⭕️ کاوش در GraphQL و کشف آسیب‌پذیری در برنامه

یکی از مزایای اصلی GraphQL این است که به کلاینت‌ها اجازه میدهد در یک درخواست تکی، منابع مختلفی رو درخواست کنند.

هکر در این مقاله از یکسری مزایای graphql استفاده میکنه تا بتونه یک عملکرد امنیتی در وبسایت رو دور بزنه.

کوئری GraphQL Introspection

اینترواسپکشن GraphQL یک ویژگی هست که به کاربران اجازه میده قابلیت‌های یک API GraphQL رو با درخواست زدن به خود API پیدا کنند. این اطلاعات درباره انواع، فیلدها و کوئری هایی هست که API پشتیبانی می‌کنه.

هکر در اپلیکیشن هدف تصمیم میگیره که قابلیت MFA یا احراز هویت چند عاملی رو تست کنه و اپلیکیشن کد های ریکاوری رو به هکر نشون میده، بعد از اینکه درخواست دیدن دوباره کد های ریکاوری رو انجام میده، وبسایت درخواست وارد کردن رمزعبور میکنه و هکر با استفاده از GraphQL Introspection این قابلیت رو دور میزنه.

به این باگ در نهایت $1000 دلار بانتی تعلق میگیره.

لینک مقاله:

🔗 https://bit.ly/3rTMc12

#Web #GraphQL #Bugbounty
⁩@Engineer_Computer

چرا ما شاهد هستیم که حملات علیه API ها رو به گسترش است ؟

https://thehackernews.com/2023/10/api-security-trends-2023-have.html

⁩@Engineer_Computer

از ابزارهایی که به قصد فارنزیک تولید نشده اند هم می‌توانیم در جرم یابی استفاده کنیم

** یک دلیل دیگر که از ویندوز ۷ مهاجرت کنید !

https://www.magnetforensics.com/blog/srum-forensic-analysis-of-windows-system-resource-utilization-monitor/

⁩@Engineer_Computer

تمرین عملی
آنالیز بد افزار ( جدید)

با لینک فایل Pcap
https://blog.securityonion.net/2023/10/quick-malware-analysis-ta577-pikabot.html?m=1

⁩@Engineer_Computer

دوره رایگان
CTI Report

https://www.academy.attackiq.com/courses/unlocking-the-power-of-cti-blueprints

⁩@Engineer_Computer

دستورالعمل CISA برای آسیب پذیری
Cisco IOS XE Web UI
https://www.cisa.gov/news-events/alerts/2023/10/20/cisa-releases-guidance-addressing-cisco-ios-xe-web-ui-vulnerabilities

⁩@Engineer_Computer

چرا مدلسازی تهدید برای امنیت API مهم است
⁩@Engineer_Computer

امروز تفاوت سه واژه را فرا بگیریم
https://blog.stackaware.com/p/what-is-the-difference-between-supply

⁩@Engineer_Computer

به یک نیروی Security researcher نیاز داریم که مسلط به زبان انگلیسی و Owasp top10باشه، سری چالش های طراحی شده با موضوع مرتبط بهش داده میشه. یک متن ۵۰۰ کلمه ای برای هر لابراتوار به زبان انگلیسی بنویسه بعلاوه با کمک ai باید بتونه به سه زبان php nodejs Django تیکه کد آسیب پذیر رو بنویسه و یک تحلیل یک خطی بنویسه.
پروژه ها به صورت ده تایی هست. لطفاً پیشنهاد حقوقی بعلاوه رزومه خودتون رو به ایدی زیر ارسال کنید.
@frew0rld

⁩@Engineer_Computer

⭕️ How I Exposed Instagram's Private Posts by Blocking Users

این پست، راجع به چگونگی کشف یک آسیب‌پذیری در اینستاگرام که به هکر امکان مشاهده پست‌های حساب‌های خصوصی را می‌داد هست.

این پست زنجیره ای از سه تا باگ هستش ک در نهایت به 14,500$ بانتی ختم میشه.

زنجیره باگ استفاده شده در پست:

1. Instagram post embedding
این فیچر اینستاگرام اجازه میده که در سایت های جز اینستاگرام به اصطلاح پست هارو embed کنید و اونجا محتوای پست رو تماشا کنید.
2. XS-Leak
یک کلاس اسیب پذیری هستن که از نحوه ارتباط وبسایت ها باهم استفاده میکنن و اطلاعات که در میان این ارتباط ها لو میره رو cross site leaks یا مخفف شده XS-LEAK مینامند.
3. User-Agent sniffing
و در نهایت user-agent هایی که از طریق مرورگر ها ارسال میشن.

هکر برای پیدا کردن این اسیب پذیری از این سه فیچر بصورت مخرب استفاده کرده.

برای خوندن کامل مقاله به لینک زیر مراجعه کنید:

🔗https://bit.ly/3Me0tMV

#bugbounty #web
⁩@Engineer_Computer

#github #usefull_repository

Take potentially dangerous PDFs, office documents, or images and convert them to safe PDFs


https://github.com/freedomofpress/dangerzone



A curated list of awesome forensic analysis tools and resources

https://github.com/Cugu/awesome-forensics


A collection of awesome software, libraries, documents, books, resources and cools stuffs about security.

https://github.com/sbilly/awesome-security

⁩@Engineer_Computer

#resource #rootkits #c #usefull_link

https://h0mbre.github.io/Learn-C-By-Creating-A-Rootkit/#

⁩@Engineer_Computer

#github #usefull_links #wireless_attacks #cellular_attacks
#lte #5g #lte_security
Awesome Cellular Hacking resource

https://github.com/W00t3k/Awesome-Cellular-Hacking

⁩@Engineer_Computer

#resource #book #usefull_link
#bsd #openbsd

یه منبع عالی برای یادگیری openbsd

https://www.openbsdhandbook.com/

⁩@Engineer_Computer

#github #usefull_link

https://github.com/localsend/localsend

⁩@Engineer_Computer

#linux #usefull_link #firewalld
A beginner's guide to firewalld in Linux

https://www.redhat.com/sysadmin/beginners-guide-firewalld

⁩@Engineer_Computer

#usefull_link #linux
https://spohnz.com/mount-remote-linux-filesystem-or-directory-using-sshfs-over-ssh-ckfo8qk0u02gh0ks1ajsd67p6

⁩@Engineer_Computer

#http #response #codes

⁩@Engineer_Computer

#meme #fun
Resource:unkown ,dm for removal
Some times memes speaks louder than words😂

⁩@Engineer_Computer

جزئیاتی از مهار حمله ناموفق سایبری به زیرساخت‌های برق کشور

رئیس سازمان پدافند غیرعامل:
در طول سال گذشته موفق‌ شدیم با کمک دستگاه‌های اطلاعاتی کشور ۱۰ حمله سایبری به زیرساخت‌های کشور را قبل از حمله کشف و خنثی سازی کنیم.

@Engineer_Computer

‏ تاسیس منطقه آزاد جدیدی برای دارایی‌های دیجیتال در امارات
شیخ محمد بن سعود بن صقر القاسمی، حاکم رأس‌الخیمه، در تاریخ ۱۹ اکتبر «منطقه آزاد» دارایی‌های دیجیتال جدید راس‌الخیمه  (RAK DAO) را افتتاح کرد، یک منطقه آزاد اقتصادی که به حمایت از شرکت‌های فعال در دارایی‌های دیجیتال و مجازی، بلاک‌چین، وب۳ و هوش‌مصنوعی (AI) اختصاص دارد.
منطقه آزاد به ارائه‌دهندگان خدمات دارایی دیجیتال و مجازی در فناوری‌های نوظهور مانند متاورس، بلاک‌چین، توکن‌های ابزار، کیف‌پول دارایی‌های مجازی، توکن‌های غیرقابل تعویض، سازمان‌های مستقل غیرمتمرکز (DAO)، مشاغل مرتبط با وب۳، و برنامه‌های کاربردی غیرمتمرکز و سایر موارد اختصاص خواهد یافت.
«منطقه آزاد» دارایی‌های دیجیتال راس‌الخیمه و شرکای اکوسیستم آن نیز برنامه‌های کمک مالی را اجرا خواهند کرد و پشتیبانی تخصصی در زمینه‌های مختلف فناوری، بازاریابی و توسعه کسب‌وکار ارائه خواهند نمود.
راس‌الخیمه که به‌خاطر مکان‌های فرهنگی غنی‌اش معروف است، به بخش دارایی‌های دیجیتال روی می‌آورد تا اقتصاد خود را کنار راه‌های سنتی، مانند گردشگری، متنوع کند.
منبع

⁩@Engineer_Computer