R3dC0d3r

سوالی که مطرح هست اینه که متغیر $name جزئی از فرم هست یا خیر ؟ - اگر پاسخ بله هست که کاری که باید انجام بشه کاملا مشخص هست ! - اگر پاسخ خیر هست و با توجه به اینکه به اساس SQL و SQL Injection آشنایی دارید ادامه این مطلب رو دنبال کنید آسیب پذیری واضح : در 90 درصد مواقع جدول کاربران شامل ستونی به اسم access_level ، user_type و یا غیره هست که بیانگر سطح دسترسی کاربر هست که با تحلیل پایگاه داده میتونید نام ستون رو پیدا کنید ؛ کافیه اون مقدار آپدیت بشه تا یوزر شما سطح دسترسی ادمین بگیره . پس بنا بر فرضیه گفته شده متغیر $mesal باید حاوی رشته زیر باشه : ', access_level = 'admin نکته : این تکنیک فقط در توابع غیر استانداردی مثل mysql_query و در صورتی که کاراکتر ها خنثی نشده باشند جواب خواهد داد ؛ در تکنیک های استانداردی مثل بایندینگ تمامی کاراکتر های موجود در پارامتر های یک فیلد ESCAPE و خنثی شده . عمل غیر ممکن در شرایط موجود : با توجه به اینکه متغیر mesal وسط رشته query اپدیت هست (قبل از where) و متغیر name (بعد از where) قرار گرفته ، امکان تاثیر گذاری بر روی اون قسمت وجود ندارد . اما چرا گفته شده غیر ممکن در شرایط موجود ؟ چرا که تابع mysql_query فقط پاسخگوی یک statement بوده و هرگونه تلاش برای ارسال multiple statement به سمت SQL Parser پایگاه داده به وسیله این تابع با خطای php مواجه خواهد شد . در صورت استفاده از توابعی که از multiple statement پشتیبانی میکنند خیلی راحت میشه به شکل زیر به هدف مورد نظر رسید : $mesal = "' where name='example';" . $second_statement; در شرایطی که منظور از Name ، فیلد قبل از where clause باشد به راحتی با overwrite کردن آن ، مقدار تغییر خواهد کرد : $mesal = "', Name='Example";

درود تاپیک مبتنی بر آموزش های درخواستی رو در بخشی جداگانه مطرح کنید . در صورت تکرار برخورد خواهد شد

درود تارگت کاملا آسیب پذیر است ؛ به دلایل زیر : - هیچ ارزیابی اعتباری روی اطلاعات fetch شده از فرم مربوطه وجود ندارد و اطلاعات آن مستقیما در Query پایگاه داده استفاده شده که این بی احتیاطی موجب آسیب پذیری رایج SQL Injection شده است . - جدا از این مسئله از تابع منسوخ شده PHP به نام mysql_query استفاده شده که رعایت نکردن استاندارد های لازم از دلایل منسوخ شدن همین تابع بوده . راه حل : * ارزیابی اعتبار فرم پیش از استفاده از اطلاعات آن * استفاده از از توابع و استاندارد های پیشرفته مثل PDO Binding موفق باشید

درود چه نوع باگی ؟ سطح دسترسی مشتق شده از این باگ چی هست ؟ اطلاعات مربوطه راجب این متد رو در پیام خصوصی بنده یا یکی از مدیران مطرح کنید در صورت کارامد بودن تصمیم به نحوه بهره برداری از این باگ گرفته خواهد شد (گزارش برای باگ بانتی / نفوذ) .

با سلام خدمت اعضا و کاربران تیم امنیتی گارد ایران مفتخرم که فرا رسیدن نوروز باستانی ، یادآور شکوه ایران و یگانه یادگار جمشید جم رو بر خانواده بزرگ گاردایران تبریک عرض کنم با توجه به برنامه ها و زمان بندی های در نظر گرفته شده ، سال پیش رو سال مهمی در زمینه پیشرفت کاری گاردایران هست ؛ هدف گذاری هایی دقیقی از پیش انجام گرفته که زمان برداشت آنها در سال 99 هست . پیشاپیش از تمام عزیزانی که در این مسیر همراه ما هستند تشکر میکنم و آرزوی توفیق روز افزون برای همه شما عزیزان دارم . از طرف تیم مدیریت گارد ایران

درود دقیقا راجب کدوم سوال و مشکل دارید حرف میزنید ؟ کالی رو نصب کردید ، متن لایسانسش نمایش داده شد ؛ روت شده و در نهایت به شل لینوکس دسترسی گرفتید ! اگر منظورتون نبود محیط گرافیکیه ، سری به این تاپیک بزنید ! یا حق

درود سوالتون خیلی کلی مطرح شده پس جواب بنده هم به طور کلی خواهد بود فایل های config یا پیکربندی ، فایل هایی هستند که تنظیمات خاصی را قبل یا در زمان اجرای برنامه توسط محیط مقصد یا موتور Execution اعمال میکنند . معمولا این تنظیمات قابل ویرایش توسط کلاینت می باشند و به جهت بالا بردن Modularity سیستم ارائه داده شده اند . اگر سوالتون رو جزئی تر مطرح کنید اطلاعات بیشتری در اختیار شما خواهیم گذاشت .

به شخصه کتاب و مقالات رو ترجیح میدم اگر بخوایم دسته بندی ای در این مورد داشته باشیم باید اون رو به 2 دسته مقالات فارسی و انگلیسی تقسیم کنیم بسته به سطح زبان خودتون میتونید هر کدام از این منابع رو انتخاب کنید اما در نظر داشته باشید که برای موفق شدن در این حوضه باید به روز باشید ؛ شما وقتی زبان بین المللی تون به اندازه کافی خوب باشه اولین نفر از تمام به روز رسانی ها ، امکانات جدید و مشکلات امنیتی یک Product خبر خواهید داشت . پس در صورت انتخاب منابع فارسی ، تقویت زبان خودتون رو در نظر داشته باشید . - منابع انگلیسی مستندات اوراکل مستندات روان و ابتدایی به سبک W3Schools - منابع فارسی برنامه نویسی به زبان جاوا به قلم جعفرنژاد قمی مسلما منابع بیشتری هم وجود داره ولی به عنوان راهنما فقط منابعی که باهاشون برخورد داشتم و از دیدگاه خودم معتبر واقع شدند رو معرفی میکنم

سلام کاملا مشخصه ، API Key که دسترسی شما را به پایگاه داده آسیب پذیری این ابزار فراهم میکنه تعریف نشده ؛ همونطور که گفته شده میتونید یک کلید موقتی رایگان از آدرس داده شده دریافت کنید در بسیاری از مواقع خروجی یک ابزار در برخورد با مدیریت خطا ، یک خروجی صریح و واضح هست ؛ کافیه اون رو مطالعه کنید .

درود برنامه نویسی اندروید به دو صورت Native و Hybrid انجام میشه که برای هر کدام از این روش ها کیت توسعه ای ارائه داده شده است . - زبان برنامه نویسی Native چیست ؟ زبانی منتخب است که با سیستم عامل مربوطه در تعامل است ؛ کد های نوشته شده به زبان Native اندروید با ماشین مجازی Dalvik (این ماشین مجازی برگرفته از معماری JVM و متناسب با سخت افزار اندروید بهینه شده است) رابطه مستقیم دارند. از نکات مثبت آن میتوان به موارد زیر اشاره کرد : پرفورمنس دسترسی به منابع سخت افزاری - زبان برنامه نویسی Hybrid چیست ؟ این دسته از زبان ها از تکنولوژی های مربوط به توسعه Front-end بهره می برند . از نکات مثبت آن میتوان به موارد زیر اشاره کرد : عدم نیاز به یادگیری زبان Native برای کد نویسی برای سیستم عامل مربوطه از نکات منفی آن میتوان به موارد زیر اشاره کرد : حجم بالای کتابخانه ها که در حجم نهایی نرم افزار تاثیر خواهند داشت پرفورمنس و دسترسی پایین در مقایسه با Native - زبان منتخب برای برنامه نویسی Native اندروید جاوا - یکی از قدرتمند ترین زبان های برنامه نویسی دنیا که همواره تعداد توسعه دهندگان و موقعیت های شغلی اون رو به افزایش هست ؛ از جاوا برای برنامه نویسی کراس پلتفرم دسکتاپ ، وب اپلیکیشن ، اندروید و خیلی بیشتر از موارد ذکر شده استفاده می شود . کاتلین - زبانی نو و خلاقانه ، طراحی شده به صورت انحصاری توسط جت برینز با همکاری های گوگل ؛ این زبان هم برای توسعه کراس پلتفرم استفاده شده و همواره رابطه تعامل خوبی را با ماشین مجازی جاوا دارا بوده . - اولویت استخدام برنامه نویس اندروید در شرکت های بزرگ و کشور های مدرن با کاتلین کار توانا است ؛ اما شما باید جامعه برنامه نویسی ایران رو در نظر بگیرید در دید شرکت های برنامه نویسی داخلی شخصی که در جاوا تسلط دارد دارای توانایی های بیشتری است که مسلما این حرف از لحاظ منطقی نمیتونه درست باشه ولی اینطور که معلوم هست هنوز بازار کار کاتلین تو ایران رونق نگرفته . - از طرفی هم جاوا دارای مستندات فوق العاده شیوا (Oracle Doc) هست که هر برنامه نویس با تجربه ای ، قدر مستندات واضح و کامل رو خواهد دونست - با توجه به قدیمی بودن و پر طرفدار بودن جاوا برای هر سوالی که تو ذهنتون بگنجه ، جواب وجود خواهد داشت (پشتیبانی قوی) به هر حال بعد از اینکه رو یکی از زبان های مورد نیاز برای کار کردن با کیت توسعه گوگل تسلط پیدا کردید نوبت به اون میرسه که به برسی بهترین دوست یک برنامه نویس اندروید یعنی Android Documents بپردازید این مستندات به قدری کامل هست که نیاز به هیچ مرجع آموزشی دیگری نخواهید داشت در Android Doc تمامی مثال ها بر مبنای دو زبان Native یعنی جاوا و کاتلین ارائه شده اند . زبان های برنامه نویسی Hybrid اندروید : جاوا اسکریپت و غیره پی نوشت مطالب فوق اگر قصد موفق شدن در حوضه برنامه نویسی رو دارید در 99.99% مواقع پرفورمنس و معماری رو اولویت کار خودتون کنید پیشنهاد بنده اینه که یکی از زبان های Native رو فرا بگیرید تا از پرفورمنس مناسب و دسترسی کافی روی حافظه و منابع سخت افزاری سیستم برخوردار باشید - آیا برنامه نویسی به صورت تک نفره ممکن هست ؟ در پاسخ این سوال باید بگم بله و تنها فاکتور شما زمان هست ؛ زمانی که حرفه ای تر شدید و در یک تیم فعالیت کردید باید با نرم افزار های کنترل نسخه ای نظیر گیت کار کنید و به تقسیم وظایف بپردازید که تاثیر مستقیم بر روی سرعت Release نرم افزار دارد . - چه حوضه های برنامه نویسی اندروید در حال حاضر پر رونق و درآمد زا هست ؟ در پاسخ این سوال باید به بازار زبان مربوطه در جامعه خودتون نگاه کنید ؛ به نظر بنده در ایران ، در حال حاضر برنامه های کاربردی و دیجیتال مارکتینگ بازار فعالی داره .

سلام پوسته های گرافیکی مختلفی برای کالی وجود داره که از اون ها میتونم به 3 مورد زیر اشاره کنم : Gnome KDE XFCE که با توجه به پرفورمنس و روان بودن قابل توجه XFCE ، اون رو به شما پیشنهاد میکنم . هر 3 نسخه اشاره شده قابل انتخاب در پیکربندی نصب در آخرین نسخه کالی لینوکس می باشند . * آموزش نصب XFCE از ترمینال اجرای Advance Package Tool و نصب بسته مورد نیاز sudo apt update && apt install kali-desktop-xfce سپس دستور زیر را اجرا و xfce را انتخاب کنید sudo update-alternatives --config x-session-manager در نهایت سیستم را Reboot کرده و از طراحی خاص XFCE لذت ببرید در صورت بروز مشکل در هر کدام از این مراحل ، خطای مربوطه رو در همین تاپیک پست کنید .

درود پسوند دقیق فایل چی می باشد و چه اثرات مخربی روی سیستم شما گذاشته ؟ آیا فایل های اشاره شده رمز گزاری شده اند ؟

در حالت bridge مجازی سازی به گونه ای انجام میشه که ماشین مجازی مشخصه های منحصر به فرد خودش در شبکه رو داراست . بله ، دربرسی جزئی تر کارت شبکه مجازی از طریق یک سوئیچ مجازی به کارت شبکه فیزیکی پل می زند حالت bridge هم برای دسترسی به اینترنت مشکلی نخواهد داشت . اطلاعات دقیق تر فراهم کنید تا بتونم راهنماییتون کنم از خروجی دستور ifconfig و iwconfig در کالی اسکرین بگیرید تا برسی بشه .

درود از اونجایی که دقیق متوجه مشکلتون نشدم دو سناریو ممکن رو توضیح می دم . * سناریو اول - دسترسی به اینترنت در ماشین مجازی کالی برای دسترسی به اینترنت در ماشین مجازی سریع ترین راه حل استفاده از حالت شبکه NAT در هایپر وایزر (مجازی ساز) مربوطه هست ؛ در این حالت vNIC (کارت شبکه مجازی) که متصل به یک vSwitch (سوئیچ مجازی) است از میزبان به عنوان روتر استفاده میکند . در صورتی که از DHCP Server استفاده شود نیاز به تنظیمات خاصی نخواهد بود چرا که DHCP مسئولیت Subneting و اختصاص آی پی به هر Node را بر عهده خواهد گرفت * سناریو دوم - دسترسی به کارت شبکه داخلی وایرلس میزبان از طریق ماشین مجازی hosted برای مقاصد خاص اگر قصد شما دسترسی به کارت شبکه داخلی وایرلس میزبان از طریق ماشین مجازی کالی هست باید بگم که این موضوع امکان پذیر نیست ! اما راه حل هایی وجود داره تا شما رو به هدفتون برسونه : - راه حل هزینه بر : خرید کارت شبکه USB و اضافه کردن آن از بخش Removable Device هایپر وایزر - راه حل پیشنهادی : استفاده از نسخه لایو کالی لینوکس - راه حل پیشنهاد نشده : نصب کالی کنار ویندوز امیدوارم با اطلاعات ارائه شده مشکلتون حل بشه ، اگر سوالی بود در خدمت هستم .

خیر ! دستور بالا ابزار Advance Package Tool در لینوکس رو صدا میزنه که پکیج های مربوطه رو نصب کنه ؛ و باید در خط فرمان (ترمینال) نوشته بشه .

درود کاربر گرامی * نکته قبل از ارسال پست ، قوانین انجمن رو مطالعه کنید که این قوانین شما رو مجاب میکنه تا به زبان فارسی تایپ کنید فارسی تایپ کردن شما باعث میشه این مطلب در گوگل درست ایندکس بشه تا دیگر اشخاصی که به این مسئله بر میخورند به راحتی تاپیک رو پیدا کنند و از راه حل موجود استفاده کنند + پست شما ویرایش شد * راه حل موردی که موجب ایجاد این خطا میشه نبود Dependency مربوطه (OpenSSL) در سیستم شما هست حتما قبل از نصب و استفاده از یک ابزار ، فایل README اون رو در مخازن گیت مربوطه مطالعه کنید لیست منابع مورد نیاز بر اساس مخزن رسمی گیت هاب این ابزار : Linux (recommended Arch Linux, but other distros should work, too (no support for other distributions). libopenssl and openssl-dev installed librt and librt-dev installed (should be installed by default) zlib and zlib-dev installed (for gzip compressed cap/pcap/pcapng files) libcurl and curl-dev installed (used by whoismac and wlancap2wpasec) libpthread and pthread-dev installed (used by hcxhashcattool) دستور نصب تمامی منابع مربوطه در کالی لینوکس : apt-get install libcurl4-openssl-dev libssl-dev zlib1g-dev

Hi there Guardiran is a Powerful Team in Cyber Security Field We Produce Tools, Articles, Tutorials in Hacking and Security Field Test & Analyze any Web Application or Web Server According to our new Policies we are Open to Cooperate with other team which is interested in Learning and Security Science you can send your resume to my telegram account for future cooperation @redcoder RedCoder - One of Guardiran Admins Good Luck

سلام دوست عزیز لطفا قبل از ارسال پست قوانین انجمن را مطالعه کنید که این قوانین شما را مجاب میکنه که به زبان فارسی تایپ کنید تا مطالب انجمن یک دست باشه سایت های ذکر شده در این آموزش قدیمی می باشند و احتمالا تعدادی از آن ها منسوخ شده که به زودی این لیست آپدیت خواهد شد همانطور که توسط مدیر ارشد عزیز ذکر شد این وی پی اس ها مناسب عملیات سنگین نیستند و اصولا فقط برای تست مورد استفاده قرار میگیرند موفق باشید

داون لول کاندید های مدیریت : @armanbabaei & @MR.wIzArD بنا بر عدم فعالیت مفید و مستمر کاندید های مدیریت مربوطه در مدت زمانه طولانی مدیریت آزمایشی ، داون لول ایشان رو رسما اعلام می کنم ضمن تشکر ، موفق باشید

درود اگر قصدتون کد نویسی همچین ابزاریه ، سوالتون رو جزئی تر مطرح کنید ولی اگر قصدتون اجرای ابزاریه که با پایتون 2 نوشته شده باید پایتون 2 رو از این آدرس دانلود و نصب کنید ؛ چرا که Dependency ها و توابع هر ورژن متفاوت هست برای شنود شبکه از ابزار هایی مثل ettercap هم میتونید استفاده کنید که آموزش اون در انجمن موجود هست .

با سلام خدمت اعضای تیم بزرگ گاردایران کار به روزرسانی نسخه 2.1.0 صبح امروز به پایان رسید و با انجمن همگام سازی شد . یادداشت انتشار بهبود سئو قالب - رشد 42 درصدی سئو (از 48 به 90) طراحی متفاوت بهبود سرعت بارگزاری انجمن بهبود نسخه موبایل انجمن لطفا اطلاع رسانی کنید تا مدیران از روند به روز رسانی اطلاع کامل داشته باشند با تشکر مدیریت تیم امنیتی گاردایران

سلام نکته اول اینکه متغییر مربوطه رو قبل از مقدار دهی به صورت صریح تعریف کنید . dim com نکته دوم اینکه تابع createObject انتظار یک ProgID رو داره ؛ مثل createObject("Microsoft.XMLHTTP")

index.htmlبا سلام خدمت اعضای محترم تیم بزرگ گارد ایران بنا بر پیشرفت بخش دیفیس تیم ، دیفیس پیج اختصاصی گاردایران با دقت و جزئیات توسط اینجانب طراحی شده ؛ به جهت یکپارچگی ، تمامی دیفیسر های محترم مجاب به استفاده از این پیج می باشند . - لینک های مهم دمو مخزن گیت هاب index.html