💥حملات DDoS در لایه‌های مختلف شبکه؛ از TCP Flood تا HTTP Flood

حمله DDoS فقط این نیست که یه عالمه درخواست به یه سرور بفرستن و سرور از دسترس خارج بشه. بسته به اینکه حمله کدوم بخش شبکه رو هدف بگیره، روش اجرا و نحوه مقابله باهاش کاملاً فرق می‌کنه.

🔹 لایه ۳ | Network Layer

اینجا هدف اصلی زیرساخت IP و ظرفیت شبکه‌ست. حملاتی مثل ICMP Flood و بعضی حملات مبتنی بر IP می‌تونن باعث اشباع لینک، افزایش Packet Loss و اختلال در ارتباطات بشن. اگه پهنای باند ورودی شبکه پر بشه، حتی سرور سالم هم ممکنه برای کاربران از دسترس خارج بشه.

🔹 لایه ۴ | Transport Layer

اینجا پای پروتکل‌های TCP و UDP وسطه. در SYN Flood مهاجم سعی می‌کنه منابع مربوط به اتصال‌های نیمه‌باز رو درگیر کنه؛ در UDP Flood هم حجم بالای بسته‌ها می‌تونه ظرفیت شبکه یا تجهیزات پردازشی رو اشباع کنه. حملات Reflection و Amplification هم با سوءاستفاده از سرویس‌های واسط، حجم بیشتری از ترافیک رو به سمت قربانی هدایت می‌کنن.

🔹 لایه ۷ | Application Layer

این بخش داستان جالب‌تری داره؛ چون ممکنه ترافیک حمله از نظر ظاهری شبیه ترافیک واقعی کاربران باشه. حملاتی مثل HTTP Flood با فرستادن درخواست‌های زیاد به سایت یا API، منابع CPU، حافظه و دیتابیس رو درگیر می‌کنن. حتی ممکنه پهنای باند کاملاً عادی باشه، اما سرور به‌خاطر پردازش درخواست‌های سنگین از کار بیفته.

🔹 لایه ۲ | Data Link Layer

در شبکه‌های محلی هم حملات و اختلالاتی مثل MAC Flooding وجود دارن که می‌تونن جدول آدرس‌های MAC سوئیچ رو تحت فشار قرار بدن. این مورد لزوماً یک حمله DDoS توزیع‌شده نیست، اما نشون می‌ده اختلال در شبکه فقط محدود به اینترنت و سرورها نیست.

🔹 حملات DNS و NTP Amplification

در حملات تقویتی، مهاجم از سرویس‌هایی استفاده می‌کنه که پاسخ اون‌ها می‌تونه از درخواست اولیه بزرگ‌تر باشه. اگر مبدأ درخواست جعل شده باشه و پاسخ به سمت قربانی هدایت بشه، حجم زیادی از ترافیک ناخواسته به زیرساخت هدف می‌رسه. به همین دلیل، جلوگیری از جعل آدرس IP و محدودسازی پاسخ‌های سوءاستفاده‌پذیر اهمیت زیادی داره.

🛡 چطور با DDoS مقابله کنیم؟

برای حملات حجمی، ظرفیت شبکه، فیلترینگ بالادستی و سرویس‌های Anti-DDoS اهمیت دارن. برای حملات TCP باید تنظیمات سیستم‌عامل، فایروال و مدیریت اتصال‌ها بررسی بشه. در لایه ۷ هم Rate Limiting، محدودسازی درخواست‌های مشکوک، CDN، WAF و مانیتورینگ منابع برنامه نقش مهمی دارن.

نکته مهم اینه که فایروال به‌تنهایی همیشه کافی نیست؛ چون اگر لینک اینترنت قبل از رسیدن ترافیک به فایروال اشباع بشه، باید مقابله در سطح ISP یا شبکه بالادستی انجام بشه.

@ModernLan

📡 حملات Deauthentication در وای‌فای؛ چطور مهاجم کاربران رو از شبکه قطع می‌کنه؟

یکی از حملات جالب توی امنیت شبکه‌های وایرلس، حمله‌ی Wi-Fi Deauthentication هست. توی این حمله، مهاجم می‌تونه با ارسال فریم‌های مدیریتی جعلی، باعث قطع ارتباط دستگاه‌های متصل به یک شبکه وای‌فای بشه؛ یعنی گوشی یا لپ‌تاپت به وای‌فای وصله، ولی ناگهان اتصالش قطع می‌شه و ممکنه چند ثانیه بعد دوباره وصل بشه.

اما این اتفاق چطور می‌افته؟ 🤔

در استاندارد IEEE 802.11، علاوه بر فریم‌های مربوط به انتقال داده، فریم‌هایی هم برای مدیریت ارتباط بین کلاینت و اکسس‌پوینت وجود دارن. یکی از این فریم‌ها، Deauthentication Frame هست که برای پایان دادن به وضعیت احراز هویت دستگاه استفاده می‌شه.
مشکل از جایی شروع می‌شه که در شبکه‌های فاقد محافظت مناسب، مهاجم بتونه فریم‌های جعلی‌ای ارسال کنه که دستگاه اون‌ها رو معتبر تشخیص بده. در این حالت، کلاینت ممکنه ارتباطش رو قطع کنه و مجبور بشه دوباره به شبکه متصل بشه.

🎯 این حمله چه کاربردی برای مهاجم داره؟
🔹 ایجاد اختلال در اتصال کاربران به وای‌فای (DoS)
🔹 قطع‌ و وصل مکرر ارتباط گوشی‌ها و لپ‌تاپ‌ها
🔹 فراهم کردن شرایطی برای بررسی یا اجرای حملات دیگر در بعضی سناریوها
🔹 آزمایش امنیت شبکه‌های وایرلس در محیط آزمایشگاهی
نکته مهم اینه که حمله Deauthentication به‌تنهایی رمز وای‌فای رو به دست نمیاره؛ اما می‌تونه دسترسی کاربران به شبکه رو مختل کنه. همچنین این حمله به معنی شنود موفق یا سرقت اطلاعات نیست.

🛡 چطور از شبکه در برابر این حمله محافظت کنیم؟
مهم‌ترین راهکار، استفاده از قابلیت Protected Management Frames (PMF) هست که با استانداردهای IEEE 802.11w و قابلیت‌های امنیتی WPA3 ارتباط داره. این قابلیت می‌تونه از فریم‌های مدیریتی حیاتی در برابر جعل و دست‌کاری محافظت کنه.
✅ فعال کردن WPA3 در صورت پشتیبانی تجهیزات
✅ فعال کردن PMF یا 802.11w و ترجیحاً قرار دادن آن روی حالت Required در شبکه‌های سازگار
✅ به‌روزرسانی Firmware روتر و اکسس‌پوینت
✅ بررسی لاگ‌ها و شناسایی قطع و وصل‌های غیرعادی کلاینت‌ها
✅ انجام تست‌های امنیتی فقط روی شبکه‌ای که مالک اون هستیم یا مجوز تستش رو داریم
💡 نکته امنیتی: اگر وای‌فای مرتب قطع می‌شه، لزوماً به معنی حمله Deauthentication نیست؛ تداخل فرکانسی، ضعف سیگنال، مشکلات DHCP و ایرادات Firmware هم می‌تونن چنین رفتاری ایجاد کنن.

@ModernLAN

مفهوم Banner Grabbing در شناسایی سرویس‌ها

توی امنیت شبکه وقتی می‌خوای یه سرور رو بررسی کنی، فقط فهمیدن IP اون سرور کافی نیست. باید بدونی چه سرویس‌هایی روش اجرا می‌شن، از چه نرم‌افزاری استفاده می‌کنن و گاهی حتی نسخه اون نرم‌افزار چیه. اینجا دقیقاً همون جاییه که Banner Grabbing وارد بازی میشه.

فرض کن یک سرور داری که پورت‌های 22، 80 و 443 اون باز هستن. صرفاً باز بودن این پورت‌ها بهت نمی‌گه دقیقاً چه نرم‌افزاری پشتشون قرار داره.
* پورت 22 معمولاً برای SSH استفاده می‌شه.
* پورت 80 معمولاً برای HTTP هست.
* پورت 443 معمولاً برای HTTPS هست.

حالا با Banner Grabbing سعی می‌کنی اطلاعات بیشتری از سرویس‌های در حال اجرا به دست بیاری.
برای مثال، وقتی به یک سرویس SSH متصل می‌شی، ممکنه چنین پاسخی دریافت کنی:

SSH-2.0-OpenSSH_9.6

این پاسخ بهت می‌گه که سرویس از پروتکل SSH نسخه 2 استفاده می‌کنه و خودش رو به‌عنوان OpenSSH نسخه 9.6 معرفی می‌کنه.

البته این اطلاعات لزوماً تضمین نمی‌کنن که نسخه واقعی نرم‌افزار دقیقاً همینه؛ ممکنه Banner تغییر داده شده باشه یا سیستم از وصله‌های امنیتی خاصی استفاده کنه.

روش‌های انجام Banner Grabbing

۱. با ابزار Netcat

برای بررسی یک سرویس SSH روی سروری که مجاز به تستش هستی:

nc -nv 192.168.1.10 22

اگر سرویس اطلاعات خودش رو هنگام اتصال ارسال کنه، ممکنه Banner مربوط به SSH رو ببینی.

برای بررسی یک وب‌سرور هم می‌تونی درخواست HTTP بفرستی:

printf 'HEAD / HTTP/1.1\r\nHost: example.com\r\nConnection: close\r\n\r\n' | nc example.com 80

ممکنه پاسخی شبیه این دریافت کنی:

HTTP/1.1 200 OK
Server: nginx
Content-Type: text/html

در این مثال، هدر Server اطلاعاتی درباره نرم‌افزار وب‌سرور ارائه می‌ده؛ البته ممکنه این هدر حذف یا دستکاری شده باشه.

۲. با ابزار Nmap

یکی از ابزارهای کاربردی برای شناسایی سرویس‌ها، Nmap هست.

nmap -sV 192.168.1.10

پارامتر -sV تلاش می‌کنه سرویس‌های روی پورت‌های شناسایی‌شده رو تشخیص بده و نسخه احتمالی اون‌ها رو مشخص کنه.

مثلاً خروجی ممکنه چنین چیزی باشه:

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 9.6
80/tcp open  http    nginx 1.24.0

این خروجی نمونه است و نسخه‌های نمایش‌داده‌شده الزاماً با نسخه واقعی هیچ سروری مطابقت ندارن.

۳. با ابزار Curl

برای مشاهده هدرهای HTTP:

curl -I http://example.com

یا برای مشاهده هدرهای پاسخ HTTPS:

curl -I https://example.com

به این ترتیب می‌تونی هدرهایی مثل Server و X-Powered-By رو بررسی کنی؛ البته وجود این هدرها به تنظیمات سرور بستگی داره.

چرا Banner Grabbing برای امنیت سایبری مهمه؟

فرض کن یک وب‌سرور نسخه قدیمی از یک نرم‌افزار رو اجرا می‌کنه. مهاجم ممکنه با بررسی نسخه اعلام‌شده، دنبال آسیب‌پذیری‌های شناخته‌شده بگرده. از طرف دیگه، متخصص امنیت با همین اطلاعات می‌تونه نرم‌افزارهای قدیمی رو شناسایی کنه و برای به‌روزرسانی اون‌ها اقدام کنه.

اما یک نکته مهم: شناسایی نسخه، به معنی اثبات وجود آسیب‌پذیری نیست. برای ارزیابی دقیق باید وضعیت وصله‌های امنیتی، پیکربندی و شرایط واقعی سرویس هم بررسی بشه.

برای کاهش افشای اطلاعات هم می‌شه هدرهای غیرضروری رو حذف کرد، Banner سرویس‌ها رو محدود کرد و نرم‌افزارها رو به‌روز نگه داشت؛ هرچند مخفی کردن نسخه به‌تنهایی جایگزین به‌روزرسانی امنیتی نیست.
@ModernLan

🚀 QUIC و HTTP/3؛ چطور اینترنت رو سریع‌تر و هوشمندتر کردن؟
تا حالا شده اینترنتت سرعت خوبی داشته باشه، ولی سایت‌ها بازم دیر باز بشن؟ 🤔

یکی از دلایلش می‌تونه نحوه برقراری ارتباط بین مرورگر و سرور باشه. اینجاست که دو فناوری مهم وارد می‌شن: QUIC و HTTP/3
🔹 HTTP/1.1؛ روش قدیمی‌تر
ارتباط وب عمدتاً روی TCP انجام می‌شه و مدیریت تعداد زیادی درخواست می‌تونه سربار ایجاد کنه.

🔹 HTTP/2؛ چند درخواست، یک اتصال
HTTP/2
با قابلیتی به اسم Multiplexing اجازه می‌ده چند درخواست هم‌زمان روی یک اتصال TCP منتقل بشن؛ اما گم‌شدن یک بسته TCP می‌تونه تحویل داده‌های چند جریان رو به تأخیر بندازه.

🔹 HTTP/3؛ نسل جدید ارتباط وب
HTTP/3
به‌جای TCP از QUIC روی UDP استفاده می‌کنه. این یعنی تغییر اساسی در نحوه انتقال داده‌ها، نه صرفاً تغییر نسخه HTTP.

🔥 QUIC چه مزایایی داره؟
✅ اتصال سریع‌تر: ادغام فرایندهای برقراری اتصال و رمزنگاری، تأخیر شروع ارتباط رو کاهش میده.
✅ جریان‌های مستقل: اگه بسته‌ای از یک جریان گم بشه، لزوماً جریان‌های دیگه متوقف نمی‌شن؛ البته داده‌های بعدی همان جریان ممکنه منتظر بمونن.
✅ رمزنگاری داخلی: امنیت و محرمانگی ارتباط بخشی از طراحی QUIC هست و برای استفاده معمول از HTTP/3، ارتباط رمزنگاری‌شده لازمه.
✅ عملکرد بهتر در شبکه‌های ناپایدار: QUIC می‌تونه هنگام تغییر شبکه، مثل جابه‌جایی بین Wi-Fi و اینترنت موبایل، در شرایط مناسب اتصال رو حفظ کنه.
✅ کاهش تأخیر: به‌خصوص در اتصال‌های جدید، شبکه‌های پرتأخیر و شرایطی که بسته‌ها گم می‌شن، ممکنه تفاوت محسوسی ایجاد کنه.
🛡 از دید امنیت شبکه چه اهمیتی داره؟
چون HTTP/3 روی QUIC اجرا می‌شه، بخش زیادی از اطلاعات پروتکل در لایه انتقال رمزنگاری می‌شه. در نتیجه، تجهیزات شبکه نمی‌تونن مثل بعضی ارتباطات HTTP قدیمی، محتوای درخواست‌ها رو مستقیماً مشاهده کنن.
البته این به معنی نامرئی‌شدن کامل ترافیک نیست؛ آدرس‌های IP، حجم و زمان‌بندی ترافیک و برخی اطلاعات اتصال همچنان ممکنه قابل مشاهده باشن. همچنین فایروال‌ها و ابزارهای مانیتورینگ باید برای تحلیل QUIC و UDP سازگار باشن.
⚠️ یه نکته مهم: HTTP/3 همیشه سریع‌تر نیست. نتیجه به کیفیت شبکه، تأخیر، میزان Packet Loss، پیاده‌سازی سرور و کلاینت و شرایط اتصال بستگی داره.
💡 جمع‌بندی:
HTTP/2
انتقال وب رو با Multiplexing بهبود داد؛ QUIC با کاهش وابستگی به TCP، مدیریت مستقل جریان‌ها و راه‌اندازی سریع‌تر اتصال، زمینه HTTP/3 رو فراهم کرد.
📌 اینترنت فقط سرعت دانلود نیست؛ گاهی مهم‌ترین تفاوت، اینه که ارتباط چقدر سریع شروع می‌شه و در شرایط نامناسب چقدر خوب ادامه پیدا می‌کنه.

#شبکه #امنیت_شبکه #HTTP3 #QUIC #TCP #UDP #CyberSecurity #Networking

@ModernLan

🔥 دستورات کاربردی SQLmap برای تست امنیت SQL Injection

ابزار sqlmap یکی از ابزارهای معروف تست نفوذ وب است که برای شناسایی و بررسی آسیب‌پذیری SQL Injection در برنامه‌های تحت وب استفاده می‌شود.

این دستورات برای تست روی سایت یا محیط آزمایشگاهی خودت و سیستم‌هایی هستند که مجوز تست آن‌ها را داری.

1. نصب و اجرای اولیه

# نصب در کالی لینوکس
sudo apt update
sudo apt install sqlmap

# مشاهده نسخه
sqlmap --version

# مشاهده راهنما
sqlmap -hh

2. دستورات پایه

# بررسی یک URL دارای پارامتر
sqlmap -u "http://test.local/item.php?id=1"

# افزایش سطح جزئیات خروجی
sqlmap -u "http://test.local/item.php?id=1" -v 3

# بررسی پارامتر مشخص
sqlmap -u "http://test.local/item.php?id=1" -p id

# بررسی سطح و نوع تست
sqlmap -u "http://test.local/item.php?id=1" --level=3 --risk=1

# ذخیره خروجی در مسیر مشخص
sqlmap -u "http://test.local/item.php?id=1" -o

3. شناسایی دیتابیس

# تشخیص نوع دیتابیس
sqlmap -u "http://test.local/item.php?id=1" --banner

# بررسی دیتابیس فعلی
sqlmap -u "http://test.local/item.php?id=1" --current-db

# بررسی کاربر فعلی دیتابیس
sqlmap -u "http://test.local/item.php?id=1" --current-user

# بررسی سطح دسترسی کاربر دیتابیس
sqlmap -u "http://test.local/item.php?id=1" --is-dba

# شناسایی قابلیت‌های دیتابیس
sqlmap -u "http://test.local/item.php?id=1" --fingerprint

4. تست درخواست‌های POST و کوکی

# تست پارامتر POST
sqlmap -u "http://test.local/login.php" \
  --data="username=test&password=test"

# ارسال کوکی آزمایشی
sqlmap -u "http://test.local/item.php?id=1" \
  --cookie="session=YOUR_TEST_SESSION"

# استفاده از درخواست ذخیره‌شده در فایل
sqlmap -r request.txt

# تعیین پارامتر برای تست در درخواست ذخیره‌شده
sqlmap -r request.txt -p id

برای استفاده از -r می‌توانی درخواست HTTP مجاز و آزمایشی را در فایلی به نام request.txt ذخیره کنی.

5. تنظیم نوع تست

# فقط تست‌های مبتنی بر Boolean
sqlmap -u "http://test.local/item.php?id=1" --technique=B

# تست Boolean و Error-based
sqlmap -u "http://test.local/item.php?id=1" --technique=BE

# تست با سطح جزئیات بالاتر
sqlmap -u "http://test.local/item.php?id=1" --level=5 --risk=1

# تعیین زمان انتظار برای پاسخ
sqlmap -u "http://test.local/item.php?id=1" --timeout=10

@ModernLan

🔐 تفاوت Pass-the-Hash و Pass-the-Ticket چیه؟

توی شبکه‌های ویندوزی برای اینکه یه کاربر احراز هویت بشه، همیشه لازم نیست رمز عبورش مستقیم وارد بشه. بعضی وقت‌ها مهاجم می‌تونه از اطلاعات احراز هویتی که به دست آورده سوءاستفاده کنه و خودش رو جای کاربر جا بزنه. دو تا از تکنیک‌های معروف توی این زمینه Pass-the-Hash و Pass-the-Ticket هستن.

توی Pass-the-Hash یا همون PtH، مهاجم به‌جای اینکه رمز عبور واقعی کاربر رو داشته باشه، از هش NTLM اون استفاده می‌کنه. یعنی اگه هش به دستش رسیده باشه، توی شرایط مناسب می‌تونه بدون اینکه رمز اصلی رو بدونه، ازش برای احراز هویت استفاده کنه. پس اینجا چیزی که اهمیت داره هش رمز عبوره، نه خود رمز.

اما توی Pass-the-Ticket یا PtT داستان فرق می‌کنه. اینجا مهاجم سراغ بلیت‌های Kerberos میره که برای احراز هویت توی شبکه‌های ویندوزی، مخصوصاً محیط‌های Active Directory، استفاده می‌شن. اگه مهاجم بتونه یه بلیت معتبر رو به دست بیاره، بسته به نوع بلیت و دسترسی‌های مربوط به اون، ممکنه بتونه بدون وارد کردن رمز عبور، از هویت کاربر سوءاستفاده کنه.

حالا تفاوت اصلی این دوتا چیه؟
توی Pass-the-Hash با هش NTLM سروکار داریم، ولی توی Pass-the-Ticket با بلیت Kerberos. هر دو می‌تونن به مهاجم کمک کنن بدون دونستن رمز عبور اصلی به منابع شبکه دسترسی پیدا کنه، اما سازوکارشون متفاوته و نباید این‌طور تصور کنیم که هر هش یا هر بلیتی به‌تنهایی دسترسی ادمین می‌ده.

برای مقابله با این تکنیک‌ها هم باید دسترسی به اعتبارنامه‌ها رو محدود کرد، حساب‌های ادمین رو درست مدیریت کرد، در صورت امکان استفاده از NTLM رو کاهش داد، از قابلیت‌هایی مثل Credential Guard استفاده کرد و لاگ‌های احراز هویت ویندوز رو برای رفتارهای مشکوک بررسی کرد.

خلاصه بخوام بگم براتون، توی Pass-the-Hash مهاجم با هش رمز عبور کار می‌کنه، ولی توی Pass-the-Ticket با بلیت احراز هویت Kerberos. هدف هر دو سوءاستفاده از هویت کاربره، اما راهی که میرن با هم فرق داره. 🔥

#CyberSecurity #Windows #ActiveDirectory #NTLM #Kerberos #PassTheHash #PassTheTicket #امنیت_شبکه


@ModernLan

چطور یک روتر آلوده می‌تونه کل شبکه رو درگیر کنه؟

وقتی صحبت از آلوده شدن یه روتر میشه، قضیه فقط هک شدن یه دستگاه نیست؛ چون روتر نقطه‌ایه که ترافیک کلی از دستگاه‌های شبکه ازش عبور می‌کنه و همین موضوع باعث می‌شه اگه مهاجم بتونه کنترلش رو به دست بگیره، روی امنیت کل شبکه تأثیر بذاره. از دید امنیت سایبری، یکی از اولین کارهایی که مهاجم ممکنه انجام بده، دستکاری تنظیمات DNS هست؛ یعنی کاری کنه وقتی کاربر آدرس یه سایت رو وارد می‌کنه، درخواستش به‌جای سرور اصلی به یه مقصد دیگه هدایت بشه.

از طرف دیگه، اگه مهاجم به تنظیمات مسیریابی، فایروال یا مدیریت روتر دسترسی داشته باشه، ممکنه مسیر ارتباطات رو تغییر بده، بعضی دسترسی‌ها رو باز کنه یا ارتباط دستگاه‌ها با اینترنت رو مختل کنه. اما ماجرا به همین‌جا ختم نمی‌شه؛ اگه شبکه داخلی به‌درستی ایزوله نشده باشه، مهاجم می‌تونه از روتر به‌عنوان نقطه شروع برای شناسایی دستگاه‌های متصل، بررسی سرویس‌های در دسترس و پیدا کردن سیستم‌های آسیب‌پذیر استفاده کنه.

مثلاً اگه یه سرور یا کامپیوتر داخل شبکه نرم‌افزار قدیمی داشته باشه یا سرویس ناامنی رو در دسترس گذاشته باشه، ممکنه مهاجم از اون ضعف برای نفوذ بیشتر استفاده کنه و به‌تدریج از یک نقطه به نقاط دیگه شبکه برسه؛ چیزی که تو امنیت بهش حرکت جانبی یا Lateral Movement می‌گن. یه خطر دیگه هم اینه که روتر آلوده به بخشی از یه بات‌نت تبدیل بشه و بدون اطلاع صاحبش برای ارسال ترافیک مخرب یا حمله به سیستم‌های دیگه مورد استفاده قرار بگیره.
نکته مهم اینه که آلوده شدن روتر لزوماً به معنی آلوده شدن همه دستگاه‌های شبکه نیست، اما می‌تونه شرایط رو برای حملات گسترده‌تر فراهم کنه، مخصوصاً وقتی رمز مدیریت ضعیفه، Firmware به‌روزرسانی نشده یا همه دستگاه‌ها بدون محدودیت به هم دسترسی دارن. برای همین، از دید دفاعی باید تنظیمات DNS و فایروال، حساب‌های مدیریتی، قوانین Port Forwarding و ترافیک خروجی رو بررسی کرد و در کنار به‌روزرسانی روتر، شبکه رو به بخش‌های جداگانه تقسیم کرد تا اگه یه دستگاه به خطر افتاد، نتونه به‌راحتی کل زیرساخت رو درگیر کنه. در واقع، خطر واقعی فقط خود روتر آلوده نیست؛ خطر اصلی اینه که مهاجم از جایگاه روتر در شبکه سوءاستفاده کنه و همون دسترسی اولیه رو به فرصتی برای نفوذ بیشتر تبدیل کنه.
@ModernLan

نقش DHCP Snooping و Dynamic ARP Inspection در جلوگیری از حملات داخلی.

🛡 DHCP Snooping و Dynamic ARP Inspection

دو لایه دفاعی در برابر حملات داخلی شبکه

برای خرابکاری توی یه شبکه همیشه لازم نیست مهاجم از اینترنت نفوذ کنه؛ گاهی کافیه یه دستگاه به شبکه داخلی وصل کنه و از همون‌جا شروع کنه به دست‌کاری ترافیک بقیه! اینجاست که DHCP Snooping و DAI اهمیت پیدا می‌کنن.


🔹 DHCP Snooping چیکار می‌کنه؟

فرض کن یکی داخل شبکه یه DHCP Server جعلی راه بندازه و به کلاینت‌ها Gateway یا DNS اشتباه بده. این کار می‌تونه مسیر ارتباطی کاربرها رو دست‌کاری کنه و زمینه حملاتی مثل Man-in-the-Middle رو فراهم کنه. DHCP Snooping روی سوییچ مشخص می‌کنه کدوم پورت اجازه ارسال پاسخ DHCP معتبر رو داره و پاسخ‌های غیرمجاز رو از پورت‌های کاربران مسدود می‌کنه. همچنین اطلاعات IP و MAC دستگاه‌ها رو داخل یه جدول به اسم Binding Table ثبت می‌کنه.

🔹 Dynamic ARP Inspection یا DAI چیکار می‌کنه؟
حالا فرض کن مهاجم بخواد با ARP Spoofing خودش رو به‌جای Gateway جا بزنه تا ترافیک دستگاه‌های دیگه از مسیر اون عبور کنه. DAI پیام‌های ARP رو بررسی می‌کنه و با استفاده از اطلاعات معتبر، مثل جدول DHCP Snooping، پیام‌های مشکوک یا ناسازگار رو مسدود می‌کنه.

🔥 ترکیب این دو چه فایده‌ای داره؟
DHCP Snooping
جلوی بسیاری از حملات مبتنی بر DHCP جعلی رو می‌گیره و اطلاعات موردنیاز رو فراهم می‌کنه؛ DAI هم از این اطلاعات برای مقابله با ARP Spoofing استفاده می‌کنه. در واقع، یکی به معتبر بودن اطلاعات تخصیص IP کمک می‌کنه و اون یکی جلوی جعل ارتباط IP و MAC رو می‌گیره.

⚠️ یه نکته مهم: این قابلیت‌ها جایگزین کامل امنیت شبکه نیستن. دستگاه‌های دارای IP ثابت ممکنه به تنظیمات تکمیلی مثل ARP ACL نیاز داشته باشن و پیکربندی اشتباه پورت‌های Trusted هم می‌تونه امنیت رو به خطر بندازه.
📌 اگه با سوییچ‌های مدیریتی سیسکو یا تجهیزات سازمانی کار می‌کنی، فعال‌سازی و پیکربندی درست این دو قابلیت می‌تونه بخش مهمی از دفاع در برابر حملات لایه ۲ شبکه باشه.

@ModernLan

#امنیت_شبکه #DHCP_Snooping #DAI #ARP_Spoofing #Cisco #NetworkSecurity #CCNA

🔴 گزارش‌های غیررسمی از احتمال قطع اینترنت بین‌الملل در صورت شروع درگیری جدید

بر اساس اطلاعاتی که به دستمون رسیده، ظاهراً بحث قطع فوری اینترنت بین‌الملل در صورت شروع مجدد جنگ، در سطوح بالای تصمیم‌گیری مطرح شده. گفته می‌شه طبق یک دستورالعمل داخلی، در صورت ورود کشور به شرایط جنگی، محدودسازی یا قطع دسترسی کاربران به اینترنت جهانی می‌تونه به‌عنوان یکی از اقدامات اولیه اجرایی بشه.

اگه این اطلاعات صحت داشته باشه، موضوع فقط فیلترینگ چندتا سایت یا اختلال مقطعی نیست؛ بلکه صحبت از تصمیمیه که می‌تونه دسترسی بخش بزرگی از مردم به سرویس‌های خارجی، ارتباطات آنلاین و زیرساخت‌های وابسته به اینترنت بین‌الملل رو تحت تأثیر قرار بده.

البته فعلاً سند مستقلی که صدور این دستور و جزئیات اجرای اون رو تأیید کنه، در دسترس نیست و نمی‌شه این خبر رو قطعی دونست. باید دید در صورت تشدید تنش‌ها، چه تصمیمی درباره اتصال کشور به شبکه جهانی گرفته میشه.

@ModernLAN

📌ارتقای سرور HPE📌

پردازنده (CPU): مدل AMD EPYC 9965 (سوکت SP5) - ۱۹۲ هسته / ۳۸۴ رشته

حافظه رم (RAM): ۱۲۸ گیگابایت

کارت شبکه ۲۵ گیگابیت بر ثانیه (25 GbE)

📌@ModernLan

تفاوت NAS، SAN و DAS از دید زیرساخت.

📦 تفاوت NAS، SAN و DAS از دید زیرساخت شبکه و سرور
وقتی صحبت از ذخیره‌سازی اطلاعات توی زیرساخت می‌شه، فقط ظرفیت هارد مهم نیست؛ اینکه سرور چطور به اطلاعات دسترسی پیدا می‌کنه و چند سیستم می‌تونن از فضای ذخیره‌سازی استفاده کنن هم اهمیت زیادی داره. اینجاست که تفاوت NAS، SAN و DAS مشخص می‌شه.
🔹 NAS (Network Attached Storage)
اینجا فضای ذخیره‌سازی از طریق شبکه در اختیار سیستم‌ها قرار می‌گیره. مثلاً چندین کاربر یا سرور می‌تونن از طریق پروتکل‌هایی مثل SMB و NFS به فایل‌های مشترک دسترسی داشته باشن. NAS بیشتر برای فایل‌سرور، بکاپ و اشتراک‌گذاری اطلاعات استفاده می‌شه.
🔹 SAN (Storage Area Network)
اینجا با یک زیرساخت شبکه‌ای مخصوص ذخیره‌سازی سروکار داریم که فضای دیسک رو معمولاً به‌صورت Block در اختیار سرورها قرار می‌ده. سرور می‌تونه این فضا رو مثل یک دیسک مدیریت کنه. SAN بیشتر توی دیتاسنترها، مجازی‌سازی، کلاسترها و دیتابیس‌های سازمانی کاربرد داره. تکنولوژی‌هایی مثل Fibre Channel و iSCSI هم توی این معماری استفاده می‌شن.
🔹 DAS (Direct Attached Storage)
توی این مدل، فضای ذخیره‌سازی مستقیماً به سرور متصل می‌شه؛ مثل هاردهای داخلی سرور یا دیسک‌هایی که با SAS، SATA یا NVMe وصل می‌شن. این روش معمولاً ساده‌تره و برای سرورهای مستقل انتخاب خوبیه، اما اشتراک‌گذاری فضای ذخیره‌سازی بین چند سرور به‌سادگی NAS یا SAN نیست.
⚙️ تفاوت اصلی از دید زیرساخت چیه؟
🔸 DAS: اتصال مستقیم دیسک به سرور

🔸 NAS: دسترسی فایل‌محور از طریق شبکه

🔸 SAN: دسترسی بلوکی از طریق زیرساخت ذخیره‌سازی شبکه‌ای
💡 یه نکته مهم: همیشه SAN سریع‌تر از NAS نیست؛ عملکرد واقعی به نوع دیسک، کنترلر، پروتکل، شبکه و نوع بار کاری بستگی داره.
🎯 کجا از کدوم استفاده کنیم؟
▪️ اشتراک فایل و بکاپ: NAS

▪️ دیتاسنتر و ذخیره‌سازی متمرکز برای سرورها: SAN

▪️ ذخیره‌سازی مستقیم برای یک سرور: DAS

در نهایت، انتخاب درست به نیاز زیرساخت، بودجه، میزان دسترس‌پذیری و حجم کاری بستگی داره؛ نه صرفاً اسم تکنولوژی.
@ModernLan

#شبکه #زیرساخت #سرور #Storage #NAS #SAN #DAS #Network #DataCenter #CyberSecurity

📡 آموزش فیلتر کردن ترافیک شبکه با tcpdump

یکی از کاربردی‌ترین ابزارها برای تحلیل ترافیک شبکه توی لینوکس، ابزار tcpdump هست. با این ابزار می‌تونی بسته‌هایی که از کارت شبکه عبور می‌کنن رو بررسی کنی، اما نکته مهم اینه که لازم نیست کل ترافیک شبکه رو ببینی؛ می‌تونی با استفاده از فیلترها دقیقاً مشخص کنی دنبال چه ترافیکی هستی.

🔹 ۱. فیلتر بر اساس IP
اگه بخوای فقط ترافیک مربوط به یک سیستم رو ببینی:
sudo tcpdump -i eth0 host 192.168.1.10
فقط بسته‌هایی که از این IP ارسال می‌شن:
sudo tcpdump -i eth0 src host 192.168.1.10
فقط بسته‌هایی که به این IP می‌رن:
sudo tcpdump -i eth0 dst host 192.168.1.10
🔹 ۲. فیلتر بر اساس پورت
برای بررسی ترافیک HTTPS:
sudo tcpdump -i eth0 port 443
برای بررسی DNS:
sudo tcpdump -i eth0 port 53
برای بررسی SSH:
sudo tcpdump -i eth0 port 22
🔹 ۳. ترکیب چند فیلتر با هم
فرض کن می‌خوای فقط ترافیک HTTPS یک سیستم مشخص رو ببینی:
sudo tcpdump -i eth0 'host 192.168.1.10 and port 443'
یا می‌خوای ترافیک HTTP و HTTPS رو هم‌زمان بررسی کنی:
sudo tcpdump -i eth0 'port 80 or port 443'
برای دیدن ترافیک یک سیستم به‌جز SSH:
sudo tcpdump -i eth0 'host 192.168.1.10 and not port 22'
🔹 ۴. فیلتر بر اساس پروتکل
فقط بسته‌های TCP:
sudo tcpdump -i eth0 tcp
فقط بسته‌های UDP:
sudo tcpdump -i eth0 udp
فقط بسته‌های ICMP برای بررسی ترافیک Ping:
sudo tcpdump -i eth0 icmp
🔹 ۵. بررسی ترافیک یک شبکه کامل
اگه بخوای ترافیک مرتبط با شبکه 192.168.1.0/24 رو بررسی کنی:
sudo tcpdump -i eth0 net 192.168.1.0/24
🔹 ۶. ذخیره ترافیک برای تحلیل بعدی
برای ذخیره بسته‌های HTTPS داخل فایل:
sudo tcpdump -i eth0 port 443 -w traffic.pcap
بعداً هم می‌تونی فایل رو دوباره بخونی:
tcpdump -nn -r traffic.pcap
این فایل رو می‌شه با ابزار Wireshark هم تحلیل کرد.
🔹 ۷. چند آپشن کاربردی
-nn نمایش IP و پورت به‌صورت عددی، بدون تبدیل نام‌ها
-vv نمایش جزئیات بیشتر بسته‌ها
-c 100 توقف بعد از دریافت ۱۰۰ بسته
-A نمایش بخش‌های متنی قابل‌چاپ بسته‌ها
مثلاً:
sudo tcpdump -i eth0 -nn -c 100 port 443
یعنی ترافیک پورت ۴۴۳ رو به‌صورت عددی نمایش بده و بعد از دریافت ۱۰۰ بسته متوقف شو.
💡 یه نکته مهم: اسم eth0 فقط یک مثال هست؛ برای پیدا کردن نام کارت شبکه خودت از دستور زیر استفاده کن:
ip -br addr
یادتون باشه tcpdump ترافیک قابل‌مشاهده روی اینترفیس انتخاب‌شده رو Capture می‌کنه و فیلترها مشخص می‌کنن چه بسته‌هایی نمایش داده یا ذخیره بشن. همچنین رمزگذاری HTTPS باعث می‌شه محتوای برنامه‌ها معمولاً به‌صورت متن ساده قابل مشاهده نباشه.

@ModernLan

#شبکه #لینوکس #TCPdump #امنیت_شبکه #NetworkSecurity #Linux #CyberSecurity

چرا بعضی سایت‌ها با IP باز می‌شوند اما با دامنه نه؟

وقتی یه سایت با IP مستقیم باز میشه ولی با دامنه نه، لزوماً معنی‌ش این نیست که DNS مشکل داره؛ چند تا دلیل فنی می‌تونه پشت این قضیه باشه. وقتی آدرس یه سایت رو با دامنه وارد می‌کنی، اول باید DNS اون دامنه رو به IP تبدیل کنه تا سیستم بفهمه درخواست رو به کجا بفرسته. حالا اگه DNS درست جواب نده، رکورد دامنه اشتباه باشه یا کش DNS اطلاعات قدیمی داشته باشه، ممکنه سایت با دامنه باز نشه، ولی وقتی IP رو مستقیم وارد می‌کنی، این مرحله رو دور می‌زنی و مستقیم به اون آدرس وصل میشی.

اما داستان همیشه به همین سادگی نیست؛ چون وب‌سرورها هم معمولاً فقط با IP تصمیم نمی‌گیرن که چه سایتی رو نمایش بدن. مثلاً ممکنه چند تا سایت روی یه سرور و یه IP میزبانی بشن و سرور با بررسی نام دامنه داخل درخواست HTTP تشخیص بده که باید کدوم سایت رو تحویل بده. به این سازوکار Virtual Host می‌گن. از طرف دیگه، توی HTTPS قضیه یه مقدار پیچیده‌تر می‌شه، چون مرورگر علاوه بر برقراری اتصال، باید گواهی امنیتی دامنه رو هم بررسی کنه و نام دامنه رو در فرایند TLS به سرور اعلام کنه. پس ممکنه IP با HTTP باز بشه، ولی دامنه با HTTPS به خاطر تنظیمات اشتباه SSL، گواهی نامعتبر یا مشکل تنظیمات سرور خطا بده.


یه حالت دیگه هم اینه که سایت پشت CDN یا سرویس‌هایی مثل Cloudflare قرار داشته باشه؛ در این شرایط ممکنه IPای که مستقیم وارد می‌کنی اصلاً مسیر واقعی دسترسی به سایت نباشه یا سرور فقط درخواست‌هایی رو قبول کنه که از مسیر و با نام دامنه درست ارسال می‌شن. حتی گاهی فایروال یا تنظیمات امنیتی، درخواست مستقیم به IP رو با درخواست دامنه متفاوت پردازش می‌کنه.

برای اینکه بفهمی دقیقاً مشکل از کجاست، اول با دستور nslookup example.com بررسی کن دامنه به چه IPای تبدیل می‌شه، بعد با curl -I https://example.com پاسخ سایت رو ببین و در نهایت با دستور curl -v --resolve example.com:443:IP_ADDRESS https://example.com/ دامنه رو به یه IP مشخص هدایت کن تا بدون وابستگی به DNS معمولی، اتصال HTTPS رو با همون نام دامنه تست کنی.

اگه این تست موفق شد ولی باز کردن عادی دامنه نه، احتمال مشکل DNS یا انتخاب IP مطرح می‌شه؛ اگه خطای TLS گرفتی باید تنظیمات HTTPS بررسی بشه و اگه خطای 403 یا 404 دیدی، احتمال داره موضوع به تنظیمات وب‌سرور یا سیاست‌های دسترسی مربوط باشه. خلاصه اینکه باز شدن سایت با IP فقط نشون می‌ده یه مسیر دسترسی به اون IP وجود داره؛ ولی برای اینکه سایت با دامنه هم درست کار کنه، DNS، تنظیمات وب‌سرور، گواهی SSL و مسیری که درخواست ازش عبور می‌کنه، همگی باید درست کار کنن.

@ModernLan

📌 Snapshot با Backup چه تفاوتی داره؟ Cluster توی سرورها چیه؟

🔹 Snapshot vs Backup

ببینید، Snapshot و Backup شاید در نگاه اول شبیه هم باشن، ولی کاربردشون فرق داره. Snapshot در واقع یه نقطه بازگشت از وضعیت ماشین مجازیه که معمولاً قبل از آپدیت، تغییر تنظیمات یا نصب نرم‌افزار ازش استفاده می‌کنیم تا اگه مشکلی پیش اومد، بتونیم به وضعیت قبلی برگردیم. اما Backup برای نگهداری نسخه پشتیبان از اطلاعات و بازیابی اون‌ها بعد از خرابی سرور، حذف فایل‌ها یا از دست رفتن داده‌هاست. نکته مهم اینه که Snapshot جای Backup رو نمی‌گیره؛ چون اگه Storage اصلی خراب بشه و Snapshot هم روی همون زیرساخت باشه، ممکنه هر دو رو از دست بدیم. پس Snapshot برای برگشت سریع و Backup برای محافظت از اطلاعاته.

🔹 Cluster در سرورها چیه؟

کلاستر یعنی چند سرور رو به هم متصل کنیم تا برای ارائه یه سرویس مشخص با هم کار کنن. مثلاً فرض کن یه شرکت دو تا سرور داره؛ اگه سرور اول خراب بشه، سرور دوم می‌تونه بسته به نوع کلاستر، سرویس رو تحویل بگیره تا قطعی به حداقل برسه. به این مدل High Availability یا HA میگن. البته همه کلاسترها برای جلوگیری از قطعی نیستن؛ بعضی‌ها برای تقسیم بار بین سرورها استفاده می‌شن که بهش Load Balancing می‌گیم و بعضی‌ها هم برای پردازش‌های سنگین و توزیع محاسبات کاربرد دارن. نکته مهم اینه که کلاستر به‌تنهایی تضمین نمی‌کنه هیچ‌وقت قطعی نداشته باشیم؛ طراحی درست شبکه، ذخیره‌سازی و تنظیمات Failover هم خیلی مهمه.

💡 خلاصه کاربردی:
🔸 Snapshot = برگشت سریع به وضعیت قبلی

🔸 Backup = بازیابی اطلاعات از دست‌رفته

🔸 Cluster = همکاری چند سرور برای افزایش دسترس‌پذیری، تقسیم بار یا پردازش

@ModernLan

#شبکه #سرور #Backup #Snapshot #Cluster #مجازی_سازی #زیرساخت #IT