P.F.K Security

👺 Awesome hacking. Exploiting.

امروز لیست بزرگی از ابزارها به شما ارائه می شود که به 3 قسمت تقسیم شده است. ابزارهایی که در انتخاب ارائه می شوند در عمل هنگام انجام پنتست ها به طور فعال استفاده می شوند:


Exploiting:
• AttackSurfaceAnalyzer • Bashfuscator • BeEF • BugId • CCAT • Commix • DLLInjector • DefenderCheck • Donut • Drupwn • EfiGuard • EtherSploit-IP • Evilgrade • Exe2hex • Fathomless • Gorsair • Kube-hunter • LAVA • Linux Exploit Suggester • Linux-exploit-suggester • Macrome • Metasploit Framework • MeterSSH • Nessus • Nexpose • Nishang • OpenVAS • PSKernel-Primitives • Peirates • PowerSploit • ROP Gadget • Routersploit • Rupture • Shark • SharpBlock • SharpShooter • ShellcodeCompiler • Shellen • Shellsploit • Spoodle • SysWhispers • Unicorn • Veil Framework • Vuls • Windows Exploit Suggester • Ysoserial.net •

#tools #pentest #hacking #hack #Exploiting
@PFK_Security

اجازه ندهید کنترل شوید. 12 قانونی که به شما کمک می کند.

در تلگراف بخوانید

#SE
@PFK_Security

موتور جستجوی Shodan

Shodan
پورت های دستگاه را نظرسنجی می کند و بر اساس بنرهای پاسخ دریافتی در مورد دستگاه ها و خدمات نتیجه گیری می کند. موتور جستجو پرداخت می شود، اشتراک سالانه 20 دلار هزینه دارد، با این حال، می توانید آن را در عمل امتحان کنید: پس از ثبت نام رایگان، 50 نتیجه جستجو در دسترس است. اگر علاقه مند باشید، خودتان تاریخ خلقت و بیوگرافی نویسنده را خواهید یافت، اما فعلاً بیایید به تجارت بپردازیم:

فیلترها

نتایج جستجو را می توان با استفاده از ساختارهای زیر فیلتر کرد:
کشور: کشور، در قالب IR، انگلستان، ایالات متحده و غیره، به عنوان مثال:
nginx country:IR

city: city،برای مثال:

nginx city:"Tehran" country:IR
os: سیستم عامل، به عنوان مثال:
microsoft-iis os: "windows 2003"
پورت: پورت با فرمت های 21، 80، 443 و غیره، به عنوان مثال: proftpd port:21
hostname: به شما امکان می دهد بر اساس یک دامنه جستجو کنید، به عنوان مثال: nginx hostname:.de


مثال 1: دستگاه های سیسکو
برای درک مثال اول، باید به یاد داشته باشید که کدهای پاسخ اولیه HTTP چگونه هستند:

کدهای وضعیت HTTP:

200 OK درخواست با موفقیت انجام شد.
301 MovedPermanently یک URI دائمی جدید اختصاص داد.
302 FoundResides تحت یک URI متفاوت.
401 درخواست غیرمجاز نیاز به احراز هویت دارد.
403 ForbiddenRequest بدون در نظر گرفتن احراز هویت رد می شود.

در این مثال، ما سعی خواهیم کرد دستگاه‌های سیسکو را با رابط وب که برای دسترسی به آنها نیازی به مجوز ندارند، پیدا کنیم.
ابتدا، بیایید ببینیم اگر به سادگی «cisco» را در نوار جستجو وارد کنیم، یک بنر معمولی "401 غیر مجاز" دستگاه سیسکو چگونه به نظر می رسد:

HTTP/1.0 401 Unauthorized
Date: Thu, 20 Oct 1994 05:18:36 GMT
Server: cisco-IOS
Connection: close
Accept-Ranges: none
WWW-Authenticate: Basic realm=«level_15_access» 


لطفاً توجه داشته باشید که خط "WWW-Authenticate: Basic realm="level_15_access" نیاز به وارد کردن نام کاربری و رمز عبور را نشان میدهد .

به نوبه خود، دستگاهی که نیازی به مجوز ندارد، یک بنر با وضعیت 200 برمی گرداند (برای این کار، ما در نوار جستجو در "200 cisco" رانندگی می کنیم، و خط آخرین تغییر یک علامت مطمئن است که این "ما" است. مشتری":

HTTP/1.0 200 OK 
Date: Mon, 08 Sep 2014 22:28:16 GMT 
Server: cisco-IOS 
Connection: close 
Transfer-Encoding: chunked 
Content-Type: text/html 
Expires: Mon, 08 Sep 2014 22:28:16 GMT 
Last-Modified: Mon, 08 Sep 2014 22:28:16 GMT
Cache-Control: no-store, no-cache, must-revalidate
Accept-Ranges: none

کافی است لینک ip-address:80 را دنبال کرده و وارد کنسول مدیریت دستگاه شویم. من سیسکو SDM را برای راحتی دانلود کردم.



مثال 2: رمزهای عبور پیش فرض
دستگاه های زیادی با لاگین و رمز عبور پیش فرض به اینترنت متصل هستند، بیایید سعی کنیم چیزی را پیدا کنیم. برای انجام این کار، در نوار جستجو می نویسیم "default+password". اجازه دهید port:80 را نیز برای انتخاب دستگاه‌های دارای احراز هویت www اضافه کنیم.

در نتیجه، بنرهای زیادی حاوی عبارت جستجو را خواهیم دید و همانطور که تمرین نشان می دهد، درصد زیادی از دستگاه ها دارای ورود / رمز عبور مانند admin/password، admin/pass و غیره خواهند بود.

مثال 3: دوربین های مداربسته
اگر در مورد دستگاه های شبکه، کاربران در بیشتر موارد رمزهای عبور کم و بیش قوی تنظیم می کنند، در مورد بقیه تجهیزات، اوضاع بسیار بدتر است. در این مثال به دوربین های امنیتی نگاه خواهیم کرد. در محل کار، من اغلب باید با دستگاه های ضبط ویدئو DVR سر و کار داشته باشم، برخی از آنها به شبکه دسترسی دارند. ما در نوار جستجو می نویسیمDVR port:80 country:IR city: " Tehran " و ما لیستی از DVR ها را در تهران دریافت می کنیم، حدود 200 دستگاه پیدا شد.

حساب های استاندارد در چنین دستگاه هایی عبارتند از admin و user، گذرواژه: admin، user، 1111، 1234، 123456، 8888 (در دستورالعمل ها قابل مشاهده است). قبلاً در صفحه اول، دستگاهی با حساب استاندارد.

مثال 4: پرس و جوهای محبوب

در بخش جستجوهای محبوب، می توانید به گزینه های پرس و جو نگاه کنید، به عنوان مثال، دوربین های IP avtech را در ایالات متحده جستجو کنید: linux upnp avtech country:US، فیلتر معمول port:80 را به آن اضافه کنید.

و دوباره در صفحه اول جستجو با دستگاهی روبرو می شود که در آن مشخص شد با استفاده از admin / admin وارد سیستم شده است.

#shodan
@PFK_Security

💠 من یه دهه هشتادیم، یه بچه به قول شما | می‌خوای بدونی چرا داریم انقلاب می‌کنیم؟! پس گوش کن!!!

وقتی یه دهه هشتادی حرف اول و آخر رو می‌زنه و سیاسی‌تر از هر سیاستمداری توضیح می‌ده که چرا خیابان و تغییر رژیم، اولین و آخرین مسیر برای عبور از همه چالش‌های موجوده.
#مهسا_امینی
#برای_ایران

@PFK_Security

نام واقعی جمهوری اسلامی، «حکومت بچه‌کُش» است. نظامی ضعیف با رهبرانی درمانده که تنها زورش به ضعفا، فقرا، کودکان، کارگران می‌رسد. معلمان و دانش‌آموزان و دانشجویان را دربند و شکنجه می‌کند و زنان و دختران ایران را می‌رباید.
- شاهین نجفی

پایگاه داده 1.4 میلیارد رمز عبور ایمیل

Dumpedlezarfire یک پایگاه داده از 1 میلیارد و 400 میلیون ورود و رمز عبور حساب از پایگاه داده های سایت است که هک شده و در دسترس عموم قرار گرفته است.

ایمیل، نام مستعار یا نام خانوادگی فرد را به لاتین در فرم نشان می‌دهیم و لیستی از رمزهای عبور که شخص در سایت‌های مختلف استفاده کرده است، دریافت می‌کنیم.

بسیاری از مردم به طرز وحشتناکی تنبل هستند (مخصوصاً وقتی صحبت از حفظ و خلاقیت می شود) و از رمزهای عبور یکسان یا بسیار مشابه در همه جا استفاده می کنند: تاریخ تولد عزیزان در انواع مختلف، نام همسر یا حیوانات خانگی.

لینک: http://dumpedlqezarfife.onion.ws

لینک : http://dumpedlqezarfife.onion

@PFK_Security

💠 هموطنان عزیز

یکی از بزگترین حربه های روانی رژیم يا اصطلاحا، جنگ روانی او؛ این جمله است:
"هنوز به مرحله ای نرسیده که حکومت بخواد تیربار و تانک بیاره"
اگر برای حکومت این امکان وجود داشت که ضربتی و گازانبری سرکوب کند، در روزهای اولیه قیام چنین عمل می کرد.
نه اینکه اجازه دهد جنبش قدرت روز افزون گرفته و به همین ترتیب موجب گستردگی و فراگیر شدن آن شود..
حکومت به خوبی می داند هر روز که می گذرد بدنه خاکستری مردم بیشتر و بیشتر به انقلابیون ملحق شده و هر آن خطر حضور جمعیت میلیونی در خیابان، قریب الوقوع خواهد بود..
حکومت هر قدرتی که داشته
هر توانی که داشته
هر  آنچه از دستش بر می آمده، رو کرده است

ببینید از قوه قضائیه تا حوزه علمیه تا دیگر حکومتی ها چگونه به غلط کردن افتاده اند!!
تجربه 44 سال زندگی در ذیل این حکومت اثبات کرده که زمانی به غلط کردم می افتد که تمام برگ های خود را رو کرده و دیگر دستش تهی مانده باشد..
تجربه نشان داده، حکومت اگر قدرت شاخه و شانه کشیدن داشته باشد دریغ نمی کند..

شک نکنید این غده سرطانیِ 44 ساله ناعلاج و درمانده و مستأصل گشته و نه اینکه روی لبه پرتگاه ایستاده باشد، نه..
بلکه سقوط کرده و تنها از لبه پرتگاه آویزان شده و تنها یک لگد روی دست او کافیست تا سقوط او کامل شود..

پیروزی ابتدا یک باور است و سپس باور رفتار را هدایت کرده و به اتفاق آن منجر می شود..

باور داشته باشید پیروزیم..

@PFK_Security

چگونه باهوش تر ظاهر شویم؟

تعجب خواهید کرد که چگونه بسیاری از افراد در مصاحبه های شغلی شکست می خورند فقط به این دلیل که نتوانسته اند خود را به خوبی نشان دهند. و سایر متقاضیان بدون تجربه، استعداد و کوله باری از دانش، به راحتی برای شغلی که کاملاً برای آن نامناسب هستند مصاحبه کردند. در نتیجه، یک فرد باهوش اما غایب به دنبال شغل جدید می رود و هموطن متهور ما با زبان درست، موقعیتی در شرکت به دست می آورد.

در تلگراف بخوانید

#SE
@PFK_Security

💠 ‏خون نخوریم

زير مجموعه ‎#ميهن كه ميشن
ديلى ماركت  (فروشگاه زنجيره اى)
طبيعت (برنج، تن ماهى و روغن)
مكنزى (تن ماهى)
هايلى (چاى و برنج)
پاندا و برنارد (بستنى)
فروت لند (آبميوه)
خوشبخت (برنج، رب و كنسرو)
و
دومينو و دلپذير

رو وارد تحريم كنيد و ازشون خريد نكنيد!
‎#مهسا_امینی ‎#OpIran

@PFK_Security

💠 خانواده‌ی پایداری، مالکین شرکت #میهن فقط در سال ۱۳۹۸، رانت ارزی‌ای نزدیک به یک میلیارد یورو از حکومت جمهوری اسلامی گرفته‌اند.
این شرکت در روزهای اخیر با دستگاه سرکوب ج.ا. همکاری تنگاتنگی داشته.

#میهن_فروش
#mahsa_amini
@PFK_Security

P.F.K Security pinned Deleted message

جاسوسی WIP19 | APT جدید چینی ارائه دهندگان خدمات فناوری اطلاعات و مخابرات را با بدافزار امضا شده هدف قرار می دهد.

#APT
@PFK_Security

ترس. دستکاری - اعمال نفوذ. موفقیت

و این واضح است. به هر حال ترس قوی ترین احساس است. هر کسی فوبیای خاص خود را دارد. این واقعیت گویای همه چیز است. اما مهمترین چیز این است که بتوانیم از آن استفاده کنیم.
در سراسر وجود بشر، ترس ها بر آنها حکومت می کردند. ترس از کشته شدن، دزدی، تبعید. ترس از فروپاشی کشور یا تغییر رژیم سیاسی. ما می توانیم این مورد را ازوضعیت الان کشور مشاهده کنیم. در شبکه های اجتماعی کانال های مربوط به دولت که ترس از تجزیه شدن ایران را بعد از آنها به میان میکشند یا ... ، جیره خوران و مزدوران به طور فعال روی پست ها با عبارت "فقط خامنه ای " و ... اظهار نظر می کنند. حتی با وجود ابطال آشکار، مردم در اکثر موارد همچنان به تولید ناخالص داخلی رای میدهند یا وضعیت رو اروم جلوه میدن یا هرچیز دیگه ای. و اینطور نیست که همه از آن راضی باشند، آنها فقط از تغییرات اساسی می ترسند. آیا این نمونه بارز مدیریت ترس نیست؟

یکی دیگر از نمونه های خوب نفوذ از طریق ترس و استخدام هوشمند فرقه های مختلف هستند. به عنوان یک قاعده، مردم به طور تصادفی به آنجا می رسند. اما اگر باز هم اتفاق بیفتد که شخصی خود را در این حلقه ها بیابد، تقریباً به احتمال 100 درصد می توان گفت که او متقاعد شده است که از چیزی بترسد. به عنوان یک قاعده، ترس از مرگ است. «به زودی همه می میریم» یا «قیامت نزدیک است» شعارهای گسترده ای در فرقه های مختلف است.( سپاه رو میشناسید)

استفاده از ترس در SE



از آنجایی که هدف اصلی مهندسی اجتماعی استخراج اطلاعات است، سوء استفاده از ترس قربانی احمقانه است. اما چگونه می توان این ترس را ایجاد کرد؟ رایج ترین تکنیک باج گیری است. و تقریباً همیشه این ترس از انتشار داده ها یا پرونده های شخصی (عکس هایی با محتوای صمیمی، مکاتبات و غیره) است. بنابراین، در صورت وجود داده های در معرض خطر، می توانید به راحتی به علایق خود (نه فقط مادی) دست یابید.
همانطور که قبلاً مشخص شده است، برای اینکه از قربانی فاصله بگیرید، باید مطالب یا اطلاعات شخصی او را دریافت کنید. از این گذشته، حتی اگر شماره تلفن و آدرس شخصی خود را بدانید، گاهی اوقات این ممکن است کافی باشد. همه ما فیلم هایی را تماشا کردیم که در آن یک دیوانه به قربانی زنگ زد و گفت که می داند او کجا زندگی می کند. و زن آن طرف سیم آماده بود بمیرد، اما به آن گوش ندهد. طبیعتاً همه چیز اغراق آمیز است، اما حقیقتی در این وجود دارد.



چگونه اطلاعات ارزشمندی بدست آوریم؟


اولین منبع، پروفایل های رسانه های اجتماعی است. همیشه می توانید اطلاعات جالبی در آنجا پیدا کنید. منبع دوم را می توان آشنایی و اعتماد به نفس در مورد هدف باج گیری در نظر گرفت، زیرا در فرآیند ارتباط شما بسیار بیشتر از یک عکس و موقعیت مکانی در اینستاگرام خواهید آموخت. عکس ها و فیلم های صمیمی جالب ترین چیزی نیست که می توانید از قربانی بگیرید. و سومین روش که سخت ترین آن نیز هست نظارت است. کجا زندگی می کند، چگونه حرکت می کند، با چه کسی ارتباط برقرار می کند. به اندازه کافی سخت است که در طول تعقیب و گریز مورد توجه قرار نگیرید و توجه را جلب نکنید. اما هر مهارتی را می توان آموخت. میل وجود خواهد داشت. و با این حال، این روش نمی تواند 100٪ محتوای اطلاعاتی کامل را تضمین کند. به هر حال، اگر قربانی درونگرا باشد، پس او را در همان مسیر دنبال خواهید کرد: خانه-کار-خانه.
هرکس به رویکرد خود نیاز دارد. همه چیز مهم است. سایکوتایپ، عادات، شخصیت. حتی قربانی ترجیح می دهد چه لباسی بپوشد. همه این عوامل را با دقت مطالعه کنید و از همه مهمتر ترس را در فرد بیدار کنید!
#SE
@PFK_Security

هجوم گسترده مردم تهران به طرف اوین

پلیس مسیرهای منتهی به اوین رو بسته
#اوین
@PFK_Security

⭕️ شرکت TorGuard اعلام کرد که هیچ نماینده فعالی با عنوان VPNCLUB ندارد و اینها در حال کلاهبرداری از طریق فروش حساب اشتراکی هستند این حساب ها به سرعت مسدود میشوند. مراقب باشید در این شرایط قربانی کلاهبرداری نشوید.
🆔 @Webamoozir

خطاب به تمام کارکنان پرس‌تی‌وی

خودتان را این روزها به چه قیمتی می‌فروشید؟ با همان نرخ سابق با شما حساب می‌کنند؟
بترسید از فردا، قبل از آنکه خیلی دیر شود!

#MahsaAmini #مهسا_امینی #OpIran

P.F.K Security pinned «علاقه مند به CTF هستید ؟»

هوش هیجانی توانایی فرد در شناخت احساسات، درک مقاصد، انگیزه ها و خواسته های افراد دیگر و خود و همچنین توانایی مدیریت هیجانات خود و سایر افراد به منظور حل مشکلات عملی است.

در تلگراف بخوانید

#SE
@PFK_Security