Try Hack Box

📚 کتابچه "Mimikatz: تسلط عملی بر تکنیک‌های پیشرفته حملات Active Directory" از مقدماتی تا پیشرفته.

اگر در حوزه امنیت سایبری و تست نفوذ Active Directory فعالیت میکنید، این کتابچه ضروریترین منبعی است که میتوانید داشته باشید!

منبعی کامل برای تیم‌های قرمز (Red Team)، شامل دستورات عملی، اسکریپت‌های آماده، و تکنیک‌های evasion است که مستقیماً در تست‌های نفوذ استفاده میشوند.


همین حالا این کتاب تخصصی را به زبان فارسی بخوانید.
🔥 تخفیف
💰 قیمت اصلی: ۲۵۰,۰۰۰ تومان 
💥 با تخفیف : ۲۰۰,۰۰۰ تومان
⚠️ مهلت تخفیف: ۲ روز


📌 جهت خرید و کسب اطلاعات بیشتر، به ایدی زیر پیام دهید:
@THBxSupport
@TryHackBox

🔖 بررسی تهدیدها : OWASP Top 10  برای LLM  

⭕ مدل ‌های زبانی بزرگ (LLM) را در سیستم ‌های production پیاده‌سازی می‌کنند، اما با آن ‌ها مانند کتابخانه ‌های معمولی رفتار می‌شود API را متصل کنید و فراموش کنید. مشکل اینجاست که مدل زبانی دستورات موجود در ورودی کاربر را اجرا می‌کند، کد تولید می ‌نماید و به پایگاه ‌های داده دسترسی پیدا می‌کند. اگر ویژگی ‌های خاص این سیستم ‌ها در نظر گرفته نشود، ممکن است منجر به نشت داده ‌ها یا compromise کل برنامه شود.  OWASP 10 vulnerabilitie بحرانی در برنامه ‌های مبتنی بر LLM را شناسایی کرده است در ادامه هر کدام را با مثال‌ های حمله و روش ‌های حفاظت بررسی می‌کنیم.

LLM01: Prompt Injection
LLM02: Sensitive Information Disclosure
LLM03: Supply Chain Vulnerabilities
LLM04: Data and Model Poisoning
LLM05: Improper Output Handling
LLM06: Excessive Agency
LLM07: System Prompt Leakage
LLM08: Vector and Embedding Weaknesses
LLM09: Misinformation
LLM10: Unbounded Consumption


➖➖➖➖➖➖➖
🆔 @TryHackBox
🆔 @TryHackBoxOfficial
🆔 @TryHackBoxStory
🆔 @RadioZeroPod

#هوش_مصنوعی #امنیت_سایبری

🔐 بخش اول: معرفی پروژه CVE Lite CLI از OWASP
اگر توسعه‌دهنده جاوااسکریپت هستید و از npm، pnpm یا Yarn استفاده می‌کنید، حتماً می‌دانید که وارد کردن پکیج‌های شخص ثالث، ریسک امنیتی بزرگی به همراه دارد.
بسیاری از این پکیج‌ها و وابستگی‌های پنهان آن‌ها، حاوی آسیب‌پذیری‌های شناخته شده‌اند، اما بیشتر توسعه‌دهندگان از وجود آن‌ها بی‌خبرند.
🔧ابزار CVE Lite CLI یک ابزار خط فرمان سبک، رایگان و متن‌باز است که به‌تازگی به عنوان پروژه انکوباتور OWASP پذیرفته شده.
این ابزار در عرض چند ثانیه، فایل قفل (lockfile) پروژه شما را اسکن می‌کند و دقیقاً نشان می‌دهد:
کدام پکیج‌ها آسیب‌پذیری دارند
چه دستوری باید اجرا کنید تا جایگزین امن و بدون مشکل جایگزین شود
✅ برخلاف اسکنرهای سنتی که فقط یک لاگ بزرگ از خطاها نشان می‌دهند، CVE Lite CLI با الگوریتم اختصاصی خود، دستور دقیق جایگزینی را پیشنهاد می‌کند که برنامه شما را خراب نمی‌کند.
✅ در بخش بعدی: مقایسه با اسکنرهای CI/CD و مشکل فرسودگی ذهنی توسعه‌دهندگان.

✍️نویسنده
@TryHackBoxStory | The Chaos

چه کسی برای تو چهره‌ای نمادین و مهم در امنیت سایبری جهانی است؟ به چه کسی الگو می‌ دهی؟ دنبال چه کسی هستی، چه کسی را می‌خوانی؟ دوست داری شبیه چه کسی باشی؟ این فرد چه چیزی در تو الهام می‌ بخشد؟

🔖 درک معماری های سندباکس ( ابری vs درون سازمانی {On-prem} )

📦 سندباکس چیست؟

سندباکس یک محیط اجرای کنترل‌ شده است که فایل‌ ها، آدرس ‌های URL یا پروسس های مشکوک در آن «انفجار» (detonate) شده و مورد مشاهده قرار می‌گیرند.

انواع سند باکس
معماری معمول سندباکس
اثرانگشت ‌های رفتاری سند باکس
اهداف تحلیل سند باکس
نقاط ضعف سند باکس ‌های ابری
نقاط ضعف سند باکس‌ های درون ‌سازمانی
استراتژی‌ های شناسایی سندباکس


نویسنده : کاوه میر

توییتر : https://www.x.com/kavehxnet

@TryHackBox
#سندباکس #سند_باکس #sandbox

دوستان عزیز

با توجه به وضعیت فعلی اینترنت، تصمیم داریم هرچه سریع ‌تر سایت مجموعه را راه‌اندازی کنیم تا بتوانیم آموزش‌ها و برنامه ‌های خود را به ‌طور منظم در آن قرار دهیم.

اگر شما علاقه‌مند به همکاری در این پروژه هستید و با DevOps آشنا هستید، لطفاً به ما پیام دهید. برای داوطلبان گرامی مزایایی در نظر گرفته خواهد شد.

برای کسب اطلاعات بیشتر و توضیحات تکمیلی، با ما در ارتباط باشید.
@ThbxSupport

📖 شکار عملی باگ بانتی : از Recon تا Bounty واقعی : متدولوژی و شناسایی و آسیب پذیری های دنیای واقعی

این کتاب معرفی کامل و کاربردی‌ای به دنیای «باگ بانتی» ارائه می‌دهد. این برنامه برای علاقه‌مندان به امنیت سایبری، پنتسترها، و توسعه‌دهندگانی طراحی شده که می‌خواهند کشف آسیب ‌پذیری ‌ها در برنامه ‌های واقعی را بیاموزند؛ تمرکز آن بر مهارت ‌های عملی، متدولوژی ‌های تست مدرن، و اصول هک اخلاقی است.


توضیحات کتاب
نمونه کتاب

💰 قیمت : ۳۶۰,۰۰۰ تومان
🔥  با تخفیف : ۳۱۰،۰۰۰ تومان
⚠️ مهلت تخفیف : ۲۲ خرداد

📌 جهت خرید به ایدی زیر پیام دهید:
@THBxSupport

🔖 کجا می‌ توان به صورت قانونی LLM را هک کرد: ۵ پلتفرم آنلاین و آزمایشگاه‌های محلی 

تزریق پرامپت فقط یک ترفند برای «وادار کردن ربات به گفتن رمز عبور» نیست. در لیست ۱۰ تهدید برتر OWASP برای برنامه‌های LLM این مورد LLM01:2025 است، یعنی یک ریسک پایه برای برنامه‌های LLM.

در ادامه محیط‌های قانونی CTF/آزمایشگاهی برای تمرین آمده است.

۱. HackAPrompt

پلتفرم رقابتی هک هوش مصنوعی: تزریق پرامپت، جیلبریک، پرومپت خصمانه، جدول امتیازات، مسیرها. در بخش پشتیبانی HackAPrompt بیش از ۱۰۰ هزار دلار جایزه اعلام شده است.

نکته منفی: قالب بیشتر مسابقه‌ای/بازی‌وار است تا آزمایشگاه تست نفوذ سازمانی.

۲. Lakera Gandalf

کلاسیک برای استخراج اسرار و نشت پرامپت. هدف ساده است: وادار کردن Gandalf به افشای رمز عبور در هر سطح. سپس محافظت‌ها سخت‌تر می‌شوند و به سرعت مشخص می‌شود چرا یک پرامپت سیستمی مرز امنیتی نیست.

نکته منفی: بیشتر روی استخراج/نشت تمرکز دارد.

۳. PortSwigger Web Security Academy: حملات وب LLM

عملی‌ترین گزینه اگر هدف باگ بانتی هوش مصنوعی یا تست نفوذ است. PortSwigger LLM را به عنوان بخشی از برنامه وب بررسی می‌کند: دسترسی به داده‌ها، API، فراخوانی ابزار/تابع، تزریق پرامپت غیرمستقیم، مدیریت ناامن خروجی.

نکته منفی: نیاز به زمینه امنیت وب و گاهی Burp Suite دارد. اما این بیشتر یک مزیت است اگر نمی‌خواهید امنیت هوش مصنوعی را به صورت جداگانه بررسی کنید.

۴. Tensor Trust

بازی حمله/دفاع: پرامپت خود را محافظت می‌کنید و سعی می‌کنید پرامپت دیگران را بشکنید. به عنوان یک محیط تحقیقاتی مفید است، اما ارسال‌ ها ممکن است منتشر شوند، پس داده‌های خصوصی را وارد نکنید.

۵. Prompt Airlines by Wiz

چلنچ (CTF) هوش مصنوعی درباره چت‌بات پشتیبانی مشتری یک شرکت هواپیمایی ساختگی. باید ربات را دستکاری کنید تا بلیط رایگان ساختگی بگیرید. شروع خوبی برای دور زدن منطق کسب‌وکار از طریق LLM است.

نکته منفی: یک سناریوی کسب‌وکار بدون زیرساخت عمیق.

آزمایشگاه‌های محلی

اصلی - AIGoat: محیط بازی متن‌ باز برای تیم قرمز LLM که تزریق پرامپت، poisoning RAG، زنجیره‌های جیلبریک و ۱۰ تهدید برتر OWASP LLM را پوشش می‌دهد.

مهم است که اشتباه نگیرید: چند نسخه مختلف با نام AIGoat وجود دارد:
➡️ AISecurityConsortium/AIGoat
⬅️ محیط کامل با آزمایشگاه‌های حمله، چالش‌های CTF و دفاع‌های پیشرفته. 
➡️ orcasecurity-research/AIGoat
⬅️ زیرساخت هوش مصنوعی عمداً آسیب‌پذیر از Orca Security. 
➡️ dhammon/ai-goat
⬅️ چالش‌های CTF LLM آسیب‌پذیر محلی.


در زندگی واقعی LLM معمولاً به خودی خود خطرناک نیست، بلکه وقتی به API، داده‌ها و عملیات دسترسی دارد خطرناک می‌شود.

@TryHackBox
#هوش_مصنوعی #امنیت

دعوت به همکاری در تدریس دوره‌های ردتیم

درود

ما به دنبال یک فرد با تجربه در زمینه ردتیم و اوسینت هستیم تا در تدریس دوره‌های آموزشی به ما کمک کند. اگر در این حوزه تخصص دارید و مایل به همکاری هستید، لطفاً با ما تماس بگیرید.

تمام مطالب آموزشی از طرف ما ارائه می‌شود و شما فقط باید بر روی محتوای آن تسلط داشته باشید.

اگر علاقه‌مندید، پیام دهید به:
@THBxSupport

منتظر شما هستیم .

فکر می‌کنید، xss نمی‌ تواند در اندپوینت .html فعال شود؟

کاملاً ممکن است!

تصویر را ببینید و در بخش نظرات به من بگویید چه کسی می‌تواند آن را به‌ خوبی توضیح دهد...


@TryHackBox
#باگ_بانتی #xss

📖 وایرشارک برای ردتیمرها: از پایه تا پیشرفته

📚 عنوان کتاب: وایرشارک برای ردتیمرها (Wireshark for Red Teamers) 

این کتاب یک راهنمای جامع و عملی برای یادگیری ابزار قدرتمند Wireshark است، با تمرکز ویژه روی کاربردهای آن در حوزه Red Teaming (تیم قرمز) و امنیت سایبری تهاجمی. کتاب از پایه شروع می‌ کند و به مفاهیم پیشرفته مانند تحلیل ترافیک شبکه، شناسایی آسیب‌پذیری‌ها، و تکنیک‌های نفوذ می‌ پردازد. محتوای اصلی کتاب شامل فصل‌هایی مانند معرفی Wireshark، درک ترافیک شبکه، تکنیک‌های کپچرینگ پکت‌ها، فیلترینگ، و کاربردهای عملی در Reconnaissance (شناسایی) و Command and Control (C2) است.

این کتاب مناسب چه کسانی است؟
ویژگی‌ های کتاب ؟
چرا باید این کتاب را بخرید؟
دانلود فایل های تمرین و سناریوها
نمونه کتاب
توضیحات کامل را بخوانید .

💰 قیمت : ۲۵۰,۰۰۰
💰 تخفیف : ۲۰۰,۰۰۰ تومان

📌 جهت خرید و کسب اطلاعات بیشتر، به ایدی زیر پیام دهید:
@THBxSupport