🕹 یک مینی‌چالش جدید داریم!

این مدت احتمالاً دیدین که بعضی دیتاهای یه ربات تلگرام لیک شده.
اما این یعنی تلگرام آسیب‌پذیره؟
(فکررررررر نکنمممم)

برای همین یک شبیه‌سازی ساختیم تا خودتون ببینید دیتا‌هایی که از ربات‌ها لیک می‌شن به چه صورت به دست میان.

یک ربات مخصوص رای‌گیری ساختیم:

@HML_Simulation_BOT

تو این ربات سه شخصیت برای رأی‌گیری آماده هستن:

🦆 DuckMen
🐺 Wolfy
👴 Just a random old man

می‌تونید هر چند بار که بخواید رأی بدید.
ولی این همه ماجرا نیست…

⚠️ یه آسیب‌پذیری توی سیستم رأی‌گیری قایم شده که می‌تونه لیست ادمین‌ها رو لو می‌ده.
ما نمی‌دونیم دقیقاً چجوری ادمین‌هامون لو میرن، اما اولین نفری که آسیب‌پذیری رو پیدا کنه و گزارش بده، رایت‌آپش به اسم خودش داخل سایت و کانال منتشر .

#BugBounty #TelegramBot #Vulnrability #CTF #HackMeLocal

@HackMeLocal

🙏 اگه به لیست ادمین‌ها رسیدید به آیدی @e1l1ya پیام بدید.

خب دونفر با اختلاف دقیقا یک دقیقه به لیست ادمین‌ها رسیدن دیگه چون اختلاف کم بود آیدی هر دو نفر داخل کانال قرار گرفت

واقعا ممنونم بابت وقتی که گذاشتید رایت‌اپ این چلنج در چند روز آینده حتما داخل کانال قرار می‌گیره

این نکته هم بگم هفته آینده یک چلنج مشابه داریم قطعا روز جمعه لانچ می‌کنیم که همه وقت داشته باشن و ساعتشم از قبل مشخص میشه

ربات هم تلاش میکنیم تا دو ماه اینده فعال نگهش داریم تا بعد از خوندن رایت‌ آپ بقیه دوستان هم بتونن تست کنند.

🥇 نفر اول: @m_ak_sec
🥈نفر دوم: @Mmd_OfficiaI

📝 خب وقتشه رایت‌آپ چلنج قبلی رو منتشر کنیم!
این رایت‌آپ توسط @m_ak_sec نوشته شده.

✨ یه نکته جالب این بود که نفر دوم فقط با گوشی تونست به لیست ادمین‌ها دسترسی پیدا کنه؛ به نظرم حرکت خیلی خفنی بود!

#WriteUp #CTF

@HackMeLocal

سورس ربات تلگرامی که برای شبیه‌سازی آسیب‌پذیری SQL Injection ساخته شده، روی گیت‌هاب منتشر شد 👇

https://github.com/e1l1ya/telegram-bot-sqli-simulation/

اگر براتون جالب بود، خوشحال می‌شم با ⭐️ دادن به ریپازیتوری از این پروژه حمایت کنید 🙌

همچنین تجربه‌ی کشف و شبیه‌سازی این باگ رو به صورت کامل در یک مقاله روی مدیوم نوشتم:

https://medium.com/@e1l1ya/how-i-found-sql-injection-in-a-telegram-bot-and-built-a-simulation-41ed994c4c03

#Simulation #SQLi #TelegramBot

@HackMeLocal

🕹 فردا یک مینی‌چالش جدید داریم!

همونطور که قول داده بودیم، فردا ساعت ۱۱ یه نقطه‌ی جدید و جالب که می‌تونه منجر به آسیب‌پذیری در ربات‌های تلگرام بشه ( سناریو نزدیک به اتک واقعی ) رو داخل کانال منتشر می‌کنیم.

#BugBounty #TelegramBot #Vulnrability #CTF #HackMeLocal

@HackMeLocal

🕹 مینی‌چالش آغاز شد

یک ربات شبیه‌سازی شده ساخته‌ایم که هدفش بررسی دیتابیس‌های لو رفته و اطلاع‌رسانی به کاربر در صورت وجود اطلاعاتش است.

ما می‌دونیم به نحوی شخصی به تمام اطلاعات دیتابیس ما دسترسی داره تمام پیام‌های دریافتی از سمت کاربر را امن کردیم اما همچنان می‌تواند اطلاعات موجود در دیتابیس ما را مشاهده کند.

در کل می‌تونید از این ربات استفاده کنید
@HML_Simulation2_Bot


📌 طبق روال، هر کسی که First Blood بشه، رایت‌آپش داخل کانال منتشر میشه!

#BugBounty #TelegramBot #Vulnrability #CTF #HackMeLocal

@HackMeLocal

یک نکته‌ای اضافه کنم هدف از این چالش دستیابی به لیست کاربران

یک راهنمایی کنم به خاطر اینکه خیلی درگیر فاز کردن نشید یک ستون به اسم firstname وجود داره

دو نفر جواب پیدا کردن
🥇 @m_ak_sec
🥈 @Z3R0_H4x

اختلاف زمانی که بین نفر اول و دوم بود میشه گفت که زیر یک دقیقه بود واقعا جالب بود


🙏 متشکرم از همه کسانی که در این چالش شرکت کردند چالش همچنان آنلاین باقی میمونه و رایت‌آپ دوستان هم داخل کانال نشر داده میشه

این موضوع هم بگم که این آسیب پذیری دقیقا روی یکی از ربات هایی که جهت تشخیص اینکه آیا دیتایی از شما پابلیک شده یا نه وجود داره.

@HackMeLocal

این پیام تبلیغ نیست.

یکی از فعال‌های این حوزه یه خبرنامه خیلی جذاب داره که بر اساس اون، یه چالش طراحی کرده.
newsletter.jsecurity.ir

از اون دست چالش‌هایی که هم آموزنده‌ست، هم حسابی دانشتو به چالش می‌کشه. "حداقل برای خودم که اینطوری بود"

🔗 لینک چالش:
https://lab.jsecurity.ir/lab4/

پیشنهاد می‌کنم حتما کانالش رو هم بررسی کنید، چون حل کردن این چالش فقط تجربه نیست… جایزه هم داره! :)))))

📢 @projectzeroTM

در خصوص چالش‌هایی که هفته‌های پیش داشتیم (SQLI On Telegram bots) یکی از دوستان خوبم ابزاری برای تست SQLI در ربات‌های تلگرام نوشته که به نظرم خیلی کاربردیه.

@NullError_ir

نکته ای که هست هنوز خیلی از ربات‌ها هستند که این آسیب‌پذیری را دارند و جالب اینه تو این مدت یک سری از بچه ها روی چند‌تا ربات تلگرام مثل آسیب‌پذیری‌های شناسایی شده رو پیدا کردند.
خوشحالم که این مطالب برای شما مفید بوده 🙏

@HackMeLocal

🕹 جمعه ساعت ۱۱ صبح یک مینی چالش داریم

این دیگه ربات تلگرام نیست ولی نیاز به خلاقیت داره

❓یک مدت چرا فعالیت کمی داشتیم
چون بازخوردای شما برای ما مهمه، مشکلاتی که از وبسایت گفتید اکثرش درست شده و تا آخر این ماه رویه سایت کاملا تغییر میکنه درنتیجه تجربه کاربری بهتری خواهید داشت و آموزش‌های مفیدی ارائه خواهیم داد

ممنون که این مدت همراه ما بودید قطعا تمام تلاش ما برای افزایش دانش همه دوستان خوبمون توی این حوزه هستش


@HackMeLocal

یکی از محققای خوبه رد تیم، مهندس رنجبر یک ویدیو درمورد key logger لینوکس ساخته که به نظرم تو همون ۳۷ دقیقه خیلی کامل توضیح داده
به نظرم اینطور ویدیو ها واقعا مفیدن چون بدون مقدمه اضافی میرن سر اصل مطلب

چون ساده توضیح داده به نظرم خوبه نگاه کنید و با اون فاز فضای رد تیم آشنا بشید

https://youtu.be/e0q-7k1IBUo

🕹 مینی‌چالش روی وردپرس!

همیشه لازم نیست از راه سخت دسترسی بگیریم!
بیشتر حمله‌هایی که صورت میگیره از یک دسترسی ساده شروع میشه که به خاطر یک اشتباه کوچیک اطلاعات اون دسترسی لو رفته. ( شب دارکی شد ... )

برای نشون دادن اهمیت این چالش طراحی شده ( لازم بگم با تغییرات جزئی مثل همین باگ روی یک پلتفرم باگ بانتی گزارش شده که بعد از کشف حتما داخل کانال توضیح میدیم ):

ما بروزترین نسخه وردپرس نصب کردیم، سپس یک WAF سر راه اون قرار دادیم اما در یک اقدامی عجیب بدون حتی یک خطا یک هکر وارد وبسایت ما شد.

⚠️ این حمله تقریبا چند دقیقه بعد از اینکه اولین ویدیو داخل وبسایت آپلود شد صورت گرفت نکته عجیب اینکه ما حتی این ویدیو را در پست‌هایمان استفاده نکردیم !!

🔗آدرس وبسایت ما:
https://wp1.hackmelocal.com


#BugBounty #Wordpress #Vulnrability #CTF #HackMeLocal #InformationLeak

@HackMeLocal

در کمال تعجب یک نفر رمز پیدا کرد 😂
این حجم از سرعت برا خودم قفل بود

تو یکی از پنتست‌هایی که داشتم یه باگ عجیب ولی جالبی رخ داد با خودم گفتم شاید جالب باشه با شمام به اشتراک بزارم

https://medium.com/@e1l1ya/breaking-jwt-how-i-found-a-hardcoded-secret-in-a-mobile-app-5b1ed57b9cff

ممنون میشم clap زیر پست بزنید

#Blog #Mobile_Pentest #JWT #API

@HackMeLocal

مدتی پیش چالشی راه اندازی شده بود که یک سایت وردپرس آخرین نسخه طراحی شده بود. متن چالش این بود که "همیشه لازم نیست از راه سخت دسترسی بگیریم!".
این چالش بر اساس تجربه خودم در یکی از تست‌نفوذ‌هایی که انجام داده بودم ساخته شده بود که نحوه دسترسی گرفتن از پنل ادمین و تو این بلاگ نوشتم:

https://medium.com/@e1l1ya/when-training-videos-leak-your-admin-credentials-a-real-wordpress-bug-experience-e5605c4a441c

#Wordpress #Vulnrability #HackMeLocal #InformationLeak

@HackMeLocal