NEW BOT Телеграм, страница

digMeMore

حمید کشفی یه کانال دیسکورد زده، یجورایی پاتق خودش هست و بنظرم تبدیل میشه به پاتق امنیت کارها، پیشنهاد می‌کنم وارد شین
https://discord.com/invite/KmN9Mzu

Discord

Join the IRSec Discord Server!

Check out the IRSec community on Discord - hang out with 429 other members and enjoy free voice and text chat.

2.23K viewsYasho, 07:58

digMeMore

توی این رایتاپ باهم میبینیم که چطور آسیب پذیری های مختلف باهم ترکیب شدن که در نهایت باعث تصاحب حساب کاربری شده، پیشنهاد میکنم بخونید نکات خوبی داره.

https://medium.com/@valeriyshevchenko/from-crlf-to-account-takeover-a94d7aa0d74e

#ATO
#XSS
#CORS
#CSRF
#CRLFI
#BugBounty

@digmemore

2.44K viewsr00t98, edited 10:55

digMeMore

1:20

This media is not supported in your browser

VIEW IN TELEGRAM

Google Account XSSI

آسیب پذیری XSSI جایی رخ میده که یکسری اطلاعات حساس داخل فایل های جاوااسکریپت قرار میگیره و از اونجایی که SOP واس src کردن فایل های جاوااسکریپت محدودیت نداره اجازه میده که فایل src شه و اطلاعات کاربر خونده شه.

#XSSI
#BugBounty

@digmemore

2.49K viewsr00t98, edited 14:25

digMeMore

https://twitter.com/Ravro_ir/status/1300460238752092161

@digmemore

X (formerly Twitter)

Ravro on X

راورو با همکاری @RavinAcademy برگزار می‌کند:
پنج‌شنبه شب، ۱۳ شهریور،
از ساعت ۲۱، به صورت زنده و رایگان شکار آسیب‌پذیری توسط «سینا دوستی»
را بر روی twitch تماشا کنید.

برای کسب اطلاعات بیشتر درباره‌ی پخش زنده‌ی شکار آسیب‌پذیری، به لینک زیر مراجعه کنید:
h…

1.98K viewsr00t98, 17:10

digMeMore

مقاله ای در خصوص بایپس SSL Pinning اندروید توسط فریمورک Frida

#Android
#SSL
#Book

@digmemore

2.08K viewsr00t98, edited 08:14

digMeMore

Android - SSL-Pinning.pdf

932.3 KB

@digmemore

2.41K viewsr00t98, edited 08:14

digMeMore

https://memoryleaks.ir/phishing-and-one-time-password/

مموری‌لیکس - نگاشته‌هایی پیرامون امنیت، شبکه و رمزنگاری

فیشینگ درگاه‌های بانکی و رمز پویا - مموری‌لیکس - نگاشته‌هایی پیرامون امنیت، شبکه و رمزنگاری

چند وقتی هست که استفاده از رمز پویا توی ایران اجباری شده و همه افراد دارن از این سازوکار برای پرداخت‌های آنلاین استفاده می‌کنند. تا اونجایی که من ترند رو دنبال می‌کردم، رمز پویا حاصل بحث پیرامون فیشینگ کارت‌های بانکی بود و بعد از کشمکش‌های زیاد، بانک مرکزی…

2.69K viewsYasho, 14:19

digMeMore

https://memoryleaks.ir/vulnerability-discovery-in-sso-authentication-scheme/

مموری‌لیکس - نگاشته‌هایی پیرامون امنیت، شبکه و رمزنگاری

ماجرای کشف یک آسیب‌پذیری در احراز هویت با Single Sign-On - مموری‌لیکس - نگاشته‌هایی پیرامون امنیت، شبکه و رمزنگاری

توی این پست قصد دارم راجع به یک آسیب‌پذیری که با علی پیدا کردیم براتون بگم. با اکسپلویت آسیب‌پذیری که در پیاده‌سازی نادرست SSO بود، ‌تصاحب هر حساب کاربری تنها با یک کلیک قابل انجام بود. Single Sign-on یک مدل احراز هویت است که در آن کاربران یک سازمان با یک…

2.25K viewsYasho, 11:47

digMeMore

دوستان یه فیدبکی داده بودن که به مطالب مقدماتی‌تر و عمومی‌تر هم بپردازیم، برای همین این پست رو آماده کردم که مربوطه به مقدمات پنتست برنامه‌های اندرویدی با Drozer. این یه کلیپ از یه دوره هست که اگه خوشتون اومد یکی دیگه هم به اشتراک میزارم.

https://memoryleaks.ir/drozer-tool-to-pentest-android-applications/

مموری‌لیکس - نگاشته‌هایی پیرامون امنیت، شبکه و رمزنگاری

ابزار Drozer در آزمون نفوذ برنامه‌های اندروید - مموری‌لیکس - نگاشته‌هایی پیرامون امنیت، شبکه و رمزنگاری

یکی از ابراهای بسیار خوب که توی آزمون نفوذ برنامه‌‌های اندرویدی می‌تونه به شما کمک کنه Drozer هست. این ابزار برای انجام تحلیل پویا بسیار کاربری هست. Drozer حاوی یک Agent هست که روی باکس اندروید نصب میشه و حملاتی که می‌شه روی سایر برنامه‌های اندرویدی انجام…

2K viewsYasho, 17:33

digMeMore

فیلم پست قبل به‌صورت جداگانه

1.49K viewsYasho, 17:33

digMeMore

Forwarded from URL Uploader

idor_discovery_by_calling_activities.mp4

413.4 MB

2.15K viewsYasho, 17:33

digMeMore

مقاله ای در خصوص باگ بانتی برای دوستانی که تازه وارد این حوزه شدن و نیاز به درک مفاهیم دارن, پیشنهاد میکنم بخونید نکات خوبی داره.

https://medium.com/bountynuggets/understanding-the-bug-bounty-game-bug-bounty-nuggets-65f565273013

#BugBounty

@digmemore

Medium

Understanding the Bug Bounty game — Bug Bounty Nuggets

Bug bounties is an upcoming trend nowadays. Hackers are paid legally to hack companies and getting paid from them. Many newcomers are…

2.35K viewsr00t98, edited 09:59

digMeMore

اگه میخواین واسه burp suite اکستنشن بنویسید اینجا رفرنس مفیدی هست واستون

https://github.com/doyensec/burpdeveltraining
#tools
@digmemore

GitHub

GitHub - doyensec/burpdeveltraining: Material for the training "Developing Burp Suite Extensions – From Manual Testing to Security…

Material for the training "Developing Burp Suite Extensions – From Manual Testing to Security Automation" - doyensec/burpdeveltraining

2.13K viewsAdeL, edited 10:20

digMeMore

مجبور کردن فایرفاکس به اجرای XSS در ریدایرکت های 302

https://www.gremwell.com/firefox-xss-302

#XSS
#OpenRedirect
#BugBountyTip

@web_priv8

2.45K viewsr00t98, edited 09:57

digMeMore

Forwarded from Web_Priv8 (r00t98)

Subdomain Takeover to Authentication bypass

یکی از تٲثیر های تصاحبِ زیردامنه یا Subdomain Takeover مربوط به دزدیدن کوکی های دامین اصلی میشه، برای مثال کوکی های x.com به دامنه تصاحب شده مثل z.x.com ارسال میشن(طبق RFC 6265)، حالا اینجا POC چیه؟ سادس، هکر برا گرفتن کوکی دوتا راه داره:
1- با زبان سمت سرور کوکی رو بگیره، مثلا فایل PHP اپلود کنه رو زیردامنه تصاحب شده.
2- با جاوااسکریپت کوکی رو بگیره، اینجاهم مثل اپلود HTML و بقیه موارد.

مزیت مورد اول نسبت به مورد دوم این هست که دیگه فلگِ HttpOnly اینجا معنی نمیده و هکر حتی با وجود فلگِ HttpOnly میتونه کوکی رو بگیره.
این گزارش دقیقا مثل مورد اوله و یه POC دیگه برا اکسپلویت CORS هم معرفی کرده.

#ATO
#BugBounty
#SubdomainTakeover

@web_priv8

1.84K viewsr00t98, 18:33

digMeMore

https://memoryleaks.ir/cafebazaar-web-application-account-takeover

مموری‌لیکس - نگاشته‌هایی پیرامون امنیت، شبکه و رمزنگاری

باگ ۱۵ میلیون تومانیِ تصاحب حساب کاربری در وب‌اپلیکیشن کافه‌بازار - مموری‌لیکس - نگاشته‌هایی پیرامون امنیت، شبکه و رمزنگاری

مقدمه من و یاشار شاهین‌زاده در راستای برنامه‌ی باگ‌بانتی کافه‌بازار آسیب‌پذیری‌های امنیتی مختلفی را شناسایی کردیم. در یکی از آسیب‌پذیری‌ها، وجود یک مشکل رمزنگاری به دور زدن فرایند احراز هویت (Authentication bypass) در وب‌اپلیکیشن کافه‌بازار منجر می‌شد. آسیب‌پذیری…

2.65K viewsYasho, 18:33

digMeMore

https://memoryleaks.ir/where-to-start-secure-coding

مموری‌لیکس - نگاشته‌هایی پیرامون امنیت، شبکه و رمزنگاری

کدنویسی امن از کجا شروع می‌شود؟ - مموری‌لیکس - نگاشته‌هایی پیرامون امنیت، شبکه و رمزنگاری

مهم نیست که توسعه‌دهنده چه زبانی هستید و با چه تکنولوژی ای مشغول به کارید ! نقش این ویدئو، گذاشتن عینک امنیتی بر چشمان همه‌ی توسعه‌دهنده هایی که دوست دارن نرم افزارایی که تولید میکنن در بهترین سطوح امنیت باشه و قراره دروازه‌ای باشه تا اونها رو به دالان پر…