Vɪᴘ_Sᴇᴄᴜʀɪᴛʏ™

#اخبار #خبر
آسیب پذیری در Okta یا در کتابخوانه های bcrypt زبان های برنامه نویسی ⁉️

📌 به تازگی بعد از ارائه بروزرسانی جدید از سمت تیم okta یک آسیب پذیری توسط تیم داخلی شرکت okta شناسایی شده که به نفوذگر امکان دور زدن احراز هویت Okta AD/LDAP را میداد که کافی بود حساب با نام کاربری بالای 52 کارکتر باشد ⚠️

📌 درواقع اشتباه در پیاده سازی روند hash کردن داده های username و password بوده که تیم okta از کتابخوانه bcrypt node js استفاده میکرد که این الگوریتم محدودیت در ورودی (input) که میگیرد دارد و فقط ۷۲ کارکتر را قبول میکند و در سمت برنامه نویسی تیم okta برای ذخیره کردن داده یوزر در دیتابیس ۳ مقدار زیر را concat میکردند و به عنوان ورودی به تابع bcrypt داده میشد :

Bcrypt(user uuid + username + password)

که اگر یوزرنیم مقدارش بیش از ۵۲ کارکتر یا ۵۲ کارکتر میشد خروجی تابع bcrypt همیشه یکی میشد چرا که این تابع در node js فقط تا ۷۲ کارکتر مقدار ورودی را میخواند ‼️

و نفوذگر فقط با دادن یوزرنیم و پسورد اشتباه وارد حساب قربانی میشد ❗️

📌 اما نکته مهم این است که بعضی از کتابخوانه های مربوط به bcrypt در دیگر زبان ها مثل زبان Golang اگر مقدار ورودی بیش از ۷۲ کارکتر باشد یک اروری میدهند و برنامه نویس را مطلع میکنند و جلوی این مشکل گرفته میشود

🌐 www.VipSecurity.zone
📣 @Vip_Security

#کتاب
📌 کتاب Practical Cloud Security


ℹ️ پلتفرم‌های ابری با معماری به سرعت در حال تغییر و اتوماسیون مبتنی بر API، چالش‌ها و فرصت‌های امنیتی منحصربه‌فردی دارند. این کتاب عملی ، شما را از طریق بهترین شیوه‌های امنیتی برای محیط‌های ابری چند فروشنده راهنمایی می‌کند، چه شرکت شما قصد دارد پروژه‌های قدیمی در محل را به ابر منتقل کند یا یک زیرساخت جدید از ابتدا بسازد.

توسعه‌دهندگان، معماران فناوری اطلاعات و متخصصان امنیت، تکنیک‌های مخصوص ابر را برای ایمن‌سازی پلتفرم‌های ابری محبوب مانند خدمات وب آمازون، مایکروسافت آژور و IBM Cloud یاد خواهند گرفت.

⬇️ دانلود در پست بعدی ⬇️

🌐 www.VipSecurity.zone
📣 @Vip_Security

#اخبار #خبر
⚠️ سایت آرشیو اینترنت مجدداً هک شد؛ این بار از طریق توکن‌های دسترسی

📌 سایت آرشیو اینترنت که چندی قبل هک شده بود و اطلاعات بیش از ۳۲ میلیون کاربر آن به بیرون درز کرده بود، دوباره هدف حمله هکرها قرار گرفته است. این بار حمله از طریق دسترسی به پلتفرم پشتیبانی ایمیل Zendesk انجام شده است.

📌 وب‌سایت BleepingComputer در گزارش خود توضیح داده است که پیام‌های متعددی از کاربران سایت آرشیو اینترنت دریافت کرده است. کاربران گفته‌اند در پاسخ به درخواست‌ حذف اطلاعات، پیام‌هایی با این مضمون دریافت کرده‌اند که به علت تغییرنکردن توکن‌های احراز هویت، اطلاعات سایت آرشیو اینترنت مجدد در اختیار هکرها قرار گرفته است

🌐 www.VipSecurity.zone
📣 @Vip_Security

ارائه Apache Confusion Attacks از Orange Tsai 🔥

📌 یک ارائه تحقیقاتی اخیر در Black Hat USA 2024 آسیب‌پذیری‌های معماری را در Apache HTTP Server، که یکی از پرکاربردترین وب سرور ها است را آشکار کرد.

📌 این ارائه شامل 3 نوع حمله confusion و 9 آسیب پذیری جدید، 20 تکنیک بهره برداری و بیش از 30 مطالعه موردی است

‼️ این تحقیق 9 آسیب پذیری جدید را در سرور HTTP Apache کشف کرد، از جمله:

🚨 CVE-2024-38472 – Apache HTTP Server on Windows UNC SSRF
🚨 CVE-2024-39573 – Apache HTTP Server proxy encoding problem
🚨 CVE-2024-38477 – Apache HTTP Server: Crash resulting in Denial of Service in mod_proxy via a malicious request
🚨 CVE-2024-38476 – Apache HTTP Server may use exploitable/malicious backend application output to run local handlers via internal redirect
🚨 CVE-2024-38475 – Apache HTTP Server weakness in mod_rewrite when first segment of substitution matches filesystem path
🚨 CVE-2024-38474 – Apache HTTP Server weakness with encoded question marks in backreferences
🚨 CVE-2024-38473 – Apache HTTP Server proxy encoding problem
🚨 CVE-2023-38709 – Apache HTTP Server: HTTP response splitting
🚨 CVE-2024-?????? -هنوز این آسیب پذیری رفع نشده است

📎 لینک مقاله :
https://blog.orange.tw/posts/2024-08-confusion-attacks-en/

📎 لینک ویدیو ارائه در OrangeCon 2024 :
https://

www.youtube.com/watch?v=b

AHqEefF7Ok&list=PLTg6o6bglKLO6HGLCNBQX8dmiRUnUjWdX&index=11

دوستانی که در فیلد پنتست وب

یا باگ بانتی کار میکنن حتما مطالعه کنن چون نکات جالبی داره (البته بیشتر سعی کنید یسری چیزا به متودولوژی یا نکات تون ادد کنید) 🙂

دوستان رد تیم هم که خودشون میدونن این کار چقدر ارزشمنده ☕️

🛡 برای رفع این آسیب پذیری ها در سرور خود حتما به نسخه 2.4.62 ارتقاع بدید ، لینک خبر مربوط به نسخه پچ شده Apache :
https://downloads.apache.org

/httpd/Announcement2.4.html

📣 @Vip_Security
🌐

www.VipSecurity.zone

⚠️ تصویری از ایمیل‌های رد و بدل شده بین گروه هکری آی‌آر لیکس و مدیرعامل شرکت توسن

⚠️ این تصویر که بصورت شفاف، مذاکرات باج خواهی و باج دهی را نشان می دهد در سایت Cyber Scoop به اشتراک گذاشته شده. بسیار بعید است که این تصویر توسط هکرها منتشر شده باشد.

⁉️سئوال مهم این است چه کسی به این تصویر دسترسی داشته و آنرا علنی کرده است؟

⚠️این تصویر ترویج علنی باج خواهی و باج گیری است که هکرهای کلاه سفید را تشویق به مشارکت و فعالیت در این بازار سیاه و کثیف می کند.

📣 @Vip_Securitu
🌐 www.VipSecurity.zone

#اخبار #خبر
💥 حمله هکری به ۲۰ بانک کشور و دریافت باج ۳ میلیون دلاری برای عدم انتشار داده‌های مشتریان بانک‌ها


📌 مجله آمریکایی پولیتیکو به نقل از منابع مطلع گزارش داده است که نظام بانکی ایران در ماه گذشته میلادی هدف یک حمله سایبری قرار گرفته است.

🔴 پولتیکو به نقل از منابع مطلع گزارش داده که حمله سایبری ماه گذشته که تهدیدی برای ثبات سیستم بانکداری ایران بود موجب شد که شرکت تامین کننده خدمات الکترونیکی برای بانک‌های ایران (شرکت توسن) به هکرها میلیون‌ها دلار باج پرداخت کند.

📌 پولیتیکو در گزارش خود اظهارات متخصصان و مقامات مطلع غربی را بازتاب داده است که می‌گویند یک شرکت ایرانی در ماه گذشته دست‌کم ۳ میلیون دلار به یک گروه ناشناس از هکرها باج پرداخت کرد تا از انتشار اطلاعات حساب‌های شخصی در بیش از ۲۰ بانک داخلی ایران صرف‌نظر کند .
این گزارش تاکید می‌کند که به نظر می‌رسد این حمله، بدترین حمله سایبری باشد که در کشور ایران رخ داده است.

📌 به گفته مقامات آگاه، گروهی به نام «آی‌آر لیکس» #IRLeaks که سابقه هک شرکت‌های ایرانی را در پرونده دارد، احتمالاً پشت این نفوذ بوده است. گفته می‌شود هکرها ابتدا تهدید کرده بودند که داده‌های به سرقت رفته را که شامل اطلاعات حساب شخصی و کارت اعتباری میلیون‌ها ایرانی می‌شود، در «وب تاریک» بفروشند، مگر اینکه ۱۰ میلیون دلار ارز دیجیتال دریافت کنند، اما بعداً با دریافت مبلغ کمتری موافقت کردند.

📌 این گروه هکری از طریق شرکتی تحت عنوان «توسن» که به بخش مالی ایران خدمات دیجیتال ارایه می‌کند، وارد سرورهای بانک‌ها شدند. آنها توسن را به عنوان اسب تراوا (Trojan horse) استفاده کردند و اطلاعات بانک‌های خصوصی و دولتی را استخراج کردند. از ۲۹ موسسه مالی فعال، ۲۰ بانک هدف حمله قرار گرفتند. در بین این بانک‌ها نام بانک توسعه و معادن، بانک مهر، پست‌بانک ایران، بانک ایران زمین، بانک سرمایه، بانک ایران ونزوئلا، بانک دی، بانک شهر، اقتصاد نوین، بانک سامان و شعبه‌هایی در ایتالیا و آلمان به چشم می‌خورد.

❗️ با وجود این تنش‌ها میان تهران، واشینگتن و تل‌آویو، افراد مطلع از این واقعه به پولتیکو گفتند که «آی آر لیکس» نه به ایالات متحده و نه به اسرائیل وابسته است، و نشان می‌دهد که این حمله ممکن است کار هکرهای آزاد بوده باشد که عمدتاً انگیزه‌های مالی دارند.


⚠️ با توجه به گذشت یه ماه از این رخداد سایبری و رسانه‌ای شدن این خبر توسط مجله politico در روز گذشته، شرکت توسن (توسعه سامانه‌های نرم افزاری نگین) تاکنون هیچ واکنش رسمی و غیررسمی به این خبر نداشته و در این خصوص گزارشی منتشر نشده است.


📣 @Vip_Security
🌐 www.VipSecurity.zone

#اخبار #خبر
💥 آسیب پذیری RCE در LMS Moodle با شناسه CVE-2024-43425

📌 به دلیل اعتبارسنجی ناقص در ویژگی "سوالات محاسبه شده"، مهاجمان می توانند کد دلخواه را ارسال و اجرا کنند که می تواند برای افشای اطلاعات محرمانه دانش آموزان یا مختل کردن کل فرآیند یادگیری مورد استفاده قرار گیرد.


🖥 جستجو کامپوننت های آسیب پذیر در Netlas.io :

📎 لینک جستجو :
https://nt.ls/6WaFx
💡 دورک :
http.headers.set_cookie:"MoodleSession"

📣 @Vip_Security
🌐 www.VipSecurity.zone

🖥 #کتاب web hacking arsenal 🔥

💬نویسنده: Rafay Baloch

این کتاب چیزی بیش از یک راهنما است. این یک ابزار اساسی است که خوانندگان را در هر مرحله از سفر خود توانمند می کند. چه به تازگی شروع کرده باشید و چه به دنبال ارتقای مهارت های موجود خود باشید، این کتاب یک زمینه محکم ایجاد می کند. سپس بر آن بنا می‌شود و نه تنها دانش قابل‌توجهی را در اختیار شما می‌گذارد، بلکه مجموعه‌ای از مهارت‌ها را نیز برای پیشرفت به ارمغان می‌آورد. این یک مطالعه ضروری برای هر کسی است که می‌خواهد نشان خود را در دنیای همیشه در حال توسعه امنیت برنامه‌های کاربردی وب بگذارد.

⬇️دانلود در پست بعدی⬇️

📣 @Vip_Security
🌐 www.VipSecurity.zone

🥷🏻 کنفرانس Def con 32 بالاخره تموم شد
لینک برخی از ارائه های جالب (از دید ما):

📌 SQL Injection Isn't Dead. Smuggling Queries at the Protocol Level

📌 A TWO-PART SAGA: CONTINUING THE JOURNEY OF HACKING MALWARE C2S

📌 Outlook Unleashing RCE Chaos: CVE-2024-30103 & CVE-2024-38021

📌 Gotta Cache ‘em all: Bending the rules of web cache exploitation

📌 NTLM: the last ride

📌 HookChain: a new perspective for Bypassing EDR Solutions

📌 sshamble: Unexpected Exposures in SSH

📌 MaLDAPtive LDAP Obfuscation Deobfuscation and Detection

📌 Iconv, set the charset to RCE: exploiting the glibc to hack the PHP engine

📌 Techniques for Creating Process Injection Attacks with Advanced Return-Oriented Programming

🖥 برای مشاهده تمامی ارائه ها میتوانید به لینک زیر مراجعه کنید :
📎 https://media.defcon.org/DEF%20CON%2032/DEF%20CON%2032%20presentations/

📣 @Vip_Security
🌐 www.VipSecurity.zone