رایتاپ آسیب پذیری ده هزار دلاری؛ با تحلیل JS!


هم اکنون این ویدئو رو میتونید در چنل یوتیوب PentesterLand مشاهده کنید🔥


زمانی که کدهای جی‌اس به داد یک هانتر میرسند...
منتظر نظرات شما هستیم😁


لینک ویدئو:
https://youtu.be/ajEYcOUD3D8?si=2KSIG0pLvbeTYmLe

چنل یوتیوب: PentesterLand
#باگ_بانتی

مفتخرم که اعلام کنم شش منبع واقعا فارسی جذاب برای ریسرچ و درک اسیب پذیری توسط بچه ها گروه منتورینگ اکادمی‌ پنتسترلند داره جلو برده میشه

چنل سکیوریتی ریسرچ علیرضا عزیز @Vulnerability_Researcher

( https://news.1rj.ru/str/web_appsec )


چنل توضیح اسیب پذیری اریا
( https://news.1rj.ru/str/toor2root )

کانال کد انالیز عرفان
( https://news.1rj.ru/str/CodeReview0o0 )

توییتر علی( https://x.com/alimostafaeiorg?s=21)

چنل یوتیوب هانتلرن
( https://youtube.com/@huntlearnco?si=qm9l6UebChNUfDhA )

چنل یوتیوب پن تسترلند
https://www.youtube.com/@pentesterland

هر شش تا تایید میشه شدید و بعد استپ دوم و رد کردن لایه اسیب پذیری ها به شدت می تونه نسبت به دیدی که کسب میکنید کمک کنه

توضیحات ثبت نام منتورینگ که درواقع نقشه راه این دوره است:
منتورینگ شامل ۴۰۰ ساعت ویدیو ضبط شده است که شامل یک سری دوره های مخصوص منتورینگ و یکی سری دوره های من در طول مدت کوچینگ یک سال خواهد بود.
پرسش و پاسخ، لایو هکینگ و لایو های دائم هفتگی و ماهانه به همراه اپدیت و اپگرید کامل دوره ها که به صورت رایگان در طول زمان کوچینگ اختیار دانشجویان قرارمیگیرد، در منتورینگ هردانشجو میتواند در طول روز سوالاتاش را مستقیم از شخص مدرس بپرسد یا از گروه های مربوط به منتورینگ استفاده کند

مواردی که تا اینجا تکمیل شده در منتورینگ
بخش اینترو و استارت پن تست وب اپلیکیشن، api, دیتابیس ها sql & nos l
برنامه نویسی جی اس (client side & server side)و مطالب پایه وب هکینگ
مطالب‌سطح متوسط و اکسپرت وب هکینگ که به حملات api ها نیز پرداخته شده است
باگ بانتی و خودکار سازی حملات
اکسپلویت نویسی با پایتون
سرویس هانتینگ
موارد در حال تکمیل
‏RedTeam
تمامی موارد از پیشنیاز اغاز میشود تا سطح
پیشرفته
تمام سطوح هرچند یکبار بسته به نیاز و تغییرات، اپدیت و اپگرید خواند شد
تمام پشتیبانی دانشجویان توسط خود من انجام میگردد
برای ثبت نام:
Page instagram: PentesterLand پیام دهید

دلیل اضافه کردن محدودیت زمانی: بالا رفتن سرعت دانشجویان و احساس تعهد به مسیر


نکته: بعد از یک سال شرایط عضویت دانشجو می تواند تمدید یا دائمی گردد

اول اینکه مرسی از‌محبت همگی شما عزیزان و تبریکای قشنگتون

خوشحال میشم حتما ویدیو جدید اینستاگرام و یوتیوب رو ببینید با درصورت رضایت با حمایت از ویدیو انگیزه ای بشه برای قوی تر جلو رفتن!

https://www.instagram.com/reel/DGQyWsQiKp5/?igsh=MTQ5bzBpeDhwOWJoYw==


در پارت سوم دوره API Security،
که میشه به عنوان مهم ترین جلسه ازش یاد کرد به یکی از مهم ترین آسیب پذیری‎های من پرداختیم! هم‎اکنون میتوانید ویدئو رو در چنل یوتیوب pentesterland مشاهده کنید.


لینک ویدئو: https://youtu.be/6Bk6Qa1_TEU
چنل یوتیوب: pentesterland

منتظر نظرات شما هستیم❤️‍🔥

#باگ_بانتی #امنیت #api_security

زیباترین ها رو براتون ارزو مندم❤️🙏🏼

حواستون به شدت به اموزشگاه های ب(ا یا ی) سواد باشه!
اسیب پذیری جدید مربوط به (nextjs cve) nodejs فقط و فقط زمانی ارزش داره که منجر به نشت دیتا حساس یا هرآنچیزی که مربوط به کاربران دیگر باشه!
هر گردی گردو نیست عزیزان

یک دانشجو یا یک شخص کاملا حق داره خطا کنه که یک poc اشتباه و بدون ایمپکت ارائه بده
کما اینکه یکی از عزیزان منو تو اینستاگرام استوری تگ کرد و من چیزی نگفتم
ولی اموزشگاه یا یک شخص مدرس باید قبلش یه دابل چک کنه، عزیز شما poc بدون لود دیتا رو با افتخار میزاری تو چنلت؟
حداقل اخرش یک چک میکردی میدیدی هیچی لود نمیشه!
خطا ایراد نداره همه خطا میکنند ولی خطایی که بخوای بقیه رو بزنی و خطا باشه این بده!

تا ابد یادتون باشه فقط و فقط زمانی باگی رو ریپورت بدید که روی:
Availability
Integrity
Confidentiality

اگه جز این باشه یعنی اون گزارش هیچ ارزشی نداره! هیچ ارزشی

اگه همین اصل رو بهش توجه کنید هیچ وقت، هیچ وقت ریپورتاتون NA نمیخوره

این رو هم بگم من روی جاهایی که تدریس میکنم پن تست انجام نمیدم ولی اگه ریپورتی بیاد سمتشون من چک میکنم و اگه درست باشه به اموزشگاه اعلام میکنم که برای تقدیر از مهاجم اقدام کنه❤️❤️❤️

و حتی اگه عزیزی به اشتباه چیزی بگه بهش توضیح داده میشه
که اشتباه کار کجا بوده ولی cve جدید رو بزاری تو کانالت با poc که از نظر cvss صفره! این بده


نکته: من هنوز خودم بررسی نکردم روی مسیر های دیگه و اطلاعات حساس روی صحبتم با poc و ویدیو نمایش داده شدست که از نظر هک و cvss فاقد اهمیت است

زمان هایی که تارگت از api استفاده میکند باید اسیب پذیری های لود پنل در api صورت بگیره چون اون وظیفه برگرداندن دیتا رو داره و قالب پنل پروفایل فاقد ارزش هست

وقتی میگن راجب چیزی پیش بینی کن که دقیق در بیاد
Note: بازار ارز دیجیتال‌بعد از این لایو در خونی ترین روزای خودش بود

قرمزه ولی سبز ببینش😁
#4fun

توضیحات ثبت نام منتورینگ که درواقع نقشه راه این دوره است:
منتورینگ شامل ۴۰۰ ساعت ویدیو ضبط شده است که شامل یک سری دوره های مخصوص منتورینگ و یکی سری دوره های من در طول مدت کوچینگ مادام العمر خواهد بود(البته در صورت انجام رفتار خلاف قوانین مثل نشر ویدیو یا همکاری با تیم ها و جاهای دیگر که باعث شک در نقض محرمانگی شود میتواند باعث ریموو شدن کاربر گردد دلیل این موضوع مشکل است: در لایو هانت های منتورینگ سناریو های پیشرفته و متفاوت روی تارگت های باگ بانتی انجام میپذیرد).
پرسش و پاسخ، لایو هکینگ و لایو های دائم هفتگی و ماهانه به همراه اپدیت و اپگرید کامل دوره ها که به صورت رایگان در طول زمان کوچینگ اختیار دانشجویان قرارمیگیرد، در منتورینگ هردانشجو میتواند در طول روز سوالاتاش را مستقیم از شخص مدرس بپرسد یا از گروه های مربوط به منتورینگ استفاده کند

مواردی که تا اینجا تکمیل شده در منتورینگ
بخش اینترو و استارت پن تست وب اپلیکیشن، api, دیتابیس ها sql & nos l
برنامه نویسی جی اس (client side & server side)و مطالب پایه وب هکینگ
مطالب‌سطح متوسط و اکسپرت وب هکینگ که به حملات api ها نیز پرداخته شده است
باگ بانتی و خودکار سازی حملات
اکسپلویت نویسی با پایتون
سرویس هانتینگ
موارد در حال تکمیل
‏RedTeam
تمامی موارد از پیشنیاز اغاز میشود تا سطح
پیشرفته
تمام سطوح هرچند یکبار بسته به نیاز و تغییرات، اپدیت و اپگرید خواند شد
تمام پشتیبانی دانشجویان توسط خود من انجام میگردد
برای ثبت نام:
Page instagram: PentesterLand پیام دهید

یک نکته مهم:
من تلاش کردم و میکنم که هرروز بهتر بتونم کیفیت خوب و متفاوت به دانشجوم ارائه بدم
ولی نه کیفیت، نه مادام العمر بودنش تضمینی برای موفقعیت نیست، تنها عامل باعث تضمین:
اینه که هرروز پیشرفت دانشجو بیشتر دیروز باشه که این نیازمند هرروز برای این مسیر زمان بزاره

من هم در طول مسیر خیلی بیشتر ۱۰۰ ام رو خواهم گذشت حتی جایی ممکنه با دانشجوی خودم تند بشم با اینکه نتیجه گرفتن یا نگرفتن دانشجو به صورت مستقیم هیچ تاثیری رو زندگی من نداره ولی کسی که هزینه میکنه زمان میزاره باید دل بده به کار