paypal bug bounty

sqli OOB (out of band)

#sqli
#bugbounty
#paypal
#rce

@sec_nerd

sqlidownloader

برای خواندن سورس سایتهایی که دارای باگ SQLI هستند و پرمیشن خواندن فایل نیز وجود دارد

https://github.com/inc0d3/sqlidownloader


#sqli
#Phineas_Fisher
#hackingteam
#sqlmap

@sec_nerd

یک دلیل قانع کننده برای دیفیس سایت!

«شما هک شدید چون من از درس خوندن متنفرم!»

#fun

@sec_nerd

استیو وُزنیاک که به همراه استیو جابز یکی از موسسان شرکت اپل بود با راه اندازی پورتال Woz U وارد عرصه آموزش شد. این پورتال با هدف آموزش تکنولوژی و ایجاد توانایی در افراد برای ورود به صنعت راه اندازی شده است.
این مرکز آموزشی علاوه بر چند دانشکده،‌مدرسه آنلاین نیز خواهد داشت.
https://www.techworm.net/2017/10/apple-co-founder-steve-wozniak-launches-online-technical-university-woz-u.html

#news
#tech

@sec_nerd

یک نمونه از پیاده سازی حمله با استفاده از امکان DDE در آفیس

https://www.securitysift.com/abusing-microsoft-office-dde/

#windows
#office
#word
#Outlook
#malware

@sec_nerd

این حمله در حال حاضر توسط این آنتی ویروس ها شناسایی میشود.

#DDE
#office
#word
#windows
#malware

@sec_nerd

vulners burp plugin

افزونه vulners برای پیدا کردن آسیب پذیری در وب سایتها توسط burpsuite

https://github.com/vulnersCom/burp-vulners-scanner/releases/download/1.1/burp-vulners-scanner-1.1.jar


#burpsuite
#pentest

@sec_nerd

مروری بر امکان link preview در برنامه های مختلف چت و بررسی امنیت این قابلیت

https://blog.0day.rocks/link-previews-in-im-apps-and-privacy-d32e6056095b

#telegram
#whatsapp

@sec_nerd

datasploit


• Performs OSINT on a domain / email / username / phone and find out information from different sources.
• Correlate and collaborate the results, show them in a consolidated manner.
• Tries to find out credentials, api-keys, tokens, subdomains, domain history, legacy portals, etc. related to the target.
• Use specific script / launch automated OSINT for consolidated data.
• Performs Active Scans on collected data.
• Generates HTML, JSON reports along with text files.


https://github.com/DataSploit/datasploit

#osint
#python

@sec_nerd

Web scraping with Python

https://datawhatnow.com/introduction-web-scraping-python/

#python
#web
#pentest

@sec_nerd

تولید اتوماتیک پیلودهای DDE برای داکیومنت های آفیس

https://github.com/xillwillx/CACTUSTORCH_DDEAUTO

#DDE
#windows
#office
#malware
#ps

@sec_nerd

باج افزار Bad Rabbit کشورهای شرق اروپا را مورد حمله قرار داده است.

#ransomware
#badRabbit
#news

@sec_nerd

باج افزار Bad Rabbit کامپیوترهای دولتی و تجاری فراوانی را در کشورهای شرق اروپا مورد حمله قرار داد. کشورهای روسیه، اوکراین، بلغارستان و ترکیه قربانیان این بدافزار هستند.
فرودگاه Odessa در اوکراین، سیستم قطار شهری کیف، وزارت زیرساخت روسیه و سه پایگاه خبری روسیه جزو قربانیان بزرگ این حمله به حساب می آیند.
این بدافزار از طریق آپدیت تقلبی فلش به این سیستم ها منتقل و با استفاده از باگ SMB در شبکه های داخلی منتشر شده است.
مبلغ درخواستی Bad Rabbit حدود 280 دلار است ( 0.05 بیت کوین).

https://www.bleepingcomputer.com/news/security/bad-rabbit-ransomware-outbreak-hits-eastern-europe/

#ransomware
#badRabbit
#russia
#windows

@sec_nerd

یک هکر ناشناخته اقدام به هک کردن DNS وب سایت coinhive.com کرد و موفق شد با نفوذ به حساب این وبسایت در cloudflare ، دی ان اس را hijack کند.
این وب سایت که با ارائه یک فایل جاوا اسکریپت به کاربران خود این امکان را به آنان میدهد که با جاسازی اسکریپت مذکور در صفحات وب، از cpu بازدید کنندگان برای ماین کردن monero استفاده کنند ، درصدی را نیز برای خود محاسبه میکند.
مهاجم موفق شد با تغییر مسیر درخواستهای کاربران برای اسکریپت coinhive.min.js ،به سمت سرور خود، هش های کاربران را سرقت کرده و عملا تمام عملیات ماین کردن را در طی این مدت به سود خود مورد استفاده قرار دهد!
مدیران وب سایت coinhive اعلام کردند احتمالا پسورد ضعیف حساب cloudflare باعث این هک شده است.حساب قبلی این وبسایت در Kickstarter که در سال 2014 هک شده بود پسورد مشابهی داشته است.

https://coinhive.com/blog/dns-breach

#news
#breach
#coinhive

@sec_nerd

bad Rabbit in action

#badrabbit
#ransomware


@sec_nerd

Tplmap

ابزاری برای اکسپلویت کردن باگ های تزریق کد و Server side Template Injection

https://github.com/epinna/tplmap

#ssti
#RCE

@sec_nerd

یکی از پیامهای ارسالی از باج افزار Bad Rabbit

#fun
#badrabbit
#ransomware

@sec_nerd

نمونه به همراه آنالیز

https://www.hybrid-analysis.com/sample/8ebc97e05c8e1073bda2efb6f4d00ad7e789260afa2c276f0c72740b838a0a93?environmentId=100

#badrabbit
#ransomware

@sec_nerd

مرکز CERT ایران گزارش داد باج افزار Tyrant کامپیوترهای کاربران ایرانی را مورد حمله قرار داده است.
این باج افزار که در پوشش فیلترشکن سایفون پخش شده است درخواست 15 دلار پول میکند.

https://financialtribune.com/articles/sci-tech/74689/ransomware-targets-iran-windows-users-demands-webmoney

#ransomware
#iran
#tyrant
#psiphon

@sec_nerd