اطلاعات بیش از ۲۰۰ میلیون شهروند ایالات متحده که بر روی یک دیتابیس ابری گوگل قرار داشت توسط هکرها دزیده شد.
این اطلاعات با حجم ۸۰۰ گیگابایت شامل جزییاتی مانند نام،آدرس ایمیل،شماره تلفن،تاریخ تولد،اطلاعات خانه و اجاره ها،اطلاعات فرزندان و … می باشد.



https://securityaffairs. co/wordpress/101015/data-breach/cloud-db-exposes-200m-americans.html



—————————————————————
صبح این خبر رو در کانال قرار دادیم و نیاز دیدیم که توضیحات بیشتری رو در مورد این اتفاق اضافه کنیم:
این دیتابیس هم از کشفیات فردی هست که اخیرا شاید اسمش به گوش ما ایرانی ها رسیده باشه
Bob Diachenko
این دیتابیس هم توسط باب دیاچنکو کشف شده و این هم مانند دیتابیس تلگرامی ایرانی ها از نوع elasticsearch بوده که در لینک زیر میتونید تصویر اون رو ببینید
این دیتابیس هم ابتدا توسط موتور جستجوی binaryEdge لیست شده و بعد در تاریخ سوم مارس حذف و در چهارم مارس سرور خاموش شده.

هنوز مشخص نیست مالک این دیتابیس چه کسی بوده و توسط چه کسانی حذف شده.


https://www.comparitech.com/blog/vpn-privacy/200-million-us-database-leaked/

#news
#breach


@sec_nerd

کشف آسیب پذیری های تزریق SQL با استفاده از کوئری های isomorphic


https://spaceraccoon.dev/same-same-but-different-discovering-sql-injections-incrementally-with



#sqli
#pentest


@sec_nerd

تلاشهای مایکروسافت به ثمر نشست و مروگر edge با پیشی گرفتن از فایرفاکس به دومین مرورگر پر استفاده ی جهان تبدیل شد!


https://www.bleepingcomputer.com/news/microsoft/microsoft-edge-is-now-2nd-most-popular-desktop-browser-beats-firefox/


#microsoft
#firefox
#news

@sec_nerd

تبدیل تزریق HTML به SSRF و سرقت توکن ها در سرویس ابری آمازون


https://blog.appsecco.com/finding-ssrf-via-html-injection-inside-a-pdf-file-on-aws-ec2-214cc5ec5d90


#bugbounty
#aws
#xss
#ssrf
#html_injection


@sec_nerd

request smuggling


#bugbounty
#pentest


@sec_nerd

یک چالش کوچک از نوع XSS

https://securitymb.github.io/xss/2/?xss=


#xss


@sec_nerd

ابزار بروت فورس چند منظوره

https://github.com/lanjelot/patator


#bruteforce
#ftp
#ssh


@sec_nerd

پس از انتشار برخی اخبار مبنی بر اینکه یکی از دلایل همه گیری ویروس کرونا آنتن های 5G موبایل هستند، برخی افراد در انگلیس اقدام به تخریب آنتن های BTS کردند که وزیر کابینه ی انگلیس را مجبور به واکنش کردند.

این وزیر کابینه با مزخرف خواندن این ادعاها آن را یک چرند خطرناک خواند.
پروفسور پوویس از NHS نیز این اخبار را فیک اعلام کرد و گفت در شرایط فعلی که نیاز است مردم از ارتباطات رادیویی و اینترنتی استفاده کنند و در خانه بمانند این اخبار و تخریب زیرساختها کاملا احمقانه است.


https://www.theregister.co.uk/2020/04/06/5g_coronavirus_theory_debunked/


#news
#coronavirus


@sec_nerd

هکرها با نفوذ به حساب یکی از کارکنان شرکت هاستینگ Godaddy با استفاده از روش spearphishing موفق شدند حمله ی DNS hijacking را بر روی برخی دامنه های تحت کنترل این شرکت اجرا کنند.
یکی از معروف ترین دامنه های هایجک شده دامنه ی Escrow.com است که یک سرویس آنلاین واسط تجاری است.

دی ان اس سرور جایگزین شده در کشور مالزی قرار دارد.


https://www.hackread.com/hackers-deface-escrow-com-hacking-godaddy-employees/


#news
#godaddy


@sec_nerd

دور زدن محدودیت های نوین در حملات XSS با استفاده از روش های code-reuse

https://blog.truesec.com/2020/04/03/bypassing-modern-xss-mitigations-with-code-reuse-attacks/


#xss
#bugbounty


@sec_nerd

هکرها اطلاعات ۶۰۰ هزار کاربر سرویس ایمیل ایتالیایی email.it را در دارک نت به فروش گذاشتند.

این هکرها در وبسایت خود اعلام کردند که از دو سال قبل در سرورهای این سرویس ایتالیایی حضور داشته اند و تمامی اطلاعات ممکن را از آن دزدیده اند.
آنها همچنین میگویند که به ازای مقدار کمی از پول حاضر بوده اند که مشکلات امنیتی را به email.it بگویند اما ایتالیایی ها قبول نکرده و حتی این لو رفتن اطلاعات را به کاربران خود نیز اعلام نکردند.


در حال حاضر این حجم از دیتا که حاوی پسوردهای هش نشده ی کاربران نیز هست در پکیج های مختلف با مبالغی بین نیم الی سه بیت کوین به فروش میرسد.



https://www.zdnet.com/article/email-provider-got-hacked-data-of-600000-users-now-sold-on-the-dark-web/


#breach
#italy


@sec_nerd

اطلاعات ۵۰ هزار سرباز زخمی شده ی امریکایی در یک انجمن هک به فروش گذاشته شد.

این اطلاعات شامل نام، آدرس، محل زخمی شدن و جزییاتی دیگر است.



#breach
#usa
#army


@sec_nerd

مجموعه ابزارهای تست نفوذ به وب

https://github.com/hahwul/WebHackersWeapons


#web
#pentest


@sec_nerd

CVE-2020-10199
Nexus Repository Manager 3 RCE


https://mp.weixin.qq.com/s/0dvhRwVCSwu1U6TbK4YvaQ


#rce
#java

@sec_nerd

ابزار کشف ساب دامین


https://gist.github.com/si9int/dce435633f49209150a780af4b3e768d


#subdomain
#bugbounty


@sec_nerd