#owasp
Jamoamiz tomonidan OWASP top 10 loyihasi o'zbekcha tarjimasi.

www.turansec.uz | [email protected]

🚀 Turan Security – O‘zbekiston 24 kanalida!

Bilmaganlar uchun ma'lumot, kompaniyamizning asosiy faoliyati xususiy va davlat tashkilotlarida ichki va tashqi xavfsizlik auditini o'tkazish, axborot tizimlarida zaifliklarni aniqlash, ularni oldini olishga yordamlashishdan iborat.

💡 Bizning missiyamiz – barcha tashkilotlarning kiber tahdidlardan himoyalangan holda rivojlanishiga hissa qo‘shish.

🔥 Endigi maqsadlarimizdan biri 🔥
Turan Security qoshida amaliyotga asoslangan markaz ochish! Bu yerda kelajak kiberxavfsizlik mutaxassislari real loyihalar asosida tajriba orttiradi va xalqaro darajadagi mutaxassisga aylanadi.

🔍 Sizda kiberxavfsizlik bo‘yicha savollaringiz bormi?
Biz bilan bog‘laning – birlamchi tekshiruv mutlaqo BEPUL! ✅ O‘zbekistondagi TOP kiberxavfsizlik mutaxassislari har doim sizga yordam berishga tayyor!

P.S. Ko‘rsatuv startaplar mavzusida olingani sababli, startap loyiha sifatida aytib ketilgan :)
Nasib qilsa, yaqin kunlarda startap loyihalar uchun ham katta yangilikni e’lon qilamiz!

@TuranSecurity | www.turansec.uz | [email protected]

🌙✨ Qutlug' Ramazon oyi muborak bo'lsin, do‘stlar!

🙏 Sizlarga mustahkam iymon, sabr-qanoat, ruhiy poklanish va qalb xotirjamligini tilaymiz! Ushbu muqaddas oy har bir xonadonga farovonlik, osoyishtalik va totuvlik olib kelsin.

Ramazon – ezgulik va saxovat ayyomi. Shu munosabat bilan Turan Security kompaniyasi siz uchun axborot xavfsizligi va kiberxavfsizlik xizmatlariga katta chegirmalar e’lon qiladi! Axborot xavfsizligiga e’tibor berish ertami-kechmi baribir zarur. Nima uchun bu oyda boshlamaslik kerak? 🤝

📩 Biz bilan bog‘laning va xavfsizligingizni kafolatlang!

P.S. Bu oyda firibgarlarga ish qoldirmoqchi emasmiz. Buning uchun sizning yordamingiz kerak. ⚔️

Ramazon muborak! 🤲✨


@TuranSecurity | www.turansec.uz | [email protected]

🚀 Penetration Tester Intern
📍 Location: Tashkent (onsite)
⏳ Work Schedule: Full-time

🔹 About Us:
Turan Security is a top cybersecurity company in Uzbekistan with proven expertise.

🔍 Responsibilities:
🛠 Assist in manual & automated testing of web apps and systems.
📝 Help draft reports on vulnerabilities.

✅ Requirements:
🔹 Basic knowledge of network, API & web app pentesting.
🔹 Understanding of OWASP Top 10 & mitigation strategies.
🔹 Experience in any programming language.
🔹 Linux proficiency & strong networking/HTTP knowledge.

🌟 Preferred:
🏆 CTF experience, 🎓 security certifications (eJPT, CAPen, etc.), 👨‍💻 developer background, or bug bounty results.

💡 Why TuranSec?
🔥 Real-world project experience.
👥 Work with experts.
💰 Paid internship.

📩Send your CV to @turan_admin

Hurmatli hamkasblar, hamkorlar va do‘stlar!

Sizlarni muborak Ramazon Hayit bayrami bilan samimiy tabriklaymiz! Ushbu muborak kun xonadoningizga tinchlik, baxt va farovonlik olib kelsin. Sizga muvaffaqiyat, mustahkam sog‘lik va bardavom rivojlanish tilaymiz!

Sizning ishonchingiz va hamkorligingiz uchun minnatdorlik bildiramiz. Kelgusi yo‘limiz hamjihatlik, hurmat va yangi yutuqlar bilan to‘lsin!

🌙 Bayramingiz muborak bo‘lsin! 🎉

Hurmat bilan,
Turan Security jamoasi

📌 P.S. Bugungi Ramazon tabriklari orasida firibgarlar tarqatayotgan APK fayllarni bosmang! Aks holda, firibgarlar tuzog'iga ilinishingiz mumkin. Diqqatli bo‘ling, xavfsizligingizni himoya qiling!

Internetning Qorong‘u Tomoni: VTech Hujumi va Bolalar Ma’lumotlari Xavfsizligi

Axborot xavfsizligi bugungi kunda nafaqat katta korporatsiyalar, balki oddiy foydalanuvchilar, hatto bolalar uchun ham dolzarb masalaga aylangan. 2015-yilda sodir bo‘lgan VTech kompaniyasiga qilingan kiberhujum internetning qorong‘u tomonini yana bir bor namoyon qildi. Bu hujum natijasida 6,5 million bola va 5 million kattalarning shaxsiy ma’lumotlari xavf ostida qoldi. Eng dahshatlisi, bu kabi zaifliklar nafaqat bolalar qurilmalarida, balki biznes platformalarida ham uchrab, butun jamiyatning ma’lumotlar xavfsizligini xavf ostiga qo‘yishi mumkin.

VTech va Bolalar Ma’lumotlari Xavfsizligi

VTech kompaniyasi bolalar uchun planshetlar va aqlli soatlar ishlab chiqaradi. Ushbu qurilmalar internetga ulanib, ota-onalar va bolalar o‘rtasida xabar almashish imkonini yaratadi. Ro‘yxatdan o‘tish jarayonida esa ota-onalardan ism, manzil, foydalanuvchi nomi va parol so‘raladi, bolalardan esa ism, jinsi, tug‘ilgan kuni va surati talab qilinadi. Ushbu ma’lumotlar VTech’ning "Kid Connect" tizimi va "Learning Lodge" ilovalar do‘koni orqali boshqariladi.

Ammo kiberjinoyatchilar bu tizimdagi zaifliklarni topishga qaror qilishdi va natijada ulkan ma’lumotlar buzilishi yuz berdi.

Hujum Tafsilotlari: SQL Injection

Hujum VTech’ning planetvtech.com saytiga qilingan tahlil bilan boshlandi. Xaker saytni tahlil qilib, SQL Injection zaifligini aniqladi.

SQL Injection Nima?

SQL Injection (SQLi) – bu kiberhujum turlaridan biri bo‘lib, zaiflikka ega bo‘lgan veb-saytning ma’lumotlar bazasiga noqonuniy kirish imkonini beradi. Bunday hujum amalga oshirilganda, xaker foydalanuvchi tomonidan kiritiladigan maydonlarga maxsus yozilgan SQL so‘rovlarini joylashtirib, ma’lumotlar bazasidagi maxfiy ma’lumotlarni o‘qishi, o‘zgartirishi yoki o‘chirishi mumkin.

Masalan, oddiy tizimga kirish so‘rovi quyidagicha bo‘lishi mumkin:

SELECT * FROM users WHERE username='foydalanuvchi' AND password='parol';

Agar sayt kiritilgan ma’lumotlarni to‘g‘ri tekshirmasa, xaker quyidagicha so‘rov yuborishi mumkin:

SELECT * FROM users WHERE username='admin' -- AND password='parol';

Bu esa parolni tekshirish qismidan voz kechishga olib keladi va xaker admin sifatida tizimga kira oladi.

VTech Hujumi: Natijalar va Xavf

Xaker SQL Injection zaifligidan foydalanib, VTech’ning butun ma’lumotlar bazasiga kirish imkoniyatiga ega bo‘ldi. U 4,8 million ota-ona va 200 ming bola ma’lumotlarini ko‘chirib oldi. Ushbu ma’lumotlar ichida ism, tug‘ilgan kun, jins, yashash manzili va hatto IP-manzillar mavjud edi. Eng yomon jihati shundaki, bolalarning ma’lumotlarini identifikatsiya qilish juda oson bo‘lib qoldi.

Xaker ushbu ma’lumotlarni noqonuniy bozorlarga sotish o‘rniga, kompaniyaning beparvoligidan g‘azablanib, Vice’ning Motherboard jurnaliga murojaat qildi. Jurnalist Lorenzo Franceschi-Bicchieraiga ushbu ma’lumotlarni yetkazib, masalani ommaga oshkor qildi.

Tadqiqot natijasida VTech’ning xavfsizlikdagi kamchiliklari aniqlandi:

Parollar oddiy MD5 hash bilan himoyalangan bo‘lib, uni osongina buzish mumkin edi.

Sayt HTTPS protokolidan foydalanmagan.

Kod eskirgan ASP 2.0 texnologiyasiga asoslangan bo‘lib, zamonaviy xavfsizlik standartlariga javob bermas edi.


Jurnalistlar masalani yoritgach, kompaniya hujumni tan oldi va o‘z tizimlarini yopdi. Keyinchalik, xakerlar 190 GB qo‘shimcha ma’lumotni topishdi, jumladan, bolalar chat yozishmalari, suratlari va ovozli xabarlari.

Xulosa: Ma’lumotlaringizni Himoya Qilish Uchun Nima Qilish Kerak?

VTech ushbu zaifliklar tufayli 650 ming dollar jarima to‘lashga majbur bo‘ldi va xavfsizlik choralarini kuchaytirdi. Biroq, bu hodisa ko‘rsatib berdi: shaxsiy ma’lumotlarni o‘g‘irlash xavfi faqat yirik korporatsiyalar bilan cheklanib qolmaydi. Ota-onalar, biznes egalari va har bir internet foydalanuvchisi o‘z ma’lumotlari xavfsizligiga jiddiy yondashishi kerak.

Xavfsizligingiz Uchun Mutaxassislarga Ishoning

Internet Xavfsizligi: Bugungi Kun va DigiNotar Fojiasi


Bugun internet hayotimizning ajralmas qismiga aylandi, lekin uning xavfsizligi hali ham savol ostida. Har kuni yangi kiberhujumlar – shaxsiy ma’lumotlar o‘g‘irlanishi, soxta saytlar va hatto davlat darajasidagi tahdidlar haqida eshitamiz. Bu holatni yaxshiroq tushunish uchun 2011-yilda Niderlandiyada sodir bo‘lgan DigiNotar hujumiga nazar tashlaymiz – bu voqea internet xavfsizligidagi zaifliklarni fosh qildi va oqibatlari butun dunyoga ta’sir qildi.

#DarknetDiaries

Davomi...

@TuranSecurity | www.turansec.uz | [email protected]

#challenge
Workshop uchun ishlab chiqilgan Shaptoli dasturini buzib, birinchilardan flagni qo'lga kiritgan xakerga

- 3 oylik TryHackMe subscription;
- MCRTA (Multi-Cloud Red Team Analyst) imtixoni uchun vaucher sovg'a qilinadi.

Hint: Workshop nomi?
Lab: https://github.com/turan-sec/DVAW

Flag topshirish: @turan_admin

Task ishlab bo'lindi, yechimga qiziqqanlar uchun writeup publish qildik.

https://github.com/turan-sec/DVAW/blob/main/writeup.md