الفحص العشوائي (Fuzzing) | ⚪️

هو تقنية لاختبار البرمجيات تتضمن تزويد البرنامج بإدخالات غير صحيحة أو عشوائية أو غير متوقعة بهدف اكتشاف الأخطاء أو الثغرات الأمنية أو الأعطال. يُستخدم هذا الأسلوب عادةً في اختبار الأمان وقد أثبت جدواه في اكتشاف العديد من الثغرات في تطبيقات البرمجيات المختلفة

وفيما يلي بعض التقنيات الشائعة المستخدمة في الـ Fuzzing 👾

Random Fuzzing
Mutation-Based Fuzzing
Generation-Based Fuzzing
Coverage-Guided Fuzzing
Differential Fuzzing

CH : @SparkSecurity

نظرة عامة على ثغرة حقن (SQL Injection) 👾


🏷 ثغرة الـ SQL injection
ثغرة حقن SQL هي عيب برمجي خطير جدًا يمكن أن يؤدي إلى اختراق الأجهزة، وكشف البيانات الحساسة، بالفـترة الأخيرة، انتشرت البرامج الضارة او الملوير او الفايروسات فـ اكيد تثير القلق ،

هو أن الأنظمة المتأثرة بهذه الثغرات غالبًا ما تكون تطبيقات التجارة الإلكترونية
" E-commerce"
أو التطبيقات التي تتعامل مع البيانات الحساسة أو المعلومات الشخصية المحددة
(PII) Personally identifiable information

هواي من تطبيقات قواعد البيانات المحلية أو المعتمدة على الأعمال الخاصة بها لديها ثغرات حقن SQL.

خلينا نكون صريحين 🆙

إذا جنت تقوم ببناء تطبيقات تتواصل مع قواعد البيانات الكود مالتك يحتوي على ثغرات حقن SQL واحدة أو أكثر

(سواء جننت تدري بهذا الشي او لا ! )، فأنت تعرض جميع البيانات في قاعدة البيانات للخطر. إذا مافهمت هاي الجملة، فاستمر في قراءتها حتى تفهمها.

في بعض الأحيان لا تحتاج إلى ثغرة حقن SQL لاختراق البيانات؛ فطريقة شائعة لاختراق قاعدة البيانات هي دخول الباب الأمامي الذي تركته مفتوحًا عن طريق فتح منفذ قاعدة البيانات، مثل
TCP/1433 في Microsoft SQL Server
TCP/1521 في Oracle
TCP/523 في IBM DB2
TCP/3306 في MySQL

تعوف هذه المنافذ مفتوحة على الإنترنت واستخدامك كلمة مرور افتراضية لحساب قاعدة بيانات sysadmin هو وصف للكارثة!

اكو بيانات واكو بيانات حساسة، لازم نفرق بيناتهم وأكبر نوع من المخاطر هو هجوم حقن SQL حيث يحصل الهاجم على البيانات الخاصة أو PII أو الحساسة.

المهاجم لا يحتاج إلى تولي دور sysadmin لسرقة البيانات🔑 .
CH : @SparkSecurity

🔗| في بعض البلدان والولايات والصناعات ، راح تكون مسؤول قانونياً اذا صار هذا الشي

🏷 | على سبيل المثال ، مثلاً بولاية كاليفورنيا ، قانون حماية الخصوصية على الانترنت يمكن ان يوكعك بمشاكل قانونية اذا اخترقو قواعد البيانات الخاصة بيك الي اقصد بيه هنا هو المواقع او قاعدة بيانات الموقع او التطبيق وقاعدة بيانات التطبيق مهما كانت الخدمة كلنا نعرف انو هي تحتوي على قاعدة بيانات طبعاً اذا احتوت البيانات هاي بيانات خاصة او شخصية ، مثلاً بـ ألمانيا القسم 9 من قانون حماية البيانات الفيدرالي يتطلب منك تنفيذ اجراءات امنية تنظيمية وتقنية مناسبة لنظم التعامل مع " PII "

🔎 | النظام اللي يعرض للخطر من هجمات حقن SQL يعاني بوضوح من ضعف في التحكم في الوصول وبالتالي يمكن اعتباره غير متوافق مع هذه اللوائح
قد تكون المؤسسات اللي تتعامل وي معلومات بطاقات الائتمان غير متوافقة مع متطلبات

🔑 | معيار أمان بيانات صناعة بطاقات الدفع (PCI DSS) البند 6.5.6

CH : @SparkSecurity

CWE ( Common Weakness Enumeration ) ♣️

وهو معيار مشترك تم تطويره من قبل معهد MITRE لتصنيف ووصف الثغرات الأمنية الشائعة في البرمجيات وأنظمة المعلومات.

🏷 لشنـو يهدف الـ CWE ؟

يوفر الك قائمة شاملة ومنظمة للثغرات الأمنية المعروفة ويوصفها بشكل موحد ومفهوم للمطورين والمهندسين الأمنيين او المتخصصين بـ اختبار الأمان

🏷 شنو هي فائدتها ؟

أداة الها قيمة لفهم ومناقشة الثغرات الأمنية المشتركة وتحسين عملية تصميم وتنفيذ البرمجيات واختبارها

تعتمد هواي من الأدوات والإطارات والمنهجيات الأمنية على CWE في تصنيف الثغرات وتوجيه الجهود لإصلاحها وتجنبها في المستقبل.

https://cwe.mitre.org/
الاداة الخاصة بيهم المطورة من OWASP على كيت-هاب
https://github.com/OWASP/cwe-tool
الموقع الخاص بيهم
https://owasp.org/

CH : @SparkSecurity

يمكن استخدام هاشتاق
#iraq_cybersecurity 📍
لتشجيع اختصاص الأمن السيبراني العراقي - في المشاركة والتواصل مع مجتمع الأمن السيبراني في العراق، وتبادل الخبرات والمعلومات المفيدة في هذا المجال المهم.

" للمهتمين حطوا هذا الهاشتاق في البايو على الانستكرام " 👍🏻

CH : @SparkSecurity

CompTIA Network+ (N10-008) 6 Practice Exams
6 اختبارات عن +N
590 سؤال راح يساعدك جداً ..
- لاتوجد شهادة مشاركة
- الشرح باللغة الانكليزية 🇺🇸
سعر الدورة (85$)
- حالة الدورة ( مجانا من قبل قناة سبارك سكيورتي لفترة محدودة )
- شارك الدورة مع اصدقائك المهتمين

اضغط هنا للانضمام الى الكورس

اكو شي حلو راح يعجبكم .. خل اكتب الكم تفاصيل المنشور وانشره + تعتبر ثُغرة 😉.

دقائق بس

🔑 | شلون ممكن تحصل أكسس حتى تدخل GPT4 مجاناً بدون ان تدفع فلوس الهم ..

الطريقة كالتـالي وبسيطة جداً

تروح لموقع :- https://julius.ai/

تنشئ حساب بمـوقع Julius كُلش سهل وراح اعلمك طريقة حتى لاتبقى تستخدم ايميلات بما انو موقع جوليوس يقبل الايميل الوهمي والمعلومات الوهمية فـ أستعملهم

استعمل إيميل وهمي من اي مزود مثل
🔗 temp-mail.info

🔗 mohmal.com

سجل حسابك بداخل موقع julius بهاي المعلومات بعدها راح تحصل أكسس ودخول لـ GPT4

المشكلة الوحيدة وين هي .. انو راح تكدر ترسل 15 رسالة فقط بالوضع هذا

بس تخلصهم استخدم معلومات ثانية بمعنى عيد الطريقة مرة اخرى وهيج راح تكون لا نهائية بالتوفيق لكم

https://julius.ai/docs/plugin-start-guide

" سبارك شرارة نحو المسـتقبل "


CH : @SparkSecurity

راح اخصص الكم قوائم تشغيل من عندة انت كطالب أمن سيبراني او مهتم او داخل بالمجال راح تحتاجهم وراح تتثبت برسالة واحدة

Wait ..

مجموعة كبيرة من أوامر الليـنكس 👾

في ملف واحد

CH : @SparSecurity

< قائمة التشغيل >


🔗 Windows Command Line Tutorial

🔗 Metasploit for Network Security

🔗 Linux Tutorial for Beginners

🔗 Wireshark Tutorial for Beginners

🔗 WiFi Wireless Security Tutorial

🔗 Git Tutorial

🆙

CH : @SparkSecurity

3,400 🤍

استفسار / سؤال على البوت التالي
عالاغلب راح تعُتبر هاي فقرة ناس تسئل نطلع ابرز الاسئلة المهمة ونخليهم بالتعليقات ، متابعين القناة نفسهم يجاوبون على اسئلتكم

أرسل هنا : @Nationofdev_bot

غداً كورسات قوية

Stay tunned 🚀.

ملاحظة مهمة : الي يطلع من القناة بعد ميرجع الها ، واللي ينحضر من الكروب بعد ميرجع اله ☑️.

نص ساعة ونشوف شنو قررتوا

🏷 أداة nikto

أداة nikto مجانية مفتوحة المصدر مكتوبة بلغة Perl ومرخصة برخصة جنو، تمت برمجتها بواسطة Chris Sullo وذلك لغرض فحص خوادم الويب، هذه الأداة فعّالة جدًا في فحص المواقع حيث تقوم بفحص أكثر من 6700 ملف يحتمل أن يكون به ثغرات أمنية، ومما يدل على أهميتها هي أنها مثبتة بشكل افتراضي على نظام اختبار الاختراق الشهير “كالي لينكس”.

المميزات 🔥

تتميز هذه الأداة بالحجم الصغير وعدم استهلاك الكثير من الذاكرة.

كذلك هذه الأداة تفحص أكثر من 6700 ملف CGIs، كما تقوم بالتحقق من الإصدارات القديمة للخوادم (أكثر من 1250 خادم).
أيضا تفحص خيارات البروتوكولات ومدى أمانها مثل HTTP، ومنافذ الشبكة المتصلة بالخادم
أيضا من العيوب في أداة nikto هي أنها تُكشف بسهولة من قبل أنظمة الحماية، لأنها تعمل ضجّة كبيرة في الخادم عند فحص كافة ملفاته، مما يجعل النظام يطلق إنذارات لعملية الفحص.

كما يجب تحديد الخادم الأكثر فعالية في الشبكة، لأن بعض المواقع تمتلك عدد من الخوادم الكثيرة المتفرّقة، لذا سيتوجب عليه جمع المعلومات عن الهدف بشكل جيد، ثم تحديد الخوادم الأكثر أهمية في الموقع، بعد ذلك فحص كل واحد منهم على حدى.
CH : @SparkSecurity