گزارشی از ۳۰۴ مورد خدمت ارائه شده توسط مرکز #ماهر در مرداد ۱۴۰۰
خدمات ارائه شده شامل فراوانی و نوع رخدادهای رسیدگی شده توسط مرکز، بخشهای دریافتکننده این خدمات و نحوه مطلع شدن مرکز از این رخدادها است.
👁 @intsec
#اینفوگرافیک
خدمات ارائه شده شامل فراوانی و نوع رخدادهای رسیدگی شده توسط مرکز، بخشهای دریافتکننده این خدمات و نحوه مطلع شدن مرکز از این رخدادها است.
👁 @intsec
#اینفوگرافیک
#آسیب_پذیری Cross-Site Request Forgery #CSRF حملهای است که در آن کاربر Authenticate شده به صورت ناخواسته دستوری را که از سمت یک مهاجم ارسال گردیده است اجرا مینماید.
به این دلیل که مهاجم با استفاده از این آسیب پذیری نمیتواند هیچ دیتایی را مشاهده کند، این نوع حملات مشخصاً در درخواستهای state-changing یا درخواستهایی که تغییراتی را ذخیره میکند اجرا میشوند.
این حمله معمولاً با یک تکنیک Social Engineering همراه است، نظیر ارسال یک لینک و با کلیک نمودن کاربر روی آن لینک این آسیب پذیری Exploit میگردد. Exploit این آسیب پذیری میتواند شامل جابجایی پول، تغییر کلمه عبور، تغییر آدرس ایمیل و موارد مشابه باشد.
در صورتی که کاربر قربانی Admin باشد نیز این حمله میتواند کل سیستم را مورد هدف قرار دهد.
چگونه این آسیب پذیری را رفع کنیم؟
• سعی کنید تمامی درخواستهای برنامه خود را با استفاده از متد POST سِت نمائید. بدین صورت شانس Exploit این آسیب پذیری به دلیل حذف شدن امکان ارسال لینک آلوده (که از متد GET استفاده میکند) به حداقل میرسد.
• مقدار Session را به صورت هش (Hash) شده ذخیره نموده و اطمینان حاصل نمائید در تمام Request ها از Session استفاده میگردد.
• عملیاتهای حساس را در چند مرحله انجام دهید. به طور مثال ارسال دو Request از نوع POST برای عملیات انتقال وجه در بانکها میتواند تا حد بالایی از این آسیب پذیری جلوگیری نماید.
• از HTTPS استفاده نمائید. (این مورد از انجام حمله CSRF جلوگیری نمیکند، ولی تا حد بالایی ضریب امنیت را افزایش می.دهد.)
• از CSRF Token استفاده نمائید. این Token به طور کلی جلوی این حمله را خواهد گرفت.
• در صورت امکان در Request های خود از Captcha استفاده نمائید.
👁 @intsec
به این دلیل که مهاجم با استفاده از این آسیب پذیری نمیتواند هیچ دیتایی را مشاهده کند، این نوع حملات مشخصاً در درخواستهای state-changing یا درخواستهایی که تغییراتی را ذخیره میکند اجرا میشوند.
این حمله معمولاً با یک تکنیک Social Engineering همراه است، نظیر ارسال یک لینک و با کلیک نمودن کاربر روی آن لینک این آسیب پذیری Exploit میگردد. Exploit این آسیب پذیری میتواند شامل جابجایی پول، تغییر کلمه عبور، تغییر آدرس ایمیل و موارد مشابه باشد.
در صورتی که کاربر قربانی Admin باشد نیز این حمله میتواند کل سیستم را مورد هدف قرار دهد.
چگونه این آسیب پذیری را رفع کنیم؟
• سعی کنید تمامی درخواستهای برنامه خود را با استفاده از متد POST سِت نمائید. بدین صورت شانس Exploit این آسیب پذیری به دلیل حذف شدن امکان ارسال لینک آلوده (که از متد GET استفاده میکند) به حداقل میرسد.
• مقدار Session را به صورت هش (Hash) شده ذخیره نموده و اطمینان حاصل نمائید در تمام Request ها از Session استفاده میگردد.
• عملیاتهای حساس را در چند مرحله انجام دهید. به طور مثال ارسال دو Request از نوع POST برای عملیات انتقال وجه در بانکها میتواند تا حد بالایی از این آسیب پذیری جلوگیری نماید.
• از HTTPS استفاده نمائید. (این مورد از انجام حمله CSRF جلوگیری نمیکند، ولی تا حد بالایی ضریب امنیت را افزایش می.دهد.)
• از CSRF Token استفاده نمائید. این Token به طور کلی جلوی این حمله را خواهد گرفت.
• در صورت امکان در Request های خود از Captcha استفاده نمائید.
👁 @intsec
Forwarded from ..: لیکفا | Leakfa :..
نشت جدید: مجموعهای از اطلاعات دانشجویان "دانشگاه صنعتی خواجه نصیرالدین طوسی" در حدود 100 هزار خط داده شامل نام، نام خانوادگی، نام پدر، جنسیت، شماره ملی، شماره شناسنامه، محل صدور، تاريخ تولد، شماره دانشجویی، ترم ورود، رشته تحصيلی، مقطع، دوره، معدل كل، واحد گذرانده، تعداد مشروطی، نوع ورود به دانشگاه، نوع سهميه، وضعيت نظام وظيفه، دين، مذهب، مليت، وضعيت تاهل، شماره تلفن ثابت، شماره تلفن همراه، كد پستی، محل تولد، محل سكونت، آدرس یا نشانی، آدرس ایمیل و اطلاعات دیگری از دانشجویان این دانشگاه در لیست فروشندگان بانک اطلاعاتی مشاهده شده است.
✅ صحت دادههای نمونه بررسی شده و قابل تایید است!
🆔 @leakfarsi
✅ صحت دادههای نمونه بررسی شده و قابل تایید است!
🆔 @leakfarsi
How_polynetwork_got_hacked_in_persian_@FundamentalbySina_1.pdf
826.8 KB
اخیراً کلاهبرداران با ارسال پیامهایی تحت عنوان تمدید اینترنت همراه با اجرای طرح صیانت از حقوق کاربران فضای مجازی کاربران را مجاب میکنند تا روی لینک آلوده کلیک کنند و از این طریق اقدام به خالی کردن حسابهای بانکی افراد و یا با دسترسی به اطلاعات شخصی موبایل از آنان اخاذی کنند.
👁 @intsec
#اینفوگرافیک #کلاهبرداری
👁 @intsec
#اینفوگرافیک #کلاهبرداری
This media is not supported in your browser
VIEW IN TELEGRAM