امنیت اطلاعات
پیش از این در مورد سیستم اطلاعاتی کشور امارات که ارتباطاتی با ماموران CIA دارد مطلبی منتشر کردیم. (https://t.iss.one/sec_nerd/1461) اخیرا اسنادی از ارتباط امارات با گروه های هکرهای دولتی اسراییلی نیز منتشر شده است. در ماه جولای مصاحبه ای با یک شرکت امنیت سایبری…
اماراتی ها از ابزار سایبری KARMA برای هک کردن برخی مسئولان کشورهای ترکیه، قطر و یمن استفاده میکنند.
این ابزار برای نفوذ به گوشی های موبایل بکار میرود و قابلیت دزدیدن ایمیلها، تصاویر، پیامکها، مکانها و پسوردها را دارد.
این کمپین از سال ۲۰۱۶ آغاز شده و Raven نام دارد و ابزار کارما برای نفوذ به گوشی های آیفون از راه دور در این کمپین بکار رفته است.
این آژانس امنیتی اماراتی DarkMatter نام دارد و با برخی ماموران اطلاعاتی امریکایی در ارتباط است.
گفته میشود عملیات Raven یک عملیات مشترک بین عربستان و امارات برای هدف قراردادن حامیان گروه اخوان المسلمین است که ترکیه و قطر جزو این اهداف می باشند.
اطلاعات بیشتر:
https://www.hackread.com/hackers-used-karma-tool-to-hack-iphones-of-govt-officials/
#news
#uae
#usa
#ksa
#iphone
#turkey
#qatar
@sec_nerd
این ابزار برای نفوذ به گوشی های موبایل بکار میرود و قابلیت دزدیدن ایمیلها، تصاویر، پیامکها، مکانها و پسوردها را دارد.
این کمپین از سال ۲۰۱۶ آغاز شده و Raven نام دارد و ابزار کارما برای نفوذ به گوشی های آیفون از راه دور در این کمپین بکار رفته است.
این آژانس امنیتی اماراتی DarkMatter نام دارد و با برخی ماموران اطلاعاتی امریکایی در ارتباط است.
گفته میشود عملیات Raven یک عملیات مشترک بین عربستان و امارات برای هدف قراردادن حامیان گروه اخوان المسلمین است که ترکیه و قطر جزو این اهداف می باشند.
اطلاعات بیشتر:
https://www.hackread.com/hackers-used-karma-tool-to-hack-iphones-of-govt-officials/
#news
#uae
#usa
#ksa
#iphone
#turkey
#qatar
@sec_nerd
HackRead
Hackers used Karma tool to hack iPhones of prominent Govt officials
EX-NSA operatives in action.
در این لینک به بررسی فعالیت ها و مکانهای جغرافیایی گروه های APT دولتی (State Sponsored) پرداخته شده است.
این دولتها شامل چین، روسیه، لبنان، اسراییل، امریکاو انگلیس هستند.
(خداروشکر تا حالا مکانی از گروه های ایرانی بدست نیومده!)
https://0xffff0800.blogspot.com/2019/02/the-homes-of-cyber-spies.html
#apt
#russia
#usa
#china
#uk
#israel
@sec_nerd
این دولتها شامل چین، روسیه، لبنان، اسراییل، امریکاو انگلیس هستند.
(خداروشکر تا حالا مکانی از گروه های ایرانی بدست نیومده!)
https://0xffff0800.blogspot.com/2019/02/the-homes-of-cyber-spies.html
#apt
#russia
#usa
#china
#uk
#israel
@sec_nerd
روز گذشته رقم جوایز وبسایت HackerOne به ۴۵ میلیون دلار رسید!
این وبسایت که میزبانی رقابت های کشف باگ در سرویسهای شرکتها، توسط هکرهای داوطلب را به عهده دارد تا کنون ۴۵ میلیون دلار از جوایز را به هکرهای کلاه سفید پرداخت کرده و امیدوار است که این راه را تا به رکورد ۵۰ میلیون دلار ادامه دهد.
در پیام این وبسایت به برخی هکرهای برتر شرکت کننده در رقابت ها نیز اشاره شده است.
منبع:
https://www.hackerone.com/blog/Brace-yourself-50-Million-Bounties-Coming-and-we-are-celebrating-whole-way-there
#news
#hackerone
#bugbounty
@sec_nerd
این وبسایت که میزبانی رقابت های کشف باگ در سرویسهای شرکتها، توسط هکرهای داوطلب را به عهده دارد تا کنون ۴۵ میلیون دلار از جوایز را به هکرهای کلاه سفید پرداخت کرده و امیدوار است که این راه را تا به رکورد ۵۰ میلیون دلار ادامه دهد.
در پیام این وبسایت به برخی هکرهای برتر شرکت کننده در رقابت ها نیز اشاره شده است.
منبع:
https://www.hackerone.com/blog/Brace-yourself-50-Million-Bounties-Coming-and-we-are-celebrating-whole-way-there
#news
#hackerone
#bugbounty
@sec_nerd
کاور وبکم ارائه شده توسط NSA آنطور که باید، دوربین را پوشش نمیدهد!
ابزار بهبود کیفیت تصویر و کاهش نویز:
https://github.com/google/burst-denoising
منبع:
https://twitter.com/EFF/status/1091449476613468160
#news
#nsa
#privacy
#fun
@sec_nerd
ابزار بهبود کیفیت تصویر و کاهش نویز:
https://github.com/google/burst-denoising
منبع:
https://twitter.com/EFF/status/1091449476613468160
#news
#nsa
#privacy
#fun
@sec_nerd
ده تکنیک برتر نفوذ به وب از دید چند کارشناس بین المللی از جمله سروش دلیلی از کشورمان (ایشون جزو کارشناسان برجسته و شناخته شده در دنیای امنیت هستند):
۱۰- آسیب پذیری php7 که منجر به اجرای دستور از راه دور میشود
۹-مقاله ی cure53 که مربوط به آسیب پذیری موجود در اینترنت اکسپلورر، اج و کروم است و در فصول سه تا پنج این تحقیق مباحث جالبی در خصوص امنیت وب دیده میشود..
۸- کدگذاری ورودی ها برای دور زدن WAF که تحقیقات این بخش توسط سروش دلیلی انجام شده است.
۷- تست نفوذ سطوح دسترسی در سرویس های ابری آمازون
۶- آسیب پذیری های فلش
۵- CloudBleed
۴- حملات json
۳- حملات ticket trick که با فریب دادن ساپورت سنترها انجام میشود.
۲- مسموم کردن کش وب
۱- دوران جدید SSRF
https://portswigger.net/blog/top-10-web-hacking-techniques-of-2017
#web
#pentest
@sec_nerd
۱۰- آسیب پذیری php7 که منجر به اجرای دستور از راه دور میشود
۹-مقاله ی cure53 که مربوط به آسیب پذیری موجود در اینترنت اکسپلورر، اج و کروم است و در فصول سه تا پنج این تحقیق مباحث جالبی در خصوص امنیت وب دیده میشود..
۸- کدگذاری ورودی ها برای دور زدن WAF که تحقیقات این بخش توسط سروش دلیلی انجام شده است.
۷- تست نفوذ سطوح دسترسی در سرویس های ابری آمازون
۶- آسیب پذیری های فلش
۵- CloudBleed
۴- حملات json
۳- حملات ticket trick که با فریب دادن ساپورت سنترها انجام میشود.
۲- مسموم کردن کش وب
۱- دوران جدید SSRF
https://portswigger.net/blog/top-10-web-hacking-techniques-of-2017
#web
#pentest
@sec_nerd
PortSwigger Research
Top 10 Web Hacking Techniques of 2017
The verdict is in! Following 37 nominations whittled down to a shortlist of 15 by a community vote, our panel of experts has conferred and selected the top 10 web hacking techniques of 2017 (and 2016)
ابزار قدرتمند فیشینگ Modlishka همراه با قابلیت 2FA
https://github.com/drk1wi/Modlishka
#phishing
#client
#2fa
@sec_nerd
https://github.com/drk1wi/Modlishka
#phishing
#client
#2fa
@sec_nerd
رایت آپ تست نفوذ به وب در مسابقات Nullcon
https://aadityapurani.com/2019/02/03/hackim-nullcon-ctf-2019-proton/
#web
#pentest
#writeup
#ctf
#mongodb
#python
@sec_nerd
https://aadityapurani.com/2019/02/03/hackim-nullcon-ctf-2019-proton/
#web
#pentest
#writeup
#ctf
#mongodb
#python
@sec_nerd
Aaditya Purani - Hacker
[HackIM Nullcon CTF 2019] – Proton
Introduction: I participated for 36 hours in NullCon’s 10th CTF known as HackIM 2019 as usual from ‘dcua’, and completed 8 tasks and engaged with couple others. There will be bunc…
استخراج ساب دامین های یک وبسایت با استفاده از crt.sh
$ curl 'https://crt.sh/?q=%.example.org ' | grep "https://example.org " | cut -d '>' -f2 | cut -d '<' -f1 | grep -v " " | sort -u
#enum
#web
#pentest
#bugbounty
@sec_nerd
$ curl 'https://crt.sh/?q=%.example.org ' | grep "https://example.org " | cut -d '>' -f2 | cut -d '<' -f1 | grep -v " " | sort -u
#enum
#web
#pentest
#bugbounty
@sec_nerd
یک فایل PNG میتواند باعث هک شدن گوشی اندرویدی شما شود!
این آسیب پذیری از اندروید نسخه ۷ تا ۹ وجود دارد و با شناسه های CVE-2019-1986 و CVE-2019-1987 و CVE-2019-1988 ثبت شده است.
طبق گفته ی گوگل یکی از این سه آسیب پذیری با استفاده از تصاویر PNG میتواند منجر به اجرای دستور در اندروید شود.
این تصویر میتواند از طرق مختلف از جمله وب، ایمیل، مسیج و پیام رسان های مختلف برای قربانی ارسال شود.
گوگل برای این مشکلات در ماه فوریه وصله های امنیتی منتشر کرده است اما این نکته را در نظر بگیرید که آیا گوشی شما از شرکت تولید کننده ی خود آپدیتی دریافت میکند یا نه!
منبع:
https://thehackernews.com/2019/02/hack-android-with-image.html
#news
#android
#google
#rce
@sec_nerd
این آسیب پذیری از اندروید نسخه ۷ تا ۹ وجود دارد و با شناسه های CVE-2019-1986 و CVE-2019-1987 و CVE-2019-1988 ثبت شده است.
طبق گفته ی گوگل یکی از این سه آسیب پذیری با استفاده از تصاویر PNG میتواند منجر به اجرای دستور در اندروید شود.
این تصویر میتواند از طرق مختلف از جمله وب، ایمیل، مسیج و پیام رسان های مختلف برای قربانی ارسال شود.
گوگل برای این مشکلات در ماه فوریه وصله های امنیتی منتشر کرده است اما این نکته را در نظر بگیرید که آیا گوشی شما از شرکت تولید کننده ی خود آپدیتی دریافت میکند یا نه!
منبع:
https://thehackernews.com/2019/02/hack-android-with-image.html
#news
#android
#rce
@sec_nerd
آسیب پذیری جدیدی در مک کشف شده است که به برنامه های مخرب اجازه میدهد پسوردهای ذخیره شده در Keychain را استخراج کنند.
ویدیوی اثبات:
https://www.youtube.com/watch?v=nYTBZ9iPqsU
منبع:
https://www.zdnet.com/article/new-macos-zero-day-allows-theft-of-user-passwords/
#news
#apple
#macos
#exploit
@sec_nerd
ویدیوی اثبات:
https://www.youtube.com/watch?v=nYTBZ9iPqsU
منبع:
https://www.zdnet.com/article/new-macos-zero-day-allows-theft-of-user-passwords/
#news
#apple
#macos
#exploit
@sec_nerd
YouTube
KeySteal - Stealing your keychain passwords on macOS Mojave
Update: This is CVE-2019-8526 (https://support.apple.com/en-us/HT209600)
In this video, I'll show you a 0day exploit that allows me to extract all your (local) keychain passwords on macOS Mojave (and lower versions).
Without root or administrator privileges…
In this video, I'll show you a 0day exploit that allows me to extract all your (local) keychain passwords on macOS Mojave (and lower versions).
Without root or administrator privileges…
Beyond xp_cmdshell - Owning the Empire Through SQL Server
https://www.slideshare.net/nullbind/2018-student360-beyond-xpcmdshell-owning-the-empire-through-sql-server
#pentest
#windows
#mssql
#rce
@sec_nerd
https://www.slideshare.net/nullbind/2018-student360-beyond-xpcmdshell-owning-the-empire-through-sql-server
#pentest
#windows
#mssql
#rce
@sec_nerd
www.slideshare.net
2018 Student360 - Beyond xp_cmdshell - Owning the Empire Through SQL …
During this presentation, we’ll cover interesting techniques for executing operating system commands through SQL Server that can be used to avoid detection and…
امنیت اطلاعات
ابزار آپلود شل با سوء استفاده از آسیب پذیری شناسه CVE-2018-9206 مربوط به Blueimp jQuery-File-Upload https://github.com/gunnerstahl/JQShell #web #pentest #jquery @sec_nerd
This media is not supported in your browser
VIEW IN TELEGRAM
ویدیوی اثبات آسیب پذیری مورد اشاره در پست منشن شده
https://blog.detectify.com/2018/12/13/jquery-file-upload-a-tale-of-three-vulnerabilities/
#js
#jquery
#web
@sec_nerd
https://blog.detectify.com/2018/12/13/jquery-file-upload-a-tale-of-three-vulnerabilities/
#js
#jquery
#web
@sec_nerd
[Sqli] Extracting data without knowing columns names
https://blog.redforce.io/sqli-extracting-data-without-knowing-columns-names/
#sqli
#web
#pentest
@sec_nerd
https://blog.redforce.io/sqli-extracting-data-without-knowing-columns-names/
#sqli
#web
#pentest
@sec_nerd