🔐 چرا امنیت وب باید از روز اول شروع شود؟
(خلاصه‌ای کاربردی از Web Security Testing Guide v4.2)

بیشتر سازمان‌ها هنوز امنیت نرم‌افزار را مساوی Penetration Testing می‌دانند؛ یعنی صبر می‌کنند نرم‌افزار کامل شود، بعد یکی بیاید «هکش کند».
اما واقعیت این است:
❌ این روش هم پرهزینه است
❌ هم دیر
❌ هم بسیاری از باگ‌های مهم را اصلاً پیدا نمی‌کند

📉 هزینهٔ واقعی نقص امنیتی
طبق گزارش‌ها، انتشار یک بولتن امنیتی برای شرکت‌ها حداقل ۱۰۰ هزار دلار هزینه دارد، و هزینه‌ای که مشتریان بابت Patch می‌دهند معمولاً چند برابر آن است.
یعنی امنیت ضعیف = ضرر مستقیم مالی.

🧩 راه‌حل چیست؟

امنیت باید در کل چرخهٔ عمر توسعه نرم‌افزار (SDLC) پخش شود، نه فقط در انتها.

یک چارچوب امنیتی درست، این مراحل را پوشش می‌دهد:

🟢 قبل از شروع توسعه

تعریف SDLC که امنیت در آن ذاتی باشد

داشتن استانداردهای واضح (مثلاً Secure Coding برای Java، استاندارد Cryptography)

تعریف Metric و Measurement قبل از کدنویسی (نه بعدش!)

📌 مستندات خوب = تصمیم‌گیری کمتر در حین توسعه

🟡 حین تعریف و طراحی

بازبینی دقیق Security Requirements

Authentication ≠ Registration

Authorization کجاست؟ چطور؟

بررسی Design و Architecture

تصمیم‌های امنیتی پراکنده = فاجعه

Validation و Authorization باید مرکزی باشند

UML و Threat Modeling

تهدیدها یا باید Mitigate شوند، یا رسماً پذیرفته شوند

📌 بهترین زمان پیدا کردن باگ امنیتی: مرحله طراحی

🔵 حین توسعه

Code Walkthrough با توسعه‌دهنده‌ها

هدف: فهم منطق، نه گیر دادن

Code Review واقعی

OWASP Top 10

Secure Coding Checklists

الزامات قانونی (HIPAA، ISO 27002 و …)

📌 Code Review بیشترین بازده امنیتی را دارد، با کمترین وابستگی به «نابغه بودن» تستر

🟠 حین استقرار

Penetration Testing (به‌عنوان چک نهایی، نه ابزار اصلی)

بررسی Configuration

Default setting = دشمن امنیت

🔴 حین نگه‌داری

Health Check دوره‌ای

بررسی امنیت بعد از هر Change

امنیت باید وارد Change Management شود

🎯 جمع‌بندی خیلی کوتاه

امنیت خوب یعنی:

زودتر تست کنی

کمتر تصمیم بداهه بگیری

هزینه‌ها را قبل از Production خرج کنی، نه بعد از Incident

🔑 Security یک فاز نیست؛ یک فرآیند مداوم است.

⭐️ @RadvanSec

یلدا یعنی طولانی‌ترین مقاومت در برابر تاریکی؛ درست مثل یک دیوار آتش نفوذناپذیر. یلدای‌تان امن و مبارک.🎑

📌 Join Channel
🧩 Join Group

یک ماه Gemini Business بدون هزینه ( ترجیحا ip امریکا)
نسخه عادی : استفاده عمومی و روزمره
نسخه بیزینس : استفاده حرفه ای و کاری
https://business.gemini.google/

به زودی شاهد ویدیو یوتیوب هستیم،
حاج امیر بترکون بالا بالاها میبینمت تا آخرش باهاتم😉❤️
#voorivex #quanta #Yshahinzadeh
@S3ecurity

🌐 پروتکل HTTP چیست و چه کار می‌کند؟

عبارت HTTP مخفف HyperText Transfer Protocol (پروتکل انتقال ابرمتن) است. اگر اینترنت را یک شهر بزرگ در نظر بگیرید، HTTP نقش سیستم حمل‌ونقل و قوانین جاده‌ای را دارد.

✅ وظیفه اصلی HTTP چیست؟

کار اصلی این پروتکل، برقراری ارتباط بین مرورگر شما (Client) و سرور سایت (Server) است.

ارسال درخواست (Request):

وقتی آدرس سایتی را وارد می‌کنید، مرورگر یک درخواست HTTP به سرور می‌فرستد (مثلاً: "لطفاً صفحه اصلی این سایت را به من نشان بده").

دریافت پاسخ (Response):

سرور درخواست را بررسی کرده و فایل‌های مورد نظر (متن، عکس و کدها) را از طریق پروتکل HTTP برای شما می‌فرستد.

🔹 تفاوت HTTP با HTTPS چیست؟

حتماً دیده‌اید که اکثر سایت‌ها حالا از HTTPS استفاده می‌کنند. حرف S آخر آن به معنای Secure (امن) است.

در HTTP: اطلاعات به صورت متن ساده جابه‌جا می‌شوند و هکرها می‌توانند آن‌ها را تماشا کنند.

در HTTPS: اطلاعات قبل از ارسال رمزگذاری می‌شوند تا امنیت کاربران حفظ شود.

Dev vs Pentester
#Meme +👌
@ScAccess

PostMessage چیست؟

قبل از اینکه بخوام راجب PostMessage صحبت کنم باید اول یک مکانیزم امنیتی مرورگر Same Origin Policy (SOP) رو به عنوان یک پیش نیاز توضیح بدم.

مکانیزم امنیتی Same Origin Policy یا همان SOP

ببین، اگه بخوام خیلی ساده بگم، SOP مثل یک نگهبان سخت‌گیر دم در هر وب‌سایته. وظیفه‌اش اینه که اجازه نده یه وب‌سایت (مثلاً evil.com) به اطلاعات و داده‌های یه وب‌سایت دیگه (مثلاً bank.com) دسترسی پیدا کنه.
حالا این "نگهبان" چطوری تشخیص میده کی به کیه؟ با مفهومی به اسم Origin (مبدأ).

Origin دقیقاً چیه؟

یک Origin از سه بخش تشکیل شده که اگه حتی یکی‌شون فرق کنه، مرورگر اونا رو غریبه حساب می‌کنه:
1. Protocol (HTTP or HTTPS)
2. Host (google.com)
3.Port (443 or 80)

چرا SOP اینقدر حیاتیه؟

تصور کن توی یک تب مرورگر، وارد حساب بانکی‌ات شدی و توی یه تب دیگه داری یه سایت تفریحی رو چک می‌کنی. اگه SOP نبود، اون سایت تفریحی می‌تونست خیلی راحت با اجرای چند خط کد جاوااسکریپت، به اطلاعات حساب بانکی تو، کوکی‌ها یا موجودی کارتت دسترسی داشته باشه.

اینجاست که SOP میگه: هر فایلی فقط میتونه به منابعی دسترسی داشته باشه که با خودش هم مبدا (Same Origin) باشه.

مشکل کجاست؟ (نقطه شروع نیاز به PostMessage)
​در عین حال که این امنیت عالیه، گاهی اوقات ما واقعاً نیاز داریم که دو تا پنجره یا ای‌فریم (iframe) که از دو جای مختلف اومدن، با هم حرف بزنن. مثلاً وقتی ویجت یک درگاه پرداخت رو توی سایتت میذاری و می‌خوای بفهمی پرداخت موفق بوده یا نه ،
​اینجاست که SOP مثل یه دیوار بتنی جلوی ما رو می‌گیره و اجازه نمیده کد اسکریپت ما در سایت A به محتوای سایت B دسترسی داشته باشه.

خب حالا که متوجه شدیم SOP چی هست و PostMessage چرا به وجود اومد بریم سراغ مفهوم PostMessage و اینکه چطور کار میکنه:

متود PostMessage راهی امن برای صحبت کردن دو Cross Site یا به صورت ساده تر راهی امن برای تبادل اطلاعات بین دو پنجره وب یا دو Origin مختلف هست.

برای درک بهتر PostMessage اون رو مثل یک نامه سفارشی مثال میزنیم: ما نمیتونیم به صورت مستقیم وارد خونه کسی بشیم (همون بحث SOP) اما میتونیم اما میتونیم یک نامه رو از زیر در رد کنیم.

این متود دو بخش اصلی دارد:
1. فرستنده: پیام را ارسال میکند.
2. گیرنده: گوش به زنگ برای گرفتن پیام.

فرستنده(Sending): فرض کنید سایت ما (Site A) یک iframe از سایت دیگری دارد (Site B) سایت ما میخواد به Iframe سلام کنه:

//انتخاب Iframe:
const myiframe = document.getElementByid('target_iframe')
//ارسال پیام:
myiframe.contentWindow.postMessage('hello world', 'https://site-b.com');

پارامتر اول: پیام هست که میتونه عدد متن یا حتی آبجکت باشه.
پارامتر دوم: آدرس سایتی که قرار هست پیام رو بگیره.

گیرنده(Receiving):حالا Site B باید گوش به زنگ (Listener) باشه تا پیام رو دریافت کنه:

window.addEventListener('message', (event) => {
  // 1. اول چک می‌کنیم پیام از طرف چه کسی آمده (امنیت)
if (event.origin !== 'https://site-a.com') {
return;
//اگر از سایت ناشناس بود، نادیده بگیر
}
// 2. استفاده از محتوای پیام
console.log('message receivid' + event.data);
});

امنیت (Origin Check): همیشه باید event.origin رو چک کنیم، اگر اینکارو نکنیم هرسایتی توی اینترنت میتونه به پنجره ما پیام حاوی محتوای مخرب بفرسته.

ارتباط دوطرفه: همونطور که صفحه اصلی به iframe پیام میفرسته iframe هم‌ میتونه با استفاده از window.parent.postmessage() به سایت اصلی (Site A) پاسخ بده.

بدون رفرش: این رابطه کاملا درلحضه (real-time) و بدون نیاز به بارگذاری مجدد صفحه انجام میشه.

مثال real world: وقتی ما داخل یک سایت از درگاه پرداخت بانکی استفاده میکنیم که به صورت پاپ آپ باز میشه بعد از تموم شدم پرداخت بانک با استفاده از postMessage به سایت اصلی خبر میده که پرداخت موفق بود حالا میتونی فاکتور رو نشون بدی.

📌 Join Channel
🧩 Join Group

🔍 ابزار شناسایی ردپای دیجیتال: Sherlock 🕵️‍♂️

تا حالا شده بخواهید بدانید یک "نام کاربری" خاص (Username) در کدام شبکه‌های اجتماعی ثبت شده است؟ ابزار Sherlock یکی از قدرتمندترین ابزارهای حوزه OSINT است که بیش از ۴۰۰ سایت و پلتفرم مختلف (از GitHub و Instagram گرفته تا فروم‌های تخصصی) را برای پیدا کردن یک یوزرنیم جستجو می‌کند.

✅ ویژگی‌ها:

سرعت بسیار بالا در جستجو.

پشتیبانی از صدها سایت مختلف.

خروجی دقیق به صورت فایل متنی.

📥 نحوه نصب و اجرا (در لینوکس/ترموکس):

ابتدا مخزن را کلون کنید:

git clone https://github.com/sherlock-project/sherlock.git

وارد پوشه شوید:

cd sherlock

پیش‌نیازها را نصب کنید:

python3 -m pip install -r requirements.txt

🚀 نحوه استفاده: برای جستجوی یک یوزرنیم، کافیست دستور زیر را بزنید: python3 sherlock [username] (به جای [username]، نام کاربری مورد نظر را بنویسید)

📌 نکته: این ابزار برای متخصصین تست نفوذ و محققین امنیتی جهت جمع‌آوری اطلاعات (Information Gathering) بسیار حیاتی است.

#OSINT #Security #Tool #Sherlock #Hacking #Pentest

📌 Join Channel
🧩 Join Group

🚨 خطر جدید: نشت اطلاعات حساس از طریق Prompt Injection!

آیا می‌دانستید که هکرها می‌توانند با استفاده از تکنیک‌های خاص در چت کردن با هوش مصنوعی (AI)، محدودیت‌های امنیتی آن را دور زده و به اطلاعاتی دست پیدا کنند که نباید منتشر شود؟

🔍 حملات Prompt Injection چیست؟

در این نوع حمله، نفوذگر دستوراتی را به هوش مصنوعی می‌دهد که باعث می‌شود مدل، دستورات اصلی برنامه‌نویس خود را نادیده گرفته و اطلاعات حساس دیتابیس یا کدهای پشت‌صحنه را لو بدهد.

🛠 ابزاری که امشب معرفی می‌کنیم : Giskard یک فریم‌ورک متن‌باز و فوق‌العاده برای تست نفوذ و اسکن آسیب‌پذیری‌های مدل‌های هوش مصنوعی (LLM). اگر به امنیت AI علاقه دارید، این ابزار شماره یک شماست!


🛠 معرفی ابزار Giskard :

برای تست عملی این نوع حملات و اسکن آسیب‌پذیری‌های هوش مصنوعی، می‌تونید از فریم‌ورک Giskard استفاده کنید. این ابزار به صورت خودکار مدل‌های شما رو در برابر Prompt Injection و نشت داده تست می‌کنه.

🔗 لینک گیت‌هاب: github.com/Giskard-AI/giskard

📥 نصب سریع:

pip install giskard 

💡 چرا باید یاد بگیریم؟ دنیای امنیت به سمت هوش مصنوعی حرکت کرده و متخصص امنیتی که نتواند یک مدل AI را تست نفوذ کند، در آینده نزدیک بازار کار را از دست می‌دهد.

#AI_Security #PromptInjection #Hacking #Pentest #RedTeaming


📌 Join Channel
🧩 Join Group

معرفی ابزار Dirsearch 🕵️‍♂️

یکی از اولین قدم‌ها در تست نفوذ وب، پیدا کردن مسیرها و فایل‌های مخفی روی سرور است (مثل /admin یا .env یا کدهای بک‌آپ). ابزار Dirsearch پادشاه این کار است!

✅ چرا Dirsearch؟
• سرعت بسیار بالا با استفاده از Multi-threading.

• پشتیبانی از پسوندهای مختلف (php, asp, json و...).

• شناسایی هوشمند صفحات ۴۰۴.

📥 نصب سریع در لینوکس:
git clone https://github.com/maurosoria/dirsearch.git cd dirsearch pip3 install -r requirements.txt

🚀 نحوه اجرا:

python3 dirsearch.py -u http://target.com -e php,html,txt

📌 نکته امنیتی:

همیشه فایل‌های پیکربندی و دایرکتوری‌های حساس را در وب‌سرور خود محدود کنید تا با این ابزارها شناسایی نشوند.

#WebSecurity #Pentest #BugBounty #Dirsearch #HackingTools


📌 Join Channel
🧩 Join Group

نمای خروجی ابزار: کد‌های 200 (سبز) یعنی مسیر پیدا شده و قابل دسترسی است. اینجاست که شکار واقعی شروع می‌شود! 🔥

معرفی ابزار Netdiscover

تا حالا شک کردی که نکنه کسی بدون اجازه به Wi-Fi شما وصل شده باشه؟ ابزار Netdiscover یک اسکنر شبکه فوق‌العاده سریع و ساده است که تمام دستگاه‌های متصل به شبکه (گوشی، لپ‌تاپ، دوربین مداربسته و...) را شناسایی می‌کند.

ویژگی‌ها :
•شناسایی آدرس IP و MAC تمامی دستگاه‌ها.

•نمایش نام شرکت سازنده کارت شبکه (مثلاً Samsung، Apple و...).

•عملکرد عالی در شبکه‌های وایرلس.

نحوه نصب در لینوکس :

 sudo apt update sudo apt install netdiscover

نحوه اجرا (اسکن کل شبکه) :
sudo netdiscover -i wlan0 -r 192.168.1.0/24

(نکته: اگر دستور بالا اجرا نشد، ابتدا دستور ip a را در ترمینال بزنید تا نام کارت شبکه خود را پیدا کنید (مثلاً wlan0 یا wlp2s0) و آن را در دستور جایگزین کنید.)

توصیه امنیتی:

اگر دستگاه غریبه‌ای در لیست دیدید، سریعاً رمز وایرلس را عوض کنید و از پروتکل WPA3 استفاده کنید.

#NetworkSecurity #Netdiscover #WiFi #Pentest #Hacking #Linux

📌 Join Channel
🧩 Join Group

آموزش ساخت کانفیگ شخصی V2Ray (روش Reality)
اگر می‌خواهید اینترنتی آزاد و بدون قطعی داشته باشید، بهترین راه داشتن یک "سرور شخصی" است. این آموزش مخصوص کسانی است که یک سرور مجازی (VPS) دارند.

گام ۱: اتصال به سرور ابتدا از طریق اپلیکیشن Termius (گوشی) یا PuTTY (کامپیوتر) به سرور خود متصل شوید.

گام ۲: نصب پنل مدیریت (پیشنهادی: Sanaei یا Alireza) این پنل‌ها محیطی گرافیکی و ساده برای ساخت کانفیگ به شما می‌دهند. دستور زیر را در ترمینال کپی و اجرا کنید:

bash <(curl -Ls https://raw.githubusercontent.com/mhzard/scripts/main/x-ui.sh)

(پس از نصب، یک یوزرنیم، پسورد و پورت برای ورود به پنل انتخاب کنید)

گام ۳: ورود به پنل و ساخت کانفیگ ۱. در مرورگر، آیدی سرور خود را همراه با پورت وارد کنید (مثلاً 1.2.3.4:2053). ۲. به بخش Inbounds رفته و روی + Add Inbound کلیک کنید. ۳. تنظیمات را طبق لیست زیر ست کنید:

Protocol: vless

Port: 443

Security: REALITY

Flow: xtls-rprx-vision

Dest: www.google.com:443 (یا هر سایت خارجی فیلتر نشده)

Server Names: www.google.com

گام ۴: دریافت لینک و اتصال پس از ذخیره، روی آیکون 📑 یا QR Code کلیک کنید تا لینک کانفیگ کپی شود. حالا آن را در برنامه v2rayNG (اندروید) یا FoXray (آیفون) وارد کرده و متصل شوید.


_ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _



بهترین و پایدارترین راهکار برای اینکه هزینه خرید سرور را دور بزنید، استفاده از Cloudflare Workers است. در این روش، شما از زیرساخت عظیم شرکت کلودفلر به عنوان واسطه (Proxy) استفاده می‌کنید و عملاً به سرور مجازی (VPS) نیازی ندارید.


آموزش قدم‌به‌قدم:

گام ۱:ثبت‌نام: وارد سایت dash.cloudflare.com شوید و یک اکانت بسازید.

گام ۲:ایجاد ورکر: از منوی سمت چپ به بخش Workers & Pages بروید و روی Create Worker کلیک کنید. یک نام انتخاب کرده و Deploy را بزنید.

گام ۳:جایگذاری کد: روی دکمه Edit Code کلیک کنید. کدهای قبلی را پاک کنید و کد آماده V2Ray (موجود در مخازن گیت‌هاب مثل v2ray-worker) را در آنجا کپی کنید.

گام ۴:تنظیم UUID: در داخل کد، یک شناسه طولانی به نام UUID وجود دارد؛ آن را با یک کد دلخواه عوض کنید (این می‌شود رمز عبور شما).

گام ۵:ذخیره و اجرا: روی Save and Deploy کلیک کنید. حالا لینکی که کلودفلر به شما می‌دهد (مثلاً my-vpn.workers.dev) همان آدرس سرور شماست.

نحوه استفاده: آدرس ورکر خود را در برنامه v2rayNG یا Hiddify به صورت یک کانفیگ VLESS وارد کنید.

برای سرعت بیشتر، از "آی‌پی تمیز کلودفلر" (Clean IP) در بخش آدرس استفاده کنید.


#V2Ray #DigitalSecurity #Reality #AntiFilter #Guide #FreeInternet #Cloudflare #NoVPS #HackLearning


📌 Join Channel
🧩 Join Group

امیدوارم خوب باشید عشقا مواظب خودتون باشید، همه چی درست میشه.