OWASP Top 10 LLM Vulnerabilities & Security Checklist

اگر با LLM سروکار دارید حتما این چک لیستو بخونید مخصوص پنتسترها و طراحان وب.

اینجا نکته‌ های OWASP برای مدل‌ها و سرویس‌های مبتنی بر LLM جمع شده: prompt injection، data leakage، poisoning، unsafe deserialization، access control اشتباه و چیزای دیگه

چرا اینروز ها خیلی مهم شده؟
LLM ها نه فقط باگ نرم‌افزاری‌ اند؛ اشتباه در طراحی یا پیکربندی می‌تونه باعث نشت داده‌ ها یا اجرای رفتارهای ناخواسته بشه
و اثرش در production می‌تونه خیلی بد باشه.

@mandegar_sec | security researcher 🍸

The payload contains '|/???/\b**\h,' which is meant to confuse WAF rules. Unusual characters are a common evasion tactic.

#infosec #bugbountytips #cybersec

⭐️ @ZeroSec_team

IDA Pro 9.2 Beta 2 Windows
source: http://xjepeflts2qwhqb77bw5vj6xguve56rpyeoxibztd7t7fehxxowt5fad.onion/9.2/, https://bbs.kanxue.com/thread-287796.htm, https://www.52pojie.cn/thread-2049414-1-1.html

$ sha256sum *
894fca47a5f0f9f7a0790013073dbaf38a50540ae9c336533f3ebb5a0bf27280  ida-pro_92_x64win.exe

VT: https://www.virustotal.com/gui/file/894fca47a5f0f9f7a0790013073dbaf38a50540ae9c336533f3ebb5a0bf27280/details (signed by Hex-Rays)
same keygen

XSS.is

https://xssforum7mmh3n56inuf2h73hvhnzobi7h2ytb3gvklrfqm7ut3xdnyd.onion

⭐️ @ZeroSec_team

هک شدن شرکت QHR
2025-06-26

هک شدن شرکت QHR
بعد از اطلاعات شغلی و محل کار، نوبت به شرکت QHR رسید.

داده‌های افشا شده = ۴۰۳ گیگابایت
PoC فاش شد

لینک دانلود :‌
http://vmjfieomxhnfjba57sd6jjws2ogvowjgxhhfglsikqvvrnrajbmpxqqd.onion/?p=397

⭐️ @ZeroSec_team

Hidden Service lists and search engines
http://3g2upl4pq6kufc4m.onion/ – DuckDuckGo Search Engine
http://xmh57jrzrnw6insl.onion/ – TORCH – Tor Search Engine
http://zqktlwi4fecvo6ri.onion/wiki/index.php/Main_Page – Uncensored Hidden Wiki
http://32rfckwuorlf4dlv.onion/ – Onion URL Repository
http://e266al32vpuorbyg.onion/bookmarks.php – Dark Nexus
http://5plvrsgydwy2sgce.onion/ – Seeks Search
http://2vlqpcqpjlhmd5r2.onion/ – Gateway to Freenet
http://nlmymchrmnlmbnii.onion/ – Is It Up?
http://kpynyvym6xqi7wz2.onion/links.html – ParaZite
http://wiki5kauuihowqi5.onion/ – Onion Wiki
http://torwikignoueupfm.onion/index.php?noscript=Main_Page – Tor Wiki
http://kpvz7ki2v5agwt35.onion – The Hidden Wiki
http://idnxcnkne4qt76tg.onion/ – Tor Project: Anonymity Online
http://torlinkbgs6aabns.onion/ – TorLinks
http://jh32yv5zgayyyts3.onion/ – Hidden Wiki .Onion Urls
http://wikitjerrta4qgz4.onion/ – Hidden Wiki – Tor Wiki
http://xdagknwjc7aaytzh.onion/ – Anonet Webproxy
http://3fyb44wdhnd2ghhl.onion/wiki/index.php?noscript=Main_Page – All You’re Wiki – clone of the clean hidden wiki that went down with freedom hosting
http://3fyb44wdhnd2ghhl.onion/ – All You’re Base
http://j6im4v42ur6dpic3.onion/ – TorProject Archive
http://p3igkncehackjtib.onion/ – TorProject Media
http://kbhpodhnfxl3clb4.onion – Tor Search
http://cipollatnumrrahd.onion/ – Cipolla 2.0 (Italian)
http://dppmfxaacucguzpc.onion/ – TorDir – One of the oldest link lists on Tor
Marketplace Financial
http://torbrokerge7zxgq.onion/ – TorBroker – Trade securities anonymously with bitcoin, currently supports nearly 1000 stocks and ETFs
http://fogcore5n3ov3tui.onion/ – Bitcoin Fog – Bitcoin Laundry
http://2vx63nyktk4kxbxb.onion/ – AUTOMATED PAYPAL AND CREDIT CARD STORE
http://samsgdtwz6hvjyu4.onion – Safe, Anonymous, Fast, Easy escrow service.
http://easycoinsayj7p5l.onion/ – EasyCoin – Bitcoin Wallet with free Bitcoin Mixer
http://jzn5w5pac26sqef4.onion/ – WeBuyBitcoins – Sell your Bitcoins for Cash (USD), ACH, WU/MG, LR, PayPal and more
http://ow24et3tetp6tvmk.onion/ – OnionWallet – Anonymous Bitcoin Wallet and Bitcoin Laundry
http://qc7ilonwpv77qibm.onion/ – Western Union Exploit
http://3dbr5t4pygahedms.onion/ – ccPal Store
http://y3fpieiezy2sin4a.onion/ – HQER – High Quality Euro Replicas
http://qkj4drtgvpm7eecl.onion/ – Counterfeit USD
http://nr6juudpp4as4gjg.onion/pptobtc.html – PayPal to BitCoins
http://nr6juudpp4as4gjg.onion/doublecoins.html – Double Your BitCoins
http://lw4ipk5choakk5ze.onion/raw/4588/ – High Quality Tutorials
Marketplace Commercial Services
http://6w6vcynl6dumn67c.onion/ – Tor Market Board – Anonymous Marketplace Forums
http://wvk32thojln4gpp4.onion/ – Project Evil
http://5mvm7cg6bgklfjtp.onion/ – Discounted electronics goods
http://lw4ipk5choakk5ze.onion/raw/evbLewgkDSVkifzv8zAo/ – Unfriendlysolution – Legit hitman service
http://nr6juudpp4as4gjg.onion/torgirls.html – Tor Girls
http://tuu66yxvrnn3of7l.onion/ – UK Guns and Ammo
http://nr6juudpp4as4gjg.onion/torguns.htm – Used Tor Guns
http://ucx7bkbi2dtia36r.onion/ – Amazon Business
http://nr6juudpp4as4gjg.onion/tor.html – Tor Technology
http://hbetshipq5yhhrsd.onion/ – Hidden BetCoin
http://cstoreav7i44h2lr.onion/ – CStore Carded Store
http://tfwdi3izigxllure.onion/ – Apples 4 Bitcoin
http://e2qizoerj4d6ldif.onion/ – Carded Store
http://jvrnuue4bvbftiby.onion/ – Data-Bay
http://bgkitnugq5ef2cpi.onion/ – Hackintosh
http://vlp4uw5ui22ljlg7.onion/ – EuroArms
http://b4vqxw2j36wf2bqa.onion/ – Advantage Products
http://ybp4oezfhk24hxmb.onion/ – Hitman Network
http://mts7hqqqeogujc5e.onion/ – Marianic Technology Services
http://mobil7rab6nuf7vx.onion/ – Mobile Store
http://54flq67kqr5wvjqf.onion/ – MSR Shop
http://yth5q7zdmqlycbcz.onion/ – Old Man Fixer’s Fixing Services
http://matrixtxri745dfw.onion/neo/uploads/MATRIXtxri745dfwONION_130827231336IPA_pc.png – PC Shop
http://storegsq3o5mfxiz.onion/ – Samsung StorE
http://sheep5u64fi457aw.onion/ – Sheep Marketplace
http://nr6juudpp4as4gjg.onion/betcoin.htm – Tor BetCoin
http://qizriixqwmeq4p5b.onion/ – Tor Web Developer

⭐️ @ZeroSec_team

🔥 RecnEye - Your Automated Bug Bounty & Asset Intelligence Platform 🔥

دیگه لازم نیست هر روز دستی دنبال برنامه‌های جدید باگ‌بانتی بگردی یا بررسی کنی که کدوم ساب‌دامین هنوز فعاله!
Watchtower همه‌چیز رو خودش انجام می‌ده 👇

⚡ ویژگی‌ها:
📡 کشف خودکار برنامه‌های جدید Bug Bounty از پلتفرم‌های بزرگ (HackerOne, Intigriti, YesWeHack, Bugcrowd و...)
🌍 تعریف wildcard یا CIDR برای کشف خودکار ساب‌دامین‌ها و دارایی‌ها
🧠 Asset Discovery و Live Subdomain Detection با httpx
🧩 URL Discovery & Param Discovery روی همه‌ی تارگت‌هات
🔄 تغییرات real-time در JS hash، Status Code یا مسیرها رو بهت می‌گه
⏱️ ساخت تسک‌های زمان‌بندی‌شده برای مانیتورینگ خودکار
⚠️ هشدار در مورد تغییرات تارگت‌ها از بخش httpx change
🚫 توصیه امنیتی: CIDR Port Scan فقط برای محیط تست، چون ممکنه منجر به بلاک شدن بشه

Repo: https://github.com/nexovir/infodisclosure_backend.git

اگر درموردش سوالی داشتید دایرکت کانال بپرسید

⭐️ @ZeroSec_team

سلام بچه ها Watcher (v2) رو داخل گیتهاب براتون قرار دادم وقت نکردم با docker هندل کنم براتون ولی اگر موقع نصبش به مشکل خوردید در ارتباط باشید راهنماییتون میکنم و اگر استقبال خوب بود v3 رو که خیلی بهتر از این نسخه هست رو هم براتون قرار میدم 🙏

🚨 Introducing ReconEye 🚨

🔥 your automated Bug Bounty & Asset Intelligence platform 🔥

Stop manually tracking new bounty programs and asset changes.
Let Watchtower do it for you ⚡

🕵️‍♂️ Features:

Auto-detects new Bug Bounty programs (HackerOne, Intigriti, Bugcrowd, etc.)
Wildcard & CIDR asset monitoring
Daily subdomain & port scanning (naabu, httpx, nuclei)
URL / parameter discovery
Detects JS hash & HTTP status code changes
Periodic orchestrator tasks for automated recon
👁️ Asset Discovery made autonomous.

Github

⭐️ @ZeroSec_team

LD_PRELOAD TLS cert bypass for embedded security research
*
research

https://github.com/ImLeoNova/100-Iranian-Regex-Patterns

توی فرایند تست نفوذ روی تارگت های ایرانی، رجکس های بالا برای استفاده توی logger++ برپ می‌تونه برای پیدا کردن pII مفید باشه.

⭐️ @ZeroSec_team

موجودی Trust Wallet شماهم صفر شده؟😐

(البته نمیدونم به اینکه موجودی ندارم ربط داشته باشه یا نه)

Evasion-Kit for Cobalt Strike

Blog: https://rastamouse.me/crystal-kit/

Soft: https://github.com/rasta-mouse/Crystal-Kit

#maldev #cs #pentest #redteam

⭐️ @ZeroSec_team

🥇💠شیوۀ کار متفاوت است؛ نتیجه مشخص.

♥️💯🤞دیده‌بان در حال تکمیل فرایند بازطراحی تا تجربه‌ای دقیق‌تر، سریع‌تر و شخصی‌تر از همیشه ارائه دهد.
اگر از کاربران قدیمی MyWatchTower هستی، یا تازه با ما آشنا شدی،
🥂🎯بدان که این بار مسیر ساده‌تر و هوشمندتر شده است.

🆕 سایت قبلی (mywatchtower.ir) به‌دلیل ری‌برندینگ و تغییرات در حال به‌روزرسانی است و نسخه ای خفن همراه با ماژول های ریکان به زودی در اختیار مشترکین است. در حال حاضر، می‌توانی از طریق پشتیبانی رسمی ما در تلگرام،
سفارش خود را به‌صورت مستقیم ثبت کنی و به حساب کاربری‌ات دسترسی بگیری.

🔗 ورود به پشتیبانی و ثبت سفارش:
👉 @nowacy

همچنین شما میتونید از طریق لینک زیر وارد چنل تلگرام این محصول شوید:
https://news.1rj.ru/str/+GpIJHaGsl3M4Zjk8

🩻 StayPro...
دیده‌بان همیشه چند قدم جلوتر می‌بیند.

🔴 در خصوص خبر هک دیسکورد، هکرها اعلام کردن که نفوذ از طریق آسیب پذیری در Zendesk نبوه، بلکه از اکانت به خطر افتاده ی یکی از کارکنان شرکت های پشتیبانی BPO (شرکتهای برون سپاری کسب و کار) استفاده کردن و 58 ساعت در محیط Zendesk دیسکورد بودن.

با توجه به اینکه بسیاری از شرکتها بخشهای پشتیبانی و فناوری اطلاعات خودشون رو به این شرکتها برون ‌سپاری میکنن، این شرکتها به اهدافی محبوب برای هکرها تبدیل شدن.

هکرها گفتن وارد محیط Zendesk داخلی دیسکورد شدن که به اونا این امکان رو داده تا به برنامه ی پشتیبانی داخلیشون بنام Zenbar دسترسی داشه باشن که ابزاری برای غیرفعال کردن MFA و جستجوی شماره تلفن و ایمیل و ... هستش. با این دسترسی 1.6 ترابایت داده شامل 1.5 ترابایت فایلهای پیوست تیکتها و بیش از 100 گیگ متن تیکت دزدیدن. این داده ها شامل: 8.4 میلیون تیک از 5.5 میلیون کاربر منحصر به فرد هستش.

باج اولیه 5 میلیون دلار بوده اما بعدش به 3.5 میلیون دلار کاهش دادن. دیسکورد هم گفته که باج رو نمیده همچنین ادعای هکرها رو رد کرده و گفته که تنها 70 هزار تصویر کارت شناسایی افشاء شده که اونارو هم برای تایید سن گرفته. هکرها هم گفتن که فقط 521 هزار تیکیت تایید سن وجود داشته بنابراین تعداد بیشتر از 70 هزارتاست.

هک دیسکورد توسط گروه Scattered Lapsus$ Hunters انجام گرفته بود که اخیرا یک سایت نشت داده، برای افشای اطلاعاتی که قربانی ها باج نمیدن، راه اندازی کردن. هدف اینه که میخوان در قالب Extortion-as-a-Service (EaaS) یعنی باج گیری بعنوان سرویس کار کنن. در این فعالیت، ShinyHunters با گروههای دیگه همکاری میکنه و در ازای سهمی از باج، عملیات باجگیری رو براشون انجام میده. مثلا اخیرا گروه هکری Crimson Collective که Red Hat رو هک کرده بودن با این سایت همکاری میکنن و این همکاری رو اینجوری توصیف کردن: در ۴ آوریل ۱۹۴۹ ناتو تشکیل شد، اما اگر امروز اتحادی بزرگتر شکل بگیره چی؟ اتحادی برای هدفی بزرگتر،نابودی ذهنیت شرکتها.

این سایت نشت داده که با عنوان BreachForums بالا اومده بود، دیشب توسط FBI توقیف و از دسترس خارج شده و تنها نسخه ی دارک وب فعاله.

مجریان قانون گفتن که به نسخه پشتیبان از سال 2023 به بعد و سرورهای این فروم دسترسی کامل دارن. ShinyHunters هم این رو تایید کرده و گفته، دوران فرومها به پایان رسیده و الان اینجور فرومها، حکم هانی پات رو دارن و دیگه چنین فرومهایی رو راه اندازی نمیکنن./منبع

#بازیگران_تهدید #دیسکورد
#Discord #SLH #Zendesk #BreachForums #BPO #EaaS

🆔 @onhex_ir
➡️ ALL Link