طبقه‌بندی نرم‌افزارهای مخرب، توانایی اسکن و شناسایی الگوها موجود در فایل‌ها را دارد. در این مقاله، تاکید بر اهمیت استفاده از قوانین YARA برای مقابله با بدافزارهای سرقت اطلاعات کاربران از طریق روشهای مختلف مانند keylogging و phishing است. به خصوص، نحوه توسعه و اجرای قوانین YARA برای شناسایی و جلوگیری از تهدیدات امنیتی مورد بحث قرار می‌گیرد. همچنین، این مقاله بر اهمیت به‌روزرسانی مداوم این قوانین برای مقابله با تاکتیک‌های جدید و پیچیده مجرمان سایبری تاکید می‌کند.
🟣لینک مقاله:
https://github.com/MalBeacon/what-is-this-stealer?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
What is this Stealer (GitHub Repo)
🟢 خلاصه مقاله:
خلاصه مقاله:
مقاله مورد بحث به بررسی و توضیح یک مخزن قوانین YARA مربوط به سرقت اطلاعات اعتباری (credential stealer) می‌پردازد که برای حفاظت از اطلاعات سیستمی طراحی شده‌اند. YARA، به عنوان یک ابزار قوی برای کمک به تحلیلگران امنیتی در شناسایی و طبقه‌بندی نرم‌افزارهای مخرب، توانایی اسکن و شناسایی الگوها موجود در فایل‌ها را دارد. در این مقاله، تاکید بر اهمیت استفاده از قوانین YARA برای مقابله با بدافزارهای سرقت اطلاعات کاربران از طریق روشهای مختلف مانند keylogging و phishing است. به خصوص، نحوه توسعه و اجرای قوانین YARA برای شناسایی و جلوگیری از تهدیدات امنیتی مورد بحث قرار می‌گیرد. همچنین، این مقاله بر اهمیت به‌روزرسانی مداوم این قوانین برای مقابله با تاکتیک‌های جدید و پیچیده مجرمان سایبری تاکید می‌کند.
🟣لینک مقاله:
https://github.com/MalBeacon/what-is-this-stealer?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
GitHub
GitHub - MalBeacon/what-is-this-stealer: A repository of credential stealer formats
A repository of credential stealer formats . Contribute to MalBeacon/what-is-this-stealer development by creating an account on GitHub.
👍1
با پیشرفت روزافزون کدنویسی با هوش مصنوعی، مهندسان نرم‌افزار باید توانایی‌های زیر را داشته باشند:
۱- توانایی بررسی سریع و دقیق کد نوشته شده توسط هوش مصنوعی
۲- توانایی توصیف مشکلات به‌صورت واضح و کامل
۳- توانایی انجام هم‌زمان چند کار و تغییر سریع بین زمینه‌های مختلف
خوب است که از حالا این مهارت‌ها را تمرین کنید!
<Mehdi Allahyari/>
۱- توانایی بررسی سریع و دقیق کد نوشته شده توسط هوش مصنوعی
۲- توانایی توصیف مشکلات به‌صورت واضح و کامل
۳- توانایی انجام هم‌زمان چند کار و تغییر سریع بین زمینه‌های مختلف
خوب است که از حالا این مهارت‌ها را تمرین کنید!
<Mehdi Allahyari/>
👍4
🔵 عنوان مقاله
OSV-SCALIBR (GitHub Repo)
🟢 خلاصه مقاله:
مقاله‌ی مورد بحث به بررسی و معرفی SCALIBR (Software Composition Analysis Library)، یک اسکنر سیستم فایل قابل توسعه، می‌پردازد. SCALIBR برای استخراج داده‌های موجودی نرم‌افزاری مانند بسته‌های زبان نصب شده و تشخیص آسیب‌پذیری‌ها استفاده می‌شود. این ابزار به عنوان یک ابزار قابل استفاده به صورت مستقل، کتابخانه‌ای برای اسکن‌های سفارشی، یا برای تجزیه و تحلیل تصاویر کانتینر است. همچنین، OSV-SCALIBR ترکیبی از SCALIBR و OSV-scanner است که برای استخراج موجودی نرم‌افزاری و اسکن آسیب‌پذیری به کار می‌رود. این سامانه به خاطر قابلیت توسعه و تطابق پذیری خود، قادر به تشخیص آسیب‌پذیری‌ها و استخراج داده‌های دقیق نرم‌افزاری از سیستم‌ها است.
🟣لینک مقاله:
https://github.com/google/osv-scalibr?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
OSV-SCALIBR (GitHub Repo)
🟢 خلاصه مقاله:
مقاله‌ی مورد بحث به بررسی و معرفی SCALIBR (Software Composition Analysis Library)، یک اسکنر سیستم فایل قابل توسعه، می‌پردازد. SCALIBR برای استخراج داده‌های موجودی نرم‌افزاری مانند بسته‌های زبان نصب شده و تشخیص آسیب‌پذیری‌ها استفاده می‌شود. این ابزار به عنوان یک ابزار قابل استفاده به صورت مستقل، کتابخانه‌ای برای اسکن‌های سفارشی، یا برای تجزیه و تحلیل تصاویر کانتینر است. همچنین، OSV-SCALIBR ترکیبی از SCALIBR و OSV-scanner است که برای استخراج موجودی نرم‌افزاری و اسکن آسیب‌پذیری به کار می‌رود. این سامانه به خاطر قابلیت توسعه و تطابق پذیری خود، قادر به تشخیص آسیب‌پذیری‌ها و استخراج داده‌های دقیق نرم‌افزاری از سیستم‌ها است.
🟣لینک مقاله:
https://github.com/google/osv-scalibr?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
GitHub
GitHub - google/osv-scalibr: OSV-SCALIBR: A library for Software Composition Analysis
OSV-SCALIBR: A library for Software Composition Analysis - google/osv-scalibr
🔵 عنوان مقاله
Copycat (GitHub Repo)
🟢 خلاصه مقاله:
کتابخانه Copycat یک ابزار کارآمد برای دخالت در فراخوان‌های سیستمی (system calls) در سیستم‌های لینوکس نسخه 5.9 یا بالاتر است. این ابزار با بهره‌گیری از رابط برنامه‌نویسی API اعلان SECCOMP، نسبت به روشهای سنتی مبتنی بر ptrace، عملکرد سریع‌تری ارائه می‌دهد. کاربران می‌توانند با تعریف تنظیمات مبدا و مقصد از طریق متغیرهای محیطی یا یک فایل پیکربندی، قوانینی را برای دخالت در فراخوان‌های سیستمی ایجاد کنند. این امکان افزایش انعطاف‌پذیری و کنترل بیشتر بر روی سیستم عامل را فراهم می‌آورد، درحالی که بهره‌وری را افزایش می‌دهد و پیچیدگی‌های استفاده از ptrace را کاهش می‌دهد.
🟣لینک مقاله:
https://github.com/vimpostor/copycat?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Copycat (GitHub Repo)
🟢 خلاصه مقاله:
کتابخانه Copycat یک ابزار کارآمد برای دخالت در فراخوان‌های سیستمی (system calls) در سیستم‌های لینوکس نسخه 5.9 یا بالاتر است. این ابزار با بهره‌گیری از رابط برنامه‌نویسی API اعلان SECCOMP، نسبت به روشهای سنتی مبتنی بر ptrace، عملکرد سریع‌تری ارائه می‌دهد. کاربران می‌توانند با تعریف تنظیمات مبدا و مقصد از طریق متغیرهای محیطی یا یک فایل پیکربندی، قوانینی را برای دخالت در فراخوان‌های سیستمی ایجاد کنند. این امکان افزایش انعطاف‌پذیری و کنترل بیشتر بر روی سیستم عامل را فراهم می‌آورد، درحالی که بهره‌وری را افزایش می‌دهد و پیچیدگی‌های استفاده از ptrace را کاهش می‌دهد.
🟣لینک مقاله:
https://github.com/vimpostor/copycat?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
GitHub
GitHub - vimpostor/copycat: A library for intercepting system calls
A library for intercepting system calls. Contribute to vimpostor/copycat development by creating an account on GitHub.
🔵 عنوان مقاله
AWS Launches Free Course: Securing Generative AI on AWS (1 minute read)
🟢 خلاصه مقاله:
AWS در توسعه کاتالوگ Skill Builder خود، دوره جدیدی را تحت عنوان ایمن‌سازی بارهای کاری هوش مصنوعی تولیدی افزوده است. این دوره به شرکت‌کنندگان امکان می‌دهد با اصول و روشهای اصلی حفاظتی در محیط‌های هوش مصنوعی تولیدی آشنا شوند. فراگیران از طریق این دوره یاد می‌گیرند چگونه ایمنی بازبینی و حمایت از داده‌ها را در برابر تهدیدات و نقض‌های امنیتی تضمین کنند، همچنین بر استراتژی‌ها و راه‌کارهای اجرایی مؤثر برای مقابله با مخاطرات احتمالی در این زمینه تمرکز خواهند کرد. این دوره برای توسعه‌دهندگان، متخصصان امنیت IT، و تصمیم‌گیرندگان در شرایطی مناسب است که به دنبال فهم بهتر و عمیق‌تری از چگونگی حفاظت از پروژه‌های هوش مصنوعی تولیدی هستند و می‌خواهند اطمینان حاصل کنند که محافظت‌های لازم به شکل مؤثری اجرا شده‌اند.
🟣لینک مقاله:
https://aws.amazon.com/blogs/security/new-aws-skill-builder-course-available-securing-generative-ai-on-aws/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
AWS Launches Free Course: Securing Generative AI on AWS (1 minute read)
🟢 خلاصه مقاله:
AWS در توسعه کاتالوگ Skill Builder خود، دوره جدیدی را تحت عنوان ایمن‌سازی بارهای کاری هوش مصنوعی تولیدی افزوده است. این دوره به شرکت‌کنندگان امکان می‌دهد با اصول و روشهای اصلی حفاظتی در محیط‌های هوش مصنوعی تولیدی آشنا شوند. فراگیران از طریق این دوره یاد می‌گیرند چگونه ایمنی بازبینی و حمایت از داده‌ها را در برابر تهدیدات و نقض‌های امنیتی تضمین کنند، همچنین بر استراتژی‌ها و راه‌کارهای اجرایی مؤثر برای مقابله با مخاطرات احتمالی در این زمینه تمرکز خواهند کرد. این دوره برای توسعه‌دهندگان، متخصصان امنیت IT، و تصمیم‌گیرندگان در شرایطی مناسب است که به دنبال فهم بهتر و عمیق‌تری از چگونگی حفاظت از پروژه‌های هوش مصنوعی تولیدی هستند و می‌خواهند اطمینان حاصل کنند که محافظت‌های لازم به شکل مؤثری اجرا شده‌اند.
🟣لینک مقاله:
https://aws.amazon.com/blogs/security/new-aws-skill-builder-course-available-securing-generative-ai-on-aws/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Amazon
New AWS Skill Builder course available: Securing Generative AI on AWS | Amazon Web Services
To support our customers in securing their generative AI workloads on Amazon Web Services (AWS), we are excited to announce the launch of a new AWS Skill Builder course: Securing Generative AI on AWS. This comprehensive course is designed to help security…