Zero Trust Network Access (ZTNA).pdf
1.3 MB
🔖 دسترسی شبکه با Zero Trust (ZTNA) که گاهی محیط نرمافزارمحور (SDP) نامیده میشود یک راهکار فناوری اطلاعات با مدل انطباقپذیر است. این سیستم از تمام کاربران (داخل/خارج شبکه) میخواهد پیش از دسترسی به دادهها و برنامهها، احراز هویت، مجوزدهی و اعتبارسنجی مستمر امنیتی شوند. دسترسی در این مدل صرفاً بر اساس اصل حداقل حقوق لازم و مطابق سیاستهای کنترل دسترسی سازمان اعطا میگردد.
@TryHackBox
@TryHackBox
❤16⚡2👍2
Intro to API Security ..pdf
2.3 MB
🔖 کنترل دسترسی چیست؟
📌 کنترل دسترسی در امنیت SaaS به روشها و سیاستهایی اشاره دارد که برای تنظیم دسترسی کاربران به برنامههای SaaS و دادههای مرتبط با آنها پیادهسازی میشوند.این فرآیند شامل مدیریت مجوزها، نقشها و مکانیسمهای احراز هویت است تا اطمینان حاصل شود که تنها افراد مجاز و حسابهای غیرانسانی (مانند سرویسها) که مجوز دارند میتوانند به پلتفرم SaaS و منابع آن دسترسی پیدا کنند.
«کنترل دسترسی در امنیت SaaS معمولاً از تکنیکهایی مانند احراز هویت چندعاملی (MFA)، کنترل دسترسی مبتنی بر نقش (RBAC) و تنظیمات دقیق مجوزها استفاده میکند تا ریسکهای مرتبط با دسترسی غیرمجاز، نقض دادهها و تهدیدات داخلی را کاهش دهد.با پیادهسازی مؤثر اقدامات کنترل دسترسی، سازمانها میتوانند از دادههای حساس خود محافظت کرده و انطباق با الزامات نظارتی را در محیط SaaS حفظ کنند.
@TryHackBox
📌 کنترل دسترسی در امنیت SaaS به روشها و سیاستهایی اشاره دارد که برای تنظیم دسترسی کاربران به برنامههای SaaS و دادههای مرتبط با آنها پیادهسازی میشوند.این فرآیند شامل مدیریت مجوزها، نقشها و مکانیسمهای احراز هویت است تا اطمینان حاصل شود که تنها افراد مجاز و حسابهای غیرانسانی (مانند سرویسها) که مجوز دارند میتوانند به پلتفرم SaaS و منابع آن دسترسی پیدا کنند.
«کنترل دسترسی در امنیت SaaS معمولاً از تکنیکهایی مانند احراز هویت چندعاملی (MFA)، کنترل دسترسی مبتنی بر نقش (RBAC) و تنظیمات دقیق مجوزها استفاده میکند تا ریسکهای مرتبط با دسترسی غیرمجاز، نقض دادهها و تهدیدات داخلی را کاهش دهد.با پیادهسازی مؤثر اقدامات کنترل دسترسی، سازمانها میتوانند از دادههای حساس خود محافظت کرده و انطباق با الزامات نظارتی را در محیط SaaS حفظ کنند.
@TryHackBox
❤15⚡3
🔖 مروری بر آموزش های گذشته کانال :
🔴 آموزش Proxies (پارت 0)
🔴 آموزش Proxies (پارت 1)
🔴 تفاوت Proxy و Gateway در یک نگاه
🔴 آموزش Proxies (پارت 3)
🔴 آموزش Proxies (پارت 4)
🔴 آموزش Proxies (پارت 5)
🔴 آموزش Proxies (پارت 6)
🔴 پایان بخش مقدماتی آموزش پراکسی
#Proxies
@TryHackBox
🔴 آموزش Proxies (پارت 0)
🔴 آموزش Proxies (پارت 1)
🔴 تفاوت Proxy و Gateway در یک نگاه
🔴 آموزش Proxies (پارت 3)
🔴 آموزش Proxies (پارت 4)
🔴 آموزش Proxies (پارت 5)
🔴 آموزش Proxies (پارت 6)
🔴 پایان بخش مقدماتی آموزش پراکسی
#Proxies
@TryHackBox
👍9❤3
عملگرهای پیشرفته جستجوی گوگل.pdf
691.2 KB
🔍 عملگرهای پیشرفته جستجوی گوگل - سرفصل های گوگل هکینگ
گوگل هکینگ (Google Hacking) یعنی استفاده از جستجوی پیشرفته گوگل برای پیدا کردن اطلاعات حساس، آسیبپذیریها یا اشتباهات امنیتی وبسایتها و سرورها، این کار معمولا با استفاده از ( دورک یا Google Dork ) انجام میشود . مثلا میتوان فایلهای مخفی، پسوردها، تنظیمات ناامن و حتی سورسکدها را داخل وب پیدا کرد یا نسخههای آسیبپذیر نرمافزارها را شناسایی کرد.
این تکنیک یکی از روشهای محبوب جمعآوری اطلاعات برای تست نفوذ، ردتیم و حتی هکرهاست.
ما را به دوستانتان معرفی کنید .
#GoogleHacking
@TryHackBox
گوگل هکینگ (Google Hacking) یعنی استفاده از جستجوی پیشرفته گوگل برای پیدا کردن اطلاعات حساس، آسیبپذیریها یا اشتباهات امنیتی وبسایتها و سرورها، این کار معمولا با استفاده از ( دورک یا Google Dork ) انجام میشود . مثلا میتوان فایلهای مخفی، پسوردها، تنظیمات ناامن و حتی سورسکدها را داخل وب پیدا کرد یا نسخههای آسیبپذیر نرمافزارها را شناسایی کرد.
این تکنیک یکی از روشهای محبوب جمعآوری اطلاعات برای تست نفوذ، ردتیم و حتی هکرهاست.
ما را به دوستانتان معرفی کنید .
#GoogleHacking
@TryHackBox
👍6❤1
🔖 نگاهی به آموزش های قبل :
🟢 کنترل دسترسی مبتنی بر ویژگی (ABAC) چیست؟
⚪️ لیست جامع از همه پلتفرمهای باگبانتی
🔴 JSON Code Cheatsheet (in cybersecurity terms)
🟢 هوش مصنوعی و مهندسی اجتماعی
⚪️ ماژول 01 از اسلایدهای دوره CEHv13
بخش هوشمصنوعی
🔴 مقدمه ای بر گوگل هکینگ
🟢 مقاله Agentic Ai
⚪️ مقاله AI SIEM
🔴 فرآیند بوت لینوکس به زبان ساده
🟢 50 اصطلاح مهم دنیای امنیت سایبری که در 2025 باید بلد باشید!
⚪️ برترین روشهای احراز هویت برای دسترسی امن
🔴 راهنمای جامع John the Ripper
🟢 چگونه یک فریم ورک C2 انتخاب کنیم ؟
⚪️ دسترسی شبکه با (Zero Trust (ZTNA
🔴 کنترل دسترسی چیست؟
🟢 عملگرهای پیشرفته جستجوی گوگل - سرفصل های گوگل هکینگ
🟢 کنترل دسترسی مبتنی بر ویژگی (ABAC) چیست؟
⚪️ لیست جامع از همه پلتفرمهای باگبانتی
🔴 JSON Code Cheatsheet (in cybersecurity terms)
🟢 هوش مصنوعی و مهندسی اجتماعی
⚪️ ماژول 01 از اسلایدهای دوره CEHv13
بخش هوشمصنوعی
🔴 مقدمه ای بر گوگل هکینگ
🟢 مقاله Agentic Ai
⚪️ مقاله AI SIEM
🔴 فرآیند بوت لینوکس به زبان ساده
🟢 50 اصطلاح مهم دنیای امنیت سایبری که در 2025 باید بلد باشید!
⚪️ برترین روشهای احراز هویت برای دسترسی امن
🔴 راهنمای جامع John the Ripper
🟢 چگونه یک فریم ورک C2 انتخاب کنیم ؟
⚪️ دسترسی شبکه با (Zero Trust (ZTNA
🔴 کنترل دسترسی چیست؟
🟢 عملگرهای پیشرفته جستجوی گوگل - سرفصل های گوگل هکینگ
❤3
🎯 واقعاً چطور باید امنیت سایبری رو یاد گرفت؟
✅ دیدن دورههای ویدیویی، گذروندن دورههای امنیتی مختلف، مطالعه کتابهای حوزه امنیت لازم هست ...
اما کافی نیست.
🧠 توی دنیای واقعی، وقتی با یک سیستم نفوذ شده روبهرو میشی یا می خوای تست نفوذ انجام بدی، ویدیویی پخش نمیشه که بگه "الان باید چه کار کنی"!
🔍 باید بتونی فکر کنی، تحلیل کنی، و توی لحظات مهم تصمیم درست بگیری.
و این فقط با تمرین روی سناریوهای واقعی و حل چالشهای عملی بهدست میاد — دقیقاً مثل یاد گرفتن رانندگی، با خوندن کتاب راننده نمیشی!
👨💻 الان منابع زیادی هستن که چالشهای امنیتی و حل چالش امنیتی در اختیارت میذارن. نمونه هایی مثل HackTheBox رو بررسی کن.
از همین لحظه میتونی شروع کنی فقط کافیه یه جست و جوی ساده انجام بدی.
✅ دیدن دورههای ویدیویی، گذروندن دورههای امنیتی مختلف، مطالعه کتابهای حوزه امنیت لازم هست ...
اما کافی نیست.
🧠 توی دنیای واقعی، وقتی با یک سیستم نفوذ شده روبهرو میشی یا می خوای تست نفوذ انجام بدی، ویدیویی پخش نمیشه که بگه "الان باید چه کار کنی"!
🔍 باید بتونی فکر کنی، تحلیل کنی، و توی لحظات مهم تصمیم درست بگیری.
و این فقط با تمرین روی سناریوهای واقعی و حل چالشهای عملی بهدست میاد — دقیقاً مثل یاد گرفتن رانندگی، با خوندن کتاب راننده نمیشی!
👨💻 الان منابع زیادی هستن که چالشهای امنیتی و حل چالش امنیتی در اختیارت میذارن. نمونه هایی مثل HackTheBox رو بررسی کن.
از همین لحظه میتونی شروع کنی فقط کافیه یه جست و جوی ساده انجام بدی.
👍8❤2
دوستان، آمادهاید پا به دنیای واقعی هک اخلاقی بذاریم؟
قراره مسیر آموزشی TryHackMe رو با هم شروع کنیم!
نظرتون چیه؟ میخواید همراه ما این چالشها و تمرینهای جذاب رو تجربه کنید؟
قراره مسیر آموزشی TryHackMe رو با هم شروع کنیم!
نظرتون چیه؟ میخواید همراه ما این چالشها و تمرینهای جذاب رو تجربه کنید؟
Anonymous Poll
90%
بله، من کاملاً آمادهام!
10%
فعلاً نه، بیشتر اطلاعات میخوام.
1%
کامنت میکنم
Adaptive Authentication Explained-.pdf
2.7 MB
🔖 اینبار درباره ی Adaptive Authentication Explained بخوانید ...
روشهای احراز هویت رایج مانند رمزهای عبور و پینها به اعتبارهای ثابت وابسته هستند که آنها را در برابر حملاتی مانند پر کردن اعتبار (credential stuffing)، فیشینگ و حملات بروتفورس آسیبپذیر میکند. از آنجا که این روشها به حملات بروتفورس و خطاهای کاربری حساس هستند، عوامل احراز هویت اضافی (برای مثال، رمزهای عبور یکبارمصرف از برنامههای احراز هویت) و اعتبارسنجیها برای مقابله با تهدیدات مدرن مرتبط با حسابها ظهور کردهاند.
@TryHackBox
روشهای احراز هویت رایج مانند رمزهای عبور و پینها به اعتبارهای ثابت وابسته هستند که آنها را در برابر حملاتی مانند پر کردن اعتبار (credential stuffing)، فیشینگ و حملات بروتفورس آسیبپذیر میکند. از آنجا که این روشها به حملات بروتفورس و خطاهای کاربری حساس هستند، عوامل احراز هویت اضافی (برای مثال، رمزهای عبور یکبارمصرف از برنامههای احراز هویت) و اعتبارسنجیها برای مقابله با تهدیدات مدرن مرتبط با حسابها ظهور کردهاند.
@TryHackBox
🔥8❤1
Account_Takeover_Vulnerability_Affecting_Over_400K_Installations.pdf
444.5 KB
🔖 آسیب پذیری تصاحب حساب (Account Takeover) که بیش از ۴۰۰ هزار نصب را تحت تأثیر قرار داده بود، در افزونه Post SMTP برطرف شد.
افزونه Post SMTP که بیش از ۴۰۰ هزار نصب دارد، یک افزونه ارسال ایمیل برای وردپرس است. این افزونه به مدیران سایت اجازه میدهد سرویس های ایمیل سفارشی را تنظیم کنند و ابزارهایی مثل لاگ برداری ایمیل، اعتبارسنجی DNS و پشتیبانی از OAuth را برای راحت تر کردن ارسال ایمیل در وردپرس ارائه میدهد. توسعه دهنده این افزونه از تیم WPExperts است.
@TryHackBox
افزونه Post SMTP که بیش از ۴۰۰ هزار نصب دارد، یک افزونه ارسال ایمیل برای وردپرس است. این افزونه به مدیران سایت اجازه میدهد سرویس های ایمیل سفارشی را تنظیم کنند و ابزارهایی مثل لاگ برداری ایمیل، اعتبارسنجی DNS و پشتیبانی از OAuth را برای راحت تر کردن ارسال ایمیل در وردپرس ارائه میدهد. توسعه دهنده این افزونه از تیم WPExperts است.
@TryHackBox
👍5🔥4❤1
🔖 TryHackMe Course - Pre Security | قسمت 00
💢 قسمت ۰۰ – معرفی دوره TryHackMe
🔴 درود به همه علاقهمندان امنیت سایبری!
در این مسیر آموزشی، ما قدم به قدم با استفاده از محتوای رسمی سایت TryHackMe پیش میرویم؛ یک پلتفرم آموزشی معتبر و بسیار کاربردی در حوزه هک اخلاقی و امنیت سایبری.
تمام مفاهیم و چالشهایی که در این دوره میبینید دقیقاً مطابق با آنچه در سایت TryHackMe ارائه شده است، طراحی شدهاند.
هدف ما این است که با تمرین و آموزش عملی روی محیطهای واقعی و چالشهای کاربردی، مهارتهای شما را در زمینه امنیت سایبری به شکل چشمگیری ارتقا دهیم.
پس اگر آمادهاید، همراه ما باشید تا این مسیر جذاب را با هم طی کنیم و قدم در دنیای حرفهای امنیت سایبری بگذاریم!
📌 برای دیدن ویدئو روی لینک زیر کلیک کنید :
🧩 https://youtu.be/jvSC8GJ3MWQ?si=0EE3mKY4CQtXlSEF
➖➖➖➖➖➖➖➖
🆔 @TryHackBox
💢 قسمت ۰۰ – معرفی دوره TryHackMe
🔴 درود به همه علاقهمندان امنیت سایبری!
در این مسیر آموزشی، ما قدم به قدم با استفاده از محتوای رسمی سایت TryHackMe پیش میرویم؛ یک پلتفرم آموزشی معتبر و بسیار کاربردی در حوزه هک اخلاقی و امنیت سایبری.
تمام مفاهیم و چالشهایی که در این دوره میبینید دقیقاً مطابق با آنچه در سایت TryHackMe ارائه شده است، طراحی شدهاند.
هدف ما این است که با تمرین و آموزش عملی روی محیطهای واقعی و چالشهای کاربردی، مهارتهای شما را در زمینه امنیت سایبری به شکل چشمگیری ارتقا دهیم.
پس اگر آمادهاید، همراه ما باشید تا این مسیر جذاب را با هم طی کنیم و قدم در دنیای حرفهای امنیت سایبری بگذاریم!
📌 برای دیدن ویدئو روی لینک زیر کلیک کنید :
🧩 https://youtu.be/jvSC8GJ3MWQ?si=0EE3mKY4CQtXlSEF
➖➖➖➖➖➖➖➖
🆔 @TryHackBox
❤14
⭕️ دیگر کانال ها و شبکه های اجتماعی ما را دنبال کنید :
💠 کانال های تلگرام ما
🔶 آموزش تست نفوذ و Red Team
🆔 @TryHackBox
🔶 رودمپ های مختلف
🆔 @TryHackBoxOfficial
🔶 داستان های هک
🆔 @TryHackBoxStory
🔶 آموزش برنامه نویسی
🆔 @TryCodeBox
🔶 رادیو زیروپاد ( پادکست ها )
🆔 @RadioZeroPod
➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖
👥 گروه های پرسش و پاسخ
🔷 هک و امنیت
🆔 @TryHackBoxGroup
🔷 برنامه نویسی
🆔 @TryCodeBoxGroup
➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖
🔴 اینستاگرام :
🔗 http://www.instagram.com/TryHackBox
🔵 یوتیوب :
🔗 https://youtube.com/@tryhackbox
🟠 گیت هاب ما :
🔗 https://github.com/TryHackBox/
💠 کانال های تلگرام ما
🔶 آموزش تست نفوذ و Red Team
🆔 @TryHackBox
🔶 رودمپ های مختلف
🆔 @TryHackBoxOfficial
🔶 داستان های هک
🆔 @TryHackBoxStory
🔶 آموزش برنامه نویسی
🆔 @TryCodeBox
🔶 رادیو زیروپاد ( پادکست ها )
🆔 @RadioZeroPod
➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖
👥 گروه های پرسش و پاسخ
🔷 هک و امنیت
🆔 @TryHackBoxGroup
🔷 برنامه نویسی
🆔 @TryCodeBoxGroup
➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖➖
🔴 اینستاگرام :
🔗 http://www.instagram.com/TryHackBox
🔵 یوتیوب :
🔗 https://youtube.com/@tryhackbox
🟠 گیت هاب ما :
🔗 https://github.com/TryHackBox/
❤5
Forwarded from P.F.K Security
https://aadapt.mitre.org/
MITRE AADAPT™
(اقدامات مخرب در فناوری های پرداخت دارایی دیجیتال) یک پایگاه دانش جامع است که تاکتیک ها و تکنیک های مهاجمان علیه سامانه های مدیریت دارایی دیجیتال را بر اساس حملات واقعی، مشاهدات و آسیب پذیری ها مستند میکند.
ساختار AADAPT مشابه فریم ورک معروف MITRE ATT&CK طراحی شده و تاکتیک ها و تکنیک هایش مکمل ATT&CK هستند.
در ماتریس AADAPT، هر ستون نمایانگر یک تاکتیک حمله است و تکنیک های مرتبط با دارایی دیجیتال زیر هر تاکتیک قرار دارند. مواردی که با نماد & مشخص شده اند، تکنیک ها یا زیرتکنیک های ATT&CK هستند که در زمینه دارایی دیجیتال نیز کاربرد دارند و جزئیات این ارتباط در ضمیمه های AADAPT توضیح داده شده است. با کلیک روی هر مورد، میتوانید توضیحات بیشتری بخوانید یا از طریق نوار بالا، تاکتیک ها و تکنیک های AADAPT را مرور کنید.
@PfkSecurity
MITRE AADAPT™
(اقدامات مخرب در فناوری های پرداخت دارایی دیجیتال) یک پایگاه دانش جامع است که تاکتیک ها و تکنیک های مهاجمان علیه سامانه های مدیریت دارایی دیجیتال را بر اساس حملات واقعی، مشاهدات و آسیب پذیری ها مستند میکند.
ساختار AADAPT مشابه فریم ورک معروف MITRE ATT&CK طراحی شده و تاکتیک ها و تکنیک هایش مکمل ATT&CK هستند.
در ماتریس AADAPT، هر ستون نمایانگر یک تاکتیک حمله است و تکنیک های مرتبط با دارایی دیجیتال زیر هر تاکتیک قرار دارند. مواردی که با نماد & مشخص شده اند، تکنیک ها یا زیرتکنیک های ATT&CK هستند که در زمینه دارایی دیجیتال نیز کاربرد دارند و جزئیات این ارتباط در ضمیمه های AADAPT توضیح داده شده است. با کلیک روی هر مورد، میتوانید توضیحات بیشتری بخوانید یا از طریق نوار بالا، تاکتیک ها و تکنیک های AADAPT را مرور کنید.
@PfkSecurity
❤6
🚀 پارت 0 (A)
شناسایی کلاینتها و کوکیها (Client Identification and Cookies)
در دنیای وب، سرورها ممکن است همزمان با هزاران کلاینت مختلف در تعامل باشند. اما چطور یک سرور میتواند تشخیص دهد که درخواست دریافتی از سوی چه کسی بوده یا به کدام کاربر تعلق دارد؟ به طور پیشفرض، پروتکل HTTP stateless (بیحالت) است، یعنی هر درخواست، مستقل از درخواستهای قبلی در نظر گرفته میشود.
برای حل این چالش، سرورها نیاز دارند بتوانند هویت کاربران را تشخیص داده و پیگیری کنند. این شناسایی امکانپذیر نیست مگر با استفاده از یکسری تکنیکها و فناوریهایی که به کمک آنها، هر کاربر یا کلاینت به صورت یکتا قابل ردیابی خواهد بود.
در این سری، به بررسی روشهایی میپردازیم که سرورها از آنها برای شناسایی کاربران بهره میبرند. این روشها هم در معماری شبکه اهمیت دارند و هم در امنیت وب، زیرا بسیاری از حملات و مکانیزمهای دفاعی (مثل تشخیص نشستهای غیرمجاز، پیگیری رفتار مشکوک و جلوگیری از جعل هویت) به همین مکانیزمهای شناسایی وابستهاند.
✍️نویسنده
@TryHackBox | The Chaos
#HTTP #Cookies #CyberSecurity
شناسایی کلاینتها و کوکیها (Client Identification and Cookies)
در دنیای وب، سرورها ممکن است همزمان با هزاران کلاینت مختلف در تعامل باشند. اما چطور یک سرور میتواند تشخیص دهد که درخواست دریافتی از سوی چه کسی بوده یا به کدام کاربر تعلق دارد؟ به طور پیشفرض، پروتکل HTTP stateless (بیحالت) است، یعنی هر درخواست، مستقل از درخواستهای قبلی در نظر گرفته میشود.
برای حل این چالش، سرورها نیاز دارند بتوانند هویت کاربران را تشخیص داده و پیگیری کنند. این شناسایی امکانپذیر نیست مگر با استفاده از یکسری تکنیکها و فناوریهایی که به کمک آنها، هر کاربر یا کلاینت به صورت یکتا قابل ردیابی خواهد بود.
در این سری، به بررسی روشهایی میپردازیم که سرورها از آنها برای شناسایی کاربران بهره میبرند. این روشها هم در معماری شبکه اهمیت دارند و هم در امنیت وب، زیرا بسیاری از حملات و مکانیزمهای دفاعی (مثل تشخیص نشستهای غیرمجاز، پیگیری رفتار مشکوک و جلوگیری از جعل هویت) به همین مکانیزمهای شناسایی وابستهاند.
✍️نویسنده
@TryHackBox | The Chaos
#HTTP #Cookies #CyberSecurity
👍6🔥1
🚀 پارت 0 (B)
بررسی The Personal Touch در وب مدرن
پروتکل HTTP ذاتاً یک پروتکل stateless یا بدونحالت است؛ یعنی سرور هیچگونه اطلاعاتی از درخواستهای قبلی کلاینت نگه نمیدارد. هر بار که مرورگر شما درخواستی به سرور ارسال میکند، سرور آن را بهصورت مستقل پردازش کرده و پاسخ میدهد، بدون اینکه "بداند" چه کسی درخواست را فرستاده است.
اما این رفتار، برای سرویسهای امروزی وب قابلقبول نیست. اکثر وبسایتهای مدرن میخواهند تجربهای شخصیسازیشده به کاربران ارائه دهند؛ چیزی که به آن The Personal Touch میگوییم. این یعنی سایت باید بداند شما کی هستید، سابقه تعامل شما چیست، و بتواند شما را در جریان بازدیدهای بعدی شناسایی کند.
برخی کاربردهای مهم Personal Touch:
✨ خوشآمدگویی شخصی: نمایش نام کاربر یا محتوای مخصوص او
🎯 پیشنهادهای هدفمند: ارائه محصول یا محتوا بر اساس رفتار قبلی شما
🧾 اطلاعات ذخیرهشده: عدم نیاز به وارد کردن مکرر اطلاعات (مانند آدرس یا کارت بانکی)
🛒 ردیابی سشن: نگهداشتن وضعیت سبد خرید یا فرمهای چندمرحلهای
📎 اما چطور این کار را در HTTP بدونحالت انجام میدهند؟
برای رسیدن به این هدف، تکنیکها و فناوریهای مختلفی ابداع شدهاند که به سرورها اجازه میدهند هویت کاربران را شناسایی و پیگیری کنند. برخی از این تکنیکها:
🔹Headerهای HTTP:
شامل اطلاعاتی مانند User-Agent، زبان، نوع مرورگر و…
🔹IP Address:
استفاده از آدرس IP برای شناسایی تقریبی کاربران
🔹Authentication:
شناسایی کاربران با ورود (Login) و احراز هویت
🔹Fat URLs:
قرار دادن اطلاعات شناسایی در آدرسها (نه چندان ایمن!)
🔹Cookies:
یکی از مهمترین روشها برای نگهداری وضعیت (State) کاربر
✍️نویسنده
@TryHackBox | The Chaos
#HTTP #Cookies #CyberSecurity
بررسی The Personal Touch در وب مدرن
پروتکل HTTP ذاتاً یک پروتکل stateless یا بدونحالت است؛ یعنی سرور هیچگونه اطلاعاتی از درخواستهای قبلی کلاینت نگه نمیدارد. هر بار که مرورگر شما درخواستی به سرور ارسال میکند، سرور آن را بهصورت مستقل پردازش کرده و پاسخ میدهد، بدون اینکه "بداند" چه کسی درخواست را فرستاده است.
اما این رفتار، برای سرویسهای امروزی وب قابلقبول نیست. اکثر وبسایتهای مدرن میخواهند تجربهای شخصیسازیشده به کاربران ارائه دهند؛ چیزی که به آن The Personal Touch میگوییم. این یعنی سایت باید بداند شما کی هستید، سابقه تعامل شما چیست، و بتواند شما را در جریان بازدیدهای بعدی شناسایی کند.
برخی کاربردهای مهم Personal Touch:
✨ خوشآمدگویی شخصی: نمایش نام کاربر یا محتوای مخصوص او
🎯 پیشنهادهای هدفمند: ارائه محصول یا محتوا بر اساس رفتار قبلی شما
🧾 اطلاعات ذخیرهشده: عدم نیاز به وارد کردن مکرر اطلاعات (مانند آدرس یا کارت بانکی)
🛒 ردیابی سشن: نگهداشتن وضعیت سبد خرید یا فرمهای چندمرحلهای
📎 اما چطور این کار را در HTTP بدونحالت انجام میدهند؟
برای رسیدن به این هدف، تکنیکها و فناوریهای مختلفی ابداع شدهاند که به سرورها اجازه میدهند هویت کاربران را شناسایی و پیگیری کنند. برخی از این تکنیکها:
🔹Headerهای HTTP:
شامل اطلاعاتی مانند User-Agent، زبان، نوع مرورگر و…
🔹IP Address:
استفاده از آدرس IP برای شناسایی تقریبی کاربران
🔹Authentication:
شناسایی کاربران با ورود (Login) و احراز هویت
🔹Fat URLs:
قرار دادن اطلاعات شناسایی در آدرسها (نه چندان ایمن!)
🔹Cookies:
یکی از مهمترین روشها برای نگهداری وضعیت (State) کاربر
✍️نویسنده
@TryHackBox | The Chaos
#HTTP #Cookies #CyberSecurity
👍4❤1
🔐 آنچه مردم از امنیت سایبری تصور میکنند:
👨💻 شکار کردن هدف و نوشیدن قهوه ☕️
📊 آنچه واقعاً هست:
جلسات، ریست رمزها، باز کردن اکانتها، مستندسازی، پچ کردن، مدیریت تامینکنندهها، پاسخ به رخدادها و...
🎯 امنیت سایبری فقط شکار کردن هدف نیست، بلکه دنیایی از وظایف روتین، تیممحور و پیشگیرانه است.
✍️نویسنده
@TryHackBox | The Chaos
👨💻 شکار کردن هدف و نوشیدن قهوه ☕️
📊 آنچه واقعاً هست:
جلسات، ریست رمزها، باز کردن اکانتها، مستندسازی، پچ کردن، مدیریت تامینکنندهها، پاسخ به رخدادها و...
🎯 امنیت سایبری فقط شکار کردن هدف نیست، بلکه دنیایی از وظایف روتین، تیممحور و پیشگیرانه است.
✍️نویسنده
@TryHackBox | The Chaos
🔥3
مقدمه: تست نفوذ چیست؟
تست نفوذ یک چرخه مداوم از تحقیق و حمله علیه یک هدف یا مرز است. این حمله باید به صورت ساختاریافته، محاسبهشده و در صورت امکان، در یک محیط آزمایشگاهی تأیید شود، قبل از اینکه بر روی یک هدف واقعی اجرا گردد. ما فرآیند یک تست نفوذ را به این صورت نشان میدهیم:
همانطور که مدل نشان میدهد، هرچه اطلاعات بیشتری جمعآوری کنید، احتمال موفقیت نفوذ بالاتر میرود. پس از اینکه از مرز اولیه هدف عبور کردید، معمولاً چرخه را دوباره از سر میگیرید. به عنوان مثال، ممکن است اطلاعاتی درباره شبکه داخلی جمعآوری کنید تا به صورت عمیقتر در آن نفوذ کنید.
✍️نویسنده
@TryHackBox| احسان آخوندی
#pwk #CyberSecurity
تست نفوذ یک چرخه مداوم از تحقیق و حمله علیه یک هدف یا مرز است. این حمله باید به صورت ساختاریافته، محاسبهشده و در صورت امکان، در یک محیط آزمایشگاهی تأیید شود، قبل از اینکه بر روی یک هدف واقعی اجرا گردد. ما فرآیند یک تست نفوذ را به این صورت نشان میدهیم:
همانطور که مدل نشان میدهد، هرچه اطلاعات بیشتری جمعآوری کنید، احتمال موفقیت نفوذ بالاتر میرود. پس از اینکه از مرز اولیه هدف عبور کردید، معمولاً چرخه را دوباره از سر میگیرید. به عنوان مثال، ممکن است اطلاعاتی درباره شبکه داخلی جمعآوری کنید تا به صورت عمیقتر در آن نفوذ کنید.
✍️نویسنده
@TryHackBox| احسان آخوندی
#pwk #CyberSecurity
👍7❤3
مقدمه: آشنایی با کالی لینوکس: قسمت اول
در ابتدا که لینوکس را نصب کرده اید، هم نام کاربری و هم رمز عبور اولیه شما kali است:
Username:
Password:
ماشین مجازی کالی لینوکس شامل دو کاربر پیشفرض به نامهای "root" و "kali" خواهد بود. ما از حساب کاربری "kali" استفاده خواهیم کرد. هرچند ممکن است وسوسهانگیز باشد که با کاربر "root" وارد شوید، اما این کار توصیه نمیشود. کاربر "root" دسترسی نامحدود دارد و یک فرمان اشتباه میتواند به سیستم ما آسیب برساند. بدتر از آن، اگر یک مهاجم بتواند از یک فرآیند در حال اجرا با دسترسی "root" سوءاستفاده کند، کنترل کامل ماشین ما را به دست خواهد گرفت.
بسیاری از دستورات برای اجرا به دسترسیهای سطح بالا نیاز دارند؛ خوشبختانه، دستور
پیشنهاد میشود که همان اول رمز عبور خود را در ترمینال با کامند
✍️نویسنده
@TryHackBox| احسان آخوندی
#pwk #CyberSecurity
در ابتدا که لینوکس را نصب کرده اید، هم نام کاربری و هم رمز عبور اولیه شما kali است:
Username:
kaliPassword:
kaliماشین مجازی کالی لینوکس شامل دو کاربر پیشفرض به نامهای "root" و "kali" خواهد بود. ما از حساب کاربری "kali" استفاده خواهیم کرد. هرچند ممکن است وسوسهانگیز باشد که با کاربر "root" وارد شوید، اما این کار توصیه نمیشود. کاربر "root" دسترسی نامحدود دارد و یک فرمان اشتباه میتواند به سیستم ما آسیب برساند. بدتر از آن، اگر یک مهاجم بتواند از یک فرآیند در حال اجرا با دسترسی "root" سوءاستفاده کند، کنترل کامل ماشین ما را به دست خواهد گرفت.
بسیاری از دستورات برای اجرا به دسترسیهای سطح بالا نیاز دارند؛ خوشبختانه، دستور
sudo میتواند این مشکل را حل کند. ما عبارت sudo را قبل از دستوری که میخواهیم اجرا کنیم وارد کرده و در صورت درخواست، رمز عبور خود را وارد میکنیم.پیشنهاد میشود که همان اول رمز عبور خود را در ترمینال با کامند
passwd تغییر دهید:✍️نویسنده
@TryHackBox| احسان آخوندی
#pwk #CyberSecurity
👍7🔥1
🚀 پارت 1 (A)
بررسی HTTP Headers و شناسایی کاربران
در HTTP، هدرهای درخواست (Request Headers) اطلاعاتی درباره کاربر، مرورگر، مسیر ورود و تنظیمات کلاینت ارائه میدهند. برخی از این هدرها به سرور کمک میکنند تا کاربر را شناسایی یا ردیابی کند؛ حتی زمانی که ورود (Login) انجام نشده باشد.
در این پست، به بررسی ۷ هدر پرکاربرد در شناسایی کلاینتها میپردازیم:
1️⃣ From
این هدر شامل آدرس ایمیل کاربر است و در گذشته به عنوان راهی برای شناسایی کاربران در نظر گرفته میشد.
🔴 اما امروز، مرورگرها معمولاً این هدر را ارسال نمیکنند چون میتواند منجر به سوءاستفادههایی مانند اسپم یا فیشینگ شود.
🛑 در عمل، From یک هدر تقریباً منسوخ و ناامن محسوب میشود.
✍️نویسنده
@TryHackBox | The Chaos
#HTTP #Cookies #CyberSecurity
بررسی HTTP Headers و شناسایی کاربران
در HTTP، هدرهای درخواست (Request Headers) اطلاعاتی درباره کاربر، مرورگر، مسیر ورود و تنظیمات کلاینت ارائه میدهند. برخی از این هدرها به سرور کمک میکنند تا کاربر را شناسایی یا ردیابی کند؛ حتی زمانی که ورود (Login) انجام نشده باشد.
در این پست، به بررسی ۷ هدر پرکاربرد در شناسایی کلاینتها میپردازیم:
1️⃣ From
این هدر شامل آدرس ایمیل کاربر است و در گذشته به عنوان راهی برای شناسایی کاربران در نظر گرفته میشد.
🔴 اما امروز، مرورگرها معمولاً این هدر را ارسال نمیکنند چون میتواند منجر به سوءاستفادههایی مانند اسپم یا فیشینگ شود.
🛑 در عمل، From یک هدر تقریباً منسوخ و ناامن محسوب میشود.
✍️نویسنده
@TryHackBox | The Chaos
#HTTP #Cookies #CyberSecurity
🔥4
🚀 پارت 1 (B)
بررسی HTTP Headers و شناسایی کاربران
2️⃣ User-Agent
شامل اطلاعات دقیق درباره مرورگر، نسخه آن، سیستمعامل و گاهی معماری سیستم است.
مثال:
🔍 کاربرد امنیتی: ترکیب این اطلاعات میتواند در ساخت یک پروفایل نسبی از کلاینت استفاده شود. اگر ترکیب User-Agent خاصی فقط توسط یک کاربر استفاده شود، سرور میتواند آن را شناسایی کند.
3️⃣ Referer
مشخص میکند که کاربر از کدام صفحه یا سایت به این صفحه فعلی رسیده است.
✅ کاربردها:
* تحلیل رفتار کاربران
* ردگیری مسیر بازدید (Path Tracking)
* شناسایی منابع ترافیک (مثلاً از Google آمده یا از یک سایت تبلیغاتی)
⚠️ از منظر امنیتی، این هدر میتواند اطلاعات حساس (مانند توکنها در URL) را نیز فاش کند، به همین دلیل در بسیاری از برنامههای امن، مقدار آن کنترل یا حذف میشود.
4️⃣ Accept-Language
مشخص میکند زبانهای ترجیحی کاربر چیست. برای مثال:
🌐 کاربردها:
* نمایش خودکار سایت به زبان مناسب
* شناسایی منطقه جغرافیایی کاربر
🎯 در کنار IP و User-Agent میتواند بخشی از پروفایل شناسایی کاربر را شکل دهد.
5️⃣ Accept
این هدر مشخص میکند که کلاینت چه نوع محتواهایی را پشتیبانی میکند (مثلاً HTML، JSON یا XML).
نمونه:
🧩 اگرچه نقش مستقیمی در شناسایی ندارد، ولی ترکیب خاص مقادیر این هدر میتواند بهصورت غیرمستقیم در Fingerprinting کاربر مفید باشد.
6️⃣ Accept-Encoding
بیان میکند که چه الگوریتمهای فشردهسازی (مثل gzip یا br) توسط کلاینت پشتیبانی میشوند.
🛡 اگرچه هدف اصلی آن کاهش حجم پاسخ است، اما باز هم میتواند بخشی از اثر انگشت مرورگر (Browser Fingerprint) را بسازد.
7️⃣ DNT (Do Not Track)
این هدر اعلام میکند که آیا کاربر میخواهد ردیابی نشود (Do Not Track).
مقدار آن معمولاً
🚫 این هدر غیرالزامی و داوطلبانه است، و بسیاری از سرورها آن را نادیده میگیرند.
📌 جمعبندی:
درست است که هیچکدام از این هدرها بهتنهایی برای شناسایی دقیق کافی نیستند، اما ترکیب آنها میتواند به ساخت اثر انگشت دیجیتال (Fingerprint) کمک کند. این روشها پایه بسیاری از سامانههای تشخیص تقلب، تبلیغات هدفمند، یا حتی حملات مبتنی بر شناسایی مرورگر هستند.
✍️نویسنده
@TryHackBox | The Chaos
#HTTP #Cookies #CyberSecurity
بررسی HTTP Headers و شناسایی کاربران
2️⃣ User-Agent
شامل اطلاعات دقیق درباره مرورگر، نسخه آن، سیستمعامل و گاهی معماری سیستم است.
مثال:
Mozilla/5.0 (X11; Ubuntu; Linux x86_64) AppleWebKit/537.36
(KHTML, like Gecko) Chrome/117.0.0.0 Safari/537.36
🔍 کاربرد امنیتی: ترکیب این اطلاعات میتواند در ساخت یک پروفایل نسبی از کلاینت استفاده شود. اگر ترکیب User-Agent خاصی فقط توسط یک کاربر استفاده شود، سرور میتواند آن را شناسایی کند.
3️⃣ Referer
مشخص میکند که کاربر از کدام صفحه یا سایت به این صفحه فعلی رسیده است.
✅ کاربردها:
* تحلیل رفتار کاربران
* ردگیری مسیر بازدید (Path Tracking)
* شناسایی منابع ترافیک (مثلاً از Google آمده یا از یک سایت تبلیغاتی)
⚠️ از منظر امنیتی، این هدر میتواند اطلاعات حساس (مانند توکنها در URL) را نیز فاش کند، به همین دلیل در بسیاری از برنامههای امن، مقدار آن کنترل یا حذف میشود.
4️⃣ Accept-Language
مشخص میکند زبانهای ترجیحی کاربر چیست. برای مثال:
Accept-Language: fa-IR,fa;q=0.9,en-US;q=0.8,en;q=0.7
🌐 کاربردها:
* نمایش خودکار سایت به زبان مناسب
* شناسایی منطقه جغرافیایی کاربر
🎯 در کنار IP و User-Agent میتواند بخشی از پروفایل شناسایی کاربر را شکل دهد.
5️⃣ Accept
این هدر مشخص میکند که کلاینت چه نوع محتواهایی را پشتیبانی میکند (مثلاً HTML، JSON یا XML).
نمونه:
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
🧩 اگرچه نقش مستقیمی در شناسایی ندارد، ولی ترکیب خاص مقادیر این هدر میتواند بهصورت غیرمستقیم در Fingerprinting کاربر مفید باشد.
6️⃣ Accept-Encoding
بیان میکند که چه الگوریتمهای فشردهسازی (مثل gzip یا br) توسط کلاینت پشتیبانی میشوند.
🛡 اگرچه هدف اصلی آن کاهش حجم پاسخ است، اما باز هم میتواند بخشی از اثر انگشت مرورگر (Browser Fingerprint) را بسازد.
7️⃣ DNT (Do Not Track)
این هدر اعلام میکند که آیا کاربر میخواهد ردیابی نشود (Do Not Track).
مقدار آن معمولاً
1 برای فعالبودن یا 0 برای غیرفعالبودن است.🚫 این هدر غیرالزامی و داوطلبانه است، و بسیاری از سرورها آن را نادیده میگیرند.
📌 جمعبندی:
درست است که هیچکدام از این هدرها بهتنهایی برای شناسایی دقیق کافی نیستند، اما ترکیب آنها میتواند به ساخت اثر انگشت دیجیتال (Fingerprint) کمک کند. این روشها پایه بسیاری از سامانههای تشخیص تقلب، تبلیغات هدفمند، یا حتی حملات مبتنی بر شناسایی مرورگر هستند.
✍️نویسنده
@TryHackBox | The Chaos
#HTTP #Cookies #CyberSecurity
❤10🔥2🙏2