Code Review Challenge

یکی از مواردی که ممکنه بهش برخورد کنید، اثبات وجود یک آسیب پذیری داخل کد هست. یک راه ساده اینه اپلیکیشن رو در حالت runtime با ارسال درخواست به اندپوینت آسیب پذیر بررسی کنیم. اگه بخوایم تو حالت استاتیک ثابت کنیم که کد آسیب پذیره، یک روش استفاده از automated testing هست که با نوشتن یکسری unit test و integration test به صورت security test، یک تست کیس برای کد آسیب پذیر بنویسیم. از این روش هم داخل web3 برای اثبات وجود آسیب پذیری در اسمارت کانترکت ها استفاده میشه که برای این مورد از Hardhat و Foundry استفاده میشه.

فرض کنید یک Code Review انجام دادید تو پروژه و بعد از تحلیل کد بالا متوجه شدید آسیب پذیری Mass Assignment رو داره. یک تست کیس بنویسید که این مورد رو در کد بالا اثبات کنه.
@Engineer_Computer

جواب چالش👇

در کد بالا، از jest استفاده شده. با هر زبانی که کار بکنیم، یکسری Testing Framework داریم که امکان نوشتن Test رو برامون فراهم میکنه. تست اول، تست Functional کد هست که صرفا ببینیم Execution Path که داریم به درستی کار میکنه یا نه (تست یا Passed میشه یا Failed). هدف از Integration Test اول اینه ببینیم یوزر به درستی ساخته میشه یا نه. در تست دوم، هدف اینه سناریویی رو بررسی کنیم که ببینیم یوزر با سطح دسترسی ادمین میتونیم بسازیم یا نه که با اضافه کردن فیلد role، این تست Passed میشه یعنی قطعه کدی که داریم نسبت به Mass Assignment آسیب پذیره. حالا با وجود این نتیجه، باید کد اصلی اپلیکیشن رو طوری تغییر بدیم که تست دوم ما Failed بشه یعنی امکان ساخت یوزر با سطح دسترسی ادمین در اندپوینت مورد نظر وجود نداشته باشه. برای همین اگه دید امنیتی نسبت به سیستم و آسیب پذیری ها داشته باشیم، میتونیم توی سطح کد Security Tests بنویسیم.

@Engineer_Computer

https://www.mdsec.co.uk/2024/01/cve-2024-20656-local-privilege-escalation-in-vsstandardcollectorservice150-service/
poc:
https://github.com/Wh04m1001/CVE-2024-20656

@Engineer_Computer

نظرات لینوس توروالدز خالق لینوکس در مصاحبه اخیر خود در همایش بنیاد لینوکس در ژاپن درباره‌مدل‌های زبانی:

به عقیده لینوس توروالدز در آینده شاهد کدهایی خواهیم بود که توسط LLM نوشته شده است. حتی در حال حاضر نیز در مقیاس کوچک برنامه‌نویسان از مدل‌های بزرگ زبانی برای نوشتن کد کمک می‌گیرند. این موضوع به اندازه‌ای که در اخبار روزانه به آن پرداخته می‌شود جدید نیست، بلکه مدت‌هاست که توسعه‌دهندگان از ابزارهای مختلف برای اتوماسیون در کد نویسی استفاده می‌کنند. پیدا کردن خطاهای رایج کدنویسی یکی از کاربردهایی است که مدل‌های زبانی در آن بسیار درخشان خواهند بود. لینوس توروالدز در پاسخ به اینکه مدل‌های بزرگ زبانی به خاطر hallucination دچار اشتباه می‌شوند گفت: "من می‌بینم که هر روز باگ‌ها بدون حضور آن‌ها رخ می‌دهند، بنابراین نگران این موضوع نیستم!". hallucination یکی از اثرات جانبی مدل‌های زبانی است که باعث می‌شود پاسخ‌های غیرواقعی و اشتباه تولید کنند.

@Engineer_Computer

🛡 LOLBins CTI: Legitimate Tools in Hackers' Hands!

A great collection of resources to thrive off the land

🔗 https://lolol.farm/

#lolbin
@Engineer_Computer

👩‍💻For those of you interested in learning AWS Security and Penetration Testing, here is my best list of shared and compiled resources:

🔗https://github.com/redskycyber/Cloud-Security/blob/main/AWS-Security-Pentesting-Resources.md

#AWS #pentest
@Engineer_Computer

😈 MITM attacks cheatsheet.

• Link Layer Attacks:
- ARP Cache Poisoning;
- LLMNR/NBT-NS/mDNS Poisoning;
- STP Root Spoofing;
- DHCPv4 Spoofing;
- DHCPv6 Spoofing.

• Network Layer Attacks:
- Evil Twin against Dynamic Routing;
- FHRP Spoofing.

#MITM
@Engineer_Computer

🚨CVE-2024-21690 and other: Multiple vuln in Junos OS, 8.8 rating❗️

◼️چهار آسیب پذیری با رتبه بندی 5.3- 8.8 پیدا شده است .
▫️آسیب پذیری XSS و missing authentication، که به مهاجم اجازه می دهد تا دستورات را با مجوز هر کاربری، از جملهadministrator. اجرا کند.

Search at Netlas.io:
👉🏻 Link: https://nt.ls/CpoFo
👉🏻 Dork: http.noscript:"Juniper"

Vendor's advisory: https://supportportal.juniper.net/s/article/2024-01-Out-of-Cycle-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Multiple-vulnerabilities-in-J-Web-have-been-addressed?language=en_US

@Engineer_Computer

بررسی آسیب پذیری حساس روی داکر

https://systemweakness.com/docker-and-runc-vulnerabilities-a-deep-dive-into-cve-2024-21626-and-its-counterparts-4ca24e7d7aa1

@Engineer_Computer

چندوقت پیش این رایتاپه رو خونده بودم. الان دوباره چشمم بهش افتاد. داخلش قدرت جی‌اس رو می‌بینین:

https://buer.haus/2017/03/31/airbnb-web-to-app-phone-notification-idor-to-view-everyones-airbnb-messages/

@Engineer_Computer