🔬https://www.zerodayinitiative.com/blog/2024/5/9/cve-2024-21115-an-oracle-virtualbox-lpe-used-to-win-pwn2own

#CVE_2024_21115
🔰 Oracle

⭕️ آسیب پذیری از نوع Out-Of-Bounds Write بر روی Oracle VirtualBox به کد CVE-2024-21115 به مهاجم لوکال، امکان افزایش امتیاز و اجرای کد با امتیاز hypervisor را میدهد.

👁‍🗨 برای اکسپلویت، مهاجم باید امکان اجرای کد با امتیاز بالا ، در سیستم را داشته باشد.

🔺 آسیب پذیری در فانکشن vgaR3DrawBlank بوده که از vgaR3UpdateDisplay فراخوانی میشود.

#Pwn2own

@iDeFense

🚩 WP Exposed (wp-config Sensitive) File List

/wp-config.php-backup
/wp-config.php.orig
/wp-config.php.swp
/wp-config-sample.php
/wp-config.inc
/wp-config.old
/wp-config.txt
/wp-config.php.txt
/wp-config.php.bak
/wp-config.php.old
/wp-config.php.dist
/wp-config.php.inc
/wp-config.php.swp
/wp-config.php.html
/wp-config-backup.txt
/wp-config.php.save
/wp-config.php
/wp-config.php.original
/_wpeprivate/config.json

@iDeFense

♨️ Hidden parameters discovery suite written in Rust

🛠 https://github.com/Sh1Yo/x8?tab=readme-ov-file

🔺 این ابزار به شناسایی پارامترهای پنهانی کمک می‌کند که به طور بالقوه می‌توانند آسیب‌پذیر باشند یا عملکرد های جالبی را که ممکن است توسط اسکنرهای دیگر نادیده گرفته شود را آشکار سازد.

🔺 دقت بالای آن از طریق مقایسه خط به خط صفحات و مقایسه کدهای Response به دست می آید.

Features

-     Fast.
-     Offers flexible request configuration through the use of templates and injection points.
-     Highly scalable, capable of checking thousands of URLs per run.
-     Provides higher accuracy compared to similar tools, especially in difficult cases.
-     Capable of discovering parameters with non-random values, such as admin=true.
-     Highly configurable with a wide range of customizable options.
-     Achieves almost raw requests through external library modification.

@iDeFense

⚠️ CVE-2024-29895 (CVSS score: 10.0)

🦠 یک آسیب پذیری امنیتی در فایل cmd_realtime.php نرم افزار Cacti شناسایی شده است که در صورت on بودن register_argc_argv در PHP رخ میدهد.( اکثرا این option به صورت پیش فرض فعال است )

⭕️ این آسیب پذیری میتواند از راه دور با استفاده از رابط وب Cacti مورد سوء استفاده قرار گیرد و به مهاجم اجازه می دهد تا دستورات دلخواه را در سرور Cacti اجرا کند. با استفاده از این دستورات، مهاجم به طور بالقوه می تواند کدهای اضافی را دانلود و اجرا کند و کنترل کامل روی سرور را به دست آورد.

♨️ https://github.com/Cacti/cacti/security/advisories/GHSA-cr28-x256-xf5m
#iDeFense

🦠https://localhost/cacti/cmd_realtime.php?1+1&&calc.exe+1+1+1

🔺 همانطور که میدانید Cacti معمولاً برای نظارت بر سیستم‌های دیگر استفاده می‌شود، و این بدین معنی است که به خطر افتادن سرور Cacti می‌تواند به مهاجم اجازه دسترسی به سایر سیستم‌ها و سرویس‌های شبکه را بدهد.

⭕️ الزامات امنیتی / Recommended Actions
🔰 بروز رسانی نرم افزار Cacti در اسرع وقت به آخرین نسخه Version 1.3.x development
🔰 اطمینان از اینکه رابط وب فقط در شبکه های قابل اعتماد در معرض دید قرار می گیرد

⭕️ بررسی Monitor/Detect
⚠️ در حالی که وصله کردن دستگاه‌ها یا نرم‌افزارها به جدیدترین نسخه، ممکن است ایمنی در برابر سو استفاده های احتمالی در آینده را افزایش دهد، اما سیستم های آلوده شده را شامل نمیشود .
⚠️ گزارش‌های دسترسی وب سرور را برای آدرس‌های IP نامعتبر که ممکن است به فایل cmd_realtime.php دسترسی داشته باشند، بررسی کنید و فعالیت مشکوک یا غیرمنتظره‌ای را که توسط شناسه کاربری که نرم‌افزار Cacti را اجرا می‌کند، بررسی کنید.
#CVE_2024_29895
#POC
#Cacti

@iDeFense

🦠 https://github.com/Stuub/CVE-2024-29895-CactiRCE-PoC ♨️

🕸 Dork

👁‍🗨 Google:

inurl:cmd_realtime.php

👁‍🗨 Shodan:

Cacti

👁‍🗨 Hunter.how:

/product.name="Cacti"

👁‍🗨 FOFA:

app="Cacti-Monitoring"

⚠️ Please exercise caution when using this PoC. It has been strictly developed to serve as a tool automate the validation of the vulnerability.
⚠️ Any misuse caused is at your own responsibility.

#CVE_2024_29895
#POC
#Cacti

@iDeFense

👁‍🗨A list of Powershell scripts, commands and blogs for Windows Red Teaming.


🌐 https://github.com/Whitecat18/Powershell-Scripts-for-Hackers-and-Pentesters

#github
#tools

@iDeFense

🔺RCE-in-Confluence-Data-Center-and-Server

🔺 راه‌حل‌های نرم‌افزاری Confluence Server و Data Center به‌طور گسترده در تنظیمات سازمانی برای مدیریت پایگاه‌های دانش Wiki، مستندسازی و ... استفاده می‌شوند.

🦠 https://github.com/absholi7ly/-CVE-2024-21683-RCE-in-Confluence-Data-Center-and-Server/
@iDeFense
⚠️ آسیب‌پذیری اجرای کد از راه دور CVE-2024-21683 به راحتی می‌تواند به سلاح تبدیل شود (از طریق یک فایل زبان جاوا اسکریپت ساخته شده خاص) و برای بهره‌برداری از آن نیازی به تعامل کاربر ندارد!
🌀 اما به نظر آنقدر حیاتی نیست زیرا سایر پیش‌شرط‌ها باید برآورده شوند،
درواقع یعنی:

🚩 مهاجم باید به Confluence وارد شود
🚩 مهاجم باید از امتیازات کافی برای افزودن زبان های ماکرو جدید برخوردار باشد
🚩 فایل جاوا اسکریپت حاوی کد مخرب جاوا باید در پیکربندی کد ماکرو آپلود شود و سپس
==> Add a new language

🦠 در اصل این آسیب‌پذیری به دلیل نقص در مکانیسم اعتبارسنجی ورودی در عملکرد «افزودن زبان جدید» در بخش «پیکربندی کد ماکرو» ایجاد می‌شود.
🔬 اعتبار سنجی ناکافی به مهاجم احراز هویت شده اجازه می دهد تا کد مخرب جاوا را که در یک فایل تعبیه شده است، تزریق کند که روی سرور اجرا می شود.

#CVE_2024_21683
#Confluence
#exploit
#POC

@iDeFense

🔎 deeper understanding of Reflective DLL Injection

🔺BasicLDR is a tool designed to download a PNG from a specified URL into memory, extract and decrypt an embedded DLL from the last IDAT section of PNG, and execute it using Reflective DLL Injection technique.

📖 Reflective DLL Injection, first introduced by Stephen Fewer, is a well-known technique for loading DLLs from memory. This project does not introduce any new techniques. Its primary purpose is for educational learning, allowing you to gain a deeper understanding of Reflective DLL Injection and other malware techniques by reimplementing them from scratch. Additionally, it provides a foundation for developing a custom loader builder with various evasive techniques in the future.

⚠️ This project is intended for educational purposes only.

🍥 https://github.com/AlionGreen/BasicLDR

@iDeFense

♨️PoC for the Veeam Recovery Orchestrator Authentication

🔺Authentication bypass vulnerability CVE-2024-29855 affecting Veeam Recovery Orchestrator

📚 https://summoning.team/blog/veeam-recovery-orchestrator-auth-bypass-cve-2024-29855/

⚙️ https://github.com/sinsinology/CVE-2024-29855


#CVE_2024_29855
#github
#poc

@iDeFense

⭕️ SolarWinds Serv-U was susceptible to a directory transversal vulnerability that would allow access to read sensitive files on the host machine.

♨️ This repository contains a proof-of-concept (PoC) and a bulk scanner for the SolarWinds Serv-U CVE-2024-28995 directory traversal vulnerability. This vulnerability allows unauthorized access to read sensitive files on the host machine.

🔺https://attackerkb.com/topics/2k7UrkHyl3/cve-2024-28995/rapid7-analysis

🦠 https://github.com/bigb0x/CVE-2024-28995
🦠 https://sploitus.com/exploit?id=A5677283-7A4F-5582-B568-CED97ABE7445

#Windows
GET /?InternalDir=/../../../../windows&InternalFile=win.ini HTTP/1.1

#linux
GET /?InternalDir=\..\..\..\..\etc&InternalFile=passwd HTTP/1.1

#CVE_2024_28995
#directory_transversal
#SolarWinds
#POC

@iDeFense

🔎 Mapping ATT&CK to Windows Event IDs:

🔬 https://www.socinvestigation.com/mapping-mitre-attck-with-window-event-log-ids/

#BlueTeam
#SOC

@iDeFese

♨️ Go keylogger for Windows, logging keyboard input to a file using Windows API functions.

👁‍🗨 https://github.com/EvilBytecode/Keylogger

#github
#Tools
#Golang
#RedTeam

@iDeFense

📚"Windows API for Red Team", 2024.

#Whitepaper
#RedTeam

@iDeFense

♨️ https://github.com/Flangvik/QRucible

🌀Python utility that generates "imageless" QR codes in various formats

The output path to an HTML or EML file.
--css Generate QR code using CSS format.
--tables Generate QR code using the Table method.
Default --eml Generate an EML file instead of an HTML file. 

#github
#tools
#RedTeam
#initial_access

@iDeFense

🔍 حملات پیرامون sysmon به همراه روش های تشخیص آن را بررسی کنید...

🔺Unloading Sysmon Driver

🔰 Detectable via Sysmon event id 255 ( Windows Security Event ID 4672)

🔺Attacks Via Custom Driver

🔰 Detectable via Sysmon event id 6 ( Driver loaded )

🔺Kill the Sysmon Service

🔰Sysmon Event ID 10 (Process Access with at least PROCESS_TERMINATE flag set; The last event forwarded by Sysmon).

🔺Manipulating the Rules Registry Key

🔰Sysmon Event ID 16,13

🔺Patching Sysmon in Memory

🔰Sysmon Event ID Event ID 10.(Process Access with at least PROCESS_VM_OPERATION | PROCESS_VM_WRITE)

🚩 و شاید روش هایی غیر قابل شناسایی برای sysmon و Windows Event Log با وجود حتی ادامه فعالیت sysmon و در حالت userMode قابل اجرا باشد!

🔬 https://codewhitesec.blogspot.com/2022/09/attacks-on-sysmon-revisited-sysmonente.html

#RedTeam
#sysmon
#Defense_Evasion
#SOC

@iDeFense

📚 کتاب Apache Cookbook حاشیه نویسی شده به فارسی
🔰 برای کسانی که میخواهند وارد دنیای وب شوند...
⚜️ با تشکر از همه دوستانی که برای آماده سازی این اثر زحمت کشیدند🙏
🏆 تقدیم با ❤️ به همه ایرانیان
#Book
#Apache
#Web
🔐 pass: @iDeFense

@iDeFense

🔍 ابزار Hound یک ابزار ساده و سبک برای جمع آوری اطلاعات و گرفتن مختصات دقیق GPS

💢 https://github.com/techchipnet/houndGPS
🌐 https://www.youtube.com/watch?v=IiJRyVmITgI

#github
#tools
#Information_Gathering

@iDeFense

🟢 بسم الله الرحمن الرحیم 🟢

✅ لیست کتاب هایی که تاکنون به یاری دوستان در تیم آیدیفنس طبق رود مپ یاشار شاهین زاده ترجمه تحت لفظی شده است :

(کلیک کنید)
📚کتاب HTTP
📚کتاب نت ورک پلاس
📚 کتاب سکیوریتی پلاس
📚کتاب linux _in_action
📚کتاب برپ سوئیت
📚کتاب آپاچی

✅ همچنین ویدئو هایی که تاکنون از کتب ارائه شده و ده ها ویدئو ارزشمند دیگر به لطف دوستان در تیم آیدیفنس در اختیار شما عزیزان فارسی زبان قرار گرفته است به شرح زیر می باشد :

💠 پلی لیست کتاب فارسی HTTP The Definitive Guide
💠 پلی لیست کتاب Linux in action
💠 پلی لیست معرفی کتب امنیتی
💠 پلی لیست Bash Script
💠 پلی لیست binary
💠 پلی لیست RedTeam
💠 پلی لیست Binary CTF
💠 پلی لیست گپ و گفت با متخصصان حوزه امنیت
@iDeFense

⭕️ آیا میدانید فایل‌های PDF می‌توانند خطرات امنیتی زیادی داشته باشند؟!

برای مثال مهاجم می‌تواند از این فایل‌ها برای اجرای کدهای مخرب روی سیستم قربانی استفاده کند.
برخی از تکنیک‌های بهره‌برداری از PDF شامل:

🔺 اجرا کد از راه دور (Remote Code Execution): یک PDF می‌تواند شامل کدی باشد که به محض باز شدن، روی سیستم اجرا شود.

🔺 سرقت کوکی‌ها: فایل‌های PDF می‌توانند کوکی‌های مرورگر را استخراج کنند.

🔺 حملات دامنه: یک PDF می‌تواند شامل لینک‌های مخربی باشد که کاربر را به سایت‌های فیشینگ هدایت کند.

⚠️ برای کاهش این خطرات:

✅ از باز کردن فایل‌های PDF ناشناس خودداری کنید.

✅ از ابزارها و نرم‌افزارهای به‌روز و معتبر جهت باز کردن استفاده کنید.

🦠 برای اطلاعات بیشتر و نمونه‌های عملی این بهره‌برداری‌ها، می‌توانید به مخزن pdFExploits مراجعه کنید.

👁‍🗨 https://github.com/coffinxp/pdFExploits

#github
#RedTeam

@iDeFense