بسیاری از سرویس‌های ابری و تحت وب، حالا با واسط‌هایی از نوع REST کار می‌کنن. به لحاظ گستردگیِ این نوع واسط‌ها در زمان حال و پیچیدگی نسبی‌شون در برنامه‌های بزرگ، ناگزیر بایستی مکانیزم‌هایی خودکار برای تست و ارزیابی امنیت اون‌ها وجود داشته باشه. چند روز پیش مایکروسافت ابزاری خودکار به اسم RESler رو متن‌باز کرد که یه نوع فازر وضعیت‌شناس هست. (وضعیت‌شناسی در این بافت به معنی اینه که این ابزار بتونه پی ببره که مثلا درخواست شماره ۲ بایستی بعد از درخواست شماره ۱ ارسال بشه) و با مقایسه مثلا رفتار دو یا چند درخواست، میاد رگرسیون چند متغیر رو در مقیاس سرویس و مشخصه‌ها درمیاره تا بتونه درخواست‌های مقتضی برای اون مشخصه‌ها رو بصورت خودکار تولید کنه. واضحه بعد از اینکه این درخواست‌ها تولید می‌شن واسه‌ی تست‌های بعدی بکار میرن که رفتار برنامه در شرایط تعریف نشده سنجیده بشه و باگ‌های امنیتی دربیاد.
@offsecmag

واتسپ در نسخه‌ی جدیدش قابلیتی اضافه شده که با گزارش یک کاربر، یک نسخه از پیام‌های اخیر برای شرکت فیسبوک ارسال میشه. با توجه به سابقه‌ی درخشان شرکت فیسبوک در سوء استفاده از داده‌های ملت، این حرکت هم کمی عجیبه.
@offsecmag

مسابقه‌ای برای امنیت در DevOps

بنیاد OWASP مسابقه‌ای ترتیب داده که می‌تونید برای تسلط بیشتر به محیطهای مبتنی بر Docker و کانتینرهای مختلف در شبکه‌های داکری، دستکاری سیاست‌های فیلترینگ در جهت دور زدن شبکه‌های ایزوله‌ی داکری و.. بپردازید.
می‌تونید از اینجا جزئیات مسابقه و ثبت نام رو ببینید.

@offsecmag

می‌دونستید از طریق سیستم امنیتی ویندوز هم می‌شه فایل دانلود کرد؟!
این به این معنیه که کار مهاجمین برای دانلود یک بدافزار (فرض کنید درون سازمانی) خیلی راحت‌تره! (در حد یک دستور)
@offsecmag

🔺باگ جادویی جدید آیفون، به مهاجمین اجازه می‌ده مثل فیلم‌های هالیوودی «هر» گوشی آیفونی که در نزدیکی‌شون هست رو بدون اینکه صاحب گوشی به‌هیچ‌وجه متوجه نشه، هک کنن و در یک کلام به همه‌چی اون گوشی دسترسی داشته باشن: تصاویر، ایمیل‌ها، پیغام‌های خصوصی و چیزای دیگه. این آسیب‌پذیری در مکانیزم رادیویی AWDL بین دستگاه‌های تحت iOS وجود داره. Ian Beer از پروژه صفر گوگل برای کشف و اکسپلویت این شاهکار ۶ ماه زمان گذاشته. این آسیب‌پذیری اونقدر بحرانیه که احتمالا از این به بعد شاهد فجایع بیشتری هم به لحاظ سوء استفاده و هم نقض حریم خصوصی خواهیم بود چرا که بخشی از مردم اعتقادی به آپدیت ندارند و بخشی از اون‌ها هم گوشی‌شون دیگه قابل آپدیت نیست.
@offsecmag

الان دیگه نه تنها از پایتون در پروژه‌های دانشگاهی و تحقیقاتی بهره‌گیری می‌شه، بلکه سرویس‌های دم‌دستی تحت وب و برنامه‌های کاربردی هم برپایه‌ی این زبان دارن نوشته می‌شن. شرکت گوگل امروز کشف‌کننده‌ی خودکار باگ از پایتون رو متن‌باز کرد. این محصول، برپایه‌ی فازر معروف libFuzzerئه و از شما سورس‌کد می‌گیره (Coverage-guided) تا بتونه برنامه رو instrument کنه و براساس هر ورودی برنامه جهش (mutation) انجام بده تا پوشش‌دهی کد رو بیشتر کنه و باگ‌هارو دربیاره. اینجا در مورد کشف خودکار باگ‌ها بیشتر بخونید.
@offsecmag

نوع جدیدی از حملات Side-Channel روی وب: حملات XS-Leaks

در حملات CSRF، مهاجم از یک منبع دیگه (مثلا وبسایت خودش)، می‌تونه بواسطه‌ی فرد قربانی، کنش‌های مدنظرشو روی یه وبسایت خاص (مثل پرتال بانک فرد قربانی) انجام بده. توی XS-Leaks این قضیه برعکسه: با انجام کنش‌هایی روی وبسایتی خاص (مثل بانک فرد قربانی)، می‌شه اطلاعاتی از قربانی بدست اورد. این نوع جدیدی از بردار حملاته که در سطح وب می‌تونه فراگیر بشه. این وبسایت، مستندات جامعی از این حملات داره.
@offsecmag

چرا فایروال‌های تحت وب دور می‌خورند و عموما بدردنخورند؟ مورد ۴۵۶۷ام.

اضافه‌شدن یک کاراکتر (0x0A) به پیلود حمله، بعنوان یک بلوک از داده‌های بی‌مصرف (Padding)، فایروال رو جوری گمراه می‌کنه که اون بلوک (که در اینجا یک کاراکتر هست) رو حذف کنه و بقیه پیلود (که مخرب هست) رو نادیده بگیره. این موردی از کلودفلیر بود.
@offsecmag

ایران رتبه‌ی اول آلودگی بدافزاری در برنامه‌های موبایلی در نیمه‌ی اول ۲۰۲۰ بوده. سهم ایران ۴۰٪ و بیشتر بدافزارها هم مربوط به پوسته‌های جعلی تلگرامه. دلیل مهمی که این مقدار آلودگی به نسبت دنیا داریم، «فیلترینگ» اینترنت هست.
@offsecmag

نزدیک‌ترین شرکت امنیتی به دولت امریکا، توسط هکرهای سازمان‌یافته یه دولت دیگه هک شد!

شرکت FireEye که خودش یکی از افشاکننده‌های اصلی تهدیدات سایبری بین‌المللیه، حالا اعلام کرده که توسط یه سری هکر برجسته‌ی دولت خارجی و در یک عملیات پیچیده مورد نفوذ قرار گرفته و این عملیات به ربوده شدن «ابزارهای هک» این شرکت ختم شده (که به نظر میاد این یه مورد تنها، یه جور نمایش رسانه‌ایه)
البته که برای یه دولت خارجی نمونه‌ای مثل نفوذ تیم ShadowBrokers به ابزارهای هک آژانس امنیت ملی امریکا جذابه، اما با توجه به نزدیکی این شرکت به آژانس‌های دولتی امریکا، دست کم تنها دلیلی که اوردن، قانع‌کننده نیست. بهرحال، ToCهای این ابزارها برای رصد سازمان‌ها عمومی شده تا کمتر گرفتار ابزارهای هک این شرکت بشن.
@offsecmag

تاحالا شده تعجب کنید از اینکه چه چیزهای آشنایی بعنوان تبلیغ در محتوای شبکه‌های اجتماعی‌تون میاد؟
تبریک! شما در دام ردیاب‌های تحت مرورگر افتادید!

متغیرهای زیادی تحت مرورگر وجود دارن که می‌تونن در شناسایی یکتایی مرورگر/دستگاه شما نسبت به دیگران کمک کنن. این اطلاعات شناسایی (انتروپی) می‌تونه در قالب بسترهای مختلف وب افشا بشه. از آی‌پی شما گرفته تا حتی فونت‌هایی که در دستگاه شما نصبه. توی این فیلم بیشتر راجع‌بشون آشنا بشید.

@offsecmag

همونطور که پیشبینی می‌شد، اطلاعات و ایمیل‌های وزارت خزانه‌داری و بازرگانی امریکا طی یه حمله توسط یک دولت خارجی ربوده شده. این حمله بدنبال نفوذ به شرکت امنیتی فایرآی اتفاق افتاده. میگن مهاجمین این قضایا، گروه APT29 دولت روسیه بوده.

🔺هشدار: به نظر میاد چنانچه محصولات Solarwinds در شرکت یا سازمان شما از ۶ ماه گذشته نصب یا به‌روزرسانی شده باشه، هدف این حمله بوده یا خواهید بود!
@offsecmag

اونقدر وضعیت بحرانیه که اگر همین الان هم سازمان یا شرکت شما محصول Solarwinds رو به‌روزرسانی کرده باشه، باز هم درپشتی مهاجمین رو نصب کرده! با این تفاسیر، ۶ تا ۹ ماه گذشته قطعا در صورت به‌روزرسانی یا نصب این محصول، شما مورد حمله واقع شده‌اید!

https://twitter.com/andrew___morris/status/1338614208905302021?s=21

شنود کیبورد از روی صدا!

این قضایای Side Channelی یه جوری دارن توسعه پیدا می‌کنن که داره به جاهای خطرناکی می‌رسه! یه نفر اومده یه الگوریتم رو جوری آموزش داده که براساس داده‌های بسامد هر حرف توی مدل n-gram از حروف (فعلا انگلیسی)، صدای تولید شده‌ی کیبورد رو به اون بسامد نسبت میده و شباهتش رو معلوم می‌کنه.
@offsecmag

پویا دارابی از اعضای اصلی آفسک، برای چندمین دوره متوالی جزء هکرهای برگزیده‌ی فیسبوک و اینستاگرام شناخته شد. در کنفرانس امسال آفسک که چند روز دیگر برگزار خواهد شد، ایشان ارائه خواهند داشت.
@offsecmag

جایزه کشف آسیب‌پذیری در برنامه‌های متن‌باز

گیتهاب در راستای رشد انجین کشف آسیب‌پذیری CodeQL، برنامه‌ی جایزه در برابر کشف باگ تحت این انجین رو توسعه داده و پولش رو بیشتر کرده. لازم به ذکره که این انجین مختص برنامه‌های باینری هست و بایستی جهت دریافت جایزه، کوئری مختص CodeQL ش رو براشون بفرستید. این برنامه تا ۶۰۰۰ دلار جایزه پرداخت می‌کنه.
@offsecmag

🔺آفسکانف ۲۰۲۰

https://twitter.com/offsecmag/status/1340670583110033413

🔺عناوین ارائه‌های آفسکانف امسال؛ لطفا جهت حمایت از برگزاری رایگان کنفرانس امسال، این توییت را ریتوییت کنید.

https://twitter.com/offsecmag/status/1343988659452846081

کسی که در این کنفرانس می‌بینید، آقای رابرت جویس هست که امروز بعنوان رئیس جدید آژانس امنیت ملی امریکا (NSA) معرفی شده. تا قبل از این، رئیس بخش عملیات دسترسی‌های درخور (خونه‌ی هکرها) در NSA و همزمان دستیار ویژه‌ی ترامپ در زمینه‌ی هماهنگی‌های امنیت سایبری بوده. شاید باورتون نشه، ولی در کنفرانس USENIX که یکی از محفل‌های معتبر آکادمیک در دنیاست، بطور عجیبی سخنرانی‌شو با این جمله آغاز می‌کنه: «کار ما تولید اطلاعات خارجیه. ما در سطح دولتی نفوذ و اکسپلویت می‌کنیم. این ارائه به شما یاد می‌ده که چطور بتونید کار مارو سخت‌تر کنید.» که جدای از جنبه‌ی روابط عمومی جلب اعتماد برای NSA، تغییر رویکرد رسانه‌ای این نهاد اطلاعاتی، بعد از افشاهای متعدد عملیات‌هاش رو نشون می‌ده. یکی دیگر از این اقدامات که وجهه‌ی مثبتی به NSA داد، متن‌باز کردن ابزار مهندسی معکوس (Ghidra) این نهاد بود که سر و صدای زیادی کرد. همه‌ی این سیاست‌های تبلیغی، دست‌کم با ارتقای آقای جویس، رابطه‌ی معنی‌داری نشون می‌ده.

@offsecmag
https://www.youtube.com/watch?v=bDJb8WOJYdA