Procmon برای macOS، حمله به LLM و آکادمی MalDev

Procmon برای macOS، حمله به LLM و آکادمی MalDev

سلام به همراهان همیشگی امنیت سایبری با محمد 👋

خب بدون هیچ گونه وقت تلف کردن، بریم سراغ سری جدید تازه های دنیای امنیت سایبری:

🐝 اخبار دست اول

  1. Red Canary Mac Monitor ، یک ابزار نظارت مستقل و پیشرفته است که به صورت سفارشی برای پژوهش‌های امنیتی macOS ساخته شده است – Mac Monitor نسخه macOS عملی از ابزار Microsoft Sysinternals ، Procmon است. (کسب اطلاعات بیشتر | ابزار)
  2. آکادمی MalDev یک دوره آموزشی توسعه بدافزار مبتنی بر ماژول جامع است که توسط d0x و NUL0x4C تهیه شده و درآن به ارائه دانش پایه تا پیشرفته این مبحث پرداخته شده است. این دوره دربرگیرنده 32 ماژول مبتدی، 49 ماژول متوسط، 10 ماژول پیشرفته، 20 ماژول دیگر که در ماه‌های آینده به روز رسانی خواهد شد و 65 نمونه کد سفارشی سازی شده است. (کسب اطلاعات بیشتر)
  3. حمله به LLM- تزریق پرامپت. دسترسی آسان به APIهای قدرتمندی مانند GPT-4 چه تأثیری بر آینده امنیت فناوری اطلاعات خواهد داشت؟ — – LiveOverflow همچنین نحوه عملکرد واقعی LLM را توضیح می دهد. (کسب اطلاعات بیشتر)
  4. Learn Prompting یک دوره آموزشی رایگان و متن باز در زمینه برقراری ارتباط با هوش مصنوعی است. (کسب اطلاعات بیشتر)
  5. گوگل API، deps[.]dev را معرفی کرد که حاوی داده‌های وابستگی حیاتی برای زنجیره تامین امنیت است. این مجموعه داده‌ای از ابرداده‌های امنیتی از جمله وابستگی‌ها، مجوزها، توصیه‌ها و سایر سیگنال‌های مهم سلامت و امنیت برای بیش از 50 میلیون نسخه بسته منبع باز است. (کسب اطلاعات بیشتر | API)

✅ گزارش تغییرات

  1. JSpector 2.4.7 یک افزونه Burp Suite ساده برای خزیدن در فایل‌های جاوااسکریپت در حالت پسیو و نمایش مستقیم نتایج روی مشکلات است. (کسب اطلاعات بیشتر)
  2. Findomain v9.0. سریع ترین و کامل ترین راه حل برای ریکان دامنه است. (کسب اطلاعات بیشتر)
  3. DOMPurify 3.0.2 یک ابزار پاکسازی (ضدعفونی کننده) DOM-only، بسیار سریع، مقاوم دربرابر XSS برای HTML، MathML و SVG. (کسب اطلاعات بیشتر)
  4. ReconAIzer v0.4 یک افزونه Burp Suite که OpenAI (GPT) را به Burp اضافه می‌کند و به شما در پیدا کردن اند پوینت ها، پارامترها، URL ها، زیردامنه ها و … در مرحله ریکان باگ بانتی کمک می‌کند. (کسب اطلاعات بیشتر)
  5. Syntax × Sentry MMXXIII. Sentry از Syntax به خانواده‌اش استقبال کرد – فکر می کنم شرکت های بیشتری باید این کار را انجام دهند. این یک موقعیت برد-برد است. این اتفاق Stripe و Indiehackers به یاد من انداخت. (کسب اطلاعات بیشتر)

📅 رویدادها

  1. NahamCon از 15 تا 17 ژوئن: افتتاحیه سخنرانی اصلی geekboy و Todayisnew، CTF توسط John Hammond. (کسب اطلاعات بیشتر)
  2. B-Sides Vancouver Island به تعدادی افراد داوطلب نیاز دارد. برای رفتن به جلسه اصلی که در تاریخ 27 آپریل برگزار خواهد شد، ثبت نام کنید. (کسب اطلاعات بیشتر)
  3. مسابقه تلویزیونی Technical Feud در تاریخ 4/17 ساعت 9AM به وقت ساعت جهانی. یک برنامه با موضوع دعواهای خانوادگی اما با میم‌های برنامه نویسی. (کسب اطلاعات بیشتر)

🎉  پیام های تبریک

  1. Nagli مدعی جایگاه نخست برای OpenAI در برنامه جدید Bugcrowd شد. باهم ببینیم. (کسب اطلاعات بیشتر | برنامه باگ بانتی OpenAI)
  2. lil c، Twitch Affiliate شد. تبریک فراوان! (کسب اطلاعات بیشتر)
  3. mert پیشرو در تابلوی امتیازات Bugcrowd در ماه مارس بود. خلاصه ای فعالیت های موفقتی آمیز او: P1s – SQLi x3, IDOR x2, RCE x2, و نشت اطلاعات (session)  x1. (کسب اطلاعات بیشتر)
  4. TESS اولین P1 پذیرفته شده برای OpenAI را معرفی کرد. (کسب اطلاعات بیشتر)

💰  شغلی

  1. Derek رفیق Paul، یک infosec حرفه ای، باتجربه و متخصص در بازارکار امنیت سایبری هستند. درزمینه هاست فضای ابری، امنیت اطلاعات و مهارت های متنوع تیم آبی و تیم قرمز بیش از 10 سال سابقه دارند. (کسب اطلاعات بیشتر)
  2. از مدیر درباره ارزیابی حقوق سال 2023 سوال کنید – من عاشق شفافیت هستم. هرچه بیشتر بهتر. (کسب اطلاعات بیشتر | از مدیر بپرس)

⚡️ کامیونیتی

  1. Dominik با طعنه می‌گوید که اخراج شدن بهترین اتفاق زندگی آنها دراین سال بود. (کسب اطلاعات بیشتر)
  2. RogueSMG بااستفاده از Trickest برای ساده‌سازی موارد پیچیده مانند Subdomain brute با فهرست(های) عظیم، حل کردن زیرمجموعه‌ها، اسکن هدفمندnuclei ، اجرای اسکریپت‌ها/بررسی‌های سفارشی و غیره تلاش می‌کند. (کسب اطلاعات بیشتر)
  3. meg بیش از 90 پوند وزن کم کرد و یک ترکیب بدنی جدید برای خود ساخت. این‌ها چیزیهایی هستند که او در یک هفته می خورد – من تمایل به پرخوری دارم، بنابراین دیدن این موضوع برای من بسیار مفید است. (کسب اطلاعات بیشتر)
  4. نسخه AWC Ambassador Spotlight – remonsec. او با گرد هم آوردن آنها برای به اشتراک گذاشتن مهارت ها در بنگلادش به پیشرفت جامعه خود کمک می کند. (کسب اطلاعات بیشتر)

📰  خواندنی ها

  1. Mustafa یک اندپوینت جالب در مدت زمان ریکان پیدا کرد. یک صفحه خالی که یک فایل بدافزار داخل آن قرار گرفته بود. (کسب اطلاعات بیشتر)
  2. های جک‌کردن بسته های Arch Linux به وسیله‌ی ریپازیتوری‌های Repo Jacking GitHub. دراین پست وبلاگی، آنها درباره اینکه چگونه بسته های AUR بسیاری (که بسته های GitHub از آن استفاده می‌کند) در مقابل حملات پرورش repo آسیب پذیری هستند صحبت می‌کنند. (کسب اطلاعات بیشتر)
  3. دستورالعمل های مختصر برای نحوه تغییر و push کردن به PR اشخاص دیگر در GitHub. (کسب اطلاعات بیشتر)
  4. استفاده از XSSI (Cross Site Script Inclusion) برای دزدین توکن دسترسی – Ankit متوجه شد که داده های محرمانه از جمله توکن دسترسی و UID درون یک پاسخ JSONP ارسال می شود.(کسب اطلاعات بیشتر)
  5. 99مهمان ناخوانده – IDORsها، درب‌های گاراژ و اسرار دزیده شده –اواخر 2022، در حین انجام تحقیقات امنیتی مستقل، Sam یک سری از آسیب پذیری های حیاتی را در خط تولید دستگاه های هوشمند Nexx کشف کرد. (کسب اطلاعات بیشتر)

📚 منابع

  1. خلاصه مصاحبه GodfatherOrwa با IWCON 2.0 از InfoSecComm – Nithin نکات کلیدی این گفتگو را به اشتراک گذاشته، که شامل شمارش دامنه های فرعی، اسکن پورت، جمع آوری اندپوینت‌ها، dorking، جستجوی فایل های منبع/پشتیبان، اطلاعات حساس، جستجوی PII، و نکات عمومی می شود. (کسب اطلاعات بیشتر | مصاحبه)
  2. استفاده از هوش مصنوعی برای توسعه حساب های کاربری عروسک های جورابی – دررابطه با روش‌های جدید پیاده سازی ابداعی و جدید هوش مصنوعی مثل ChatGPT در تحلیل های OSINT هرروزه ما سروصدای زیادی ایجاد شده بود. (کسب اطلاعات بیشتر)
  3. leebaird/discover مجموعه‌ای از اسکریپت‌های bash سفارشی است که برای اتومیشن‌سازی کارهای مختلف تست نفوذ از جمله recon، اسکن، تجزیه و ایجاد پی‌لودهای مخرب و شنود با Metasploit استفاده می‌شود. (کسب اطلاعات بیشتر)
  4. f/awesome-chatgpt-prompts مجموعه‌ای از نمونه پرامپت ها برای استفاده در مدل ChatGPT است. (کسب اطلاعات بیشتر)

🎥 ویدیوهای پربازدید

  1. قرمز و آبی قسمت 2: نقشه راه – یک نفر از تیم قرمز و یک نفر از تیم آبی، باهم در حال بررسی چیزی هستند. (کسب اطلاعات بیشتر)
  2. کنترل دسترسی مشکل دار – کارگاه #2فرایند چند مرحله ای با حالت بدون کنترل دسترسی در یک مرحله. (کسب اطلاعات بیشتر)
  3. HackTheBox – بررسی انکدینگ، شامل عناوینی مثل ساختن یک وب‌سرور در Flask برای بهره برداری از یک SSRF. (کسب اطلاعات بیشتر)
  4. “نگاه از دریچه دید دزدها”در DakotaCon (کسب اطلاعات بیشتر)
  5. تست نفو فضای ابری: آسیب‌پذیری‌ها و حملات رایج. (کسب اطلاعات بیشتر)

🎵  شنیدنی ها

  1. پادکست بهره برداری دودویی روز[0] قسمت 204 – عیب یابی از Wii-U و سرریزهای اعداد صحیح. (کسب اطلاعات بیشتر)
  2. پادکست باگ بانتی روز[0] قسمت 203—RCE پیش از احراز هویت Pentaho و Theft با تزریق CAN. بررسی چند مشکل جالب به اینصورت که اجرای کد را در Synthetics Recorder که از اجرای کامنت در کد ناشی می‌شود جستجو می‌کنند. دور زدن احراز هویت در Pentaho که از طریق SSTI به RCE منتهی می‌شود، سرقت خودرو از طریق تزریق پیام اتوبوسCAN ، و نحوه تبدیل شدن به یک مدیر کلاستر از یک pod در معرض خطر در سرویس AWK Elastic Kubernetes. (کسب اطلاعات بیشتر)
  3. تفکر انتقادی – پادکست باگ بانتی قسمت 15- محقق امنیتی میلیون دلاری Nagli. (کسب اطلاعات بیشتر)
  4. برنامه 293 The Privacy, Security, & OSINT — معیارهای نرم افزارهای مالی. (کسب اطلاعات بیشتر)
  5. Latent Space قسمت 7- مدل و مشکلات سخت Computer Vision هرچیزی را با Joseph Nelson از Roboflow بخش بندی کنید. Meta یک مدل، با وزن و مجموعه داده 400 برابر بزگتر از SOTA قبلی را ارائه کرد. Joseph، Computer Vision را بعد از OCR و حل کردن بخش بندی تصویر، برای دولوپرها معرفی می‌کند. (کسب اطلاعات بیشتر)

🧰  ابزارها

  1. Ch0pin/medusa یک چارچوب توسعه‌یافته و ماژولار شده است که فرآیندها و تکنیک‌های تمرین‌شده را در طول تجزیه و تحلیل پویا برنامه‌های Android به‌طور خودکار انجام می‌دهد. (کسب اطلاعات بیشتر)
  2. acheong08/EdgeGPT یک API مهندسی معکوس شده از چت هوش مصنوعی Bing از Microsoft است. (کسب اطلاعات بیشتر)
  3. Rnalter/ThunderCloud یک چارچوب بهره برداری از فضای ابری است.(کسب اطلاعات بیشتر)
  4. GONZOsint/gvision یک اپلیکیشن جستجوی تصویر معکوس است که از Google Cloud Vision برای تشخیص لندمارک‌ها و موجودیت های وب از روی تصاویر استفاده می‌شود، به شما کمک می‌کند تا با سرعت بالا و به راحتی اطلاعات ارزشمندی را جمع آوری کنید. (کسب اطلاعات بیشتر)
  5. channyein1337/jsleak یک ابزار کشف اسرار، مسیرها یا لینک های موجود در سورس کد در طول ریکان است. (کسب اطلاعات بیشتر)

💡 نکات کاربردی

  1. douglasday درباره اصلاح افعال HTTP صحبت می‌کند: POST /api/users کاربران را به سازمان شا اضافه می‌کند در مقابل، GET /api/users تمام کاربران را به سازمان شما بازمی‌گرداند. (کسب اطلاعات بیشتر)
  2. حمله به بازیابی رمزعبور با تزریق هدر هاست. (کسب اطلاعات بیشتر)
  3. چگونه در صفحه جستجوی گوگل بیش از 10 نتیجه را نمایش دهیم. (کسب اطلاعات بیشتر)

🍯دنبال کن

اکانت های توییتر پیشنهادی برای دنبال کردن.

  1. 0xw2w ا| Max Yaremchuk ا| من همه جا دنبال باگ می‌گردم و تلاش می‌کنم محدودیت ها را پشت سربگذارم.
  2. EdOverflow ا| Ed ا| وب دولوپر و محقق امنیتی. پن تستر سینیور @cure53berlin.  صاحب اثر @securitytxt. کارمند @BlueMagnetIO.
  3. RickRubin ا| Rick Rubin ا| دیوانه موسیقی
  4. defparam ا| d3fp4r4m ا| @[email protected].
  5. MasterSEC_AR ا| edduu ا| محقق امنیتی. شکارچی جایزه آسیب‌پذیری.

🚀بهره وری

  1. کار خود را ناقص رها کنید – این مقاله به شما پیشنهاد می‌کند زمانیکه کار بعدی را انتخاب می‌کنید، بهتر است از یک On-ramp استفاده کنید. (کسب اطلاعات بیشتر)
  2. بهینه سازی Obsidian برای تولید محتوا – دیدگاه‌های یک کهنه سرباز 2 ساله Obsidian و چند نکته برای بهبود فرآیند خلاقانه برای ارائه محتوای بیشتر. (کسب اطلاعات بیشتر)
  3. Obsidian در واقعیت چه کارهایی می‌تواند انجام دهد — تفکیک تمام 27 پلاگین اصلی. (کسب اطلاعات بیشتر)
  4. داستان 1000 مهره – معلم شما یک کیسه با 100 مهره به شما می دهد و هر بار که اشتباه می کنید باید یک مهره را از کیف بردارید. هدف این است که کیسه را در سریع ترین زمان ممکن خالی کنید. (کسب اطلاعات بیشتر | کتاب: لینک دسترسی آسان )
  5. Magic ToDo به شما اجازه می‌دهد تا به صورت شگفت انگیزی کارهایتان را تفکیک کنید و به راحتی انجام دهید. (کسب اطلاعات بیشتر)

🌐 تکنولوژی

  1. تکنیک های پیشرفته برای استفاده بهتر از مدل های زبانی، پوشش شبیه سازی کاراکتر، تعقیب متن، شبیه سازی دو سطحی، تغییر زبان، تغییر پی‌لود/Smuggling توکن، فشرده سازی پرامپت و …. – رشته توییت “10 پرامپت برتر برای ChatGPT “. (کسب اطلاعات بیشتر)
  2. جرقه های AGI: تجربه های اخیر با GPT-4 — با توجه به سیستم‌های هوش مصنوعی جدید، ChatGPT و جانشینان قدرتمندتر آن، درباره ورود هوش مصنوعی بحث می‌کنند. (کسب اطلاعات بیشتر | مقاله)
  3. ارتقاء یک سرور خانگی با یک CPU چینی مرموز – من نمی دانستم که اینکار امکان پذیر است: پردازنده‌های لپ تاپ به کار روی دسکتاپ تبدیل شده اند. (کسب اطلاعات بیشتر)
  4. با ChatGPT مهارت های خودتان را افزایش دهید – ایجاد یک ابزار رونویسی و ترجمه بااستفاده از OpenAI. (کسب اطلاعات بیشتر)
  5. Phind – موتور جستجوی هوش مصنوعی برای دولوپرها – به طور مختصر این موتور جستجو را بررسی کردم، امیدوارکننده به نظر می‌رسید. (کسب اطلاعات بیشتر)

🧠  دانش و آگاهی

  1. نادر درباره اینکه چگونه یک سازنده و یادگیرنده موثر باشیم صحبت می‌کند. او می‌گوید: “هیچ وقت به مردم اجازه نده تا جلوی تو را در رابطه با امتحانکردن چیزهای جدید، یادگیری عمومی و کمک کردن به دیگران بگیرند[…]”— فقط کافیه اونکار یکه دلت میخواد را به صورت عمومی انجام بدی!. (کسب اطلاعات بیشتر)
  2. Jason درباره به آغوش کشیدن شکست می‌گوید: “به یاد داشته باشید: “هیچ گاه اجازه ندهید شکست امید شما را از شما بگیرد. آن را در آغوش بگیرید؛ از آن یادبگیرید و قوی تر شوید. همه ما یک روزی از یک جایی شروع کردیم، و ثابت قدمی و پشتکار کلید موفقیت ما است. ” (کسب اطلاعات بیشتر)

💛 صحبت ها و مصاحبه های متقابل

  1. levelsio بااستفاده از Widgy ظاهری مشابه ظاهر ساعت CASIO برای Apple Watch ساخت – هیچ نظری درباره این مورد ندارم. ظاره کنونی ساعت شما چگونه است؟ (کسب اطلاعات بیشتر)
  2. We outside: قسمت اول به صورت زنده از پارک میدان تامپکینز نیویورک ساخته خواهدشد – Marc Rebillet به اصل خود باز می گردد. تصویر آن را در پس زمینه قرار دهید و لذت ببرید. (کسب اطلاعات بیشتر)
  3. برخی از بهترین دوره های آموزشی دانشگاهی که به صورت رایگان و انلاین دردسترس هستند – اولین پیشنهاد من همیشه Harvard’s CS50 است. (کسب اطلاعات بیشتر | CS50)
  4. 3 عدد از بهترین چایخانه های دنیا – اگرچه من زیاد دراین زمینه خبره نیستم، اما دوست دارم حداقل یکی از این مکان ها را از نزدیک ببینم. (کسب اطلاعات بیشتر)
  5. با dotfile پیکربندی های Neovim را کشف کنید و با بقیه به اشتراک بگذارید—یک نکته مخالف بهره وری، اما من عاشق به هم وصل کردن dotfile ها بهم هستم. (کسب اطلاعات بیشتر)

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *