Andrew Ng:
امروزه برخی افراد دیگران را از یادگیری برنامه‌نویسی دلسرد می‌کنند به این دلیل که معتقدند هوش مصنوعی آن را خودکار خواهد کرد. این توصیه به عنوان یکی از بدترین توصیه‌های شغلی در تاریخ شناخته خواهد شد. من با برنده جایزه تورینگ و نوبل که نوشته بود: «بسیار محتمل‌تر است که شغل برنامه‌نویسی منقرض شود [...] تا اینکه به اوج قدرت برسد. هر چه می‌گذرد، رایانه‌ها بیشتر خودشان برنامه‌نویسی خواهند کرد»، مخالفم. اظهاراتی که افراد را از یادگیری کدنویسی بازمی‌دارند، مضر هستند!
هرچه برنامه‌نویسی آسان‌تر شود، باید افراد بیشتری برنامه‌نویسی کنند، نه کمتر!
در چند دهه گذشته، برنامه‌نویسی از زبان اسمبلی به زبان‌های سطح بالاتر مثل C، از دسکتاپ به فضای ابری، از ویرایشگرهای متنی خام به محیط‌های توسعه یکپارچه (IDE) و حالا به کدنویسی با کمک هوش مصنوعی که گاهی حتی نیازی به دیدن کد تولیدی نیست (که برخی برنامه‌نویس‌ها به آن «کدنویسی با حال و هوا» یا vibe coding می‌گویند) پیشرفت کرده است. با هر گام، این فرآیند آسان‌تر شده است.
قبلاً نوشته بودم که افراد آشنا با تکنولوژی، با هماهنگی ابزارهای هوش مصنوعی، در مسیر تبدیل شدن به حرفه‌ای‌های ۱۰ برابری هستند — افرادی که ۱۰ برابر میانگین افراد در حوزه خود تأثیر دارند. من هر روز بیشتر به این باور می‌رسم که بهترین راه برای بسیاری از افراد برای رسیدن به این نقطه، فقط مصرف‌کننده بودن برنامه‌های هوش مصنوعی نیست، بلکه یادگیری برنامه‌نویسی کافی برای استفاده مؤثر از ابزارهای کدنویسی با کمک هوش مصنوعی است.
وقتی داشتم روی دوره «هوش مصنوعی مولد برای همه» کار می‌کردم و لازم بود تصاویر پس‌زمینه هنری تولید کنم، با همکاری کار کردم که در رشته تاریخ هنر تحصیل کرده بود و زبان هنر را می‌دانست. او با استفاده از اصطلاحات مرتبط با سبک تاریخی، پالت رنگی، الهام‌گیری از هنرمندان و غیره — یعنی با زبان هنر — به Midjourney دستور می‌داد تا به نتیجه دلخواه برسد. من این زبان را نمی‌دانستم، و تلاش‌های محدود من برای ساخت پرامپت، به اندازه او مؤثر نبود.
به همین ترتیب، کسانی که زبان نرم‌افزار را از طریق دانش برنامه‌نویسی می‌فهمند، می‌توانند به مدل‌های زبانی یا محیط‌های توسعه دارای هوش مصنوعی دقیق‌تر بگویند چه می‌خواهند و نتایج بسیار بهتری بگیرند. اکنون بهترین زمان برای یادگیری برنامه‌نویسی، یادگیری زبان نرم‌افزار، و آموختن توانایی واداشتن کامپیوترها به انجام خواسته‌های شماست.
امروزه برخی افراد دیگران را از یادگیری برنامه‌نویسی دلسرد می‌کنند به این دلیل که معتقدند هوش مصنوعی آن را خودکار خواهد کرد. این توصیه به عنوان یکی از بدترین توصیه‌های شغلی در تاریخ شناخته خواهد شد. من با برنده جایزه تورینگ و نوبل که نوشته بود: «بسیار محتمل‌تر است که شغل برنامه‌نویسی منقرض شود [...] تا اینکه به اوج قدرت برسد. هر چه می‌گذرد، رایانه‌ها بیشتر خودشان برنامه‌نویسی خواهند کرد»، مخالفم. اظهاراتی که افراد را از یادگیری کدنویسی بازمی‌دارند، مضر هستند!
هرچه برنامه‌نویسی آسان‌تر شود، باید افراد بیشتری برنامه‌نویسی کنند، نه کمتر!
در چند دهه گذشته، برنامه‌نویسی از زبان اسمبلی به زبان‌های سطح بالاتر مثل C، از دسکتاپ به فضای ابری، از ویرایشگرهای متنی خام به محیط‌های توسعه یکپارچه (IDE) و حالا به کدنویسی با کمک هوش مصنوعی که گاهی حتی نیازی به دیدن کد تولیدی نیست (که برخی برنامه‌نویس‌ها به آن «کدنویسی با حال و هوا» یا vibe coding می‌گویند) پیشرفت کرده است. با هر گام، این فرآیند آسان‌تر شده است.
قبلاً نوشته بودم که افراد آشنا با تکنولوژی، با هماهنگی ابزارهای هوش مصنوعی، در مسیر تبدیل شدن به حرفه‌ای‌های ۱۰ برابری هستند — افرادی که ۱۰ برابر میانگین افراد در حوزه خود تأثیر دارند. من هر روز بیشتر به این باور می‌رسم که بهترین راه برای بسیاری از افراد برای رسیدن به این نقطه، فقط مصرف‌کننده بودن برنامه‌های هوش مصنوعی نیست، بلکه یادگیری برنامه‌نویسی کافی برای استفاده مؤثر از ابزارهای کدنویسی با کمک هوش مصنوعی است.
وقتی داشتم روی دوره «هوش مصنوعی مولد برای همه» کار می‌کردم و لازم بود تصاویر پس‌زمینه هنری تولید کنم، با همکاری کار کردم که در رشته تاریخ هنر تحصیل کرده بود و زبان هنر را می‌دانست. او با استفاده از اصطلاحات مرتبط با سبک تاریخی، پالت رنگی، الهام‌گیری از هنرمندان و غیره — یعنی با زبان هنر — به Midjourney دستور می‌داد تا به نتیجه دلخواه برسد. من این زبان را نمی‌دانستم، و تلاش‌های محدود من برای ساخت پرامپت، به اندازه او مؤثر نبود.
به همین ترتیب، کسانی که زبان نرم‌افزار را از طریق دانش برنامه‌نویسی می‌فهمند، می‌توانند به مدل‌های زبانی یا محیط‌های توسعه دارای هوش مصنوعی دقیق‌تر بگویند چه می‌خواهند و نتایج بسیار بهتری بگیرند. اکنون بهترین زمان برای یادگیری برنامه‌نویسی، یادگیری زبان نرم‌افزار، و آموختن توانایی واداشتن کامپیوترها به انجام خواسته‌های شماست.
سرویس غیرقابل شناسایی: Tycoon2FA قوانین بازی در امنیت سایبری را تغییر خواهد داد
پلتفرم هک Tycoon2FA که در تاریک نت به خوبی شناخته شده است، به سطح جدیدی از نامرئی رسیده است. سرویسی که امکان رهگیری داده‌ها را حتی با احراز هویت دو مرحله‌ای فراهم میکند، به‌روزرسانی بزرگی دریافت کرده است و اکنون حتی در مخفی شدن از دفاع سایبری حتی بهتر است. علیرغم مقرون به صرفه بودن آن - اشتراک ها از 120 دلار شروع می شود - این ابزار می تواند حتی به سیستم های آماده آسیب جدی وارد کند.
اکنون، مهاجمان به کاراکترهای نامرئی یونیکد تعبیه شده در جاوا اسکریپت دسترسی دارند که خواندن کد را برای سیستم های تحلیل خودکار دشوار می کند. علاوه بر این، یک CAPTCHA خانگی روی بوم HTML وجود دارد که میتواند هم کاربران و هم محافظت از Cloudflare را فریب دهد. و عملکرد ضد اشکال‌زدایی داخلی، اسکریپت‌های تحلیلی را که رفتار سایت‌های فیشینگ را ردیابی می‌کنند، مسدود میکند.
این سرویس بر اساس یک طرح مرد میانی کار می کند و به شما امکان می دهد لاگین، رمز عبور و کوکی های جلسه را استخراج کنید، حتی اگر قربانی با احراز هویت دو مرحله ای محافظت شود. به گفته محققان، تنها در ماه های اخیر بیش از 400000 دلار از کیف پول های متصل به این پلتفرم عبور کرده است. این پلت فرم به طور فعال استفاده می شود و در حال گسترش است: در حال حاضر بیش از 1100 دامنه درگیر است.
با هر به روز رسانی، Tycoon2FA بیشتر و بیشتر خطرناک می شود - نه تنها به دلیل ترفندهای فنی آن، بلکه به دلیل در دسترس بودن آن در انجمن های سایه. این بدان معناست که حتی یک مجرم سایبری مبتدی ابزاری را به دست می‌آورد که میتواند حفاظت از شرکت‌ها و خدمات بزرگ را دور بزند. و در حالی که برخی به دنبال راه هایی برای تشخیص آن هستند، برخی دیگر در حال حاضر از آن با پتانسیل کامل خود استفاده می کنند.
پلتفرم هک Tycoon2FA که در تاریک نت به خوبی شناخته شده است، به سطح جدیدی از نامرئی رسیده است. سرویسی که امکان رهگیری داده‌ها را حتی با احراز هویت دو مرحله‌ای فراهم میکند، به‌روزرسانی بزرگی دریافت کرده است و اکنون حتی در مخفی شدن از دفاع سایبری حتی بهتر است. علیرغم مقرون به صرفه بودن آن - اشتراک ها از 120 دلار شروع می شود - این ابزار می تواند حتی به سیستم های آماده آسیب جدی وارد کند.
اکنون، مهاجمان به کاراکترهای نامرئی یونیکد تعبیه شده در جاوا اسکریپت دسترسی دارند که خواندن کد را برای سیستم های تحلیل خودکار دشوار می کند. علاوه بر این، یک CAPTCHA خانگی روی بوم HTML وجود دارد که میتواند هم کاربران و هم محافظت از Cloudflare را فریب دهد. و عملکرد ضد اشکال‌زدایی داخلی، اسکریپت‌های تحلیلی را که رفتار سایت‌های فیشینگ را ردیابی می‌کنند، مسدود میکند.
این سرویس بر اساس یک طرح مرد میانی کار می کند و به شما امکان می دهد لاگین، رمز عبور و کوکی های جلسه را استخراج کنید، حتی اگر قربانی با احراز هویت دو مرحله ای محافظت شود. به گفته محققان، تنها در ماه های اخیر بیش از 400000 دلار از کیف پول های متصل به این پلتفرم عبور کرده است. این پلت فرم به طور فعال استفاده می شود و در حال گسترش است: در حال حاضر بیش از 1100 دامنه درگیر است.
با هر به روز رسانی، Tycoon2FA بیشتر و بیشتر خطرناک می شود - نه تنها به دلیل ترفندهای فنی آن، بلکه به دلیل در دسترس بودن آن در انجمن های سایه. این بدان معناست که حتی یک مجرم سایبری مبتدی ابزاری را به دست می‌آورد که میتواند حفاظت از شرکت‌ها و خدمات بزرگ را دور بزند. و در حالی که برخی به دنبال راه هایی برای تشخیص آن هستند، برخی دیگر در حال حاضر از آن با پتانسیل کامل خود استفاده می کنند.
اکثر برنامه نویس ها همیشه حواسشون به بروت فورس هست یعنی می‌آن و تعداد دفعات اشتباه رو ذخیره می‌کنن و به یه نحوی مثلا بلاک کردن اکانت و ... جلوشو می‌گیرن
ولی اصلا حواسشون به Password Spraying نیست، اسپری کردن پسورد یعنی بر خلاف اینکه هکر روی یه یوزر پسورد های زیادی تست کنه یه پسورد رو روی یوزر های زیادی تست می‌کنه و مشکل لیمیت هم دیگه نداره (اگه لیمیت ساده گذاشته باشین)
مثلا فرض کنید شما یه پیام رسان دارین و من میام کد یه بار مصرف 78921 رو روی همه شماره ها تست می‌کنم اگه حواستون به لیمیشن مثلا ایپی من نباشه من به راحتی وارد یه اکانت می‌شم چون بلخره یکبار سرور 78921 رو تولید می‌کنه
@Hacker0x01vo
ولی اصلا حواسشون به Password Spraying نیست، اسپری کردن پسورد یعنی بر خلاف اینکه هکر روی یه یوزر پسورد های زیادی تست کنه یه پسورد رو روی یوزر های زیادی تست می‌کنه و مشکل لیمیت هم دیگه نداره (اگه لیمیت ساده گذاشته باشین)
مثلا فرض کنید شما یه پیام رسان دارین و من میام کد یه بار مصرف 78921 رو روی همه شماره ها تست می‌کنم اگه حواستون به لیمیشن مثلا ایپی من نباشه من به راحتی وارد یه اکانت می‌شم چون بلخره یکبار سرور 78921 رو تولید می‌کنه
@Hacker0x01vo
#هشدار
بیش از 16000 دستگاه متصل به اینترنت Fortinet توسط یک درپشتی پیوند نمادین جدید که به هکرها امکان دسترسی فقط خواندنی به فایل‌های حساس را می‌دهد در معرض خطر قرار گرفته‌اند.
این آمار ناامیدکننده توسط محققان بنیاد Shadowserver پس از آن ارائه شد که Fortinet هفته گذشته به مشتریان در مورد کشف مکانیسم جدیدی برای حفظ دسترسی از راه دور به فایل‌ها در سیستم ریشه دستگاه‌های FortiGate پچ شده که قبلاً در معرض خطر قرار گرفته بودند، هشدار داد.
طبق گفته Fortinet، کمپین مشاهده شده مربوط به سوء استفاده از آسیب پذیری های جدید نیست، بلکه نتیجه حملاتی است که بین سال های 2023 و 2024 رخ داده است، جایی که مهاجم از یک روز صفر برای به خطر انداختن دستگاه های FortiOS استفاده کرده است.
مهاجمان پس از دسترسی به دستگاه‌ها، پیوندهای نمادینی را در پوشه فایل‌های زبان به سیستم فایل ریشه دستگاه‌های دارای SSL-VPN فعال ایجاد کردند.
از آنجایی که فایل‌های زبان در دستگاه‌های FortiGate با SSL-VPN فعال در دسترس عموم هستند، مهاجم میتواند به این پوشه رفته و حتی پس از رفع آسیب‌پذیری‌های اولیه، دسترسی خواندن مداوم به سیستم فایل ریشه (با تنظیمات) داشته باشد.
Fortinet همچنین شروع به اطلاع‌رسانی خصوصی به مشتریان از طریق ایمیل از دستگاه‌های فورتی‌گیت کرده است که توسط FortiGuard شناسایی شده‌اند که توسط این درب پشتی symlink در معرض خطر قرار گرفته‌اند.
Fortinet یک امضای به روز شده AV/IPS منتشر کرده است که می تواند یک پیوند نمادین مخرب را از دستگاه های در معرض خطر شناسایی و حذف کند.
آخرین نسخه سیستم عامل نیز به این قابلیت مجهز شده بود. این به روز رسانی همچنین از سرویس دهی وب سرور داخلی به فایل ها و پوشه های ناشناخته جلوگیری می کند.
در نهایت، اگر مشخص شد که دستگاه به خطر افتاده است، این امکان وجود دارد که مهاجمان به آخرین فایل‌های پیکربندی، از جمله اعتبارنامه‌ها دسترسی داشته باشند.
بنابراین، تمام اعتبارنامه ها باید بازنشانی شوند و مدیران باید مراحل باقی مانده در این راهنما را دنبال کنند .
https://www.fortinet.com/blog/psirt-blogs/analysis-of-threat-actor-activity
@Hacker0x01vo
بیش از 16000 دستگاه متصل به اینترنت Fortinet توسط یک درپشتی پیوند نمادین جدید که به هکرها امکان دسترسی فقط خواندنی به فایل‌های حساس را می‌دهد در معرض خطر قرار گرفته‌اند.
این آمار ناامیدکننده توسط محققان بنیاد Shadowserver پس از آن ارائه شد که Fortinet هفته گذشته به مشتریان در مورد کشف مکانیسم جدیدی برای حفظ دسترسی از راه دور به فایل‌ها در سیستم ریشه دستگاه‌های FortiGate پچ شده که قبلاً در معرض خطر قرار گرفته بودند، هشدار داد.
طبق گفته Fortinet، کمپین مشاهده شده مربوط به سوء استفاده از آسیب پذیری های جدید نیست، بلکه نتیجه حملاتی است که بین سال های 2023 و 2024 رخ داده است، جایی که مهاجم از یک روز صفر برای به خطر انداختن دستگاه های FortiOS استفاده کرده است.
مهاجمان پس از دسترسی به دستگاه‌ها، پیوندهای نمادینی را در پوشه فایل‌های زبان به سیستم فایل ریشه دستگاه‌های دارای SSL-VPN فعال ایجاد کردند.
از آنجایی که فایل‌های زبان در دستگاه‌های FortiGate با SSL-VPN فعال در دسترس عموم هستند، مهاجم میتواند به این پوشه رفته و حتی پس از رفع آسیب‌پذیری‌های اولیه، دسترسی خواندن مداوم به سیستم فایل ریشه (با تنظیمات) داشته باشد.
Fortinet همچنین شروع به اطلاع‌رسانی خصوصی به مشتریان از طریق ایمیل از دستگاه‌های فورتی‌گیت کرده است که توسط FortiGuard شناسایی شده‌اند که توسط این درب پشتی symlink در معرض خطر قرار گرفته‌اند.
Fortinet یک امضای به روز شده AV/IPS منتشر کرده است که می تواند یک پیوند نمادین مخرب را از دستگاه های در معرض خطر شناسایی و حذف کند.
آخرین نسخه سیستم عامل نیز به این قابلیت مجهز شده بود. این به روز رسانی همچنین از سرویس دهی وب سرور داخلی به فایل ها و پوشه های ناشناخته جلوگیری می کند.
در نهایت، اگر مشخص شد که دستگاه به خطر افتاده است، این امکان وجود دارد که مهاجمان به آخرین فایل‌های پیکربندی، از جمله اعتبارنامه‌ها دسترسی داشته باشند.
بنابراین، تمام اعتبارنامه ها باید بازنشانی شوند و مدیران باید مراحل باقی مانده در این راهنما را دنبال کنند .
https://www.fortinet.com/blog/psirt-blogs/analysis-of-threat-actor-activity
@Hacker0x01vo
Fortinet Blog
Analysis of Threat Actor Activity
Fortinet diligently balances our commitment to the security of our customers and our culture of responsible transparency and commits to sharing information with that goal in mind. While efforts by …
🧑💻Cyber.vision🧑💻
https://discord.gg/rQd49PsK
سرور دیسکورد حرفه‌ای امنیت سایبری راه‌اندازی شد!
اگه عاشق دنیای تست نفوذ، امنیت شبکه، امنیت صنعتی (ICS/SCADA)، شکار آسیب‌پذیری و باگ‌بانتی هستی — حتما به سرور ما سر بزن!
توی این سرور:
بخش تخصصی تست نفوذ شبکه و وب
چنل اختصاصی باگ‌بانتی و گزارش آسیب‌پذیری
فضای ویژه برای امنیت شبکه‌های صنعتی و SCADA
کلی آموزش تست نفوذ و CTF
معرفی و اشتراک ابزار و اسکریپت‌های حرفه‌ای
مسابقات دوره‌ای و چالش‌های امنیتی
و کلی افراد حرفه‌ای و متخصص
با نقش‌بندی اختصاصی و سیستم پاداش برای بهترین شکارچی‌ها!
عضو شو و دانش و مهارتتو ارتقاء بده!
[https://discord.gg/rQd49PsK]
اگه عاشق دنیای تست نفوذ، امنیت شبکه، امنیت صنعتی (ICS/SCADA)، شکار آسیب‌پذیری و باگ‌بانتی هستی — حتما به سرور ما سر بزن!
توی این سرور:
بخش تخصصی تست نفوذ شبکه و وب
چنل اختصاصی باگ‌بانتی و گزارش آسیب‌پذیری
فضای ویژه برای امنیت شبکه‌های صنعتی و SCADA
کلی آموزش تست نفوذ و CTF
معرفی و اشتراک ابزار و اسکریپت‌های حرفه‌ای
مسابقات دوره‌ای و چالش‌های امنیتی
و کلی افراد حرفه‌ای و متخصص
با نقش‌بندی اختصاصی و سیستم پاداش برای بهترین شکارچی‌ها!
عضو شو و دانش و مهارتتو ارتقاء بده!
[https://discord.gg/rQd49PsK]
Discord
Join the 🔥 CipherNest 🕶🛡 Discord Server!
Check out the 🔥 CipherNest 🕶🛡 community on Discord - hang out with 5 other members and enjoy free voice and text chat.
#Solarwinds #Platform #Deserializtion #Bugs
همانطور که میدانید یکی از اصلی ترین نرم افزار های SolarWinds محصول مدیریت و نظارت بر شبکه است که طی سالهای اخیر چند آسیب پذیری روز صفر داشته است.
پروتکلی در SolarWinds استفاده میشود با نام RabbitMQ که بر مبنای TCP کار کرده و در تصویر بالا پکت ضبط شده آن را مشاهده میکنید.
این پروتکل بر روی پورت 5671 کار کرده و میتواند پیام های AMQP ارسال نماید، این پیام چند نوع و روش ارسال داده دارد.
که در نوع Content header (2) میتواند نوع داده Serialize ارسال کند و در Properties تصویر دوم مشخص میشود که دریافت کننده مقدار کجاست.
محقق با بررسی دقیق و مهندسی معکوس کد منبع، متوجه شده که در جریان ردیابی کد، هیچ کنترلی بر روی مقادیر Serialize نبوده و مقدار Properties در پیام، ظرفیت Deserialize شدن دارند.
در تصویر بالا تابع HandleBasicDeliver پیام در پروتکل را دریافت میکند و در موقعیت 3 اقدام به برگشت دادن مقدار به تابع میکند.
در تصویر دوم، Consume رو داریم که یک Method از IDisposable است و مقدار پیام دریافتی در Body را Deserialize میکند و عدم کنترل موجب اجرای کد شده است.
همانطور که میدانید یکی از اصلی ترین نرم افزار های SolarWinds محصول مدیریت و نظارت بر شبکه است که طی سالهای اخیر چند آسیب پذیری روز صفر داشته است.
پروتکلی در SolarWinds استفاده میشود با نام RabbitMQ که بر مبنای TCP کار کرده و در تصویر بالا پکت ضبط شده آن را مشاهده میکنید.
این پروتکل بر روی پورت 5671 کار کرده و میتواند پیام های AMQP ارسال نماید، این پیام چند نوع و روش ارسال داده دارد.
که در نوع Content header (2) میتواند نوع داده Serialize ارسال کند و در Properties تصویر دوم مشخص میشود که دریافت کننده مقدار کجاست.
محقق با بررسی دقیق و مهندسی معکوس کد منبع، متوجه شده که در جریان ردیابی کد، هیچ کنترلی بر روی مقادیر Serialize نبوده و مقدار Properties در پیام، ظرفیت Deserialize شدن دارند.
در تصویر بالا تابع HandleBasicDeliver پیام در پروتکل را دریافت میکند و در موقعیت 3 اقدام به برگشت دادن مقدار به تابع میکند.
در تصویر دوم، Consume رو داریم که یک Method از IDisposable است و مقدار پیام دریافتی در Body را Deserialize میکند و عدم کنترل موجب اجرای کد شده است.