تریک هایی برای نگاه کردن ویدیو های پاک شده از یوتیوب
https://picknar.com/how-to-watch-a-deleted-youtube-video/
➖➖➖➖➖
CHANNEL
GROUP
DISCORD

WriteUp:
https://doublepulsar.com/merry-christmas-day-have-a-mongodb-security-incident-9537f54289eb


https://www.ox.security/blog/attackers-could-exploit-zlib-to-exfiltrate-data-cve-2025-14847/

https://blog.ecapuano.com/p/hunting-mongobleed-cve-2025-14847

Exploit:

https://github.com/joe-desimone/mongobleed/
➖➖➖➖➖
CHANNEL
GROUP
DISCORD

Happy New Year⚜️

یه کامیونیتی خوب برای هانترا ،تازه هم لانچ شده
https://bugbounty.forum/
➖➖➖➖➖
CHANNEL
GROUP
DISCORD

از ویو معلومه یه سریا وصلید انشالا زودتر برگردیم به حالت عادی

تا حالا برات سؤال شده وقتی می‌خوای ترافیک شبکه رو تحلیل کنی، بسته‌ها دقیقاً از کجا باید Capture بشن؟

Tapping into the Wire مجموعه‌ای از تکنیک‌هاست که به ما اجازه می‌ده ترافیک واقعی شبکه رو بدون ایجاد اختلال، شنود و تحلیل کنیم.

➖➖➖➖➖
سوئیچ ها دستگاه هایی هستن که امروزه تو شبکه های مدرن ازشون استفاده میشه .
که از ترافیک های ،Multicast Unicast،Broadcast پشتیبانی میکنن و امکان ارتباط Full-Duplex رو میدن یعنی دستگاه ها بصورت همزمان میتونن داده ارسال کنن

میدونم اینا چیزای پایه و ساده ای هستن ولی جلوتر قراره مهم بشن .


تو این پست هم منظورمون از اسنیفر ،دیوایس یا نرمافزاری هستش که بتونه پکت هارو کپچر کنه که بعدا تحلیلشون کنیم(ویراشارک،IDS,....) .
➖➖➖➖➖

چهار روش اصلی برای Capture ترافیک تو شبکه هایی که از سوئیچ استفاده کردن رو قراره اینجا توضیحشون بدیم .

1_Port Mirroring (SPAN)
2_Hubbing Out
3_Network Tap
4_ARP Cache Poisoning
➖➖➖➖➖

Port Mirroring (SPAN):
این روش احتمالا ساده ترین روش برای Capture کردن ترافیک یک دستگاه مشخص شده تو شبکه ای که از سوئیچ استفاده شده هستش.

تو این مدل باید به CLI یا رابط مدیریتی تحت وب سوئیچی که کامپیوتر هدف به اون وصل هستش دسترسی داشته باشیم ، و خود سوئیچ هم از قابلیت Port Mirroring پشتیبانی کنه و یک پورت خالی هم داشته باشه که اسنیفر رو بهش متصل کنیم .

کلیت کار Port Mirroring اینجوریه که سوئیچ رو مجبورش میکنیم تمام ترافیک یک پورت رو ،روی پورت دیگه ای کپی کنه ،مثلا اگه سرور یا کلاینت هدف به پورت 3 سوئیچ متصل شده باشه اسنیفر رو هم به پورت چهار وصل کنیم ،برای سوئیچ تعریف میکنیم که ترافیک پورت 3 رو به پورت 4 Mirror کنه

حالا این کانفیگ کردن هم بسته به مدل سوئیچ فرق داره
چندتاشون رو من اینجا میزارم
Cisco:

set span <source port> <destination port>

Enterasys:

set port mirroring create <source port> <destination port>

Nortel:

port-mirroring mode mirror-port <source port> monitor-port
<destination port>

بعضیا هم که Web-based GUI هستن استاندارد مشخصی نداره که اینجا درموردش صحبت کنیم .

خب تا اینجا Port Mirroring بنظر تکنیک خوبی میاد ولی خب بدی هایی هم داره

موقع استفاده از Port Mirroring باید به Throughput پورت هایی که Mirror میکنیم دقت کنیم . بعضی مدل های سوئیچ اجازه میدن که چند پورت رو به یه پورت میرور کنیم که برای تحلیل ارتباط بین دو یا چند دستگاه مفیده ولی بیاید از یه دید دیگه هم نگاه کنیم

اگر یک سوئیچ 24 پورتی داشته باشیم و 23 پورتFull-Duplex
با سرعت100Mbpsرا به یک پورت Mirror کنیم، تو بدترین حالت
ممکن است 4,600Mbps ترافیک به سمت اون پورت فرستاده بشه. این مقدار بسیار فراتر از حد فیزیکی یک پورت هست و می تونه باعث Packet Loss یا کندی شبکه بشه.

تو نگاه اول Port Mirroring تکنیک خوبیه ولی برای جایی که بخوایم تو مقیاس بزرگی اسنیفر رو قرار بدیم شاید مشکل ایجاد بکنه برامون و ترافیک هارو از دست بدیم ولی برای مقیاس کوچیک گزینه عالی هستش .


➖➖➖➖➖


Hubbing Out

اینم یکی دیگه از روش های Capture ترافیک تو شبکه ای که از سوئیچ استفاده شده
ساختارش هم بشدت سادست .

سیستم هدف و دستگاه اسنیفر رو باهم به یه هاب وصل میکنیم و هاب رو به سوئیچ شبکه متصل میکنیم و خب از اونجایی که هاب کلا Broadcast میکنه ترافیک رو تمام ترافیک ورودی و خروجی سیستم هدف رو میتونیم کپچر کنیم
برای جایی که امکان Port Mirroring (SPAN) نیستش گزینه خوبیه ولی بخاطر مشکلات خود هاب اصلا پیشنهاد نمیشه امکان کالیژن دامین ،تغییر کردن Full-Duplex به Half-Duplex ...


➖➖➖➖➖
Using a Tap

این روش بنظرم بهتر از بقیه هستش

تو این روش از یه دستگاه سخت افزاری به اسم Network Tap استفاده میکنیم هر جایی که بخوایم کپچر اتفاق بیوفته باید بینشون این دستگاه رو قرار بدیم .
شبیه Hubbing Out هستش تو این روش هم از یک قطعه سخت افزاری استفاده میکنیم که بتونیم ترافیک رو کپچر کنیم ولی تفاوت اصلی اینجاست که به جای استفاده از هاب از یه سخت افزاری تخصصی که مخصوص تحلیل شبکه طراحی شده استفاده میکنیم

دو مدل Network Tap وجود داره :

1_Aggregated Tap
2_Nonaggregated Tap



Nonaggregated Tap

چهارتا پورت داره و برای مانیتور کردن ترافیک دوطرفه به اینترفیس های جداگونه نیاز داره

Aggregated Tap
فقط یه پورت داره و می تونه ترافیک دو طرفه رو با یک اینترفیس واحد مانیتورینگ کنه .

معمولا TAP هم نیاز به منبع برق دارن ولی بعضیاشون هم باتری داخلی دارن

داخل Aggregated Tap ساده ترین نوع tap فقط یک پورت فیزیکی برای اسنیف کردن ترافیک دوطرفه هستش
برای استفاده ازش هم اون سمت که in هستش رو به سیستم هدف وصل کنیم اون سمت که out هستش رو هم به سوئیچ وصل کنیم و پورت monitor روی Tap رو هم به دیوایسی که میخوایم باهاش اسنیف کنیم وصل میکنیم



Nonaggregated Tap هم شبیه Aggregated Tap هستش ولی یکم پیچیده تر میشه ولی خب انعطاف بیشتری میده به ما برای کپچر کردن ترافیک

تو این حالت دوتا پورت برای اسنیفرمون هستش که ترافیک خروجی و ورودی رو باهاش تفکیک شده دریافت کنه

مثالام جوری بود که انگار فقط برای ترافیک یه سیستم میشه ازش استفاده کرد ولی شما با یکم خلاقیت میتونید با قرار دادن Tap بین سوئیچ و روتر یا داخل ساختار های درختی با قرار دادن بین لایه Distribution و Core میتونید تمام ترافیک بینشون رو کپچر کنید

این روش بنظر خودم مناسبه هر ساختاری هستش

➖➖➖➖➖
ARP Cache Poisoning

همین اول کار بگم در صورت ناچار بودن سمت این روش بیاید چون اصلا پایدار نیستش

ما دونوع ادرس دهی داخل شبکه داریم که تو لایه های 2 و 3 انجام میشه ادرس دهی لایه 3با ایپی انجام میشه و ادرس دهی لایه 2 با Mac وقتی که سیستم ها بخوان تو لایه 2 همدیگه رو پیدا کنن از پروتکلی به اسم Arp استفاده میکنن وقتی ندونن تو شبکشون کدوم ایپی چه مکی داره از ARP Request بصورت Broadcast استفاده میکنه ک تو بستش میپرسه صاحب دستگاه فلان ایپی چه Mac داره
و دستگاهی که صاحب این ایپی باشه یک ARP Reply میفرسته که حاوی Macخودش هستش و سیستم اون رو داخل ARP Cache خودش ذخیره میکنه و موقع پر کردن ادرس لایه 2 ازش استفاده میکنه

نحوه کار ARP Cache Poisoning هم اینجوری هستش که ما ARP Cache سیستم هدف رو دستکاری میکنیم که به جای اینکه ترافیک بصورت عادی بین سیستم هدف و روتر جا به جا بشه بعد از مسموم سازی کش ARP از دیوایس اسنیفر عبور کنه و خب این تکنیک خودش یه اتک حساب میشه
و خب اینکه چطور اینکارو انجام بدیم تو این پست جایی نداره ولی یه اشاره کوچیک بکنم، با استفاده از ابزار bettercap و مشخص کردن سیستم هدف و ادرس روتری که گت وی سیستم حساب میشه میتونیم به راحتی از این اتک استفاده کنیم

ولی بازم میگم این روش اصلا استیبل نیستش و پیشنهادش نمیکنم


➖➖➖➖➖

امیدوارم که از این پست خوشتون بیاد با تشکر
CHANNEL