خیلی خب رفقاااااا
در این لحظه باشکوه شاهد سایت گوگولی من بین باقی هاب های دیگه هستید داخل هاب بشدت خفن hxlab.ir 😎

یه سری ابزارها و سرویس هایی که من براتون آپ نکردم رو می‌تونید از هاب hxlab پیدا کنید و استفاده کنید.

اهم اهم، میرور آرچ لینوکس و void لینوکس و CatchyOS هم دارن اگه لینوکسی هستین!

همچنین کانال توسعه دهنده این هاب روهم اگر خواستید دنبال کنید:
@HaashemiDev

🤑حمایت مالی جهت نگه‌داری سرویس‌ها + نگهداری خودم😭😂:

USDT Bep20
0x026aa48a8464424949e6AcAe52DE78DFb83203E4

USDT Pos (Polygon)
0x026aa48a8464424949e6AcAe52DE78DFb83203E4

TON
UQD_LJ0950yxxtmbnRyktCIIspWJOHvXvTU9VPX4EwAm03qa

TRX فقط ترون:
TXFe5kA7k4nAzf5FPUhZsDsdarJx639Rj2

ریالی:
daramet.com/AziziWarmCorner

🚨 هشدار امنیتی برای کسانی که از Cloudflare Workers + Custom Domain استفاده می‌کنند

امروز با یک سناریوی حمله مواجه شدم که به نظرم لازم است بقیه هم درباره‌اش بدانند.
ماجرا این بود که سورس اصلی Worker سالم بود و آدرس مستقیم Worker هم درست کار می‌کرد؛ اما وقتی همان سرویس از طریق دامنه‌ی اختصاصی باز می‌شد، صفحه‌ی جعلی Verification نمایش داده می‌شد. صفحه از کاربر می‌خواست برای ادامه، کلیدهای Win + R و بعد Ctrl + V را بزند.
این مدل حمله معمولاً به اسم ClickFix شناخته می‌شود؛ یعنی مهاجم کاری می‌کند که کاربر خودش یک دستور مخرب را از کلیپ‌بورد اجرا کند.
نکته‌ی مهم اینجاست: مشکل داخل سورس اصلی Worker نبود.
در بررسی مشخص شد یک Worker غیرمجاز داخل اکانت Cloudflare ساخته شده بود و با یک route از نوع wildcard روی دامنه فعال شده بود. این Worker مثل یک proxy عمل می‌کرد: پاسخ اصلی سایت را می‌گرفت، اگر HTML بود قبل از بسته شدن body یک اسکریپت مخرب به آن اضافه می‌کرد، و نسخه‌ی دستکاری‌شده را به کاربر نشان می‌داد.

💡 یعنی ممکن است:
✅ سورس Worker شما سالم باشد
✅ آدرس مستقیم workers.dev سالم باشد
❌ ولی دامنه‌ی اختصاصی شما آلوده دیده شود
(برای مثال در تصویر ضمیمه شده)

🗣️ چون مسیر دامنه از یک Worker/Route دیگر عبور می‌کند.

🗣️ چیزهایی که باید چک کنید:
1. در Cloudflare، بخش Workers Routes را بررسی کنید
مخصوصاً routeهای wildcard مثل *.domain/*
2. ببینید Worker ناشناس یا جدیدی داخل اکانت ساخته نشده باشد
3. بخش Audit Log را برای این موارد چک کنید:
* ساخت Worker جدید
* تغییر route
* ساخت یا استفاده از API Token * login یا session مشکوک
4. همچنین Custom Domain را با آدرس مستقیم Worker مقایسه کنید
اگر workers.dev سالم است ولی دامنه رفتار عجیب دارد، احتمالاً مشکل از route، cache، rule، یا Worker واسط است.
5. اگر صفحه‌ای دیدید که برای verify شدن از شما می‌خواهد Win + R`، `Ctrl + V یا Enter بزنید، انجام ندهید. این رفتار عادی reCAPTCHA یا Cloudflare نیست.

❗️ در این مورد route مخرب حذف شد و دامنه دوباره سالم شد، اما این تجربه نشان داد صرفاً سالم بودن سورس Worker کافی نیست. باید routeها، Workerهای داخل اکانت، sessionها، tokenها و audit log هم بررسی شوند.

📌 جزئیات حساس مثل لینک‌ها و کد کامل را عمومی منتشر نمی‌کنم تا سوءاستفاده بیشتر نشود، اما اصل حمله این بود:
ساخت Worker غیرمجاز با حمله اینجکشن و جعل سشن داخل اکانت → وصل کردن به wildcard route → گرفتن پاسخ اصلی → تزریق JavaScript به HTML → نمایش ClickFix جعلی به کاربر
اگر Cloudflare Workers دارید، همین امروز routeها و Workerهای اکانتتان را چک کنید.

➕ همچنین تمامی مستندات برای باگ بانتی کلودفلر ارسال شد.

پ.ن: گزارش اولیه و هشدار در رابطه با این مشکل، توسط یکی از شما (@femininedick) برای من ارسال شد.

🗣 @luluch_code
🏠 theazizi.ir