پروتکل NTLM یک پروتکل Authentication قدیمی توی مایکروسافت هتسش. با اینکه سال‌هاست مایکروسافت پروتکل kerberos را به عنوان گنده احراز هویت و اینا بود ولی NTLM هنوز به عنوان یک سیستم Fallback در تمام ویندوزها هستش.


1. معماری و منطق کارکرد NTLM بر پایه مکانیزم Challenge-Response هست

پروتکل NTLM هیچ وقت رمز عبور ما رو به صورت plain text توی شبکه نمیفرسته. این پروتکل بر اساس یک بازی سه مرحله‌ای Challenge-Response کار می‌کنه:

1. گام اول Negotiate: کلاینت به سرور میگه که میخواد لاگین کنم.

2. گام دوم Challenge: سرور یک عدد تصادفی ۸ بایتی به نام Challenge یا همان Nonce تولید می‌کنه و برای کلاینت می‌فرسته

3. گام سوم Response: کلاینت هشِ پسورد کاربر (که به آن NTLM Hash می‌گن و در رم ال‌اس‌اس یا فایل SAM ذخیره هست) کلاینت با استفاده از این ntlm hash و chalange ارسال شده توسط کاربر یه مقدار ntlm, response محاسبه میکنه و اون برای سرور میفرسته

4. تأیید نهایی: سرور خودش همین محاسبات را انجام می‌دهد؛ اگر خروجی‌ها یکی بود، اجازه ورود می‌دهد.
این کل کاریه که انجام میده یه مقدار دیگه درباره حملاتش و تفائتش با ntlm v1 , v2 میفرستم

➖➖➖➖➖
CHANNEL

سلام بچه چطورین
یه مقداری داشتم درباره iptables میخوندم و اومدن nftables به جای این فایروال قدیمی که خب واضح تر و درست بخوام بگم همون packet filter خودمون میشه که بر پایه فریم ورک netfilter هستش داخل کرنل(البته اینم بگم خود nftables هم جزئشه).
فایروال شبکه لینوکس در داخل خود kernel انجام میشه . ابزار ها و دیمون های userspace میتونن اون رو مدیریت و کانفیگ کنن ولی اونا فقط اطلاعات پیکربندی به kernel میفرستن.لاگ های فایروال هم از سمت kernel rings buffer ارسال میشه.
قابلیت فایروال nftables یه پیشرفت گنده ای که نسبت به iptables داشته اینه که علاوه بر فیلترینگ ipv4 , ipv6 , mac داخل یه فایل .conf ترکیب میکنه اینه که برای هر rule چندین action انجام بدیم که خب چیز جالبیه.
مسیر => /etc/nftables.conf یا /etc/nftables/
من تو اینترنت گشتم و حقیقتا یه فایل پیکربندی پیدا کردم و پایین میزارمش :

table inet filter {
    chain input {
        type filter hook input priority 0;
        ct state {established, related} accept
        iifname eth1 accept
        ip protocol icmp accept
        tcp dport 22 accept
        reject with icmp type port-unreachable
    }
    chain forward {
        type filter hook forward priority 0;
        drop
    }
    chain output {
        type filter hook output priority 0;
    }
}

داخل nftables همه rule ها داخل یک Tables قرار میگیرن و ساختارشون اینطوریه(اگه یه مقدار مفهوم بد رسوندم پیوی بگین بیشتر توضیحش بدم) :

table
chain{
rule
rule
...
}chain

بعد از این مورد ما inet ها رو داریم . چیزی که family جدول مشخص میکنه و family های موجود اینها هستن:
ipv4,ipv6,inet,arp,brindge,netdev
داخل rule که تعریف کردیم ient هست یعنی قوانین روی v4,v6 هر دو اعمال میشه!
بخش اول یا بهتره بگیم chain اول درباره input ها یا اعمال قوانین روی packet هایی هستش که وارد سیستم میشه مثلا ssh , http , icmp , ...
اگه دقت کنیم اول اول نوشتیم type filter که ما کبل 3 تا تایپ اصلی داریم filter , net , route در اینجا filter تصمیم میگیره accept یا drop انجام بده
بخش بعدی نوشته شده hook input (یه مقدار بر میگرده به netfilter که چند تا نقطه هوک کردن داره incoming , prerouting , input , application که خب وقت بشه بعدا دربارش حرف میزنیم) توی این بخش input نوشتیم که یعنی این chain هنگام وارد شدن پکت به خود سیستم اجرا بشه.
بخش بعدی که داره priority 0 هستش که اگه چند تا chain روی همون hook باشن الویت بندی میکنه که کی زودتر اجرا بشه که از -100 تا 100 هستش.
اینجا همون rule اول توضیح میدیم

ct state { established, related } accept

مهم ترین rule هر firewall . خب یعنی چی؟ یعنی اینکه کرنل وضعیت connection ها رو نگه میداره
اینجا established یعنی کانکشن قبلا برقرار شده . related یعنی یه کانکشن جدید ایجاد شده ولی مرتبط به اون کانکشن قبلی هستش مثل ftp یا icmp err.
بخش بعدی iifname lo accept هستش یعنی incoming interface name که من اینترفیس loopback یعنی lo گزاشتم یعنی اگه برنامه ای داشت با خودش ارتباط برقرار میکرد نباید بلاک بشه و accept هستش.
یه rule دیگه ای که دوست دارم دربارش بگم و این بحثو تموم کنیم tcp dport 22 accept که میگه اگه کانکشن tcp بود و destination port برابر 22 بود قبول کن و به همین اسونی
شاید سواله چرا این rule ها اشنا هستن؟
https://oneuptime.com/blog/post/2026-03-20-tcpdump-bpf-filter-expressions/view
https://andreaskaris.github.io/blog/networking/bpf-and-tcpdump/
https://docs.kernel.org/bpf/
یه سر بهش بزنید بد نیست و اینکه شبتون بخیر❤️
➖➖➖➖➖
CHANNEL

T.me/SimurghSec
کانال یکی از دوستان که تو باگ بانتی حرف برای گفتن زیاد داره(شاهرخ)
دوست داشتید عضو بشید

مخفف ldap در اصل lightweight directory access protocol
پروتوکلیه برای ذخیره جست و جو و مدیریت و بیشتر برای کاربران و گروه ها و سیستم ها و احراز هویت استفاده میشه
ساده ترین تعریف براش مثل یک تلفن سازمانی هستش که برای دیتابیس هویتی عمل میکنه
مثلا اسم و پسورد ایمیل و ... داخل ldap نگهداری میشن
ldap مهم ترین پیاده سازیش داخل اکتیو دایرکتوری هستش!
اکتیو دایرکتوری در اصل از ldap , kerberos , dns ترکیب شده است.
دیتایی که داخل ldap قرار داره تشکیل شده از object هستش که نام های اونا user m group , computer , printer , ou هستش


مفاهیم اصلی ldap :
# 1. DN (Distinguished Name)
ادرس کامل یک object رو به ما میده
برای مثال:

cn=Ali,ou=Users,dc=company,dc=local
CN => name object
OU => دسته بندی سازمانی
DC => قسمت های دامنه

company.local or dc=company,dc=local`w
در واقع روی پورت های 389 , 636 کار میکنه

اطلاعاتی که میشه از ldap گرفت =>
- user list
- groups
- computers
- domain admins
- password policy
- SPN accounts
- service accounts

➖➖➖➖➖
CHANNEL

Server Side Template Injection (SSTI) in AI Prompt Templates
Python-based Web Application Attacks👾

با رشد استفاده از فریم‌ ورک‌هایی مثل LangChain و Template های داینامیک برای ساخت اپلیکیشن‌های AI، یک سطح حمله جدید هم به وجود آمده

این مقاله از PyFu به بررسی Server-Side Template Injection (SSTI) در سیستم‌های مبتنی بر هوش مصنوعی میپردازد؛ جایی که ترکیب اشتباه ورودی کاربر با Prompt Template میتونه از یک مشکل ساده به یک آسیب‌پذیری جدی تبدیل شود.

📌 نکته مهمی که وجود داره SSTI با Prompt Injection یکی نیست.

در Prompt Injection، مهاجم تلاش میکنه رفتار مدل رو با دستورهای متنی تغییر بده؛ اما در SSTI، مشکل در نحوه پردازش Templateها توسط برنامس و در بعضی شرایط میتونه حتی به اجرای کد روی سرور (RCE) منجر بشه.

مقاله توضیح میده که چجور استفاده ناامن از Template Engineهایی مثل Jinja2 میتونه باعث بشه مهاجم به بخش‌هایی از محیط اجرای Python دسترسی پیدا کند و اطلاعات حساسی مثل Credential ها یا داده‌های داخلی را هدف قرار دهد.

🔍 موضوعات اصلی مقاله:
• تفاوت SSTI و Prompt Injection
• ریسک استفاده ناامن از Prompt Templateها
• نحوه شکل‌گیری این آسیب‌پذیری در Pipelineهای AI
• اهمیت جداسازی داده کاربر از ساختار Template
• استفاده از محیط‌های محدود و ایزوله برای کاهش ریسک

با توجه به اینکه اپلیکیشن‌های AI روزبه‌روز بیشتر وارد محیط‌های واقعی میشوند، بررسی این نوع آسیب‌پذیری‌ها برای هر کسی که در حوزه AI Security، Web Security و Bug Bounty فعالیت میکند، اهمیت زیادی دارد.

🔗 مطالعه کامل:
https://pyfu.io/python-based-web-application-attacks/injection-attacks/server-side-template-injection-ssti-in-ai-prompt-templates

برای دریافت به‌روزرسانی‌های امنیتی روزانه، و اخبار امنیت سایبری مارو به عنوان منبع مورد نظر خود دنبال کنید ->❤️💻
GROUP ™️
@mandegar_sec | channel

#AISecurity #SSTI #LangChain #WebSecurity #BugBounty

سلام دوستان چطورین
یه ریسرچ ریز درباره memprocfs دیدم جالبه نوشتم گفتم بزارم
➖➖➖➖➖
CHANNEL

سلام دوستان حلتون چطوره اومدم یه مقدار درباره DTP بگم خب DTP یه پروتوکلی هستش که به سویچ ها اجاره میده بدون نیاز به پیکربندی های استاتیک وضعیت سویچ پورت ها رو Negotiate کنن تا به یکی از حالت های زیر تبدیل بشه:ACCESS PORTS و TRUNK PORTS
پروتوکل DTP به ضورت دیفالت روی تمام اینترفیس های سویچ های سیسکو enable هستش .
ما تا الان سویچ ها رو با صورت استاتیک با استفاده از دستورات switchport mode trunk یا mode access پیکربندی میکردیم
(یه نکته ریز بگم بریم ادامش دوستان با دستور show interfaces < > switchport تنظیمات مربوطه بهشو به ما نشون میده)
قبل از رفتن سراغ بقیه بحث بگم trunk چیه تا توی حاله ای از ابهامات نیوفتیم . داش ترانک یعنی اینکه این پورت معمولا برای اتصال دو تا سویچ به یکدیگه یا اتصال به روتر استفاده میشه. پورت ترانک میتونه تمام ترافیک vlan ها رو از طریق یه کابل عبور بده
بریم برای ادامه
حالت DTP DYNAMIC DESIRABLE :
توی این حالت به صورت مستمر تلاش میکنه که با سویچ ها یه لینک ترانک تشکیل بده.اگه اینترفیس مقابل روی حالت static access ست شده باشه لینک ترانک تشکیل نمیشه و به عنوان access port کار میکنه .
حالت DTP DYNAMIC AUTO:
زمانی کار میکنه که سویچ متصل به اون به صورت مستمر درحال تلاش برای ترانک کردن باشه یه جورایی میشه گفت اگه قبلی به این وصل باشه با هم میتونن ترانک بشن برن سر خونه زندگیشون و سویچ جدید متولد بشه.
پروتوکل DTP با تجهیزاتی مثل router , pc , ... یه ترانک تشکیل نمیده و تو این حالت فقط سویچ در حالت access قرار میگیره.
➖➖➖➖➖
CHANNEL

دوستان سلام چطورین
اقا امروز اومدیم درباره DHCP snooping حرف بزنیم که اصلا چیه و چیکارست؟
پروتوکل DHCP به صورت پیشفرض هیچ مکانیزم احراز هویتی نداره و هر دستگاهی که به سویچ وصل شه و مدعی بشه که اون سرور DHCP هستش سیستم دیگه با اون کانکشن برقرار میکنن
این موضوع دو تا خطر بزرگ درست میکنه
یک اینکه Rogue DHCP Server هستش برای مثال یهیارویی اومده یه سرور جعلی DHCP بالا اورده به یکی از پورتای سویچ شرکت یا اون محوطه وصل میکنه. وقتی یه کارمند PC روشن میکنه درخخواست IP میکنه یا همون DHCP DISCOVER رو برودکست میکنه. اگه سرور DHCP جعلی زودتر از اون اصلیه جواب بده کارمنده بدبخت ما آیپی از اون جعلیه میگیره و Gateway جعلی میگیره و الان تمام ترافیک اون یارو از سیستم اون هکره رد میشه و میتونه یه man in the middle خوب پیاده کنه .
حمله بعدی DHCP Starvation Attack هستش که حالا هکر با استفاده از ابزار yersinia که فکر کنم اکثرا اشنا باشین میاد تا ناموس درخواست آیپی با مک جعلی ارسال میکنه و سرور اصلی dhcp شبکه تمام آیپی های ازادش به این مک های جعلی میده(وقت کنم فردا با Scapy کدشو براتون مینویسم براتون میزارم )و ظرفیتش پر میشه.
خب الان dhcp snooping کاری که انحام میده این هست که روی سویچ فعالش میکنیم و سویچ تمام پورت های خودشو به دو دسته تقسیم میکنه:
که میشه trusted port برای سرور واقعی dhcp یا سویچ های اصلی و ... هستش . تمام درخواستای dhcp اجازه دارن از این بخش رد بشن
در واقعا unterusted port هستش که تموم پورتایی مثل لپتاپ و pc , ... اینحا هستن . از روی پورت unterasted هیچ بسته پاسخی از سمت سرور DHCP سرور مثل DHCP Offer , DHCP ACK اجازه عبور ندارن. یعنی چی ؟ اگه هکر بیاد و روی پورت unterasted یه dhcp سرور جعلی راه بندازه چون روی این بخش هست سریع درخواستش drop میشه.
با این قابلیت میشه rate limit گزاشت و option82 هم فعال کرد
پیاده سازیش به این شکله:

Switch(config)# ip dhcp snooping

Switch(config)# ip dhcp snooping vlan 10,20

Switch(config)# interface gigabitethernet 0/1
Switch(config-if)# ip dhcp snooping trust

Switch(config)# interface range fastethernet 0/1 - 24
Switch(config-if)# ip dhcp snooping limit rate 15

با دستورای show ip dhcp snooping میتونیم وضعیتشو ببینم و با این هم show ip dhcp snooping binding میتونیم جدول مک و آیپی های ثبت شده ببینیم.

امشب قرار بود یه پست دیگه ای بزارم در حین اماده کردنش به یه رفتار خیلی خیلی ساده تو ویندزو برخورد کردم که بنظرم هاردنینگش مهم هستش .
یکی از رفتار های پیش فرض ویندوز این هستش که وقتی شما میخواید به SMB Share یک سیستم دیگه ای وصل بشید قبل از این که از شما یوزر پسورد رو بخواد یوزر پسورد خود سیستم شمارو بصورت دیفالت ارسال میکنه استفادش میتونه تو شبکه های دامینی باشه که به عنوان ادمین بتونیم بدون اینکه یوزر پسوردی وارد کنید بین Share ها جابه جا بشیم ولی تو شبکه های ورک گروپ یا حتی تو بخش هایی از شبکه های دامینی این قابلیت باید خاموش بشه چرا که یه اتکری اگه بیاد تو شبکه و Responder خودش رو ،روشن بکنه حالا بیاد از llmnr poisoning استفاده کنه یا هر چیزی دیگه یا حتی تو شبکه ای که باشید که بخواید به share یه یوزر دیگه وصل بشید user شما و پسوردتون بصورت هش شده براش ارسال میشه و با کرک کردنش میتونه یه یوزر پسورد سیستم شما دسترسی پیدا کنه .
برای اینکه همچین چیزی پیش نیاد بترتیب این مراحل رو پیش برید :

1.کلید Win+R رو بگیرید عبارت gpedit.msc تایپ کنید و اینتر بزنید .

2.به مسیر زیر برید
Computer Configuration ➔ Windows Settings ➔ Security Settings ➔ Local Policies ➔ Security Options

3.پالیسی زیر رو پیدا کنید
Network access: Do not allow storage of passwords and credentials for network authentication

و از حالت Disabled به Enabled تغییرش بدید

اگه با ریسپاندر و اتکاش اشنا نیستید این بلاگ رو مطالعه کنید .
https://www.vaadata.com/en/blog/understanding-ntlm-authentication-and-ntlm-relay-attacks/
➖➖➖➖➖
CHANNEL