انجام آزمایشات امنیتی بر روی فرم های آپلود با استفاده از افزونه UploadScanner برای burpsuite

https://github.com/PortSwigger/upload-scanner


#web
#pentest
#burpsuite
#shell


@sec_nerd

احتمالا باید نام بات نت Mirai را شنیده باشید. این بات نت که از روترها و DVRها و دوربین های امنیتی زیادی تشکیل شده است یکی از قوی ترین بات نتهای جهان است که سال گذشته یکی از وسیع ترین حملات DDOS را علیه سرورهای DynDNS صورت داد که باعث از کار افتادن وبسایتهایی مانند Reddit و آمازون و توییتر شد.
سال گذشته سه هکر که مالک میرای بودند دستگیر شدند. Paras Jha و Josiah White و Dalton Norman به جرم راه اندازی این بات نت دستگیر شدند اما بصورت غیرمنتظره ای مجازات کمی برای آنها در نظر گرفته شد. مجازات آنها شامل ۵ سال آزادی مشروط، ۱۲۷ هزار دلار جریمه و ۲۵۰۰ ساعت خدمات اجتماعی که شامل کمک به آژانس های امنیتی و قانونی است.
این در حالیست که جان کلسی ۴۶ ساله بخاطر انجام حمله دیداس علیه کارفرمای سابق خود به ۵ سال زندان محکوم شده بود.
اما اکنون آشکار شده است که ژا، وایت و نورمن از سال پیش در حال همکاری با FBI هستند و در طی این مدت توانسته اند چند بات نت خطرناک را از بین ببرند و همین امر باعث کاهش جریمه و محکومیت آنها شده است.


منبع:
https://www.hackread.com/mirai-hackers-botnet-avoid-jail-fbi/


#news
#usa
#botnet
#ddos
#fbi


@sec_nerd

After “five or seven minutes,” the contents of his phone’s screen appeared on a large display that was set up in the meeting room, all without him even clicking on a malicious link, he said.


جمله ای در مورد قابلیت های گروه امنیتی NSO که اسراییلی است و سرویس هک گوشی های آیفون را به مشتریانش ارائه میدهد.

پیش از این در مورد یکی از مشتریان این شرکت که حکومت امارات است توضیحاتی داده ایم
https://t.iss.one/sec_nerd/2784


در خصوص قابلیت های فنی این گروه در لینک زیر بخوانید:

https://motherboard.vice.com/en_us/article/qvakb3/inside-nso-group-spyware-demo


#israel
#nso
#spyware
#pegasus
#news


@sec_nerd

Researcher Discloses New Zero-Day Affecting All Versions of Windows

A security researcher has publicly disclosed an unpatched zero-day vulnerability in all supported versions of Microsoft Windows operating system (including server editions) after the company failed to patch a responsibly disclosed bug within the 120-days deadline.

Discovered by Lucas Leong of the Trend Micro Security Research team, the zero-day vulnerability resides in Microsoft Jet Database Engine that could allow an attacker to remotely execute malicious code on any vulnerable Windows computer.

The Microsoft JET Database Engine, or simply JET (Joint Engine Technology), is a database engine integrated within several Microsoft products, including Microsoft Access and Visual Basic.

An attacker must convince a targeted user into opening a specially crafted JET database file in order to exploit this vulnerability and remotely execute malicious code on a targeted vulnerable Windows computer.

Read More
ZDI Advisory
ActiveX Browser PoC

منابعی در خصوص نحوه پیدا کردن آی پی اصلی وبسایتهایی که از #cloudflare استفاده میکنند و دور زدن محدودیت های فایروال


https://blog.christophetd.fr/bypassing-cloudflare-using-internet-wide-scan-data/


https://www.chokepoint.net/2017/10/exposing-server-ips-behind-cloudflare.html


https://www.securityidiots.com/Web-Pentest/Information-Gathering/Cloudflare-Bypass/Part-2-Cloudflare-Security-Bypass.html


https://medium.com/secure-hacker/bypass-cloudflare-protection-get-subdomains-ofa-website-2cb1d749c510


#web
#pentest
#bypass
#sqli
#xss

@sec_nerd

hackbar #burpsuite

https://github.com/d3vilbug/HackBar/releases/tag/1.0


#web
#pentest

@sec_nerd

رایت آپ کشف باگ XSS در وبسایت uber

https://medium.com/@efkan162/how-i-xssed-uber-and-bypassed-csp-9ae52404f4c5


#writeup
#xss
#web
#bugbounty
#uber


@sec_nerd

عملیات #pivoting با استفاده از Responder


https://ijustwannared.team/2017/05/27/responder-and-layer-2-pivots/


#network
#pentest
#windows


@sec_nerd

استفاده از OSINT برای کشف ارتباط بین دامین،‌ایمیل و آدرس آی پی

https://medium.com/@woj_ciech/osint-tool-for-visualizing-relationships-between-domains-ips-and-email-addresses-94377aa1f20a


#osint
#domain
#enum


@sec_nerd

Simple bash script to take screenshots

#!/bin/bash
file="/path/urls.txt"
while IFS= read line
do
echo "$line"
firefox -screenshot "$line".png "$line"
&>/dev/null
done < "$file"




#linux
#bash
#terminal


@sec_nerd

زبان از وصف این شجاعت قاصره!

اسکریپت ماینری که در وبسایت پلیس راهور کار گذاشته شده!

https://twitter.com/hfahimi/status/1043453260596690944

#iran
#news
#police
#coinhive
#monero
#btc


@sec_nerd

توضیحات وبسایت دیجیاتو در این خصوص

https://digiato.com/article/2018/09/23/%DA%A9%D8%AF-%D9%85%D8%A7%DB%8C%D9%86%DB%8C%D9%86%DA%AF-%D8%AF%D8%B1-%D8%B3%D8%A7%DB%8C%D8%AA-%D9%BE%D9%84%DB%8C%D8%B3-%D8%B1%D8%A7%D9%87%D9%88%D8%B1/



#iran
#news
#police
#coinhive
#monero
#btc


@sec_nerd

شهادت جمعی از هموطنان عزیزمان در حادثه تروریستی اهواز را به خانواده های این عزیزان و همه ایرانیان تسلیت عرض مینماییم.


#rip
#iran
#terrorism

@sec_nerd

کشف GraphQL در بکند و تزریق SQL

https://bit.ly/2Q16JIC

#graphql
#sql
#sqli
#nosql

@sec_nerd

چک لیست تست نفوذ وبسایتها


https://hackercombat.com/web-application-penetration-testing-checklist/


#web
#pentest


@sec_nerd

ترامپ راهبرد جدید امنیت سایبری آمریکا را امضا کرد

طبق این راهبرد جدید، عملیات‌های سایبری آمریکا برای دفاع در برابر حملات سایبری خارجی وارد فاز تهاجمی خواهند شد.



https://thehill.com/policy/cybersecurity/407861-trumps-new-cyber-approach-the-best-defense-is-a-good-offense



#usa
#cybersec
#news
#iran
#russia
#stuxnet



@sec_nerd

سلام دوستان
امشب یک موضوع رو در زمینه OSINT در چند پست متوالی بهش خواهیم پرداخت.
از دست ندید!


#osint


@sec_nerd

در سال ۲۰۱۸ ویدیویی وحشتناک از قتل عام دو زن و دو کودک در افریقا،‌در فضای اینترنت منتشر شد. تعداد ۲۲ گلوله به سمت قربانیان شلیک شد.

#osint

@sec_nerd

ویدیوی منتشر شده این ویدیو بود که البته انتهای آن حذف شده. بی بی سی افریقا تحقیقاتی در خصوص این قتل عام انجام داد.

#osint

@sec_nerd

گفته شد که این تصاویر متعلق به کشور کامرون یا مالی هست اما دولت کامرون این موضوع رو رد کرد و دلیلش هم سلاح های افراد بود

#osint

@sec_nerd