بلاگ | blog

آشنایی با آسیب پذیری Html injection

آشنایی با آسیب پذیری Html injection

حملات تزریق HTML گونه از حملات تزریق است که بسیار شبیه حملات XSS است.(آشنایی با آسیب پذیری Html injecti(آشنایی با آسیب پذیری Html injection)

درحالی‌که در آسیب‌پذیری XSS مهاجم می‌تواند کد جاوا اسکریپت را تزریق و اجرا کند، تزریق HTML فقط اجازه تزریق برخی تگ‌های HTML را می‌دهد.

آشنایی با آسیب پذیری Html injection

هنگامی‌که یک برنامه کاربردی وب به‌درستی داده‌های واردشده توسط کاربر را مدیریت نمی‌کند، مهاجم می‌تواند کد HTML معتبر معمولاً از طریق یک مقدار پارامتر ارائه داده و محتوای خود را به صفحه تزریق کند.

این حمله به‌طورمعمول در ارتباط با گونه‌ای از مهندسی اجتماعی مورداستفاده قرار می‌گیرد، زیرا این نوع حملات از آسیب‌پذیری مبتنی بر کد و اعتماد کاربر، بهره‌برداری می‌نمایند.

حملات تزریق HTML، زمانی رخ می‌دهد که کاربر بتواند یک نقطه ورودی را کنترل کرده و کد HTML دلخواه خود را به صفحه وب آسیب‌پذیر تزریق نماید.

این نوع از حملات می‌تواند عواقب زیادی داشته باشد. هکر با استفاده از این نوع حملات می‌تواند با افشای کوکی‌های جلسه نشست کاربر به جعل هویت قربانی بپردازد و یا حتی به‌صورت کلی، هکر می‌تواند محتویات صفحه مورد مشاهده قربانی را تغییر دهد.

در ادامه پیشنهاد می کنم این ویدئو آموزشی را مشاهده بفرمایید تا با این آسیب پذیری بیشتر آشنا شوید.

آشنایی با آسیب پذیری Open Redirect

آشنایی با آسیب پذیری Open Redirect

سلام خدمت دوستان عزیز

طبق بررسی که انجام دادم متوجه شدم در وب فارسی آموزش کاملی در مورد این باگ وجود نداره و به همین دلیل امروز تصمیم گرفتم در مورد آسیب پذیری Open Redirect صحبت کنم و شما را با این آسیب پذیری جالب آشنا کنم.

بدون شک یادگیری این آسیب پذیری در پروژه های تست نفوذ شما تاثیر به سزایی خواهد داشت.

آشنایی با آسیب پذیری Open Redirect

این آسیب پذیری در وب اپلیکیشن ها وجود داره و به دلیل اشتباهات برنامه نویس به وجود می آید که نفوذگر می تواند از طریق این آسیب پذیری لینک مخرب خودش را از طریق دامنه سایت اصلی (آسیب پذیر) برای کاربر اجرا کند.

به این مثال توجه کنید :

https://faranesh.com/redirect.php?page=http://bmansoori.ir

 

دراین مثال ورودی page در صفحه redirect.php سایت faranesh.com آسیب پذیر است.

ما با وارد کردن آدرس در ورودی که در مثال ما page است به سایت مورد نظر منتقل می شویم.

کاربرد این آسیب پذیری

از این آسیب پذیری می توان در حملات فیشینگ استفاده کرد.وقتی لینک برای قربانی ارسال می شود ، در بیشتر مواقع آدرس را به صورت کامل مشاهده نمی کند و فقط به ابتدای آدرس توجه می کند.

از آنجایی که ابتدای آدرس مربوط به یک سایت معتبر می باشد و آدرس اصلی است ، قربانی فریب می خورد.

توجه داشته باشید که این حفره امنیتی بسیار رایج است و در وب سایت هایی مثل گوگل  و فیسبوک این آسیب پذیری وجود داشته است.

امن سازی

برای برطرف کردن این مشکل باید ورودی های وب سایت را کنترل کنید.

  • از تغییر مسیرها (Redirect) و هدایت‌ها (Forwarding) اجتناب کنید.
  • از ورودی کاربر برای تعیین مقصد استفاده نکنید.
  • اگر از پارامترهای مقصد نمی‌توان اجتناب کرد، حتماً بررسی شود که مقادیر ارائه‌شده برای کاربر، مجاز و معتبر باشد.

گاهی ممکن است به‌طور کامل نتوان از تغییر مسیرها و هدایت‌ها اجتناب کرد، بنابراین باید توجه داشت که مقادیر ارائه‌شده حتماً مجاز و معتبر باشند.

روش‌های گوناگونی برای جلوگیری استفاده از داده‌های نامعتبر وجود دارد که در زیر بیان‌شده‌اند.

  • ایجاد یک لیست سفید یا Whitelist از صفحات مجاز وب‌سایت یا سایت‌های خارجی.
  • فقط اجازه تغییر مسیر یا هدایت در شرایط مناسب و خاص داده شود.
  • تغییر مسیرهای که مورداستفاده قرار نمی‌گیرند را غیرفعال نمایید.
  • تمامی درخواست‌های HTTP برای تغییر مسیری که استفاده نمی‌شود را اسکن نموده و آن‌ها را نادیده گرفته یا Ignore نمایید.

روش دیگر استفاده از فایروال قوی برای سرور است.

 

برای درک بهتر از اهمیت این حفره امنیتی لینک مقاله ای رو برای شما قرار می دهم که در آن نفوذگر با گزارش این آسیب پذیری در یک وب سایت مبلغ ۱۰۰ دلار جایزه دریافت کرده است.

در این مقاله نفوذگر مرحله به مرحله کار از تست نفوذ تا گزارش آسیب پذیری را شرح داده است.

لینک مقاله

 

برای درک بهتر موضوع ، نمونه ای از گزارش های انجام شده در مورد این آسیب پذیری رو براتون قرار میدم

شماره ۱ : دریافت جایزه ۵۰۰ دلاری از سایت shopify.com

شماره ۲ : دریافت جایزه ۵۰۰ دلاری از سایت shopify.com

شماره ۳ : دریافت جایزه ۵۰۰ دلاری از سایت hackerone.com

 

نوشتن گزارش آسیب پذیری خوب

نوشتن گزارش آسیب پذیری خوب

نوشتن گزارش آسیب پذیری خوب کار سختی نیست به شرطی که وقت بزاری و این متن رو تا آخر مطالعه کنی 😉 

نوشتن گزارش آسیب پذیری خوب

زمان نوشتن یک گزارش آسیب پذیری باید تا حد امکان اطلاعاتی در اختیار تیم مدیریت قرار بگیره تا اعتبار گزارش شما تایید بشه.

– عنوان گزارش

عنوان گزارش خوب ترکیبی از نوع آسیب پذیری ، دامنه یا نتیجه نهایی است و مشخص کردن بخشی که در آنجا این آسیب پذیری رخ می دهد ( این می تواند یک پارامتر درخواست یا یک روش حمله باشد).

عنوان گزارش باید توصیفی باشد و روی نکته اصلی تمرکز کند ، به عنوان مثال :

Sql Injection at Target.com/with method xpath”

– توضیحات و مقدمه گزارش

این در واقع مقدمه ای کوتاه در مورد نوع آسیب پذیری ، علل به وجود آمدن آن و بخشی است که آسیب پذیری در آن به وجود آمده است.

– تفسیر

این بخش باید از دید هکر نوشته شود و شامل تصاویر و ویدئوهایی است که درک آسیب پذیری را برای تیم برنامه نویسی سایت مورد نظر ممکن می کند.

*مطمئن شوید که تمام مراحل را به صورت کامل و در عین حال ساده توضیح داده باشید.

– ابزارها و کدها

اگر در طی حمله از ابزار و یا قطعه کدی استفاده کردید آن را در گزارش قرار دهید.

البته می توانید این موارد را در بخش تفسیر نیز قرار دهید.

برای نمونه در حفره امنیتی XSS می توانید یک قطعه کد ساده برای نمایش هشدار روی صفحه در این بخش قرار دهید و نیازی به چندین مثال نیست.

– بخش اضافی

در گزارش هایی که حفره امنیتی پیچیده تر است ممکن است برای پیاده سازی حمله شرایط خاصی نیاز باشد که در این صورت می توانید آن شرایط را در این بخش شرح دهید.

– تاثیر آسیب پذیری

سعی کنید توضیح دهید مهاجم با این آسیب پذیری چه کاری می تواند انجام دهد ، به چه اطلاعاتی می تواند دسترسی داشته باشد و این مسئله چگونه سایر کاربران سیستم را تحت تأثیر قرار می دهد.

هرچه شدت آسیب پذیری بیشتر باشد جایزه دریافتی شما هم بیشتر خواهد بود 😀 

توصیه

در این بخش برای رفع آسیب پذیری روش هایی رو پیشنهاد می دهیم (این بخش اختیاری است).

مرجع

در انتهای گزارش قرار دارد و حاوی پیوندهایی به سایتهای خارجی مربوط به آسیب پذیری است.

این بخش اختیاری است و اغلب فقط درصورتی که گزارش شامل تکنیک های حمله جدید یا پیچیده ای باشد ، گنجانده شده است.

نمونه یک فرم گزارش را در تصویر زیر مشاهده می کنید:

نوشتن گزارش آسیب پذیری خوب

البته در بعضی موارد گزارش می تواند ساده تر نوشته شود و بعضی از مولفه ها استفاده نشوند.

اینها مؤلفه های کلی گزارش آسیب پذیری خوب و مفصل هستند.

در صورتی که اطلاعات کافی در گزارش ثبت شود ، نه تنها گزارش را خواندنی و آسان می کند ، بلکه به تیم امنیتی نیز کمک می کند تا به سرعت مشکل را شناسایی و برطرف کند. همچنین گاهی اوقات مبلغ جایزه را افزایش می دهد. :mrgreen:  

ابزار domain analyzer

سلام خدمت دوستان عزیز

امروز قصد دارم شمارا با ابزار domain_analyzer آشنا کنم.

domain_analyzer یک ابزار تجزیه و تحلیل امنیتی است که به طور خودکار اطلاعات مربوط به دامنه داده شده را کشف و گزارش می کند. هدف اصلی آن تجزیه و تحلیل اطلاعات بدون برجای گذاشتن ردپا است.

این ابزار یک نام دامنه را می گیرد و اطلاعاتی در مورد آن پیدا می کند ، مانند سرورهای DNS ، آدرس های IP ، ایمیل های وب سایت ، اطلاعات SPF و غیره

پس از یافتن پورت ها ، از ابزار crawler.py ازverovaleros استفاده می کند تا تمام پورت های موجود را شناسایی کند.

 

ابزار domain analyzer

 

ویژگی های اصلی این ابزار :

 

  • It creates a directory with all the information, including nmap output files.
  • It uses colors to remark important information on the console.
  • It detects some security problems like host name problems, unusual port numbers and zone transfers.
  • It is heavily tested and it is very robust against DNS configuration problems.
  • It uses nmap for active host detection, port scanning and version information (including nmap scripts).
  • It searches for SPF records information to find new hostnames or IP addresses.
  • It searches for reverse DNS names and compare them to the hostname.
  • It prints out the country of every IP address.
  • It creates a PDF file with results.
  • It automatically detects and analyze sub-domains!
  • It searches for domains emails.
  • It checks the 192 most common hostnames in the DNS servers.
  • It checks for Zone Transfer on every DNS server.
  • It finds the reverse names of the /24 network range of every IP address.
  • It finds active host using nmap complete set of techniques.
  • It scan ports using nmap (remember that for the SYN scan you need to need root).
  • It searches for host and port information using nmap.
  • It automatically detects web servers used.
  • It crawls every web server page using our crawler.py tool. See the description below.
  • It filters out hostnames based on their name.
  • It pseudo-randomly searches N domains in Google and automatically analyze them!
  • Uses CTRL-C to stop current analysis stage and continue working.
  • It can read an external file with domain names and try to find them on the domain.

 

اوسینت برای پنتسترها

اوسینت برای پنتسترها

سلام خدمت همه دوستان عزیز

این ویدئو آموزشی در مورد تاثیر اوسینت در انجام پروژه های تست نفوذ یا بهتره بگیم در جمع آوری اطلاعات پیرامون تارگت مورد نظر است.

در ویدئو یکسری نکات ریز وجود داره که پیشنهاد می کنم از دست ندید و در برنامه هفتگی خودتون یک فرصت ۱ ساعته برای مشاهده این ویدئو زمان در نظر بگیرید.

اوسینت یا  Open Source INTelligence (OSINT) به معنی «جستجوی پیشرفته در منابع اطلاعاتی آزاد» است. با وجود آزادی دسترسی به این اطلاعات برای همه، به دست‌آوردن اطلاعات درست در زمان مناسب و همچنین بهره‌برداری از این اطلاعات کار ساده‌ای نیست اما تکنیک‌های اوسینتی این امر را ممکن می‌سازند.

ویدئو زبان اصلی است

 

 

به دست آوردن ip اصلی وب سایت

به دست آوردن ip اصلی وب سایت

سلام خدمت دوستان عزیز

همان طور که مطلع هستید بسیاری از وب سایت ها برای جلوگیری از حملات تکذیب سرویس از سرویس های cloudflare استفاده می کنند.

در این حالت موقع پینگ گرفتن و یا whois گرفتن ، ما نمی توانیم ip اصلی سایت را به دست آوریم زیرا از dns کلود استفاده شده است.

در این ویدئو آموزشی شما را با وب سایتی آشنا می کنم که این مشکل را برطرف می کند و به شما کمک می کند تا این ویژگی را بایپس کنید.

 

ضعف امنیتی در وب سایت دانشگاهی

ضعف امنیتی در وب سایت دانشگاهی

سلام خدمت شما

در این ویدئو آموزشی در مورد ضعف امنیتی در وب سایت یک دانشگاه صحبت می کنیم

وجود حفره امنیتی به مسئولان دانشگاه اطلاع داده شده اما متاسفانه توجهی به موضوع نداشتند.

وجود ضعف امینیت در این وب سایت باعث می شود که اطلاعات شخصی تعدادی از کارمندان در اختیار نفوذگر قرار گیرد.

 

هویج کامل نیست

هویج کامل نیست

سلام خدمت شما

در این ویدئو آموزشی قصد دارم در مورد برنامه شناخته شده هویج صحبت کنم و با هم بررسی کنیم که آیا برنامه هویج کامله یا نه

همچنین در طول آموزش تست نفوذی بر روی وب سایت شرط_بندی انجام خواهیم داد و لیست ایمیل و پسورد کاربران را بیرون می کشیم

دانلود لیست ایمیل و پسورد

دانلود برنامه هویج

 

high school bug

سلام خدمت شما دوستان عزیز

در این ویدئو آموزشی کوتاه قصد دارم نحوه تست نفوذ در یک اسکریپت مربوط به وب سایت های چند دبیرستان را به شما بزرگواران آموزش بدم

تصویری از یک وب سایت که با این روش تست نفوذ انجام شده است

 

high school bug

 

ثبت چند وب سایت به عنوان نمونه در وب سایت mirror-h

وب سایت اول

وب سایت دوم

وب سایت سوم

وب سایت چهارم

وب سایت پنجم

وب سایت ششم

 

دورک و اکسپلویت استفاده شده در آموزش

Dork : intext:Welcome to our electronic class yearbook

exploit : site.com/forum_topic_create.php?forumid=1

آشنایی با “پریسا تبریز” شاهزاده امنیت گوگل

پریسا تبریز اکنون یکی از مهم‌ترین و باارزش‌ترین مهره‌های شرکت گوگل است. کار او هک کردن سیستم‌ها و سرویس‌های گوگل به عنوان یک هکر «کلاه سفید» بوده و در خط مقدم جبهه گوگل علیه هکرهای مجرم یا «کلاه سیاه» مشغول مبارزه سایبری است. وی در سال ۲۰۱۲ میلادی یکی از ۳۰ زن برتر سال از سوی مجله فوربس انتخاب شد.

آشنایی با “پریسا تبریز” شاهزاده امنیت گوگل

پریسا تبریز یکی دیگر از ثروتمندترین زنان ایرانی خارج از کشور است که با لقب شاهزاده امنیت گوگل شناخته می‌شود. وی در سال ۱۹۸۳ میلادی به دنیا آمد و فرزند یک پزشک ایرانی و پرستار لهستانی است. پریسا تبریز در حومه شهر شیکاگو آمریکا بزرگ شد و در سال ۲۰۰۷ به استخدام شرکت گوگل درآمد و به عنوان مدیر و متخصص امنیت در این غول دنیای فناوری فعالیت کرد.

پریسا تبریز در سال ۲۰۰۷ به استخدام شرکت گوگل درآمد و تا سال ۲۰۱۱ مدیر و متخصص امنیت در این شرکت بود که بعدها گسترش یافت و هم‌اکنون بیش از ۲۵۰ متخصص امنیت در آن مشغول هستند و اکنون ریاست بخش مهندسی مرورگر گوگل کروم را بر عهده دارد.

بنا به گفته پریسا تبریز، او تنها وقتی که به دانشگاه رفته بود با رایانه‌ها آشنا شد و پیش از آن وقت خود را صرف فعالیت‌های هنری و ورزشی می‌کرده‌است. او به صخره‌نوردی علاقه‌مند است و پس از پایان کارش، به باشگاه مورد علاقه خود رفته و در آنجا به تمرین می‌پردازد که بیشتر مشتریان این باشگاه از کارمندان گوگل هستند.

ثروت پریسا تبریز

در بیوگرافی پریسا تبریز جا دارد به ثروت میلیاردی اش اشاره کنیم. از آنجا که پریسا تبریز مدیر تیم امنیتی شرکت گوگل و بخش مهندسی مرورگر گوگل کروم و دیگر محصولات گوگل جهت بهبود آن ها می باشد. با سن کم تا کنون توانسته است میلیاردها تومان درآمد داشته باشد و در رده ی ثروتمند ترین دختران موفق ایرانی قرار بگیرد.

تحصیلات پریسا تبریز

پریسا تبریز در دانشگاه اِربانا شمپین که از معتبر ترین دانشگاه های آمریکا می باشد مدرک لیسانس و فوق لیسناس مهندسی کامپیوتر را اخذ کرده است. و همچنین  مطالعاتی در زمینه حمله به حریم شخصی کاربران و امنیت شبکه های بی سیم انجام داده است.

درمصاحبه ای پریسا تبریز با بیان اینکه تا قبل از ورود به دانشگاه و تحصیل در رشته ی مهندسی کامپیوتر؛ به کامپیوتر دست نزده بود به این سوال پاسخ داد که آنچه باعث گرایش او به سمت دنیای تکنولوژی شده و از آن الهام گرفته است چیزی جز داستان زندگی «جان دراپر»که یکی از معروف ترین هکرها ی معاصر ملقب به کاپیتان کرانچ می باشد، نبوده است.

پریسا تبریز می گوید ابتدا هیچ هدف خاصی نداشته و نمی دانسته باید مشغول چه کاری شود. از این رو طی انجام چندین آزمون در مدرسه متوجه می شود که باید افسر پلیس شود؛ که این موضوع مورد تمسخر خانم تبریز قرار می گیرد. اما با قرار گرفتن در این مسیر و فعالیت در عرصه ی امنیت متوجه می شود کارش به نوعی حفاظت از افراد می باشد و نتیجه ی آزمون های مدرسه به دور از واقعیت نبوده است.

خانم تبریز دو برادر کوچک تر از خود دارد که در مورد آن ها اینگونه می گوید که؛ به دلیل بزرگ تر بودنم به نوعی بر آن ها برتری داشتم و در بازی های دوران کودکی مان  آن ها را شکست میدادم و این تا زمانی بود که آن ها توانی برای شکست دادن من نداشتند وقتی که بزرگ تر شدند فهمیدم باید راه تازه ای برای برتری بر آن ها پیدا کنم تا بتوانم از آن ها جلو بزنم.

پریسا تبریز، در این مصاحبه علاقه ی خود را  به هنر و ورزش صخره نوردی بیان کرد و از آنجا که استعداد خوبی در زمینه ی ریاضی داشته است، مبحث امنیت اطلاعات را بعد از ورود به دانشگاه به صورت جدی دنبال کرده است. که به گفته ی خودش هر یک از متخصصین امنیت باید توانایی لازم جهت  پیدا کردن کدهای مخرب لابه لای اطلاعات نامحدودی که در اختیارشان قرار می گیرد را داشته باشند، و این همان فعالیتی است که پریسا تبریز در حال انجام آن می باشد.

در خصوص سوال  پیشنهاد رشوه در زمینه فعالیتش؛ خانم تبریز اینگونه پاسخ داد که افرادی که به عنوان هکرهای کلاه سفید شناخته می شوند و در این زمینه فعالیت دارند دائما با چنین پیشنهاد های وسوسه انگیزی روبه رو می شوند  که باید بتوانند مقاومت کنند و از بین دو مسیر پیش رویشان یکی را انتخاب کنند. یا به صورت یک هکر مستقل فعالیت کنند یا یک کارمند در شرکت های بزرگ باشند که شرکت گوگل برای چنین افرادی پاداش خوبی را در نظر می گیرد.