اون چیزی که چند وقتیه دارم روش کار میکنم داره میاد بالا

نمی دونم چرا انقد ذوق داشتم😂😂

ولی خب دیگه حمایته رو بکنید
اسیب پذیری های جدید و مراحل جدید و اضافه کنم لذتشو ببرید

My PC:

امروز ساخت و تست Void Lab بالاخره تموم شد.
ایده‌ی این پروژه از قبلِ جنگ توی ذهنم بود و از همون اول تصمیم داشتم تا جای ممکن از AI کمترین استفاده رو بکنم.
تا همین امروز هم شدیداً مخالف Vibe Coding بودم. اما بعد از دیدن ویدیوی جادی و همچنین خواندن نظر لینوس توروالدز درباره‌ی Vibe Coding، واقعاً دیدگاهم عوض شد.
بعد با خودم گفتم: واقعاً منِ ۱۷ ساله قراره نظر یکی مثل لینوس توروالدز، خالق لینوکس، رو رد کنم؟
برای همین، توی آپدیت‌های بعدی Void Lab قطعاً از Vibe Coding استفاده می‌کنم؛ نه برای ساده‌تر کردن کار، بلکه برای اینکه زمان بیشتری برای طراحی چالش‌های سخت‌تر و توسعه‌ی بخش‌های پیچیده‌تر پروژه داشته باشم.
اگر به این موضوع علاقه دارید، این مقاله را هم بخوانید:
https://canartuc.medium.com/linus-torvalds-on-vibe-coding-fine-for-learning-terrible-for-production-6feb7b166b02

بعد من تو رزومه ام زده بودم مختصص شبکه

go چقد باحاله
طرفدارش شدم هیچی نشده

یجوریه

یکسری رایتاپ های قدیمیو پیدا کردم
چقد گزارشام ضعیف بودن

وقتی صحبت از آسیب‌پذیری SSRF (Server-Side Request Forgery) می‌شود، معمولاً اولین راهکار دفاعی، محدود کردن URLهای ورودی و اعتبارسنجی آن‌هاست. با این حال، تجربه نشان داده که بسیاری از این مکانیزم‌ها به‌دلیل پیاده‌سازی نادرست، قابل دور زدن هستند. به همین دلیل، آشنایی با مفهوم SSRF Bypass برای هر کسی که در حوزه امنیت وب فعالیت می‌کند، ضروری است.
منظور از SSRF Bypass، شناخت روش‌هایی است که ممکن است باعث شوند یک فیلتر یا مکانیزم اعتبارسنجی، مقصد واقعی یک درخواست را به‌درستی تشخیص ندهد. این موضوع می‌تواند به دلایل مختلفی مانند تفاوت در نحوه پردازش URLها، اعتبارسنجی ناقص ورودی یا خطاهای منطقی در طراحی برنامه رخ دهد.
در ارزیابی‌های امنیتی، هدف از بررسی این موارد صرفاً پیدا کردن نقاط ضعف و گزارش آن‌هاست تا قبل از سوءاستفاده مهاجمان، برطرف شوند. به همین دلیل، توسعه‌دهندگان باید علاوه بر اعتبارسنجی صحیح ورودی‌ها، از فهرست مجاز (Allowlist)، محدودسازی دسترسی سرور به شبکه‌های داخلی و بررسی دقیق مقصد درخواست‌ها استفاده کنند.
در نهایت، شناخت مفاهیم مربوط به SSRF Bypass فقط برای اجرای تست‌های امنیتی مجاز اهمیت ندارد؛ بلکه به درک بهتر نحوه عملکرد مکانیزم‌های دفاعی نیز کمک می‌کند. هرچه این شناخت عمیق‌تر باشد، طراحی و پیاده‌سازی برنامه‌های امن‌تر نیز ساده‌تر خواهد بود.

توی یک لابراتوار هانتر ابتدا درخواستی را که شامل یک پارامتر URL است با Burp Suite Intercept می‌کند. سپس بررسی می‌کند که آیا سرور واقعاً از آن URL برای برقراری ارتباط استفاده می‌کند یا خیر.
اگر مشخص شود که درخواست از سمت سرور ارسال می‌شود، هانتر رفتار برنامه را در شرایط مختلف ارزیابی می‌کند برای مثال بررسی می‌کند که آیا برنامه اعتبارسنجی مناسبی روی مقصد درخواست انجام می‌دهد، خطاها را به‌درستی مدیریت می‌کند و از ارسال درخواست به منابع غیرمجاز جلوگیری می‌کند یا خیر.

یه مثال
CVE-2021-27905 – SSRF در Apache Solr

در این آسیب‌پذیری ، یکی از مولفه های تکرار Replication در Apache Solr ورودی مربوط به آدرس مقصد را به اندازه کافی اعتبارسنجی نمی‌کرد. در نتیجه یک هانتر از راه دور می‌توانست سرور Solr را وادار کند که درخواست‌های HTTP را به مقصدهای دلخواه ارسال کنه این نقص با شناسه CWE-918 (SSRF) ثبت شد.
چرا مهم بود؟
مشکل اصلی فقط ارسال یک درخواست HTTP نبود سرور Solr معمولاً در شبکه‌ ای قرار دارد که به سرویس‌هایی دسترسی دارد که از اینترنت قابل مشاهده نیستند بنابراین اگر برنامه درخواستی را از طرف هانتر ارسال کند ممکن است به سرویس‌های داخلی پنل‌های مدیریتی یا سرویس‌های زیرساختی دسترسی پیدا کند روت کیس آنالیز 😂
منبع:SentinelOne

نمونه های دیگه:
CVE-2021-27905 (Apache Solr)
CVE-2024-29198 (GeoServer)
CVE-2024-29736 (Apache CXF)

بیشتر مطالب از این پس در مدیوم منتشر خواهند شد.

Cipher guard

New update

Source
∆ Join VOID ∆

تری دیویس

پشت این سیستم‌عامل عجیب، داستان یه آدم خیلی خاصه تری دیویس
تری دیویس یه برنامه‌نویس فوق‌العاده بااستعداد بود که تقریباً تنهایی یه سیستم‌عامل کامل رو از صفر ساخت از هسته گرفته تا زبان برنامه‌نویسی خودش اسم این سیستم‌عامل رو گذاشت TempleOS و با یه فلسفه کاملاً متفاوت طراحی‌اش کرد.
شاید از نظر ظاهر و امکانات با سیستم‌عامل‌های امروزی قابل مقایسه نباشه ولی چیزی که TempleOS رو خاص می‌کنه اینه که یه نفر تونسته با دست خودش یه دنیای کامپیوتری کامل بسازه برای خیلی‌ها این پروژه نشون‌دهنده‌ی خلاقیت پشتکار و نبوغ عجیب یه برنامه‌نویسه.
داستان تری دیویس هم به اندازه خود TempleOS عجیب و پر از فراز و نشیبه ترکیبی از استعداد فوق‌العاده تنهایی و یک ذهن کاملاً متفاوت.