👈👊👊👇👊👊👊
#جذب_نیرو

سلام وقت بخیر
ما در اداره توسعه نرم افزار بانک اقتصاد نوین به دنبال جذب یک هم تیمی برنامه نویس هستیم .
خوشحال میشیم اگر تمایل دارید به تیم پرانرژی و خوش فکر و همدل ما بپیوندید. 😊
شرایط مورد نیاز :
- مسلط به زبان سی شارپ
- مسلط به ASP .NET Core
- مسلط به Restful API
- توانایی حل مسئله ، تفکر تحلیلی، تحلیل وطراحی نرم افزار
- آشنایی با RDBMS & SQL Server
- تسلط بر مفاهیم OOP و SOLID
تسلط نسبی بر Javanoscript، Html و Css

امتیازات ترجیحی :
- آشنایی نسبی با مفاهیم و ابزارهایDevOps
- آشنایی با Microservices & Distributed Systems Architecture
- تجربه کار در حوزه بانکی

لطفا در صورت تمایل رزومه خود را به نشانی ذیل ایمیل بفرمایید.
‏ma.habibi@enbank.ir

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

👈👇👊👊👇👊👊👊
در شرکت #داتین نیاز به برنامه نویس .net با مشخصات زیر داریم :
مشخصات فنی :
- مسلط به asp.net و .netCore
- مسلط به sql server و stored procedure
- مسلط به مفاهیم API و نحوه تولید و کار کردن با آن
- آشنایی با EF
- آشنایی با angular
مشخصات فردی :
- بازه سنی 25 تا 35 سال
- مهارت کار تیمی
- متعهد و مسئولیت پذیر
- در آقایان : دارای مدرک پایان خدمت و یا معافیت پزشکی

محل اصلی فعالیت در دفتر پردیس تهران میباشد ولی محدودیتی در دورکاری و یا محل سکونت شما وجود ندارد.

در صورت تمایل برای بنده رزومه خود را ارسال نمایید:
mo.abedi@dotin.ir

#برنامه_نویس #دات_نت #استخدام

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

ما در شرکت توسن در حال جذب همکاری برای موقعیت شغلی #تست_نفوذ_وب_اپلیکیشن هستیم.
اگر علاقمند هستید که در یک محیط پویا و پر از فرصت یادگیری فعالیت حرفه ای خودتون رو ادامه بدید، از طریق لینک‌‌های زیر میتونید اطلاعات بیشتری در مورد موقعیت شغلی پیدا کنید و در صورت تمایل رزومه‌تون رو برای ما بفرستید؛

جذب از طریق وب سایت توسن ،جاب ویژن

#تست_نفوذ_وب_اپلیکیشن
#فرصت_شغلی
#توسن

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

گروه فن‌آوران هوشمند بهسازان فردا، هلدینگ فناوری اطلاعات بانک ملت، از علاقمندان واجد شرایط در عنوان شغلی ذیل دعوت به همکاری می‌نماید؛

کارشناس سیستم‌ها و روش‌ها (فرآیند و تعالی سازمانی)
شرح شغل:
کارشناس سیستم‌ها و روش‌ها مسئول تحلیل، طراحی، بهبود و استانداردسازی فرآیندهای سازمانی با هدف ارتقای بهره‌وری، انطباق با استانداردهای ملی و بین‌المللی و تحقق اهداف تعالی سازمانی است. این نقش شامل مدلسازی فرآیندها، تدوین مستندات و پیاده‌سازی نظام‌های مدیریتی می‌شود. همچنین، با طراحی و پیاده‌سازی نظام‌های ارزیابی عملکرد مبتنی بر شاخص‌های تعالی سازمانی نقش مؤثری در توسعه بلندمدت سازمان خواهد داشت.

شرح وظایف:
• مدلسازی فرآیندها با استاندارد BPMN 2.0 در نرم‌افزارهای Visual Paradigm، Bizagi و Visio.
• تدوین شناسنامه فرآیند، شاخص‌های کلیدی عملکرد (KPI) و برنامه‌های عملیاتی فصلی.
• تهیه دستورالعمل‌ها، روش‌های اجرایی و فرم‌های سازمانی مطابق با استانداردهای ISO 9001, 14001,27001.
• شناسایی، عارضه‌یابی و مهندسی مجدد فرآیندهای کسب‌وکار با استفاده از روش‌های BPM و BPR.
• انطباق‌سنجی فرآیندها با چارچوب‌های APQC، ITIL4 و الزامات حاکمیت شرکتی.
• طراحی و پایش شاخص‌های ارزیابی عملکرد (KPI) با ابزارهای Power BI و Excel.
• تدوین اظهارنامه تعالی سازمانی بر اساس مدل EFQM.
• تسلط به مدیریت فرآیندها (BPM) و استانداردهای BPMN 2.0.
• تجربه در استقرار سیستم‌های مدیریت کیفیت (ISO) و ممیزی داخلی.
• توانایی تحلیل داده با ابزارهای Power BI، SPSS یا Excel.

شرایط احراز:
شایستگی های تخصصی
• طراحی و تدوین فرآیند‌های سازمان.
• مستند سازی فرایند بر حسب BPMN2.
• تدوین شناسنامه فرایند.
• تعریف شاخص‌های فرایندی.
• آشنایی با متدهای طراحی و بازطراحی ساختار سازمانی.
• تدوین دستورالعمل‌ها و روش‌های اجرایی.
• تسلط به مدیریت فرآیندها (BPM) و استانداردهای BPMN 2.0.
• آشنایی با چارچوب‌های APQC، ITIL و Cobit2019.
• تجربه در استقرار سیستم‌های مدیریت کیفیت (ISO) و ممیزی داخلی.
• توانایی تحلیل داده با ابزارهای Power BI یا Excel.
• تسلط بر تدوین انواع مستندات و ارائه گزارشات.
• تسلط بر یکی از نرم افزارهای مدل سازی فرآیندهای کسب و کار مثل Visio - Visual Paradigm – Bizagi.
• تحلیل داده‌های فرآیندی با ابزارهای SQL، Python (مزیت محسوب می‌شود).
• آشنایی با استاندارد COBIT 2019 و معماری سازمانی TOGAF (مزیت محسوب می‌شود).

شایستگی های رفتاری
• تفکر سیستمی و توانایی حل مسئله.
• مهارت‌های ارتباطی و مذاکره با ذینفعان.
• روحیه کار تیمی و خلاقیت در ارائه راهکارهای بهبود.
• دارای توانایی تحلیل کسب و کار و فرآیندها.

سایر شرایط احراز شغل:
سن: تا 40
جنسیت: تفاوتی ندارد
تحصیلات: کارشناسی و بالاتر
•
• Microsoft Office - پیشرفته
• Microsoft Visio - متوسط
• Visual Paradigm - متوسط
• Microsoft Outlook - متوسط
• Bizagi – متوسط
• آشنایی با MS Project
• تحلیل داده: .Net SQL, Python (مزیت).
• 2 سال سابقه کار در گروه شغلی مشابه
• سابقه کار در صنعت فناوری اطلاعات / نرم‌افزار مزیت محسوب می‌شود.

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

استخدام برنامه نویس بک اند Go
بومرنگ به دنبال جذب یک برنامه نویس گولنگ با تجربه و خلاق جهت توسعه و نگهداری سامانه‌های بک اند می‌باشد. فرد منتخب مسئول طراحی، پیاده‌سازی و بهینه‌سازی سرویس‌های کاربردی با استفاده از زبان Golang و پایگاه‌های داده SQL خواهد بود. همکاری نزدیک با تیم‌های فنی و پروژه، در جهت ارائه راهکارهای نوآورانه و کارآمد، از وظایف اصلی این موقعیت است.
مهارت‌های مورد نیاز

حداقل ۱ سال سابقه کار مرتبط و موثر در زمینه توسعه نرم‌افزار با زبان Golang
میزان تسلط بر SQL در این موقعیت مهم است


ارسال رزومه: hr@boomerangapp.ir

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

🔖 چگونه از WinRMS برای NTLM Relay استفاده کنیم؟

مقاله زیر ابتدا به توضیح درباره پروتکل WinRM و WinRMS پرداخته و سپس نحوه NTLM Relay و اجرای کد در سیستم قربانی از طریق این پروتکل را بیان می‌کند.

🔶 Blog :
https://sensepost.com/blog/2025/is-tls-more-secure-the-winrms-case./
🔶 impacket :
https://github.com/fortra/impacket/pull/1947

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

[SOC ⚠️ MALWARE SPOTLIGHT ]

Emotet
برگشته — با ظاهری قانونی و رفتارهایی هوشمند!

بدافزار Emotet که زمانی یک تروجان بانکی بود، حالا به یک پلتفرم کامل برای اجرای ماژول‌های سرقت اطلاعات و حتی حملات باج‌افزاری تبدیل شده. نسخه‌های جدید این بدافزار از تکنیک‌های پیچیده‌ای برای پنهان‌سازی استفاده می‌کنن و به‌راحتی می‌تونن از دید ابزارهای EDR عبور کنن.

نشانه‌های رفتاری مشکوک:

⚠️دریافت فایل Word یا Excel دارای ماکروی مخرب

⚠️اجرای PowerShell از مسیر winword.exe

⚠️برقراری ارتباط HTTP POST با سرور C2 یا اتصال به پورت‌های غیرمعمول (مانند 8080، 443 یا 53)

⚠️دانلود فایل DLL و اجرای آن با استفاده از rundll32.exe


مناسب برای مانیتورینگ در لاگ‌ها:

✅Sysmon Event ID 1 → (Process Creation)

✅Sysmon Event ID 3 → (Network Connection)

✅Windows Event ID 4688 → (Process Create)

✅تحلیل ترافیک HTTP مشکوک در Suricata یا Zeek


نقشه MITRE ATT&CK v16.1:

T1566.001 → Phishing: Attachment

T1059.001 → Command and Scripting Interpreter: PowerShell

T1218.011 → Signed Binary Proxy Execution: Rundll32

T1105 → Ingress Tool Transfer

T1071.001 → Application Layer Protocol: Web Protocols


❓سؤال روز برای شکارچی‌های تهدید:
فقط دیدن rundll32.exe در لاگ نشونه حمله است؟ یا باید به CommandLine، ParentImage و Network هم دقت کنیم؟

منبع:
DFIR Report – Emotet Returns (2024)

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

#Report #Analysis #ThreatMon

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

#استخدام #مشهد

سلام خدمت دوستان

ما در واحد هوش مصنوعی شرکت (در زمینه طراحی و بررسی استراتژی‌های معاملاتی بازار فارکس و سهام، با یادگیری ماشین و هوش مصنوعی) در حال جذب نیرو هستیم (به صورت حضوری در مشهد).

لطفا در صورت تمایل به همکاری، به بنده پیام بدهید.

مهارت‌های مورد نیاز:

- آشنایی با مفاهیم بازارهای مالی (فارکس)
- تجربه در مدل‌سازی و ‌پیش‌بینی بازارهای مالی
- تسلط بر مدل‌های یادگیری ماشین، یادگیری عمیق و تحلیل سری‌های زمانی
- تسلط بر پایتون و بخصوص کتابخانه‌های مورد نیاز مانند TensorFlow، PyTorch، Keras و …

https://www.linkedin.com/posts/kamran-rezaei90_aepaebaesaewaexaepaet-aepaepaezagpaeb-aevaewaecabraetaedaeuaewaehahy-activity-7325060797867405314-XKA5?utm_source=share&utm_medium=member_desktop&rcm=ACoAACW4KoMB667MSIAg4iSJXm0Qy5890GNqNcI


🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

مشهد
نیاز به دولوپر جونیور به همراه حقوق در یکی از سازمان های مشهد
برای هماهنگی با ایدی زیر هماهنگ کنید
@Bahareh_Jalaei

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

DevOps is not:
🚫 Kubernetes
🚫 Jenkins
🚫 Terraform
🚫 Docker
🚫 AWS or Azure

DevOps is your ability to design robust systems that ensure:
• Applications deploy smoothly
• Infrastructure scales effortlessly
• Systems run reliably
• Issues are caught early
• Teams collaborate effectively

The tools help you get there, but they don't do the job for you.

Real DevOps is about:
• Automating wisely
• Monitoring proactively
• Scaling efficiently
• Securing thoroughly
• Continuously improving

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

برای شرکت در مسابقات جهانی اختراعات سیلیکون ولی آمریکا
با ایدی زیر درارتباط باشید

@Developer_Network

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

آموزش SOC با ماکروسافت
قدم به قدم با آموزش درست فاندامنتال در سطح جهان
https://microsoft.github.io/SOC/source/content/#/

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

کمپ رایگان اموزش امنیت در روسیه
برای افراد تازه کار و علاقه مند به امنیت
https://camp.ptsecurity.com/

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

🔔دعوت به همکاری و استخدام در شرکت دانش بنیان ایرانسل لبز:
🔸فرصت ویژه برای فارغ‌التحصیلان دانشگاه‌های برتر در حوزه فناوری و نرم‌افزار
پیوستن به ایرانسل لبز - پیشگام در نوآوری دیجیتال

ایرانسل لبز به منظور گسترش تیم‌های فنی و توسعه‌ای خود، از فارغ‌التحصیلان مستعد و توانمند در رشته‌های مهندسی کامپیوتر، مهندسی نرم‌افزار، فناوری اطلاعات (IT) ، مهندسی برق (گرایش مخابرات) و مهندس صنایع از دانشگاه‌های معتبر کشور دعوت به همکاری می‌نماید.

عناوین شغلی مورد نیاز:

🔸مهندس DevOps

🔸توسعه‌دهنده Angular

🔸توسعه‌دهنده React

🔸توسعه‌دهنده Python

🔸مهندس عملیات پروژه‌های نرم‌افزاری

🔸اسکرام‌مستر (Scrum Master)

شرایط عمومی:

1.فارغ‌التحصیل یا در آستانه فارغ‌التحصیلی مقاطع کارشناسی یا کارشناسی ارشد

2.تسلط اولیه به یکی از حوزه‌های مورد نیاز (بر اساس عنوان شغلی)

انگیزه بالا، توانایی یادگیری سریع و علاقه به کار تیمی

3.آشنایی با مفاهیم چابک (Agile) مزیت محسوب می‌شود.

مزایا:
1.همکاری با یک شرکت دانش بنیان و تیم‌های حرفه‌ای و بین‌المللی

2.آموزش و رشد در محیطی پویا و نوآور

3.امکان ارتقاء شغلی بر اساس عملکرد

4.حقوق و مزایا بر اساس سطح توانمندی و مطابق با استانداردهای بازار

5.محل کار: تهران، محدوده شمال شرق (با امکان مدل کاری ترکیبی)
نحوه ارسال درخواست:
رزومه خود را با عنوان "Fresh – [عنوان شغلی مورد نظر]" به ایمیل زیر ارسال نمایید:
mohammad.moa@mtnirancell.ir
مهلت ارسال: تا تاریخ 10 خرداد ماه1404

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

فرصت #استخدام کارشناس Threat Hunting در #گراف

ما در تیم گراف، به دنبال یک کارشناس شکار تهدید، دقیق، هوشمند و فعال هستیم که بتونه بهمون کمک کنه. خوشحال میشیم نیازمندی‌های این شغل رو به دقت بخونید و در ادامه #رزومه خودتون رو برای ما ارسال کنید:

✅ شرایط احراز :
🔸 مسلط به شبکه‌های کامپیوتری
🔸 مسلط به سیستم عامل
🔸 توانایی تشخیص و تحلیل شاخص‌های خطر (IOCs) و شاخص‌های حمله (IOAs)
🔸 انجام عملیات #شکار_تهدید مبتنی بر SIEM
🔸 توانایی تحلیل لاگ‌های فایروال، IDS/IPS، DNS و سیستم‌های عامل
🔸 توانایی استفاده از سامانه های#هوش_تهدیدات
🔸 توانایی اسکریپت نویسی Bash, Powershell
🔸 توانایی تحلیل لاگ‌های سیستم‌عامل (Event Logs در ویندوز و syslog/journalctl در لینوکس)
🔸 آشنایی با مفاهیم Active Directory
🔸 آشنایی با Memory Forensic

✅ دوره‌های مرتبط
🔸 FOR500
🔸 FOR508
🔸 FOR577
🔸 FOR572

برای اعلام آمادگی و حضور در این موقعیت شغلی، می‌توانید رزومه‌تون رو از طریق ایمیل HR@graph-inc.ir برامون ارسال کنید.

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

⭕️بررسی جامع آسیب بحرانی CVE-2025-24985 در درایور FAST FAT سیستم عامل ویندوز


در مارس 2025 یک آسیب پذیر بحرانی در درایور Fast fat سیستم عامل ویندوز شناسایی شد که میتواند به مهاجمان اجازه دهد تا از راه دور کنترل کامل یک سیستم آسیب پذیر را در اختیار بگیرند. این نقص امنیتی با شناسه ی CVE-2025-24985 شناخته میشود و در دسته اسیب پذیری های بحرانی از نوع سرریز عدد صحیح (inreger overflow ) طبقه بندی شده است.
درایور FAST FAT بخشی از زیرساخت فایل‌سیستم‌های ویندوز است که وظیفه پشتیبانی از فرمت‌های FAT و FAT32 را دارد. این فرمت‌ها همچنان در بسیاری از تجهیزات جانبی مانند فلش‌مموری‌ها، کارت‌های حافظه و دیسک‌های مجازی (VHD) استفاده می‌شوند با وجود قدمت این فایل‌سیستم‌ها، ویندوز برای سازگاری عقب‌رو (backward compatibility) از Fast FAT پشتیبانی می‌کند.

ماهیت آسیب‌پذیری:
این آسیب‌پذیری به دلیل عدم بررسی مناسب مقادیر عددی در عملیات‌های حافظه در کد درایور Fast FAT ایجاد می‌شود. به‌طور خاص، هنگامی که سیستم عامل اقدام به پردازش یک فایل VHD مخرب می‌کند، مقدار دهی نادرست به متغیرهای عددی باعث می‌شود تا حافظه‌ای کمتر از مقدار مورد انتظار تخصیص داده شود. این مسأله می‌تواند منجر به نوشتن اطلاعات بیشتر از ظرفیت تخصیص داده شده شود که در اصطلاح به آن سرریز عدد صحیح گفته می‌شود.
نتیجه این سرریز می‌تواند اجرای کد دلخواه مهاجم (Arbitrary Code Execution) با سطح دسترسی System باشد، که بالاترین سطح دسترسی در ویندوز محسوب می‌شود.


نحوه سوءاستفاده از آسیب‌پذیری:
مهاجمان با ایجاد یک فایل دیسک سخت مجازی (VHD) به‌صورت خاص و بارگذاری آن توسط کاربر قربانی، می‌توانند این آسیب‌پذیری را فعال کنند. بارگذاری می‌تواند به‌صورت مستقیم (مثلاً باز کردن فایل از یک ایمیل یا حافظه جانبی) یا غیرمستقیم (از طریق اسکریپت یا بدافزار) صورت گیرد.
به دلیل گستردگی استفاده از فایل‌های VHD در محیط‌های سازمانی (مثلاً برای ماشین‌های مجازی)، این برد حمله بسیار واقعی و خطرناک است.

محصولات آسیب‌پذیر
بر اساس اطلاعات منتشر شده، نسخه‌های زیر از ویندوز در برابر این آسیب‌پذیری آسیب‌پذیر هستند:

● Windows 10 (تمام نسخه‌های پشتیبانی‌شده)
● Windows 11
● Windows Server 2016
● Windows Server 2019
● Windows Server 2022

وضعیت فعلی تهدید (Active Exploitation):
مرکز امنیت سایبری این آسیب‌پذیری را در فهرست "آسیب‌پذیری‌های مورد بهره‌برداری فعال" (Known Exploited Vulnerabilities) قرار داده است. این بدان معناست که مهاجمان در حال حاضر از این نقص برای انجام حملات واقعی استفاده می‌کنند.
برخی از حملات گزارش‌شده از طریق ایمیل‌های فیشینگ حاوی فایل‌های VHD مخرب صورت گرفته‌اند که پس از باز شدن توسط کاربر، باعث اجرای کد مخرب و نفوذ به سیستم می‌شوند.


راهکارهای مقابله و توصیه‌های امنیتی:

۱. نصب به‌روزرسانی‌های امنیتی
مایکروسافت در به‌روزرسانی امنیتی مارس ۲۰۲۵، پچ لازم برای این آسیب‌پذیری را منتشر کرده است. کاربران باید در اسرع وقت سیستم‌عامل‌های خود را به‌روزرسانی کنند.

۲. پیشگیری از بارگذاری فایل‌های مشکوک
کاربران باید از باز کردن فایل‌های VHD ناشناس یا مشکوک خودداری کنند، به‌ویژه زمانی که این فایل‌ها از طریق ایمیل، لینک یا حافظه‌های جانبی ارسال شده باشند.
۳. استفاده از ابزارهای EDR و آنتی‌ویروس
ابزارهای تشخیص و پاسخ نقاط پایانی (EDR) و آنتی‌ویروس‌های به‌روز می‌توانند فعالیت‌های مشکوک را شناسایی و مسدود کنند.

جمع‌بندی:
آسیب‌پذیری CVE-2025-24985 نشان‌دهنده اهمیت به‌روزرسانی مداوم سیستم‌عامل و نظارت فعال بر فعالیت‌های شبکه و کاربران است. با توجه به اینکه این آسیب‌پذیری به‌طور فعال مورد سوءاستفاده قرار گرفته و می‌تواند کنترل کامل سیستم را در اختیار مهاجم قرار دهد، واکنش سریع و اتخاذ اقدامات پیشگیرانه برای محافظت از داده‌ها و زیرساخت‌های حیاتی، امری حیاتی است.

اطلاعات بیشتر:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-24985
https://nvd.nist.gov/vuln/detail/CVE-2025-24985
https://www.vicarius.io/vsociety/posts/cve-2025-24985-integer-overflow-vulnerability-in-microsoft-windows-fast-fat-driver-mitigation-noscript
https://www.youtube.com/watch?v=4dBC4SVRrsA

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

⭕️تحلیل تخصصی آسیب‌پذیری CVE-2024-21762 و نقش HTTP Request Smuggling در آن

مقدمه
در فوریه ۲۰۲۴، آسیب‌پذیری بحرانی با شناسه CVE-2024-21762 در Fortinet FortiOS کشف شد. این باگ در ماژول SSL VPN قراردارد و به مهاجم اجازه می‌دهد تا با بهره‌ گیری از تکنیک‌هایی مانند HTTP Request Smuggling (HRS)، بدون احراز هویت کد دلخواه اجرا کند (RCE).این نوع آسیب‌پذیری از نوع Out-of-Bounds Write بوده است .
("نوشتن خارج از محدوده حافظه" یعنی وقتی برنامه می‌خواد اطلاعاتی رو توی یه قسمت از حافظه بنویسه، ولی اشتباه می‌کنه و اون اطلاعات رو توی جایی می‌نویسه که اصلاً نباید بنویسد مثل اینه که یه دفتر ۱۰ صفحه‌ای داریم، ولی بری روی صفحه ۱۵ چیزی بنویسیم! اون صفحه مال شما نیست و ممکنه اطلاعات مهمی اونجا باشه.این کار می‌تونه باعث بشه برنامه خراب بشه یا حتی مهاجم بتونه کنترل کامل سیستم رو به دست بگیره.) امتیاز CVSS بین 9.6 تا 9.8 دارد که نشان‌دهنده شدت بسیار بالای آن است.

‏HTTP Request Smuggling چیست؟
‏

‏HTTP Request Smuggling یا به‌اختصار HRS، حمله‌ای است که بر ناهماهنگی تفسیر درخواست‌های HTTP توسط سرور frontendمثلاً پراکسی یا WAF) و backend (وب‌سرور) تکیه دارد. این حمله عمدتاً با استفاده از تضاد بین headerهای Content-Length وTransfer-Encoding انجام می‌شود.
در سناریوی معمول، مهاجم می‌تواند دو درخواست را در یک payload ترکیب کند. پراکسی ممکن است فقط درخواست اول را ببیند، در حالی‌که backend درخواست دوم را نیز اجرا می‌کند. این شکاف در تفسیر باعث می‌شود تا مهاجم بتواند:
• درخواست‌های مدیریتی تزریق کند.
• احراز هویت را دور بزند.
• داده‌های حساس را نشت دهد.


‏ترکیب آسیب‌پذیری CVE-2024-21762 با HRS
در FortiOS، آسیب‌پذیری در ماژول SSL VPN به مهاجم اجازه می‌دهد تا با تزریق یک درخواست خاص، باعث نوشتن داده در خارج از محدوده حافظه مجاز شود. حال اگر این حمله با HTTP Request Smuggling ترکیب شود، مهاجم می‌تواند یک حمله pre-auth RCE (اجرای کد بدون نیاز به لاگین) انجام دهد.
سناریو حمله:
1. مهاجم یک درخواست HTTP خاص با header های متناقض (Transfer-Encoding: chunked) و(Content-Length)ارسال می‌کند.
2. قسمت دوم درخواست (smuggled) حاوی دستوری است که مستقیماً در سیستم مقصد اجرا می‌شود.
3.در FortiOS به دلیل نقص در مدیریت حافظه و بررسی صحیح این headerها، درخواست را پردازش کرده و کد مهاجم اجرا می‌شود.



ایمپکت‌های آسیب‌پذیری
• RCE (Remote Code Execution): اجرای هر نوع دستور با سطح دسترسی بالا
• دور زدن احراز هویت: دسترسی به پنل مدیریت بدون لاگین
• نشت اطلاعات کاربران: مانند session token یا credentialها
• حرکت جانبی در شبکه (Lateral Movement)
• امکان chain کردن با سایر آسیب‌پذیری‌ها در حملات پیچیده


نسخه‌های آسیب‌پذیر و پچ‌ها
Fortinet برای مقابله با این آسیب‌پذیری پچ‌هایی ارائه کرده:
• FortiOS 7.4 → ارتقاء به 7.4.3
• FortiOS 7.2 → ارتقاء به 7.2.7
• FortiOS 7.0 → ارتقاء به 7.0.14
• FortiOS 6.4 → ارتقاء به 6.4.15
• FortiOS 6.2 → ارتقاء به 6.2.16
در صورت عدم امکان آپدیت، غیرفعال کردن SSL VPN موقتاً توصیه می‌شود.


راهکارهای کاهش ریسک
1. آپدیت سریع FortiOS به آخرین نسخه

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

معرفی ابزار فوق العاده Akto🛠

اینقدر قابلیت هاش زیاده که فقط اومدم قابلیت هاش رو بگم و برم.😁

قابلیت های که داره:
🔹تست خودکار انواع آسیب پذیری های مربوط به API مثل:
🔸IDOR
🔸Mass Assignment
🔸Broken Function Level Authorization
🔸Sensitive data exposure
🔸...
🔹تست خودکار آسب پذیری های OWASP TOP 10
🔹تنظیم تست ها بر اساس سطح دسترسی در تارگت (مثلا کاربر مدیر و کاربر عادی)
🔹تست آسیب پذیری های GraphQL
🔹نوشتن Test های شخصی بر اساس نیاز
🔹افزونه Burp Suite برای جمع آوری خودکار درخواست ها
🔹اجرا شدن به صورت Local
🔹قابلیت اتصال به CI/CD
🔹ارائه گزارش کامل به صورت نموداری
🔹و...

لینک این ابزار: https://github.com/akto-api-security/akto

عملا هانتر باید endpoint ها رو جمع کنه و تحویل این ابزار بده، خودش دیگه میدونه چیکار کنه
🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

با سلام
بانک مهر یه نیرو امنیت مسلط به موارد زیر میخواد:
مسلط به فایروال (نوعش رو نمی توان گفت ولی فایروال های عمومی موجود در ایران)
مسلط به وف
مسلط به ccna,ccnp
مسلط به owasp top 10
ساعت کاری ۷تا ۱۷
محل کار هم تهران میرزایی شیرازی هستش
حقوق هم براساس توانایی بین 50 تا 70 می باشد.
لطفا درخواست همکاریتون رو به ادرس زیر ارسال نمایید
با تشکر
security@qmb.ir

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer

این روزها توی hashtag#ونکوور یه رویداد خیلی خفن در جریانه:
hashtag#Web_Summit_Vancouver_2025
کلی آدم خفن از شرکت‌هایی مثل Bluesky، Microsoft، Grammarly، eBay، EA Sports و خیلی برندهای دیگه دارن صحبت می‌کنن. از جمله:

🪽 Jay Graber، مدیرعامل Bluesky، در مورد آینده شبکه‌های اجتماعی غیرمتمرکز .
🪟 Brad Smith، نایب‌رئیس و رئیس مایکروسافت.
⌨️ Max Lytvyn، بنیان‌گذار Grammarly.
🗯 Emily O’Hara، معاون و رئیس جهانی برند و رسانه در eBay.
🕹 Tyler Bahl، مدیر ارشد بازاریابی در Activision Publishing (EA Sports).

▶️ خبر خوب اینکه همه‌ی سخنرانی‌ها به صورت لایو پخش می‌شن و ویدیوهاشون هم توی یوتیوب هست.
من خودم تصمیم گرفتم چندتاشون رو حتماً ببینم. چون حتی شنیدن یه جمله از یه آدم تأثیرگذار می‌تونه تلنگری باشه واسه یه تغییر بزرگ تو ذهن و مسیر آدم.
📌 اگه دوست داشتی ببینی این کانالشونه:
👉 youtube.com/@websummit
شاید جرقه‌ی ایده‌ی بعدی‌ت همینجا بخوره! 💡🚀ر

🔹 Share & Support Us 🔹
📱 Channel : @Engineer_Computer