بدون این‌ها هیچ‌وقت هکر نمی‌شوی:

اول از همه شبکه
IP, MAC, Subnet, Gateway چیست؟
TCP در مقابل UDP فرقشان چیست؟
DNS چطور کار می‌کند؟
HTTP/HTTPS چطور کار می‌کند؟
ARP, DHCP, NAT چیست؟

کار با سیستم‌عامل لینوکس
پروتکل‌ها مثل SSH, FTP, SMB, RDP و HTTP Methods و SSL/TLS

هکر یعنی کسی که به جای «چطور کار می‌کند» می‌پرسد «از کجا می‌شکند»

مثال:
یک فرم لاگین می‌بینی → می‌پرسی «اگر پسورد را خالی بگذارم چه؟»
یک URL می‌بینی → می‌پرسی «اگر id را ۱ کنم چه؟»
یک فایل آپلود → می‌پرسی «اگر پسوندش را عوض کنم چه؟»

این طرز فکر را باید تمرین کنی. هر سیستمی که دیدی، بپرس «کجاش ضعف است؟»

🟢 کار قانونی:
تست نفوذ با قرارداد
شرکت در Bug Bounty (HackerOne, Bugcrowd)
گزارش دادن آسیب‌پذیری به سایت‌ها
مشاوره امنیتی

🟢 پول درآوردن:
Bug Bounty از ۱۰۰ دلار تا ۱۰۰ هزار دلار
تست نفوذ پروژه‌ای
استخدام در شرکت‌های امنیتی

اشتباهات مرگبار مبتدی‌ها

❌ یاد گرفتن ابزار قبل از فهمیدن مفهوم
❌ تست روی سایت‌های واقعی بدون اجازه
❌ فکر کردن که هک یعنی «کد زدن»
❌ عجله برای رسیدن به درآمد
❌ کار کردن به تنهایی (کامیونیتی خیلی مهم است)

منابع رایگان گاد

🟢 YouTube:
NetworkChuck
John Hammond
IppSec
LiveOverflow

🟢 سایت‌ها:
OWASP
PortSwigger Web Security Academy
HackTricks
PayloadsAllTheThings

🟢 کتاب‌ها:
The Web Application Hacker's Handbook
Hacking: The Art of Exploitation
The Hacker Playbook 3

دوستان گل ببینید، اینترنت ۳ لایه داره:

🟢 Surface Web: چیزهایی که گوگل پیدا می‌کنه (سایت‌های معمولی)

🟡 Deep Web: چیزهایی که گوگل نمی‌بینه (ایمیل، حساب بانکی، پرونده‌های پزشکی)

🔴 Dark Web: بخش کوچکی از Deep Web که فقط با ابزار خاص (Tor) قابل دسترسیه

مروگر Tor چطور کار می‌کنه؟

مرورگر Tor ترافیک تو رو از ۳ گره تصادفی عبور می‌ده:

گره اول IP تو رو می‌دونه ولی مقصد رو نمی‌دونه
گره وسط هیچی نمی‌دونه
گره آخر مقصد رو می‌دونه ولی IP تو رو نمی‌دونه

نتیجه: هیچ‌کس نمی‌تونه ردت رو بزنه (حداقل به‌راحتی)

آدرس‌های .onion

سایت‌های دارک وب دامنه معمولی ندارن. آدرسشون یه رشته تصادفی ۱۶ یا ۵۶ کاراکتریه:

exampleexampleexampleexampleexampleexampleexampleexample.onion

این آدرس‌ها فقط توی شبکه Tor قابل باز شدنن.

توی دارک وب چی هست؟
توش موزه😂😂😂😂😂

🟢 قانونی:

خبرنگاری و افشاگری
حریم خصوصی و دور زدن سانسور
فروشگاه‌های قانونی (کتاب، نرم‌افزار)
انجمن‌های بحث آزاد
ایمیل ناشناس

🔴 غیرقانونی:

بازارهای مواد مخدر
فروش اطلاعات کارت بانکی
بدافزار و هک
اسناد جعلی
محتوای غیرقانونی (کودک‌آزاری، خشونت)
فروش سلاح

بازارهای معروف تاریخی 🚨🚨🚧

اولی Silk Road → اولین بازار بزرگ (۲۰۱۱-۲۰۱۳) → صاحبش Ross Ulbricht دستگیر شد و ۲ بار حبس ابد گرفت... ریدم

دومی AlphaBay → بعد از Silk Road (۲۰۱۴-۲۰۱۷) → Alexandre Cazes دستگیر شد و خودکشی کرد(دنیا یالان دنیا)

سومی Hansa → توسط پلیس هلند کنترل می‌شد و همه کاربرانش لو رفتن(به گا رفت✅)

خطرات دارک وب

⚠️ بدافزار: ۹۰٪ لینک‌های دارک وب آلوده به ویروسن

⚠️ کلاهبرداری: بیشتر فروشنده‌ها کلاهبردارن

⚠️ پلیس: FBI, Europol, Interpol همه‌جا هستن

⚠️ دستگیری: حتی با Tor هم لو می‌ری (اشتباه کوچیک کافیه)

⚠️ اخاذی: اطلاعاتت رو می‌دزدن و باج می‌خوان

چطور امن وارد بشیم؟ (اگه فقط برای کنجکاویه)

🟢 کارهای درست:

از Tor Browser استفاده کن اجباری
خوبه VPN قبل از Tor (اختیاری ولی بهتره)
هرگز اطلاعات واقعی نده
هرگز چیزی دانلود نکن
هرگز چیزی نخر
مهم JavaScript رو خاموش کن
از یه ماشین مجازی استفاده کن

🔴 کارهای اشتباه:

با ایمیل شخصی ثبت‌نام کنی
با اسم واقعی حرف بزنی
به کسی اعتماد کنی
لینک‌های ناشناس رو باز کنی

کاربردهای قانونی دارک وب

خبرنگاران: ارتباط با منابع محرمانه
فعالان: دور زدن سانسور در کشورهای دیکتاتوری
شرکت‌ها: مانیتور کردن نشت اطلاعات
پلیس: ردگیری مجرمان
پژوهشگران: مطالعه جرایم سایبری

آیا خود دارک وب جرمه؟

❌ نه، فقط دسترسی به دارک وب جرم نیست.
✅ ولی خرید مواد، اسلحه، اطلاعات دزدی، یا هر کار غیرقانونی جرم سنگین داره.

جمله آخر

دارک وب یه ابزاره. می‌تونه برای آزادی باشه، می‌تونه برای جرم باشه.
تفاوتش توی هدف توست.

اگه کنجکاوی، فقط اطلاعات عمومی کافیه.
اگه قصد کار غیرقانونی داری، بدون که FBI و Europol همه‌جا هستن و ۹۹٪ افراد لو می‌رن.

watch -n1 "netstat -tunap | grep ESTABLISHED"

openssl rand -base64 16

cat secret.txt >> image.jpg

strings image.jpg | tail

for i in {1..254}; do ping -c1 -W1 192.168.1.$i &>/dev/null && echo "Live: 192.168.1.$i"; done

p = input("Password: ")
print("Strong ✅" if len(p)>=12 and any(c.isdigit() for c in p) and any(c.isupper() for c in p) and any(c in "!@#$%^&*" for c in p) else "Weak ❌")

echo -n "mypassword" | sha256sum

شروع ماجرا

جاناتان یه نوجوان معمولی بود. نه درسش خوب بود، نه ورزشکار بود. فقط یه چیز داشت: کنجکاوی دیوانه‌وار.

یه روز یه فایل متنی پیدا کرد که توش نحوه کار کردن سیستم‌های دولتی توضیح داده شده بود. خوند. فهمید. بعد با خودش گفت:

«اگه اینا اینقدر راحت بازن، چرا امتحان نکنم؟»

قدم اول: نفوذ به سیستم‌های NASA

جاناتان یه ابزار ساده نوشت که خودش پسوردها رو حدس می‌زد. اول رفت سراغ NASA.

سیستم NASA یه نقص کوچیک داشت: پسوردهای پیش‌فرض عوض نشده بودن.

جاناتان با یه اسکریپت ساده وارد شد. تو فایل‌های NASA چرخید. اطلاعات ماموریت‌های فضایی، عکس‌های ماهواره‌ها، همه چی.

هیچ‌کس نفهمید. هیچ‌کس.

قدم دوم: پنتاگون

جسور شد. رفت سراغ پنتاگون (وزارت دفاع آمریکا).

پنتاگون اون موقع سیستم‌های قدیمی داشت. جاناتان با همون روش قبلی وارد شد. تو سیستم چرخید. فایل‌های طبقه‌بندی شده رو دید.

الان باید بترسه. ولی نه. کنجکاوی از ترس قوی‌تر بود.

قدم سوم: اشتباه مرگبار

جاناتان یه چیز رو فراموش کرد: ردپا.

وقتی وارد سیستم پنتاگون شد، یه لاگ کوچیک از خودش جا گذاشت. یه IP. یه آدرس.

تیم امنیت پنتاگون بعد از چند هفته فهمیدن یه نوجوان ۱۶ ساله داره تو سیستم‌شون می‌چرخه.

دستگیری

۳۰ ژانویه ۲۰۰۰، ساعت ۶ صبح، در خونه جاناتان رو زدن.

مادرش در رو باز کرد. ۲۰ تا مامور FBI با اسلحه ریختن تو خونه.

جاناتان تو اتاقش بود. داشت با کامپیوترش بازی می‌کرد.

مامورا کامپیوترش رو گرفتن. وقتی محتواش رو دیدن، خشکشون زد:

· فایل‌های طبقه‌بندی شده NASA
· اطلاعات پنتاگون
· لیست ۵۰۰ پسورد دولتی

محاکمه

جاناتان به ۶ ماه بازداشت خانگی و ۱۰۰۰ ساعت خدمات اجتماعی محکوم شد.

قاضی بهش گفت: «تو می‌تونستی الان تو زندان باشی. ولی چون سنت کم بود و از اطلاعات سوءاستفاده نکردی، بهت فرصت می‌دم.»

پایان ماجرا

جاناتان بعد از این ماجرا، تغییر مسیر داد.

شد یه هکر کلاه سفید. شرکت امنیتی خودش رو راه انداخت. الان یکی از مشاوران امنیتی معروف آمریکاست.

درسی که این داستان داره:

۱. کنجکاوی خوبه، ولی بدون اجازه = جرم
۲. هر سیستمی یه نقطه ضعف داره، حتی پنتاگون
۳. ردپا رو هیچ‌وقت نمی‌تونی پاک کنی
۴. هک کردن هنر نیست، مسئولیته
۵. همیشه یه راه دوم هست: کلاه سفید شو

📌 جمله آخر جاناتان:

«من فقط می‌خواستم بفهمم چطور کار می‌کنه. اگه از اول یه مربی داشتم، الان ۱۰ سال زودتر موفق شده بودم.»

سال ۲۰۱۶، بانک مرکزی بنگلادش، ساعت ۸:۴۵ شب

یه کارمند بانک می‌ره خونه. سیستم‌ها عادی‌ان. هیچ‌کس نمی‌دونه قراره تا چند ساعت دیگه ۱ میلیارد دلار از این بانک خارج بشه.

ساعت ۹ شب

یه گروه هکر ناشناس وارد شبکه بانک می‌شن. ولی نه با هک کردن. با مهندسی اجتماعی.

چند ماه قبل، یه ایمیل جعلی برا کارمندای بانک فرستاده بودن. یه فایل Word آلوده. یکی از کارمندها بازش کرده بود. از اون لحظه، هکرها داخل شبکه بودن.

۳ هفته سکوت

هکرها ۳ هفته فقط تماشا کردن. یاد گرفتن:

سیستم SWIFT چطور کار می‌کنه
کی دسترسی داره
چطور تراکنش تایید میشه
چاپگر چطور پرینت می‌گیره

هیچ کاری نکردن. فقط یاد گرفتن. این صبر، تفاوت یه هکر آماتور با یه حرفه‌ایه.

شب حمله

ساعت ۹ شب، هکرها شروع کردن. ۳۵ تراکنش SWIFT جعلی به حساب‌های فیلیپین و سری‌لانکا فرستادن.

مجموع: ۹۵۱ میلیون دلار

همزمان، یه کار مهم کردن: چاپگرهای بانک رو خراب کردن.

چرا؟ چون اگه تراکنش‌ها پرینت نمی‌شد، هیچ‌کس نمی‌فهمید.

جمعه شب

هکرها یه اشتباه کردن. یه تراکنش به یه حساب در نیویورک زدن. ولی چون جمعه شب بود و بانک نیویورک تعطیل بود، تراکنش متوقف شد.

یه کارمند بانک نیویورک، شنبه صبح، مشکوک شد. زنگ زد به بنگلادش.

بنگلادش گفت: «ما هیچ تراکنشی نفرستادیم!»