آموزش کشف ساختار دایرکتوری با LDAP Enumeration 🫆
سلام، قراره توی این مقاله به Enumeration پروتکل LDAP بپردازم و یکسری تکنیک‌ها، ابزارها و سناریوهای واقعی رو با هم بررسی کنیم — — — — — — — — — — — — — — — — — — — —
پروتکل LDAP چیه و چگونه کار میکنه؟
LDAP (Lightweight Directory Access Protocol)
پروتکلی برای دسترسی و مدیریت اطلاعات دایرکتوری سرویس هستش که معمولاً روی
port 389 TCP (یا 636 برای LDAPS )
کار میکنه و برای احراز هویت و اعمال پالیسی‌ها در سیستم‌های سازمانی استفاده میشه.
برای مثال؛ دایرکتوری سرویس‌ها مثل Microsoft Active Directory یا در لینوکس OpenLDAP هستن که از LDAP برای ذخیره و بازیابی اطلاعات (یوزرها، گروه‌ها، کامپیوترها، پالیسی‌ها و ...) استفاده میکنن.
وقتی کاربری می‌خواد به دایرکتوری دسترسی داشته باشه، یک جلسه (DSA session) باز میشه و کوئری‌های LDAP فرستاده میشه تا اطلاعات لازم خوانده یا تغییر کنه.
حالا ما به‌عنوان یه کاربر نرمال (جوین دامین) چه اطلاعاتی می‌تونیم از Domain Controller استخراج کنیم؟
سوال: ما به‌عنوان یه کاربر معمولی که جوین دامین هستیم و دسترسی نصب/اجرا با دسترسی بالا یا تغییر تنظیمات رو نداریم، چه اطلاعاتی می‌تونیم از دومین کنترلر بدست بیاریم؟
آیا میشه فهمید چه یوزرها و گروه‌ها هستن، چه زمانی لاگین کردن، چند بار پسورد اشتباه زدن، کی پسوردشون عوض شده و خیلی اطلاعات دیگه رو از طریق LDAP از دومین کنترلر استخراج کرد؟
پاسخ: بله — میشه.
دلیلش اینه که بسیاری از این عملیات (خواندن اطلاعات دایرکتوری) با یک لاگین ساده و کوئری‌های معمولی قابل انجامه و از دید سرور رفتاری «نرمال» محسوب میشه پس به‌راحتی میشه اطلاعات زیادی استخراج کرد.

ابزارها
ابزارهایی مانند:
ldapsearch -- LDAP Explorer -- JXplorer
AD Explorer
(ابزاری از مجموع Sysinternals  ، پورتیبل نیاز به نصب نداره)

این ابزارها با وارد کردن IP DC و یوزر/پسورد نرمال جوین‌شده، کوئری LDAP میزنن و اطلاعات زیادی از DC استخراج میکنه.
(«نمونه تصویر که گزاشتم»)
اگر exe و msi بسته باشه چطور؟
حتی اگه در سازمان اجرای فایل‌های exe و نصب از msi محدود شده باشه  باز هم میشه از طریق CMD و PowerShell همین فرایندها رو انجام داد. فریم‌ورک‌هایی مثل Nishang و BloodHound از طریق کامندهای پاورشل  استخراج اطلاعات از LDAP و AD رو ساده میکنن.
در نتیجه: بستن اجرای EXE/MSI به‌تنهایی کافی نیست.اتکر می‌تونه از ابزارهای خط فرمان یا اسکریپت‌ها استفاده کنه.

راهکار برای جلوگیری و شناسایی این حمله
جلوگیری از LDAP Enumeration کمی سخته چون فرایندی که صورت می‌گیره اغلب کاملاً نرماله — یعنی یک لاگین موفق ساده اتفاق میفته و رفتار کلاینت‌ها هم مشابه اینه. حتی با اپلیکیشن وایت‌لیستینگ هم ابزارها قابل بای‌پس شدن هستن. بستن exe و msi هم مشکل‌زاست چون نرم‌افزاها از کار میفتن؛ و در نهایت اتکر می‌تونه از طریق cmd و PowerShell عمل کنه.
با این حال می‌تونیم با ترکیب چند راهکار، کار اتکر رو سخت‌تر کنیم

بهترین راهکار :
امن سازی LDAP و دسترسی‌ها
از LDAPS یا StartTLS استفاده کنین (رمزگذاری ارتباط)
فرابند Anonymous binds رو غیرفعال کنید و
حداقل دسترسی (least privilege) رو رعایت کنین حساب‌هایی که فقط باید خواندن محدودی داشته باشن رو محدود کنین
از گروه‌ها و ACLهای مناسب برای دایرکتوری استفاده کنین تا اطلاعات غیرضروری در دسترس همه نباشه

پالیسی‌ها و احراز هویت قوی‌تر
استفاده از گذرواژه‌های قویMFA برای حساب‌های حساس و کنترل گذرواژه‌های سرویس‌ها
مانیتورینگ و لاگ‌گیری های که باید انجام بدیم Endpoints + DC
لاگ‌های PowerShell و Process Creation روی اندپوینت‌ها رو فعال کنین
(CommandLine در Sysmon/EDR)
لاگ‌های لاگین روی DC و لاگ‌های کوئری LDAP (در صورت امکان) رو جمع‌آوری کنین
روی اندپوینت‌ها هم لاگ‌گیری انجام بدین چون اجرای ابزار یا اسکریپت‌ها اونجا ثبت میشه سمت dc ما کامندی نمیبینیم همین‌جا تحلیل CommandLine می‌تونه ما رو به استخراج LDAP کمک کنه

https://news.1rj.ru/str/ViperNull🫆

#گزارش Eset از فعالیت APT ها در سه ماهه دوم سال

شاید فکر کنید اینستاگرام فقط یک اپلیکیشن برای اشتراک‌گذاری عکس و ویدئو است، اما واقعیت چیز دیگری است. طبق بررسی‌های انجام‌شده، این برنامه به طرز گسترده‌ای به داده‌های شخصی کاربران دسترسی دارد؛ از موقعیت مکانی دقیق گرفته تا فهرست مخاطبین، فایل‌های ذخیره‌شده، کلیپ‌بورد و حتی حسگرهای حرکتی گوشی.

اینستاگرام می‌تواند از طریق همین داده‌ها، نحوه تعامل شما با محتوا را تحلیل کند — اینکه چه نوع پست‌هایی را بیشتر می‌پسندید، چقدر در صفحه می‌مانید، و حتی با چه سرعتی اسکرول می‌کنید. همه این اطلاعات به الگوریتمی تغذیه می‌شوند که هدف آن، شناخت عمیق‌تر رفتار کاربر و ارائه محتوای هدفمندتر است.

به بیان ساده‌تر، اینستاگرام فقط یک شبکه اجتماعی نیست؛ بلکه یک سیستم عظیم جمع‌آوری و تحلیل داده است که از هر حرکت شما — چه درون اپ و چه بیرون آن — برای ساختن یک تصویر دقیق‌تر از علایق و عادات‌تان استفاده می‌کند.

https://news.1rj.ru/str/ViperNull

خلاصه تحلیلی #گزارش eset به زحمت notebooklm 😁
تقدیم به تمام تنبل‌های عالم که حال خوندن گزارش رو ندارند

https://news.1rj.ru/str/ViperNull

مراقب این مدل کلاهبرداری ها باشین ❗


https://news.1rj.ru/str/ViperNull

Join Now🔱
⚜@WrongBug⚜

کتاب real world bug hunting ترجمه شده (زبان فارسی)

🔴 طبق اعلام کاربران در برخی کشورها، Cloudflare قطع و در نتیجه دسترسی به برخی سایتها با مشکل مواجه شده.

شرکت Cloudflare اعلام کرده که قطعی رو شناسایی و راه حلی اعمال کرده، اما همچنان برخی از سایتها در دسترس نیستن.

حمله سایبری تایید نشده اما برخی گروهها مانند Dark Strom Team، مسئولیت قطعی ها رو به عهده گرفتن.

بهزاد اکبری معاون وزیر ارتباطات و فناوری اطلاعات هم در توییتی اعلام کرده که:

لطفا به گیرنده‌هایتان دست نزنید، هم کلادفلر مشکل دارد و هم قطعی گسترده در خارج از کشور در ارمنستان داریم.

#اینترنت

🟥 Telegram | Site | X | Youtube | Github | Donate

آموزش تخصصی کالی لینوکس، تست نفوذ، امنیت سایبری و هک قانونمند

🎯 نکات مهم هک اخلاقی، ابزارهای تست نفوذ مثل Nmap، Burp Suite، Metasploit و Wireshark

💻 مناسب برای علاقه‌مندان به دوره‌های CEH، OSCP و Bug Bounty


https://news.1rj.ru/str/kali_signal

🔴اخراج کارمند داخلی CrowdStrike به دلیل اشتراک‌گذاری اطلاعات سیستم با هکرها

شرکت بزرگ امنیت سایبری CrowdStrike تأیید کرده است که یک کارمند داخلی را به دلیل به اشتراک‌گذاری جزئیات حساس سیستم داخلی با یک گروه هکری بدنام، اخراج کرده است. این حادثه بر اهمیت تهدیدات داخلی، حتی در شرکت‌های امنیتی پیشرو، تأکید دارد.

جزئیات نشت اطلاعات و مهاجمان
این حادثه پس از آن علنی شد که تصاویر داخلی در یک کانال عمومی تلگرام متعلق به گروه هکری منتشر شد:

فرد اخراجی: یک کارمند داخلی در CrowdStrike.

اقدام صورت گرفته: این کارمند تصاویر صفحه نمایش کامپیوتر خود را که حاوی جزئیات سیستم داخلی شرکت بود، به اشتراک گذاشته است.

طرف دریافت‌کننده اطلاعات: گروه هکری با نام "Scattered Lapsus$ Hunters" که خود را "ابرگروه" متشکل از اعضای گروه‌های Scattered Spider، LAPSUS$، و ShinyHunters معرفی می‌کند.

اطلاعات به اشتراک گذاشته شده: اسکرین‌شات‌ها داشبوردهای داخلی CrowdStrike، از جمله پنل Okta Single Sign-On (SSO) که توسط کارمندان برای دسترسی به برنامه‌های شرکتی استفاده می‌شود، را نشان می‌داد.


مطالعه کامل خبر 👉


🆔 @TakianCo
🇮🇷

SMB Enumeration چیست و چطور انجام میشود؟
پروتکل SMB (Server Message Block) یکی از پروتکل‌های اصلی سیستم‌عامل ویندوز برای اشتراک‌گذاری فایل، پرینتر و منابع شبکه هستش. هر وقت که بخواهید روی یک شبکه داخلی یک پوشه، پرینتر یا حتی یک دستگاه NAS را در دسترس بقیه سیستم‌ها قرار بدین، پشت‌صحنه همین پروتکل SMB در حال کار هستش.
این پروتکل به‌صورت پیش‌فرض روی تعداد زیادی از دستگاه‌ها فعال است:
روی ویندوزها
روی پرینترهای شبکه
روی NASها
روی روترهایی که قابلیت USB-Storage دارن
به همین خاطر SMB همیشه یکی از نقاط مهم در بحث امنیت شبکه و مانیتورینگ محسوب میشه و بیشتر اسیب پذیری ها روی این پروتکول هستش
ورژن‌های SMB و پورت‌هایی که استفاده میکنه
SMBv1: ویندوز XP ، ویندوز 7 قدیمی، Server 2008 TCP/139

SMBv2: ویندوز 7 ، 8 ، 10 ، Server 2008+    TCP/445
SMBv3:  ویندوز 10 ، ویندوز 11 ، Server 2016+   TCP/445

حالا SMB Enumeration چیه؟
مشخصا Enumeration یعنی جمع‌آوری اطلاعات درباره سرویس SMB روی یک سیستم، بدون اینکه وارد اون سیستم بشیم.
چیزهایی که معمولاً در Enumeration SMB به دست میاریم:
لیست یوزرها
لیست Shareهای موجود
اطلاعات سیستم‌عامل و نسخه
بررسی سطوح دسترسی
تشخیص اینکه SMB چه نسخه‌ای هستش
این اطلاعات برای:
مدیریت شبکه
عیب‌یابی
بررسی امنیتی
پیدا کردن misconfiguration
مهمه
چطور این کار انجام میشه؟
1) با ابزارهایی مثل Nmap
  Nmap یسری اسکریپت داره (NSE)
مخصوصSMB هست که میشه
نسخه SMB
لیست Shareها
اطلاعات سیستم
رو نمایش داد
این بخش بیشتر برای تحلیل و بررسی امنیتی استفاده میشه.

یا با استفاده از متا اسپلویت
Use auxiliary/scanner/smb/smb_login
Set rhost
Set pass_file
Set user_file
..
Run
اگه یوزر و پسورد داخل لیست بود و موفق بود پیدا میشه
ما با استفاده از مجموعه ابزار ps tools که از مایکروسافت sysinternals هستش میاییم بهره برداری میکنیم روی پروتکول smb از طریق یوزر نیم و پسورد بدست اومده
Ps tools
رو از سایت مایکروسافت دانلود کرده و توی cmd به این روش استفاده میشه ؛

Psinfo.exe اطلاعات مربوط به سیستم رو میده
Psexc64.exe  میاد پراسسی رو اجرا میکنه
Pslist.exe میاد لیست میکنه پراسس هارو
و....
نحوه استفاده :
Psinfo.exe //192.168.1.1 -u amir -p 123
حالا ما برای اینکه دستریی cmd از سیستم مقصد داشته باشیم از ps exec64 استفاده میکنیم

Psexec64.exe -i //192.168.1.1 -u amir -p 123 cmd.exe 

راهکارهای دفاعی:
✔ 1) غیرفعال‌کردن SMBv1
SMBv1
قدیمی و ناامن هستش. در ویندوزهای جدید به‌صورت پیش‌فرض غیرفعال شده
✔ 2) اعمال Password Policy
پسوردهای حداقل ۱۲ کاراکتری
ترکیب عدد، حرف و علامت
محدودیت تعداد تلاش ورود (Account Lockout)
✔ 3) بستن پورت 445 برای اینترنت
پورت 445 فقط باید داخل شبکه داخلی باز باشه.
✔ 4) استفاده از فایروال ویندوز
برای اینکه فقط سیستم‌های مجاز بتونن به SMB وصل بشن
✔ 5) مانیتورینگ Logها
بازرسی رخدادهای ورود ناموفق، دسترسی‌ها و تغییرات.
✔ 6) فعال‌کردن SMB Signing
این قابلیت مانع حملات MITM در SMB می‌شود.

https://news.1rj.ru/str/ViperNull

دنبال ابزار های تکراری و بدرد نخور نرین چیزی که پیدا میکنن نهایتش خروجی های یکسانی دارند. این دقیقا همون ابزاریه که توی اتومیشن باید ازش استفاده کنید !

نصب آفیس روش ODT

خب من به شما یه پیشنهاد دارم ولی قبلش به شما بگم که خود افیس هایی که تو سایت های ایرانی مخصوصا digiboy قرار میدن کرک نیست اونها از نسخه های اصلی افیس استفاده میکنند در کنارش از ابزار فعال سازی KMS استفاده میکنند و این روش نیازی به تغییر در فایل های برنامه افیس نداره .

اما روشی که من استفاده میکنم : Office Deployment Tool هستش تو سایت خود مایکروسافت براش توضیحات نوشته : https://learn.microsoft.com/en-us/microsoft-365-apps/deploy/overview-office-deployment-tool
شما میری تو سایتش اول توضیحات رو میخونی بعد از طریق ابزار odt و یک فایل تنظیمات که اون رو هم خود مایکروسافت برات میسازه استفاده کنی و https://config.office.com/deploymentsettings
فایل نصبی افیس نسخه و شرایط مورد نظرت خودت رو بسازی و دانلود کنی روی سیستمت ، بعد میتونی براش اسکریپت اجرای bat فایل ساده هم درست کنی که همه فایل ها توی یک فولدر باشه و وقتی اون bat رو اجرای میکنی نصب شروع بشه ، حتی میتونی نسخه های قبلی که الان روی سیستم نصب هستش رو پاک کنه و جدید رو نصب کنه.
فایل های نصبی رو هم میتونی روی یک سایت داخلی مثل IIS و حتی فایل سرور قرار بدی و دستور نصب رو از اونجا اجرا کنی ، اینطوری نیازی به انتقال فایل روی تک تک سیستم ها نیست. البته بگم من خودم چون از مکانیزم KMS برای فعال سازی استفاده میکنم و این فرایندش تو دامین به صورت خودکار هستش دیگه کاری برای فعال سازی نکردم به نظرم شما هم که شرکت دارید یک سرور KMS داخلی راه اندازی کنید و تمام. این kms سرور رو هم باز digiboy داره یه ابزاری داره به نام digibox تازه نسخه جدید هم داده برید پستش رو پیدا کنید و اموزش داده نصب کنید و دیگه برای فعال سازی نیازی به استفاده از ابزار های کرک تو شرکت ندارید. (همه این داستان این روش فعال سازی به استفاده از افیس نسخه Volume هستش و حتی ویندوز نسخه Volume هم از همین روش میتونه فعال بشه با kms)
دیگه به نصب فایل کرک نیازی نیست.

یه توضیح دیگه هم بدم حتی سایت soft98 هم اگر فایل iso نصب افیس رو باز کنید فایل odt.exe توش داره که یعنی اون هم از همین روش که گفتم داره استفاده میکنه.


https://news.1rj.ru/str/ViperNull

از سال 2005 تا سال 2025 توی امنیت سایبری چند نکته از تجربیات خود و اطرافیان و همچنین کامیونیتی که داریم رو ، از دیدگاه خودم دوست داشتم به اشتراک بذارم ، نسل جدیدی ها بخصوص که عجله دارند خیلی زود هکر بشن باید بیشتر به این موضوع دقت کنند.
نسلی که مدام شروع کننده هست اما به ندرت موردی رو تموم میکنه و سوالشون اینه چرا هیچ چیز به نتیجه نمیرسه؟ نکته توی تمرکز ما هستش
شمشیری که بی هدف روی هوا تاب میخوره خطری نداره ولی وقتی روی یک نقطه فرود میاد میتونه یک پادشاهی رو از هم بپاشه.
عامل خیلی از شکست‌هایی که میخورن کمبود استعداد یا نبود شانس نیست بلکه از شاخه به شاخه پریدن هستش.
بزرگترین توهم نسل جدید اینه : میتونیم همه چیز رو با هم پیش ببریم.
وسوسه های متعدد یعنی دوری از هدف !
هرچیزی که بلدید همون باشید ، یک پله جلوتر از خودتون بیشتر تعریف نکنید که دیده بشید یا با احترام فیک خریدن بشید الگوی توییتر و اینستاگرام.
سنگ بزرگ نشونه نزدن هستش، اینکه گفته میشه ؛ امنیت سایبری یک دوره ی آموزشی نیست و ترکیبی از آموزشها و خطاها و تمرین های پرتکرار هست واقعیت داره.
عنوان های بزرگ یعنی نداشتن علمی که تجربه ی کافی در اون ندارید دیر یا زود اشکار میشید ، مثل اونی که همین 6 سال پیش وقتی توی شرکت امن پردازان کویر یزد استخدام شده بود توی رزومه نوشته بود : عضویت در گروه تلگرام وب آموز- عضویت در وبسایت آشیانه- عضویت در وبسایت IRanonymous
تهش یه سری اکسپلویت های دیگران رو از وبسایت cxsecurity برده بود بنام خودش توی وبسایت Exploit-db ثبت کرده بود.
ادم پوشالی همیشه توخالی و متوهم میمونه ، همین ادم بعد شش سال توی مصاحبه فنی OWASP رد شد توی یکی از شرکت‌های امنیت(فیلم مصاحبه اش موجوده) ، ولی امثال توی ایونت باگ بانتی راورو بعنوان داور دیده شد:دی
اینکه بقیه رو به زور قانع کنید که هکر هستید و انواع عنوان های RedTeamer و دیگری Advanced Soc Team Lead بزنید توی لینکدین و دیگری شب و روز توییتر و اینستاگرام دنبال اثبات خودشه ، همشون اشتباهه و اگر اینکارو کردید یا کمبود چیزی در زندگی داشتید یا بیمار هستید.
قدیم ادم ها رو با علم تعریف و تمجید میکردن ، الان با یوتیوب و اینستاگرام گردی و پول نمایش دادن ، این یه نوع بیماری واگیردار هست ، احترام توی جوامع علمی با علم و تخصصی بدست میاد ، اگر 200 هزارنفر فالور داشتید نگاهی بندازید ببینید 20 نفرشون متخصص هستن یا همشون کاربرهای زامبی طوری هستن که بدون داشتن علم و آگاهی و تخصصی فقط به به و چه چه می‌کنند؟!
هیچکس جای دیگری رو نگرفته ، تخصصی حرف بزنید و فکر نکنید اگر امنیت بلدید بقیه ی انسان ها از شما پایین تر هستن ، شما هم فقط یک شغل دارید نه کمتر نه بیشتر از بقیه ، اینجا غرور همون بیماری واگیردار هستش که سراغ خیلی ها میاد، آدم باشید.
هیچ کاری هیجان دائمی نداره ، اگر سال‌های اول شروع کار شما باشه جذابه، ولی بعدا ممکنه عادی یا حتی خسته کننده هم باشه ، اما شما یک شغل دارید که باهاش به امن بودن بقیه کمک میکنید پس ناامیدی مال شما نیست.
قدیم میگفتن ابزارهای اتومات پنتست زدن پیشرفته میشن و پنتستر ها کنار گذاشته میشن ، اما از اون تایم حداقل یادمه 18 سال گذشته و این تخصصی منابع انسانی بود که غلبه داشت بر ابزارهای اتومات و بعد سالها امثال ابزار Burp Suite اومد دیدن واقعا تسلط امنیت کار رو پلتفرم و معماری و برنامه نویسی و زیرساخت و درک کامل آسیب پذیری ها هستش که ادم رو توی شرایط فنی جلو میبره نه ابزار اتومات.
الان هم میگن هوش مصنوعی جای شما رو میگیره اما هوش مصنوعی برای شما یک دستیار خوب میشه اگر علم و تخصص پشتوانه شما باشه و همیشه بروز باشید .
تخصص درآمد میاره پس سختی ها رو پشت سر بذارید بعدش دنبال شغل بگردید و دست و پا شکسته حرکت نکنید چون از یک مهندس امنیت باید انتظار یک برنامه نویس حرفه ای و معمار درست حسابی هم دربیاد قبلش.
آینده همیشه برای کسایی هست که تخصصی جلو میرن و همیشه بروز هستند و فعال
بقول بزرگی : مثل تمبر پستی باشید ، بچسبید به یک تخصص و تا مقصد برسونید خودتون رو :)
بازم تکرار حرف آخرم اینه :
To disrupt a system, you must first understand it

@securation