نفوذ به سایت امنیتی سیمرغ توسط blackhat group

[cyb3r]

come on man

one hacker alon => فکر کنم انقلاب شده !! خبر داری ؟!!!!!!

تشکر ویژه میکنم از اینکه سایت رو دیفیس نکردن و آبروی سیمرغ رو مثل آبروی خودشون دونستن
ایشان افزدودند
و ممنون میشم باگ رو گزارش بدن تا Patch کنیم
ایشان همچنین تاکید کردند
یک هدیه ویژه از طرف سیمرغ بابت قدر دانی بهشون بدیم

ایمان جون اینا رو آقا فرمودند ؟ :ی

[free]

سلام به همه دوستان
من تو بØØ« های سیاسی Ù‡Ú© شرکت نمیکنم
هکر نیستم اما از 2003 که تو فروم ها ثبت نام کردم و استفاده میکردم از مطالب دوستان یادمه همیشه بین تیم های ایرانی دعوا بوده
سیمرغ خداØافظی کرده Ùˆ تا مدتی فرومش برای استفاده دوستان باز بود
یادمه یه سری اشیانه که هک شده بود میرفتی تو سایتش ریدایرکت میشد تو سیمرغ
الان Ú©Ù‡ این پست رو زدم فهمیدم سیمرغ دوباره شروع به کار کرده خیلی خوشØالم اما نمیدونم دیتابیس یوزرهای قبلی هست یا دوباره باید ثبت نام کنیم

درکل از برگشت سیمرغ خوشØال شدم
ویرانگر هم قرار بود برگرده اما خبری نشد
تیم دلتا هم نیومده رفت و خبری ازشون نشد

d.b جدید هست
و باید ثبت نام کنید
Øالا دیدید Øسین عسگری خدا نیست؟؟؟
چرا بعضی از ما انسان ها اینقدر کوته فکر هستیم و فکر میکنیم دست بالای دست نیست
آقای ( بوق ) اسمشو نمیبرم ( تو همین فرومه و همه میشناسینش
برمیگرده به ما میگه Øسین عسگری یعنی خدای امنیت Ùˆ ضد امنیت
نه داداش من این Øرفا نیست
هر کسی در هر سطØÛŒ داشته ها Ùˆ دانشی داره
دلیل نمیشه Ú©Ù‡ شما Øسین عسگری رو با دکتر مادج مقایسه بکنی

[iM4n]

قضیه ساده تر از این Øرفاست
ØªÙˆØ¶ÛŒØ Ø¯Ø§Ø¯Ù…

در ضمن مقایسه آدمها باهم کار اشتباهیه

من به Ø·Ø±Ø§Ø Ø³Ø§ÛŒØª چند بار تذکر دادم Ú©Ù‡ از پلاگین اصلا استفاده نکنه
اشتباه بعدی هم این بود Ú©Ù‡ بعد از آماده شدن طراØÛŒ Ú†Ú© نکردیم
از گشادی نیست خیلی کار سرمون ریخته
دیفیس شدن هم مزه سایت داشتنه !

ولی خوب
Øسین همه چیز MySql رو بسته (شما از طریق sqli خیلی Ù…Øدودی)
IP Filtering هم گذاشته


اون دوستی که میگفت IP Hijacking ... خوب نمیدونی چه رنجی یا آیپی بازه ! چیکارش میخوای بکنی ؟
یوزرتو دوباره Active میکنم
موفق شدی لاگین کنی فیلم بگیر بزار اینجا ماهم یاد بگیریم

در کل کار نشد نداره اما این نشد

هنوزم سوراخ سمبه داره
مخصوصا vb سایت چند تا XSS تمیز داره Ú©Ù‡ فکر نکنم Øسین Øال patch کردن داشته باشه

[4hM4d]

سلام به همه دوستان
من تو بØØ« های سیاسی Ù‡Ú© شرکت نمیکنم
هکر نیستم اما از 2003 که تو فروم ها ثبت نام کردم و استفاده میکردم از مطالب دوستان یادمه همیشه بین تیم های ایرانی دعوا بوده
سیمرغ خداØافظی کرده Ùˆ تا مدتی فرومش برای استفاده دوستان باز بود
یادمه یه سری اشیانه که هک شده بود میرفتی تو سایتش ریدایرکت میشد تو سیمرغ
الان Ú©Ù‡ این پست رو زدم فهمیدم سیمرغ دوباره شروع به کار کرده خیلی خوشØالم اما نمیدونم دیتابیس یوزرهای قبلی هست یا دوباره باید ثبت نام کنیم

درکل از برگشت سیمرغ خوشØال شدم
ویرانگر هم قرار بود برگرده اما خبری نشد
تیم دلتا هم نیومده رفت و خبری ازشون نشد

ویرانگر : http://www.go4expert.ir

ولی گویا مستر نصرتی وقتشو نداره ! !!!

[3H34N]

من نمیدونم شما چرا موضع گیری میکنید اولا واسه من ای Ù¾ÛŒ فیلترینگی وجود نداشت Øالا اینو بهانه کردین Ú©Ù‡ از دیفیستون جلوگیری کنید یا کاره منو بی ارزش کنید همه میدونن من greyhat هستم؟؟؟!!!
ایمان میشه بپرسم شما چه چیزی بهت میرسه سنگ سیمرغ و به سینه میزنی؟؟!!!
ایمان سعی کن بیشتر از این کشش ندی چون بیشتر ابروی خودتو سیمرغ و میبری .
واقعا واسه علمتون متاسفم Øسین در مورد spoofing بمن Øرفی زد Ú©Ù‡ اگه فیلم بگیرم بذارم اینجا ابروی همتون میره
در ضمن انقدری توی هک نبودم ولی ازاونایی که فکر میکنن خیلی گندن باید بگم سخت در اشتباه هستن چون توی اس کیوال میشه با دستور

select load_file("/home/simorgh/base/.htaccess");

ای Ù¾ÛŒ رو خوند در ضمن Øسین ای دی یاهو داره میشه با چت کردن یا trace گرفتن از لوگینش تو انجمن ای Ù¾ÛŒ شو در اورد سخت نیست پیدا کردن ای اس Ù¾ÛŒ Ù…Øدوده Ùˆ هزاران راه دیگه Ú©Ù‡ فکر نمیکنم به عقل شما برسه.

و اگه من به دیتابیس اکسس نداشتم پس این پسورد هش کیه؟؟؟!!!

$P$BNx68Fqj12QKv3ywOCUNmZ8tO4ksDf0

در اخرم خودتونو با Øرفای چرت ØªÙˆØ¬ÛŒØ Ù†Ú©Ù†ÛŒØ¯ فکر میکردم ملت ایران جنبه این رفتارو داشته باشن ولی Øالا میفهمم چرا همه دیفیس میکنن امیدوارم اون مغز هاتون به کار بیافتده Ùˆ Øسین توی ارایه توی اپا شریف بر نگرده همه هکرها رو مسخره کنه Ùˆ بگه منتظر بودم یکی بلند شه سوال بپرسه ما برینیم بهش Ùˆ در مورد روش های Ù‡Ú© 2013 صØبت نکنه در Øالی Ú©Ù‡ روی سایت خودش با روش های 2000 باگ پیدا میشه.
(تمامی جملات بالا با مدرک قابل اثباته)

[netw0rm]

با سلام خدمت دوستان عزیز Ùˆ هکر های Ù…Øترم

اول یک عذر خواهی ویژه میکنم از Ù…Øمد جرجندی ØŒ Ú©Ù‡ به من اون دفعه هم گفت میری تو غیبت کبری پیدات نمیشه . Øاجی خدایش اتفاقات بدی برام افتاد Ú©Ù‡ مدتی نبودم وگرنه بد قولی نمی کردمو Ùˆ .......... به هر Øال معذرت . جبران Ù…ÛŒ کنیم .


والا اگر به همون 4 تا پستی Ú©Ù‡ دارم نگاه کرده باشین سالی 1 بار شاید بیام اینجا Ùˆ کلاً اهل Øاشیه نیستم .

فقط یک انتقاد و یک سوال داشتم !!!

انتقاد:

جناب ایمان برادر Ù…Øترمه !! لطفاً جنبه انتقاد رو داشته باشید Ùˆ سنگر نگیرین مثل همیشه . دقت کردین شما همیشه برای هر دیفیسی Ú©Ù‡ میشه با تØلیل اون دیفیس یا اکسسی Ú©Ù‡ طرف میگیره رو نادیده میگیرین ؟؟ Øالا یا جبه مخالف با Øالت طنز !!!!!!!

آقا Ù‡Ú© همینه دیگه . یکی پسورد 123456 در میاره میزنه یکی با injection یکی با ........ هرچی . اصلاً social . ایشون هم اکسس گرفتن تا Øدی . تونستن بگیرن دمشونم گرم . مشکل چیه ØŸ دنیای Ù‡Ú© Ùˆ امنیت چیزی به غیر از اینه ØŸ

جناب اØسان . شما فرمودید Ú©Ù‡ با فلاً روش Ùˆ فلاً دستور Ø¢ÛŒ Ù¾ÛŒ در میاد . اصلاً بنده منکر این نیستم . به هر روشی شما Ø¢ÛŒ Ù¾ÛŒ رو در آوردید . بعد گفتید Ú©Ù‡ میشه Spoof کرد . منظورتون IP Spoofing بود دیگه ØŸ چون در لایه 3 فقط بین دو hop Ø› ARP وجود داره در Ú©Ù„ Ú©Ù‡ مسیری Ú©Ù‡ شما تا مقصد ( سرور ) Ø·ÛŒ Ù…ÛŒ کنید Ùˆ یا مسیر شما تا سیستم ادمین سیمرغ ARP Ú©Ù‡ وجود نداره ARP Spoofing کنید درسته ØŸ DNS Spoofing هم Ú©Ù‡ بر پایه ARP spoofinge . پس اون هم در لایه 3 امکان پذیر نیست . میمونه همون IP Spoofing . در IP Spoofing Ú†ÛŒ میکنن ØŸ Source Ip رو تغیر میدن . درسته ØŸ اگه غیر از اینه بگید تا ما هم بدونیم . بعد یک سوالی الان داشتم . شما در یک ISP هستید با رنج بر فرض مثال 192.168.1.X Ø› خوب Gatway شما هم در همین رنج هستش . بعد شما Ø¢ÛŒ Ù¾ÛŒ ادمین سیمرغ Ú©Ù‡ تو یک Ø¢ÛŒ اس Ù¾ÛŒ دیگه تو یک رنج دیگه اصلاً تو یک AS دیگه با چندین hop فاصله Ùˆ Route Ù…ÛŒ خواید اون Ø¢ÛŒ Ù¾ÛŒ رو در Source ip قرار بدین بعد از شبکه Ø¢ÛŒ اس Ù¾ÛŒ هم بیاد بیرون ØŸ

بعد اینجا قوانین روتینگ نقش هویج رو بازی می کنند ؟ فکر نمیکنید که Discard میشه ؟

چون گفتید با مدرک جواب میدید لطفاً Ù…ÛŒ خوام جواب من رو به یک reference معتبر بدید . IP Spoofing in layer 3 . این جمله خیلی جاها هست اما هیچ مدرک معتبری برای اینکه این کار امکان پذیر هستش من ندیدم . اگر شما دیدین لطف کنید Ù…Øبت کنید من رو از نادانی در بیارین تا من هم آگاه بشم Ú©Ù‡ این کار با فلان روش Ùˆ تئوری امکان پذیر هستش .

با تشکر

[iM4n]

چرا همه موضع میگرن ؟؟
والا من سنگ کسی یا جایی رو به سینه نمیزنم
داریم بØØ« میکنیم این یک فیلم اینطوری Ú©Ù‡ شنیدم کاملا نیمه کاره بود
بدست آوردن هش + ریست کردن پسورد + ساختن یوزر جدید + Ùˆ ... آخرش ؟؟ وقتی نتونی Øرکت خاصی انجام بدی به Ú†Ù‡ دردی میخوره ØŸ
یه سر به Zone-h بزنن میبینین سیمرغ یه بار به دست خودم دیفیس شده !!!!!!!!
تازه همین شبگرد رو هم دیفیس کنین استقبال میکنم

در مورد سیمرغ باید بگم من تو شرکت سیمرغ دارم کار میکنم !
هک و دیفیس شدن سایت کلا چیزیه که از ابتدای فعالیتم سرو کار داشتم

روی سایت هم دیدم Ú©Ù‡ خیلی Sql رو Ù…Øدود کرده نه تنها load_file بلکه خیلی چیزای دیگه رو بسته (بتونم لیستی چیزی بگیرم بزارم فکر کنم جالب باشه)

شما با فرض بدست آوردن آیپی بازم نمیتونی باهاش لاگین Ú©Ù†ÛŒ (ØªÙˆØ¶ÛŒØ Ø¨Ø¯Ù… میگن تخلیه اطلاعاتی شدی) از لاگ ها مشخصه Ú©Ù‡ هدف دیفیس بوه

وقتی میدونیم امکان هک شدن هست و یه web app پتانسیل نفوذپذیری رو بازم داره میایم برای بعد از نفوذ هم یه تمهیداتی رو در نظر میگیریم همیشه
یکیش اعمال آیپی فیلترینگ
یکیش Ù…Øدود کردن Sql
یکیش جدا کردن دیتابیس ها
یکیش...

شما مثلا نمیدونین چقدر web app و دیتابیس های دیگه روی اون سرور وجود داره



راستی من هنوز فیلم رو ندیدم
اما دیر نشده
شما فقط صفØÙ‡ لاگین اون wp رو با هر روشی Ú©Ù‡ میتونی باز Ú©Ù† فیلم بگیر
شاهین دیروز گفت بگم ما Øتی IP رو هم اعلام میکنیم ببینیم Ú©Ù‡ میتونه لاگین کنه !

الان بØØ« من سر این نیست Ú©Ù‡ Ù‡Ú© نشده (Ú©Ù‡ شده چون همین Ú©Ù‡ هش بیرون بیاد یعنی تموم) اما خوب نیمه کاره مونده !
شمام اگر پنل رو میدیدی یه فیلمی عکسی چیزی میگرفتی
چون اون رو فقط یک IP خاص میبینه اون با شرایط خاص

بعدشم
من هنوزم میگم
یکم بیشتر کار کنین کلی راه نفوذ دیگه وجود داره
فقط دیگه فکر نکنم هویج به دردتون بخوره

Ùˆ اینکه backup فایل های wp رو از اول از Ø·Ø±Ø§Ø Ú¯Ø±ÙØªÛŒÙ… Ùˆ برگردوندیم البته بدون اون پلاگین !
همه چیز دست نخورده مونده
تغییری هم در تنظیمات داده نشده
=========edited
من فقط میخوام پنل رو ببینم (من از توی شرکت Øتی نمیتونم ببینم اینو) ما از پتیاک* Ùˆ مبین نت* اینترنت داریم (Û² خط مجزا) روی جفتش هم بستس
واقعا چرا فکر میکنی اون رنج آیپی Ú©Ù‡ Øسین یا ماها باهاش وب گردی میکنیم همینیه Ú©Ù‡ میشه باهاش لاگین کرد !ØŸ
من هنوز نمیدونم دقیقا با چه آیپی میشه لاگین کرد !

ادب رو هم Øفظ کنین

[Drosera|Cqq47]

من معمولا تو بØØ« دیفیس شرکت نمیکنم اما اینو یکی روشنم کنه شاید من اشتباه میکنم
شما دارین سر اینکه دیفیس میشه یا نمیشه بØØ« میکنید؟
اگه کسی Øرفه اش اینه Ùˆ از این راه امنیت Ùˆ هکینگ داره روزشو شب میکنه Ùˆ نون خودشو در میاره
وقت میزاره+هزینه میکنه+سختی میکشه که برسه به دیفیس یک سایت؟
اگه فانه که هیچ!
خیلی هم باØال:d
سوتی همیشه همه جا هست!
ضعف دانش هم همیشه همه جا هست بارها هم دیدم
من نمیدونم رو سرور سیمرغ چی هست
اما فکرم نمیکنم روی اون سرور کسی اطلاعت مهم مثلا اطلاعت مشتریاشو نگه داره!
اگه هست این بØØ« عالیه چون هدف اون اطلاعته:|
اگه نیست و فقط یه وردپرس معمولی با یه وبی ه که دیگه این همه دعوا نداره!
هدف هکینگ اØتمالا اینه Ú©Ù‡ به اطلاعات Ùˆ چیز هایی دستیابی Ú©Ù†ÛŒ Ú©Ù‡ بقیه نمیتونن!+ تو بتونی ازش استفاده Ú©Ù†ÛŒ:|
عذر خواهی میکنم اگه زیاده گویی کردم:|
علم من همین قدره:d

[4n0nym0us]

Ù…ÛŒ دونی، بØØ« سر سیمرغ نیست اصلا، بØØ« سر اینه Ú©Ù‡ یک سری ها وقتی یک سایت دیفیس Ù…ÛŒ کنن میان اینجا رو جر واجر Ù…ÛŒ کنن اما خدا نکنه کسی دیگه کاری انجام بده، Øالا اون کار هرچی Ù…ÛŒ خواد باشه Øتی دیفیس کردن Ú¯ÙˆÚ¯Ù„ØŒ به طرز ÙˆØشتناکی شروع به له کردنش Ù…ÛŒ کنن Ùˆ آخرشم بند Ù…ÛŒ شه به باگ cms Ùˆ گشادی Ùˆ .....

[sissec]

x

اره همه سایتا دیفیس میشه،سایت بلک هت گروپ هم دیفیس میشه!،با arp poisoning
یادمه لوگین پیج فیلترینگ آیپی داشت،لوگین پیج فایروال تØته php فیلترینگ نداشت،منم مثه شما فقط عکس گرفتم،ملاک دیفیس نیست ،من فرهنگم بالاست،دیفیس رو ثبت نکردم،Øضرت جوکر Ùˆ دیگر دوستان شاهد هستن :D همین ایمان(ع)،تا مدتی پیش اصلا اسمه گروه شما به گوشش نخورده بود،وگرنه دیفیس رو اونم دید،مراجعه شود به تایپک زیر
http://www.shabgard.org/forums/showt...hat&highlight=

[s7az2mm]

دلار امروز 2030 Ùˆ برای رفتن به نزدیک ترین تست سنتر ممکن Ùˆ دادن یه امتØان ساده باید 4 میلیون خرج کنید. تازه اگر قبول شید Ùˆ در صورتی Ú©Ù‡ در خیابان بخوابید.
- خونه اجاره ای من رهنش از 30 شده 45 میلیون تومان .. آیا من در سال گذشته 15 میلیون درآمد داشتم (اگر هیچی نخورم نپوشم).
هر جا میری همه دنبال جیبشون و منافعشون و پرزنتشونن و تو همیشه یه عضو از این بازی مسخره ای
......

به درک که کی چه جوری هک شد . هک هکه دیگه
-----------------------------------------------------------------------

بخشی از خاطرات یه اØمق مثل خیلی از شما Ú©Ù‡ عمرشو پای این چیزا سوزونده.
تو خواه پند گیر ، خواه ملال

[dangeroushacker]

من به Ø·Ø±Ø§Ø Ø³Ø§ÛŒØª چند بار تذکر دادم Ú©Ù‡ از پلاگین اصلا استفاده نکنه
اشتباه بعدی هم این بود Ú©Ù‡ بعد از آماده شدن طراØÛŒ Ú†Ú© نکردیم
از گشادی نیست خیلی کار سرمون ریخته

از سیمرغ این سهل انگاری بعیده !!!!

مخصوصا vb سایت چند تا XSS تمیز داره Ú©Ù‡ فکر نکنم Øسین Øال patch کردن داشته باشه

دیگه بدتر !!! چرا تیمی که دایه دار امنیت و ضد امنیت می باشد این چنین سهل انگاری و سوتی باید بده .
خودت دیگه این کاره ای Ù…ÛŒ دونی Ú©Ù‡ یکی از روش های گرفتن دسترسی استفاده از سوتی های Admin Ù‡ . Øالا چرا باید سوتی داد ØŸ
خودت هم که میگه کلی کار سرتون ریخته . یعنی کلی پروژه دارید دیگه . Deface شدن باعث خدشه دار شدن اسم سیمرغ میشه و ممکنه کلی پروژه از دست بدهند. (از اونجایی که عقل مردم به چشمشونه) و عدم پچ بودن سایت به منرله بی سوادی مسولان وب سایت تلقی می شود نه bussy بودن.
دیگه باز هم خودتون می دونید.

[free]

مردم سلام
مردم چرا اینقد تو سر و کله ی هم میزنید
باباجون من باور کنید این هکر Ù…Øترم نتونسته d.f کنه وگرنه Ø´Ú© نکنید ما ایرانی ها جنبه ÛŒ این جور کارها رو نداریم
مرد و مردونه هر کدوم از شماها دسترسی بگیرین از جایی مثل سیمرغ دیفیس نمی کنید و میاید کلاه سفید بازی در میارید و از این اداها در میارید؟؟؟؟؟
آقا جون من قبول Ú©Ù† نتونستی دیفیس Ú©Ù†ÛŒ وگرنه Øتما اینکارو میکردی
Øالا به قول ایمان سیمرغ مثل پنیر سوراخ سنبه زیاد داره
اگه راست میگی دوباره دسترسی بگیر Ùˆ ایندفعه از شیر مادر بهت Øلالتر
بزن دیفیس کن
====================
این Øرفا رو از کجاتون درمیارید؟؟؟


مردم خداØافظ

[pouya_server]

يكی نفوذ كرده، يكی ديگم ميخواد به يكی ديگه جايزه بده بابت اينكه ديفيس نكرده يا هر چی.
Ú†Ù‡ فرقی ميكنه با Ú†Ù‡ روشی هك شده باشه، Øتی اگه ميتونست iframe هم دخول بده تو سايت اونم هك شدن بود ديگه.
چرا همديگرو تخريب ميكينين آرايی های پاك نژاد.

[c3phalex1n]

یک جوکی بودش که یارو می گفت هیتلر با اون بزرگیش مرد، ناپلئون با اون همه قدرتش مرد... پدر تو که ت** اونا هم نبود....

به هر Øال، سایت های بزرگی مثل Ú¯ÙˆÚ¯Ù„ØŒ یاهو، توئیتر Ùˆ... رو Ù…ÛŒ بینید Ú©Ù‡ به راØتی Ù‡Ú© میشن...
با اون همه بزرگی و متخصصان امنیت که دارا هستند.
سیمرغ که دیگه جای خود داره...
Øال اگر این یارو اکسس گرفته Ùˆ رفته گزارش داده Ú©Ù‡ هیچی دمش گرم یک کار درست کرده.
اگر هم خواسته سوء استفاده کنه و دیده نمی تونه کارش و پیش ببره
اومده اینجا داستان راه انداخته. کلا بیخیالش شید.

در ضمن دیفیس کردن Ùˆ دیفیس شدن خودش نیاز به یک فرهنگ سازی داره. آقا سایتت دیفیس شد یک اصلاØیه بده، ضعف امنیتی Ùˆ گزارش بده Ùˆ تموم...
دوباره کارت رو شروع کن. چون در دنیای وب هر کاری کنی بازم یکجا یک سوراخی پیدا میشه...

فقط یک آدم الاف می خواد که بشینه و تمام سوراخ سمبه هاش و چک کنه....

که خوشبختانه و یا متاسفانه تو ایران از این آدم ها ریخته...