This media is not supported in your browser
VIEW IN TELEGRAM
👨🏻💻 این صحبتهای جادی دقیقا ماجرایی که این روزا توی تریبونهای تقلبی (مثل پیج لینکدین شرکتها) جریان داره... خیلی گفتگوی خوب و جذابی شده با کلی تجربه. پیشنهاد میکنم حتما ببینیدش!
📥 لینک دسترسی به گفتگوی کامل:👇
📹 Youtube Video
@LinuXTV_iR | #HesaM
📥 لینک دسترسی به گفتگوی کامل:👇
📹 Youtube Video
@LinuXTV_iR | #HesaM
🔥2
Forwarded from Security Analysis
⭕️ حساب NPM یه توسعهدهنده معروف هک شده و پکیجهاش که بیش از 1 میلیارد بار دانلود شدن، ممکنه کل اکوسیستم جاوااسکریپت رو به خطر بندازه. بدافزار بهصورت مخفیانه آدرسهای کریپتو رو عوض میکنه و پول شما رو میزنه به حساب هکر!
اگه کیف پول سختافزاری دارید، قبل از زدن دکمه تایید، حتماً همه جزئیات تراکنش رو چک کنید.
نکته جالب این هک اینه که آدرس کیف پول کاربر با یکی از آدرسهای هکر جایگزین میشه، اما نه به صورت تصادفی، از الگوریتم Levenshtein Distance استفاده میکنه تا آدرس جایگزین شبیهترین به آدرس اصلی باشد.
جزئیات بیشتر :
jdstaerk.substack.com/p/we-just-found-malicious-code-in-the
#crypto #NPM #Wallet
@securation
اگه کیف پول سختافزاری دارید، قبل از زدن دکمه تایید، حتماً همه جزئیات تراکنش رو چک کنید.
نکته جالب این هک اینه که آدرس کیف پول کاربر با یکی از آدرسهای هکر جایگزین میشه، اما نه به صورت تصادفی، از الگوریتم Levenshtein Distance استفاده میکنه تا آدرس جایگزین شبیهترین به آدرس اصلی باشد.
جزئیات بیشتر :
jdstaerk.substack.com/p/we-just-found-malicious-code-in-the
#crypto #NPM #Wallet
@securation
🚀 میخوای از nmap ابری استفاده کنی ؟
https://pentest-tools.com/network-vulnerability-scanning/port-scanner-online-nmap
پ.ن: اون تب رو دیدین فکر بد نکنید داریم از Free Port Scanner استفاده میکنیم
🌀 @LinuxTV_iR
https://pentest-tools.com/network-vulnerability-scanning/port-scanner-online-nmap
🌀 @LinuxTV_iR
👎2
اونایی که ی سری ابزار ران میکنن رو سرور و معمولا منابع محدودی دارن و گاهی اون اجرای دستورات باعث داون شدن سرویس هاشون میشه حتما برن درمورد دستور nice تو لینوکس بخونن
اگه فردا یادم نره درموردش حرف میزنم
@LinuxTV_iR | #hesam
اگه فردا یادم نره درموردش حرف میزنم
@LinuxTV_iR | #hesam
👎1
ی سایت باحال پیدا کردم :
https://command-not-found.com/telegram
وقتی میخوای ی پکیج رو نصب کنی که حالا به هر دلیلی که میتونه ادد نشدن PPA اش یا ... باشه سایت بالا برای موارد مختلف بهش اشاره کرده ی سر بزنین بد نیست
@LinuxTV_iR | #hesam
https://command-not-found.com/telegram
وقتی میخوای ی پکیج رو نصب کنی که حالا به هر دلیلی که میتونه ادد نشدن PPA اش یا ... باشه سایت بالا برای موارد مختلف بهش اشاره کرده ی سر بزنین بد نیست
@LinuxTV_iR | #hesam
Forwarded from DevTwitter | توییت برنامه نویسی
هشدار به کاربران رمهای DDR5: در کمتر از ۲ دقیقه هک میشوید!
«آسیبپذیری سختافزاری» نوعی مشکل در ذات قطعات الکترونیکی است و برخلاف مشکلات نرمافزاری، اصلاحاش بسیار سختتر است.
حالا محققان دانشگاه ETH زوریخ و گوگل از یک «آسیبپذیری سختافزاری» پرده برداشتهاند که در قلب حافظههای رم (RAM) کمین کرده. این رخنه امنیتی که «ققنوس» نام گرفته نسل جدید حافظههای DDR5 و بهویژه تراشههای ساخت شرکت مشهور SK Hynix را هدف میگیرد.
آسیبپذیری ققنوس چیست؟
ققنوس مدل جدیدی از آسیبپذیری RowHammer است که از چند سال قبل شناخته شده بود. این آسیبپذیری به زبان ساده مثل ضربه زدن پیاپی به قفسه کتابها است. اگر به یک ردیف بیش از حد کوبیده شود، قفسه کناری هم تکان میخورد و کتابهای آن از جایش میافتند.
در چیپهای حافظه همین اتفاق رخ میدهد؛ با دستکاری مکرر یک ردیف، دادههای ردیفهای کناری دچار «بیت فلاپ» شده و بین صفر و یک جابجا میشوند. این تغییرات کوچک در ظاهر بیاهمیتاند، اما مهاجمان با همین روش به سیستم دسترسی غیرمجاز پیدا میکنند.
در ایران حافظههای RAM برند SK به دلیل قیمت مناسب سهم قابل توجهی از بازار را در اختیار دارند. همین باعث میشود بخشی از کاربران خانگی و حتی کسبوکارها ناخواسته در معرض ریسک قرار گیرند.
ققنوس از خاکستر برمیخیزد
سازندگان حافظه از این آسیبپذیری آگاه بودند و برای مقابله با آن سپرهای دفاعی مختلفی را طراحی کردند. اما حمله ققنوس نشان داد که این سپرها دیگر کافی نیستند.
ابزارهایی که قرار بود جلوی این نقص را بگیرند (مانند تصحیح خطای ECC) در برابر حملهی ققنوس کارایی ندارند.
روش جدید بهحدی خطرناک است که همه ۱۵ تراشه DDR5 آزمایششده (تولید سالهای ۲۰۲۱ تا ۲۰۲۴) در برابر آن تسلیم شدند. هکرها با استفاده از این تکنیک میتوانند:
• کلید اصلی را بدزدند: با تغییر دادن چند صفر و یک در جای درست، مهاجم به سیستم میقبولاند که مدیر اصلی (روت) است و کنترل کامل کامپیوتر را در دست بگیرد.
• قفلهای امنیتی را بشکنند: این حمله میتواند کلیدهای رمزنگاری را تخریب کرده و به اطلاعات حساس مانند رمزهای عبور دسترسی پیدا کند.
ترسناکتر اینکه تمام این فرآیند در کمتر از دو دقیقه (حدود ۱۰۹ ثانیه) روی یک سیستم استاندارد و بهروز قابل اجراست.
راه چاره چیست؟
مشکل اینجاست که ققنوس یک ضعف سختافزاری است، نه نرمافزاری. بنابراین نمیشود آن را با یک آپدیت ساده یا نصب وصله امنیتی برطرف کرد. تراشههایی که بین سالهای ۲۰۲۱ تا ۲۰۲۴ تولید شدهاند، این ضعف را در ذات خود دارند و برای سالها آسیبپذیر باقی خواهند ماند.
محققان توصیه کردهاند که نرخ بازخوانی (Refresh Rate) حافظه تا سه برابر افزایش یابد تا این روش خنثی شود، اما همین هم راهکاری موقت و تخصصی است.
@DevTwitter | <NooshDaroo/>
«آسیبپذیری سختافزاری» نوعی مشکل در ذات قطعات الکترونیکی است و برخلاف مشکلات نرمافزاری، اصلاحاش بسیار سختتر است.
حالا محققان دانشگاه ETH زوریخ و گوگل از یک «آسیبپذیری سختافزاری» پرده برداشتهاند که در قلب حافظههای رم (RAM) کمین کرده. این رخنه امنیتی که «ققنوس» نام گرفته نسل جدید حافظههای DDR5 و بهویژه تراشههای ساخت شرکت مشهور SK Hynix را هدف میگیرد.
آسیبپذیری ققنوس چیست؟
ققنوس مدل جدیدی از آسیبپذیری RowHammer است که از چند سال قبل شناخته شده بود. این آسیبپذیری به زبان ساده مثل ضربه زدن پیاپی به قفسه کتابها است. اگر به یک ردیف بیش از حد کوبیده شود، قفسه کناری هم تکان میخورد و کتابهای آن از جایش میافتند.
در چیپهای حافظه همین اتفاق رخ میدهد؛ با دستکاری مکرر یک ردیف، دادههای ردیفهای کناری دچار «بیت فلاپ» شده و بین صفر و یک جابجا میشوند. این تغییرات کوچک در ظاهر بیاهمیتاند، اما مهاجمان با همین روش به سیستم دسترسی غیرمجاز پیدا میکنند.
در ایران حافظههای RAM برند SK به دلیل قیمت مناسب سهم قابل توجهی از بازار را در اختیار دارند. همین باعث میشود بخشی از کاربران خانگی و حتی کسبوکارها ناخواسته در معرض ریسک قرار گیرند.
ققنوس از خاکستر برمیخیزد
سازندگان حافظه از این آسیبپذیری آگاه بودند و برای مقابله با آن سپرهای دفاعی مختلفی را طراحی کردند. اما حمله ققنوس نشان داد که این سپرها دیگر کافی نیستند.
ابزارهایی که قرار بود جلوی این نقص را بگیرند (مانند تصحیح خطای ECC) در برابر حملهی ققنوس کارایی ندارند.
روش جدید بهحدی خطرناک است که همه ۱۵ تراشه DDR5 آزمایششده (تولید سالهای ۲۰۲۱ تا ۲۰۲۴) در برابر آن تسلیم شدند. هکرها با استفاده از این تکنیک میتوانند:
• کلید اصلی را بدزدند: با تغییر دادن چند صفر و یک در جای درست، مهاجم به سیستم میقبولاند که مدیر اصلی (روت) است و کنترل کامل کامپیوتر را در دست بگیرد.
• قفلهای امنیتی را بشکنند: این حمله میتواند کلیدهای رمزنگاری را تخریب کرده و به اطلاعات حساس مانند رمزهای عبور دسترسی پیدا کند.
ترسناکتر اینکه تمام این فرآیند در کمتر از دو دقیقه (حدود ۱۰۹ ثانیه) روی یک سیستم استاندارد و بهروز قابل اجراست.
راه چاره چیست؟
مشکل اینجاست که ققنوس یک ضعف سختافزاری است، نه نرمافزاری. بنابراین نمیشود آن را با یک آپدیت ساده یا نصب وصله امنیتی برطرف کرد. تراشههایی که بین سالهای ۲۰۲۱ تا ۲۰۲۴ تولید شدهاند، این ضعف را در ذات خود دارند و برای سالها آسیبپذیر باقی خواهند ماند.
محققان توصیه کردهاند که نرخ بازخوانی (Refresh Rate) حافظه تا سه برابر افزایش یابد تا این روش خنثی شود، اما همین هم راهکاری موقت و تخصصی است.
@DevTwitter | <NooshDaroo/>
🤯2
تنها کسانی که Edge ( IE قدیم ) رو به کروم و فایرفاکس ترجیح میدن کارمندای دولتن
😁2
وقتی عصبی هستید و دوست دارید فحش بدید و سروری دارید که یوزر های زیادی داره و کاربران زیادی ازش بصورت SSH استفاده میکنن(همکارا یا ...) بصورت زیر :
بزن و سبک شو
FOSH='فحش شما'
wall $FOSH
بزن و سبک شو
شغل دواپس تو ایران اینجوریه که به خودت میای میبینی داری تگ div رو وسط چین میکنی
سقوط اینترنت ؟ هرچی سایته که آیپیشو انداخته پشت کلودفلر ، قطع شده.
مثل ChatGPT و ...
مثل ChatGPT و ...
👎1
Forwarded from DevTwitter | توییت برنامه نویسی
یکی از لحظات ضد حال برای هر دولوپر یا مهندس دوآپس یا کلا هر کسی که با داکر کار میکنه، لحظهایه که بعد از کلی تلاش برای نوشتن Dockerfile، میبینه ایمیج نهایی که قرار بود سبک و اوکی باشه، ولی خب حجمش سر به فلک کشیده.
ایمیجهای حجیم یعنی زمان طولانیتر برای docker pull/push، اشغال فضای دیسک روی نودهای کلاستر، کند شدن پایپلاین CI/CD و ...
حالا چطوری بفهمیم دقیقاً چی باعث این حجم شده؟ پکیجهای OS؟ فایلهای کش؟
اینجاست که ابزار dive میاد وسط.
ابزار Dive یک رابط کاربری ترمینالی (TUI) فوقالعاده ساده اما باحال داره که به شما اجازه میده ساختار ایمیج داکر رو "لایه به لایه" کالبدشکافی کنید.
یه سری از امکاناتی که بهتون میده اینا هست:
تحلیل لایهای: دقیقاً بهتون نشون میده هر دستور RUN, COPY یا ADD توی داکرفایل، چه فایلهایی رو اضافه کرده و چقدر به حجم نهایی اضافه شده.
پیدا کردن فضای هدر رفته: این جذابترین ویژگی dive هست. بهتون نشون میده چه فایلهایی توی یک لایه اضافه شدن و توی لایه بعدی پاک شدن (مثلاً کشهای apt یا npm). این فایلها دیگه تو ایمیج نهایی دیده نمیشن، اما چون لایههای داکر Read-only هستن، همچنان فضا اشغال میکنن.
حالا نکته فنی ماجرا: استفاده از dive قبل از نهایی کردن Dockerfile، شاید منجر به کشفهایی بشه که حجم ایمیج رو به مقدار قابل توجهی کاهش میده. مثلاً میفهمید که فراموش کردید توی همون لایهای که پکیج نصب کردید، دستور پاکسازی کش رو هم اجرا کنید.
اگر تا حالا از dive استفاده نکردید، پیشنهاد میکنم یه تستی بکنید حتما.
Official Repo: https://github.com/wagoodman/dive#installation
@DevTwitter | <Amin Mohammadi Sigaroodi/>
ایمیجهای حجیم یعنی زمان طولانیتر برای docker pull/push، اشغال فضای دیسک روی نودهای کلاستر، کند شدن پایپلاین CI/CD و ...
حالا چطوری بفهمیم دقیقاً چی باعث این حجم شده؟ پکیجهای OS؟ فایلهای کش؟
اینجاست که ابزار dive میاد وسط.
ابزار Dive یک رابط کاربری ترمینالی (TUI) فوقالعاده ساده اما باحال داره که به شما اجازه میده ساختار ایمیج داکر رو "لایه به لایه" کالبدشکافی کنید.
یه سری از امکاناتی که بهتون میده اینا هست:
تحلیل لایهای: دقیقاً بهتون نشون میده هر دستور RUN, COPY یا ADD توی داکرفایل، چه فایلهایی رو اضافه کرده و چقدر به حجم نهایی اضافه شده.
پیدا کردن فضای هدر رفته: این جذابترین ویژگی dive هست. بهتون نشون میده چه فایلهایی توی یک لایه اضافه شدن و توی لایه بعدی پاک شدن (مثلاً کشهای apt یا npm). این فایلها دیگه تو ایمیج نهایی دیده نمیشن، اما چون لایههای داکر Read-only هستن، همچنان فضا اشغال میکنن.
حالا نکته فنی ماجرا: استفاده از dive قبل از نهایی کردن Dockerfile، شاید منجر به کشفهایی بشه که حجم ایمیج رو به مقدار قابل توجهی کاهش میده. مثلاً میفهمید که فراموش کردید توی همون لایهای که پکیج نصب کردید، دستور پاکسازی کش رو هم اجرا کنید.
اگر تا حالا از dive استفاده نکردید، پیشنهاد میکنم یه تستی بکنید حتما.
Official Repo: https://github.com/wagoodman/dive#installation
@DevTwitter | <Amin Mohammadi Sigaroodi/>