InfiniteWP و WP Time Capsule دارید؟! در معرض هک هستید!!
نسخه های وصله نشده افزونه های InfiniteWP و WP Time Capsule به هکر امکان لاگین admin می دهد! این دو افزونه که هر دو توسط تیم Revmakx توسعه و پشتیبانی می شوند هر دو دارای باگ یکسان بوده اند. این باگ که از نوع Authentication Bypass است باعث می شود هکر بتواند با ارسال payload مناسب با داشتن نام کاربر ادمین وردپرس، یه سطح administrator آن وارد شده و کنترل کامل آنرا در دست بگیرد. این آسیب پذیری توسط تیم WebARX کشف شده و به اطلاع توسعه دهنده رسیده است و توسعه دهنده بلافاصله هر دو مورد را قبول کرده و برای هر دو افزونه نسخه جدید منتشر کرده است. از همه شما ایران سروری های عزیز تقاضا داریم اگر از این ۲ افزونه استفاده میکنید، بدون کوچکترین فوت وقت، آنها را از مخزن وردپرس بهروزرسانی کنید. با ما در تماس باشید: ارتباط از طریق تیکت با شماره زیر نیز می توانید با ما در تماس باشید: ۰۵۱-۳۱۷۷۶
بهروزرسانی مهم وردپرس؛ همین حالا اقدام کنید!
تعدادی آسیب پذیری خطرناک در نسخه جدید وردپرس یعنی نسخه ۵.۳.۱ رفع شده است: WordPress 5.3.1 Security and Maintenance Release این آسیب پذیری ها هکر را قادر میسازد تا از راه دور کنترل کامل وبسایت وردپرس را در دست گرفته و بنا به میل خود اقدامات خرابکارانه ای مانند حذف دیتابیس کاربران، آپلود بدافزار، آپلود محتوای فیشینگ و درگاه های جعلی، ایجاد کاربر جعلی و امثالهم را انجام دهد: فهرستی از آسیب پذیری های رفع شده در نسخه ۵.۳ طبق گفته تیم وردپرس نسخه ۵.۳.۱ طول عمر کوتاهی دارد و نسخه ۵.۴ پس از آن در راه خواهد بود. برای مشاهده کل تغییرات اعمال شده در نسخه ۵.۳.۱ لینک زیر را مشاهده بفرمایید: WordPress 5.3.1 List of All Changes on Trac از همه شما عزیزان خواهشمندیم هر چه سریعتر نسبت به ارتقاء نسخه وردپرس اقدام بفرمایید. ما همچون همیشه در کنار شما هستیم. با ما در تماس باشید: ارتباط از طریق تیکت با شماره زیر نیز می توانید با ما در تماس باشید: ۰۵۱-۳۱۷۷۶
برای خداحافظی با Server 2008 R2 آمادهاید؟!
مایکروسافت در ابتدای سال ۲۰۱۹ اعلام کرد ظرف یک سال آینده محصولات Server 2008، Server 2008 R2 و ویندوز ۷ را End of Life خواهد کرد: Prepare now for end of support in 2019 and 2020 (updated April 1, 2019) لذا مطابق انتظار ما، باید از ابتدای سال جدید میلادی که تنها ۲ روز از آغاز آن گذشته است باید منتظر وقوع این اتفاق باشیم. این بدان معناست که از تاریخ توقف کامل پشتیبانی مایکروسافت دارندگان نرم افزارهای فوق دیگر هیچ آپدیت یا وصله امنیتی دریافت نخواهد کرد. البته لیست نرم افزارهایی که قرار است End of Life شوند به سرور ۲۰۰۸ و ویندوز ۷ ختم نمی شود: End of Support date Product July 9, 2019 SQL Server 2008 and 2008 R2 January 14, 2020 Windows Server 2008 and 2008 R2 Exchange Server 2010 Windows 7 Windows 7 Professional for Embedded Systems October 13, 2020 Office 2010 client SharePoint Server 2010 Project Server 2010 Windows Embedded Standard 7 لذا ما به همه عزیزان که از محصولات فوق خصوصا ویندوز سرور ۲۰۰۸، ویندوز سرور ۲۰۰۸ R2 و ویندوز ۷ استفاده می کنید خواهشمندیم هر چه سریعتر برای تعویض ویندوز و ارتقاء به نسخه های بالاتر اقدام کنند. توجه داشته باشید که […]
HSTS چیست؟ به همراه آموزش فعالسازی HSTS
قبل از اینکه بخواهیم در رابطه با موضوع HSTS صحبت کنیم و به شما توضیح دهیم که HSTS چیست؟ باید در رابطه با آن توضیح دهیم، نیاز است که بدانید اول HTTPS چیست؟ HTTPS چیست؟ پروتکل HTTPS یک نسخه امن از یک وب سایت HTTP است. این رمزگذاری با استفاده از پروتکل Secure Sockets Layer (SSL) فعال می شود، بدون HTTPS دادههایی که بین سرور و مرورگر رد و بدل میشوند، ناامن خواهند بود. این رمزگذاری به شما کمک می کند تا از داده ها در مقابل سرقت اطلاعات از طریق روش Man-in-the-Middle-Attack (MITM) محافظت کنید. لایه امنیتی اضافه شده نیز به بهبود وضعیت وب سایت شما در موتورهای جستجو هم کمک می کند. گفته می شود ، HTTPS هنوز نقص هایی دارد که HSTS می تواند به رفع آن کمک کند. HSTS چیست؟ HSTS یک هدر واکنشی است که به یک مرورگر اطلاع می دهد که وب سایت های فعال شده فقط از طریق HTTPS قابل دسترسی هستند. این امر مرورگر شما را مجبور می کند تا فقط به نسخه HTTPS وب سایت و منابع موجود در آن دسترسی داشته باشد. توجه داشته باشید که ممکن است با اینکه شما ssl را برای سایت فعال نموده باشید و ریدایرکت […]
باگ امنیتی جت پک وردپرس شما را تهدید میکند!
اگر امنیت سایتتان برای شما اهمیت دارید هر چه سریعتر افزونه ی Jetpack سایت خود را به نسخه ۷.۹.۱ بروز رسانی کنید. یک باگ امنیتی از نسخه ۵.۱ در این پلاگین وجود داشته است. این بروزرسانی را میتوانید از طریق مخزن وردپرس و یا قسمت بهروزرسانی های پیشخوان وردپرس خود دریافت نمایید. جهت دانلود آخرین نسخه Jetpack اینجا را کلیک کنید. جت پک یک پلاگین محبوب وردپرسی از شرکت Automattic (شرکت مالک وردپرس) است که قابلیت های امنیتی – پشتیبان گیری از سایت – ورود امن و جلوگیری از حملات امنیتی را فراهم می کند اما خودش هم اکنون درگیر یک حمله امنیتی شده است! این پلاگین بیش از ۵ میلیون بار نصب شده است و وجود یک آسیب پذیری در این افزونه یعنی یک فاجعه بزرگ! البته هنوز از این باگ بصورت گسترده سوء استفاده نشده است. در حالی که جزئیات زیادی در رابطه با نقص امنیتی برای محافظت از سایتهایی که هنوز بروز رسانی نشده اند ، فاش نشده است ، در اطلاعیه ای که توسط Jetpack منتشر شده ، ذکر شده است که این مشکل بر روی نسخه های مختلف از نسخه ۵.۱ شروع شده و تا ژوئیه ۲۰۱۷ برمی گردد. توسعه دهنگان این پلاگین میگویند هیچ گزارشی […]
آسیب پذیری Juicy Potato در برخی نسخه های ویندوز سرور
آسیب پذیری Juicy Potato exploit برای سرورهای Windows Server 2008R2, Server 2012, Server 2012R2 Server 2016، شرح آسیب پذیری: Microsoft Windows Server در پیکربندی پیش فرض خود دارای یک آسیب پذیری مهم است که در صورت نفوذ به سرور، به مهاجم دسترسی های مختلفی را می دهد. در این خصوص، کاربران استفاده کننده از هاست های اشتراکی با کنترل پنل plesk، می توانند در هاست خود اسکریپت های خاصی را بارگذاری کنند تا به وسیله آن دسترسی Administrator را به دست آورند. آیا این آسیب پذیری مربوط به plesk است؟ خیر ، این یک آسیب پذیری در Microsoft Windows Server است؛ Plesk تنظیمات IIS اکانت ها را همانند IIS پیش فرض و بدون کنترل پنل انجام می دهد و به همین علت آسیب پذیری در آن نیز وجود دارد. کدام نسخه های Microsoft Windows Server تحت تأثیر این آسیب پذیری قرار می گیرند؟ ویندوز سرور ۲۰۱۹ تحت تأثیر این آسیب پذیری قرار نمی گیرد. سایر نسخه های ویندوز سرور (Server 2008R2, Server 2012, Server 2012 R2, Server 2016) آسیب پذیرند. آیا این آسیب پذیری برای نسخه های ویندوز سرور برطرف می شود؟ Microsoft به دلیل معماری استفاده شده در سیستم عامل های قبل از نسخه ۲۰۱۹، برای […]
بررسی بلاک بودن IP در فایروال و علت آن
فایروال نقش تعیین کننده ای در امنیت یک سرور ایفا می نماید ، از اینرو شرکت های هاستینگ در این خصوص تنظیمات پیشرفته ای بر روی سرورهای خود در فایروال قرار می دهند تا آسیب پذیری سایت ها به حداقل کاهش یابد. فایروال CSF جزء بهترین و پرکاربردترین فایروالهای سرورهای لینوکسی بوده و ایران سرور از این فایروال در تمامی سرورهای خود استفاده و تنظیمات آنرا سفارشی سازی نموده است. یکی از مواردی که معمولا کاربران در این سرورها مشاهده می نمایند بلاک شدن Ip هایشان می باشد. ما در این مقاله سعی داریم توضیحات جامع تری از علل و راه حلهای رفع بلاک را خدمت شما توضیح دهیم. الف) دلایل مسدود شدن IP در فایروال دلایل مسدود شدن IP در فایروال به چند علت می باشد: وارد شدن چندین بار و در بازه زمانی کوتاه یوزر و رمز اشتباه در بخش های مختلف پنل هاست (Cpanel, Directadmin) که شامل اطلاعات ورود به پنل اصلی، پنل ایمیل (مانند outlook, roundcube و…) و اتصال از طریق FTP می باشد. سرور این تلاش های ناموفق را به عنوان یک حمله در نظر می گیرد و بهمین دلیل IP را بلاک می کند. در بعضی مواقع هکر ها با روش Brute-Force قصد ورود […]
ارور error_log چیست؟ و راههای جلوگیری از پر شدن فایل error_log
error_log یکی از آن ارورهایی است که در سایتهای وردپرسی رواج زیادی دارد. خطایی که بهخاطر پر شدن فایل error_log رخ میدهد و با اشغال تمام فضای ذخیرهسازی هاست، کلی مشکلات ریزودرشت متفاوت رقم میزند. در این مقاله، میخواهیم راهحل مشکل حجم ارور لاگ را بررسی کنیم و بگوییم چطور این مشکل را حل کنید. قبل از کندوکاو راهحلها، بیایید شناخت کاملتری از error_log به دست بیاوریم. error_log چیست؟ به بیان ساده، error_log فایلی است که تمام ارورهای رخداده هنگام اجرای یک اپلیکیشن روی آن ثبتوضبط میشوند. علاوهبر خطاهای مرتبط با اپلیکیشنها، ارورهایی که به سیستمعامل و سرور مربوط میشوند هم به ارور لاگ افزوده خواهند شد. فایل مذکور، شامل اطلاعاتی مثل جزئیات اتفاق یا خطای رخداده، زمان رخداد، میزان جدیت و خطرآفرینی و حتی در برخی موارد، دلایلی که به بروز خطا منجر شدهاند میشود. این فایلها میتوانند فواید و کاربردهای گوناگونی داشته باشند؛ کاربردهایی مثل: دیباگینگ: برنامهنویسها و دولوپرها میتوانند با استفاده از اطلاعات موجود در فایلهای error_log، مشکلات موجود را شناسایی و برطرف کنند. مانیتورینگ: ادمینهای سیستم میتوانند سلامت سیستم و نحوۀ عملکرد آن را با استفاده از فایلهای ارور لاگ با دقت زیر ذرهبین ببرند. تأمین امنیت: تمام تلاشها برای دسترسیهای غیرمجاز و نفوذ مخرب به […]
هشدار! آسیب پذیری خطرناک Exim؛بهروزرسانی کنید!
به تازگی، یک آسیب پذیری خطرناک در میل سرور EXIM گزارش شده است. Exim یکی از بهترین و پراستفاده ترین سرویسهای انتقال پیام (MTA) است که حدود نیمی از سرورهای انتقال ایمیل از آن استفاده می کنند. این آسیب پذیری به مهاجمان اجازه می دهد که دستورات خود را به عنوان کاربر root (بالاترین سطح دسترسی) اجرا نمایند. این حفره امنیتی در میل سرور Exim، با شناسه CVE-2019-10149 شناسایی و گزارش شده است. در این آسیبپذیری نسخه های ۴.۸۷ تا ۴.۹۱ Exim در معرض خطر هستند. این رخنه در نسخه ۴.۹۲ که در ماه فوریه ارائه شده ، برطرف شده است و با بهروزسانی سرویس Exim به نسخه ۴.۹۲، می توان از حملات مهاجمان جلوگیری کرد. در صورتی که از این میل سرور استفاده می کنید، نیاز است که هر چه زودتر نسبت به بروزرسانی آن اقدام بفرمایید. خوشبختانه سیستم عامل های مرسوم مانند Red Hat Enterprise Linux (RHEL)، Debian، openSUSE و Alpine که هدف این حملات بودند، Patch جدید این میل سرور را در آپدیت های خود اعمال کرده اند و در صورت آپدیت سیستم عامل مشکل برطرف خواهد شد. برای ارتقا سرویس Exim در دایرکت ادمین، دستورات زیر را در سرور اجرا نمایید: cd /usr/local/directadmin/custombuild ./build update ./build set […]
طریقه ساخت کد CSR برای SSL در کنترل پنل های مختلف
امنیت وبسایتها به یک نکته اساسی تبدیل شده است تا وبمستران با فراهم کردن یک ارتباط امن برای کاربران، بستر قابل اعتمادی را فراهم کنند. SSL یکی از ویژگیهای امنیتی هر وبسایت محسوب میشود.SSL مخفف secure socket layer یک تکنولوژی رمزگذاری است که در دهه ۱۹۹۰ توسط Netscape ابداع شد. برای گرفتن گواهی SSL نیاز است تا یک کد CSR از وبسایتی که میخواهید SSL بگیرید ایجاد شود. در این مقاله نگاهی مفصل خواهیم داشت به تعریف CSR و نحوهی گرفتن CSR در پنلهای مختلف مانند سی پنل، دایرکت ادمین، پلسک و IIS manager. تا انتهای مقاله همراه ما باشید. در پایان این مقاله شما میتوانید برای سایت خود یک کد CSR بگیرید و علاوه برآن سفارش گواهی SSL خود را به راحتی ثبت کنید. گواهی SSL چیست؟ SSL یک پروتکل استاندارد و رایج امنیتی برپایه رمزگذاری است که در آن دادههای رد و بدل شده بین سرویس دهنده (Server) و سرویس گیرنده (Client) توسط کلیدهای خاص خصوصی و عمومی رمزنگاری (Encrypt) شده و در سمت دیگر رمزگشایی (Decrypt) میشود. امنیت در این پروتکل دو طرفه است؛ یعنی در هر دو طرف، فرایند رمزنگاری و رمزگشایی انجام میگیرد. بسیاری از سرویس دهندگانی که اطلاعات و دادههای حساس مانند اطلاعات کارتهای […]
آسیب پذیری های کشف شده در وردپرس (اسفند ۹۷)
به گزارش Simon Scannell از شرکت RIPS Technology که مالکیت پروژه موفق و ابزار قدرتمند RIPS را برعهده دارد، یک سری آسیب پذیری قدیمی در وردپرس کشف شده که قدمتی ۶ ساله دارد! آره درست دیدین، چشماتونو نمالید … ۶ سال! این باگ ها شامل دو آسیب پذیری خطرناک از جنس Local File Inclusion و Path Traversal می باشد که به هکر اجازه هک از راه دور می داد. دو تا خبر دارم براتون؛ یه خبر خوب یه خبر بد. اول خبر خوبو میگم: آسیب پذیری اول یعنی Local File Inclusion در نسخه های ۴.۹.۹ و ۵.۰.۱ رفع شده. خوشحال شدین؟ زیاد خوشحال نباشین چون آسیب پذیری دوم یعنی Path Traversal هنوز وصله نشده و هنوز احتمال هک شدن برای میلیون ها نفر وجود داره. یه خبر خوب دیگه هم همین الان برام اومده که میگه آسیب پذیری دوم فقط تو نسخه ۵.۰.۳ رفع شده. پس عملا خبر بدی وجود نداره و اگه همین الان به نسخه ۵.۰.۳ وردپرس بروز رسانی کنید از شر هر دو مشکل رها خواهید شد. 😉 ریشه این آسیب پذیری ها در ورودی های Post Meta ای هست که توسط خود وردپرس بکار گرفته می شود یا پلاگین ها و تم هایی که با پوشه […]
فعال کردن ssl wild letsecrypt رایگان در دایرکت ادمین
letsecrypt امکان استفاده از ssl wild را نیز فراهم نموده است. برای اینکه بتوانید گزینه Wildcard را در بخش ssl دایرکت ادمین فعال کنید تا ssl wild برای letsecrypt نیز قابل راه ندازی باشد، بصورت زیر اقدام کنید. فایل directadmin.conf را باز کنید. nano /usr/local/directadmin/conf/directadmin.conf dns_ttl=1 را به این فایل اضافه کنید. سرویس دایرکت ادمین را ریست نمایید. service directadmin restart حال اگر وارد بخش SSL Certificates کنترل پنل شوید، گزینه Wildcard در بخش Let’s Encrypt قابل مشاهده و انتخاب است. جهت فعالسازی ssl wild رایگان برای دامنه بصورت زیر و تصویر فوق فیلدها را تکمیل نمائید. در بخش Common Name نام دامنه با * را بصورت *.domain.com وارد نمائید. تیک مربوط به Wildcard را انتخاب کنید. در قسمت (Key Size (bits نیز ۴۰۹۶ را انتخاب کنید. در قسمت Certificate Type مقدار SHA256 را انتخاب کنید. گزینه Save را انتخاب کنید. پس از آن پیغامی را مشاهده می کنید که فعالسازی ssl کمی زمانبر است و در پیغام اعلام شده که پس از اتمام پردازش در خواست ssl، پیغام فعال شدن ssl wild در بخش messages هاست شما اعلام می شود. بر روی گزینه Home در منو بالا کلیک کنید. Message System را انتخاب کنید. اگر فعالسازی بدرستی انجام […]
Leverage Browser Caching چیست؟ آموزش فعال سازی کش مرورگر
Leverage Browser Caching چیست؟ قبل از اینکه شیوه به کار بردن leverage browser caching را به شما آموزش بدم بهتره به معرفی خودش بپردازم: وقتی کاربری از سایت شما بازدید می کند، کش مرورگر فایل های سایت را، در سیستم کاربر ذخیره می کند و با این کار باعث می شود در بازدیدهای بعدی سایت سریعتر لود شود. leverage browser caching یعنی برنامه نویس سایت در کد نویسی خودش، به مرورگرها فرمان بدهد، چطور با منابع سایت برخورد کنند. زمانی که مرورگر شما قصد دارد وب سایتی را بارگذاری کند، اطلاعات زیادی مانند تصاویر، فایل های CSS و … را دریافت می کند. برخی از این اطلاعات همواره ثابت و بدون تغییر هستند. پس بهتر است که مرورگر این فایل ها را در حافظه کش (browser caching) خود ذخیره کند تا از دریافت آنها در هر بار مراجعه به وب سایت جلوگیری کرده و در نتیجه مدت زمان لازم برای بارگذاری وب سایت کاهش یابد. وقتی مرورگر سایت شما رو نمایش می دهد، باید فایل های زیادی مثل لوگو، فایل های CSS، و بقیه منابع را بارگذاری کند. کاری که leverage browser caching انجام می دهد، در واقع “به خاطر سپردن” منابعی است که قبلا آنها را بارگذاری کرده است. […]
حذف تروجان لینوکسی XORDDoS از سرور لینوکسی و راهکار پیشگیری
آلوده شدن سرورهای لینوکسی به این تروجان دو نشانه اصلی دارد: ۱- load بالای سرور بشکلی که عملا سرور توانایی پاسخگویی به سایر درخواستها بجز خود تروجان را ندارد. خوشبختانه این بدافزار چیزی رو حذف یا رمزگذاری نمیکنه. فقط سرور شما رو به شبکه زامبی خودش وصل میکنه و سرور میره تو حالت DoS. به همین دلیل عبارت DDoS تو اسمش گنجونده شده. ۲- حضور پروسس های مشکوک و ناشناخته با cpu load بالا. عکس زیرو داشته باشین: این عکسو زمانی گرفتم که اول روی پروسس مشکوک kill –STOP زده بودم. اولین کارو لو دادم 😉 اقدامات مورد نیاز ۱. اول یه top بگیرین تا بدونین همین الان چه پروسس مشکوکی داره cpu رو میخوره. تو مورد ما همونی هست که تو عکس میبینید. ولی خب کافیه یکبار kill کنیدش. خواهید دید با هر بار kill شدن (معمولا پس از ۳ ثانیه) با اسامی جدید رخ نمایی خواهد نمود! پس تا الان پروسس با PID مساوی ۲۲۶۷۴ مشکوکه. این PID رو یه جایی نگه دارین که الان لازمش داریم. ۲. این تروجان فایلهای اجرایی خود را در مسیر usr/bin/ قرار میدهد بنابراین باید تمامی آن فایلهای مخرب را دستی پاک کنید. بشکل زیر عمل کنید: `kill -STOP PID` اینو جلوتر […]
حملات فیشینگ و سوء استفاده از کارتهای سرقتی
از ابتدای زندگی بشر امنیت یکی از دغدغه های اصلی انسانها بوده است. امروزه با گسترش اینترنت و فضاهای مجازی در کشورمان لزوم امنیت برای فعالیت در این فضاهای مجازی بیش از پیش احساس میشود. ترس و بیم از تخریب مبانی اخلاقی و اجتماعی، و نداشتن امنیت روانی و فرهنگی ناشی از هجوم اطلاعات آلوده و مخرب، افشاء اطلاعات خصوصی یا حساس فردی و سازمانی، تجاوز به داراییهای شهروندان و جرائمی از این دست از طریق اینترنت و فضاهای مجازی واکنشی منطقی است، زیرا هر جامعه ای چارچوبهای اطلاعاتی خاص خود را دارد. طبیعی است که هر نوع اطلاعاتی که این حد و مرزها را بشکند، میتواند سلامت و امنیت جامعه را به خطر اندازد. برخلاف وجود جنبههای مثبت شبکه های جهانی، سوء استفاده از این شبکه ها توسط افراد هنجارشکن، امنیت ملی را در کشورهای مختلف با خطر روبرو ساخته است. از این رو بکارگیری روشها و راهکارهای مختلف برای پیشگیری از نفوذ داده های مخرب و مضر، گزینش اطلاعات سالم، پایش اقدامات و فعالیتهای مجرمانه مانند کلاه برداری، سرقت، تجاوز، اغتشاش و برهم زدن نظم و امنیت عمومی جامعه و مواردی از این دست در این شبکه ها رو به افزایش است. خوشبختانه با وجود هیاهوی بسیاری که […]
موفقیت بالای حملات مهندسی اجتماعی تلفنی بعد از تایم ناهار
تحلیل ارائه شده روی بیش از ۲۰،۰۰۰ vishing یا voice phishing (= تماس تلفنی با هدف فریب و مهندسی اجتماعی) نشان میدهد احتمال فریب خوردن افراد در تایم بعد از ناهار به خصوص غیر از روزهای اول هفته (= شنبه ها در ایران و دوشنبه ها در سایر کشورها) بسیار بیشتر است. محققان شرکت آمریکایی Social-Engineer که افراد مشهوری مانند Chris Hadnagy را در راس هرم خود دارند طی تحقیقی که در سال ۲۰۱۵ صورت گرفته است اطلاعات جالبی از یافته های خود را در کنفرانس DerbyCon ارائه داده اند. طبق آمارهای Social-Engineer از کل ۲۰،۱۴۴ عدد تماس گرفته شده با کل جامعه آماری هدف ۵۶۹۰ تا تماس کامل شده یعنی مهندس اجتماعی توانسته با یک نفر آنطرف خط صحبت خود را تمام کند. از بین این ۵۶۹۰ تماس، مهندسین اجتماعی ۳۰۱۷ تماس موفق داشته اند یعنی توانسته اند کاری که میخواسته اند توسط کارمندان جامعه هدف انجام دهند؛ نرخ موفقیت در حدود ۵۳%. کمتر از نیمی از تماسها قطع شدند (۴۵.۳%) یعنی مهندس اجتماعی نتوانسته حداقل اطلاعات لازم را از کارمند کسب کند. برای دسته بندی اطلاعات اخذ شده از یکسری علامت یا flag استفاده شده است. کل تماسهای این تحقیق در مجموع ۸۶۸۵ عدد flag یا تکه های […]
آموزش کامل نصب گواهی SSL در IIS
یکی از راهکارهای اساسی برای افزایش امنیت یک وبسایت استفاده از گواهی SSL است. در این مقاله به نحوه نصب SSL در IIS میپردازیم و سپس نحوه فعالسازی آن را بررسی میکنیم. برای یادآوری، IIS (مخفف Internet Information Services) یک وب سرور است که توسط مایکروسافت عرضه شده و مختص سیستمعامل ویندوز است. نصب SSL در IIS قبل از نصب گواهی SSL، باید برای سایت خود یک CSR بسازید. در مقاله «آموزش تولید CSR در IIS » در بلاگ ایران صورت بهطور کامل راجعبه این موضوع صحبت کردیم. زمانی که شما تصمیم خود را مبنی بر خرید گواهی SSL میگیرید، باید یک درخواست برای صدور گواهینامه ایجاد کنید. برای گرفتن گواهی SSL نیاز به دو کلید عمومی و خصوصی دارید. بعد از ایجاد CSR، فایل گواهی SSL را با پسوند .cer یا .p7b از شرکت ارائهدهنده گواهی دریافت خواهید کرد. ۱. ابتدا وارد نرمافزار Internet Information Services (IIS) Manager شوید. ۲. در ستون سمت چپ، نام سرور مدنظرتان را پیدا کنید و روی آن کلیک کنید. سپس در ستون وسطی روی Server Certificates کلیک کنید. ۳. در ستون سمت راست روی لینک Complete Certificate Request کلیک کنید. ۴. در پنجره باز شده، فایل گواهی خود را انتخاب کنید. اگر فایل […]
فعالسازی let’s encrypt در IIS
یکی از روش های فعالسازی let’s encrypt در IIS استفاده از LetsEncrypt-Win-Simple است. این روش به صورت ساده به شما امکان فعالسازی و bind گواهی SSL به یکی از سایتهای موجود در IIS را میدهد. مراحل فعالسازی گواهی دیجیتال آخرین نسخه Windows ACME trimmed را از سایت رسمی آن در Github دانلود کنید. در پوشه ای که IIS در آن نصب است (معمولا c:\inetpub) پوشه دیگری به نام letsencrypt ایجاد کنید و فایل دانلود شده را در آن اکسترکت کنید. فایل wacs.exe راست کلیک نموده و بصورت Run as Administrator فایل را باز کنید. در مرحله بعد برای تولید یک گواهی جدید N را وارد کنید. سپس ۱ را وارد کنید. در مرحله بعد سایتهای موجود در IIS لیست میشوند. در قسمت choose binding عدد مربوط به سایتی که میخواهید گواهی را در آن فعال کنید وارد نمایید. یک آدرس ایمیل معتبر ترجیجا یک آدرس در دامنه ای که قرار است SSL فعال گردد، وارد کنید. در پاسخ دو سوال بعد yes را وارد کنید. پس از انجام مراحل بالا در صورتی که در پیام بعدی خطایی وجود نداشته باشد گواهی فعال شده است. پس از ثبت گواهی، نیاز است تا binding به گواهی جدید انجام شود. در قسمت binding و […]
خودکار شدن Sync و همگام سازی در کروم
گوگل خیلی ساکت و چراغ خاموش سیاست لاگین خود را تغییر داد. پس از آپدیت کروم به نسخه ۶۹ با لاگین به حساب کاربری خود بلافاصله به خود کروم نیز وارد می شوید و تمام تنظیمات حساب کاربری کروم خود را دارید. منتها برای اعمال تنظیمات شامل بوک مارکها، افزونه ها و تاریخچه باید دکمه Sync را فشار دهید. این کاملا برخلاف گذشته است که حساب کروم از سرویسهای گوگل معروف به G-Suite جدا بود و تنها پس از ورود به حساب کروم کار sync اتومات انجام میشد. همچنین اگر وسط کار sync از حساب گوگل خود خارج شوید کار sync قطع نمیشود بلکه در حالت pause قرار میگیرد. یعنی مثلا اگر ۵۰% دیتای شما تا این لحظه sync شده باشد با خروج از جیمیل، ۵۰% از بوک مارکها، افزونه ها و تاریخچه شما sync میشود و بقیه آن sync نمیشود! تنها با فشردن دکمه turn off میتوانید sync را متوقف کنید. همچنین توجه داشته باشید که با بستن پنجره مرورگر شما نه از حساب گوگل و نه از حساب کروم خارج نخواهید شد. این موضوع عملا تهدیدی برای privacy کاربران به شمار می آید و تا حدی باعث تعجب کارشناسان شده است. اگر کاربر در محیطی باشد که احراز […]
روش های افزایش امنیت سایت
آیا تا حالا به این فک کردید که وب سایتتان به اندازه کافی ایمن هست یا نه؟ ریسک هک شدن در یک سایت هرگز به صفر نمی رسد اما به عنوان یک وب مستر، شما نقش مهمی در به حداقل رساندن خطر هک شدن سایت خود دارید. اگر می خواهید سایتتون وضعیت خوبی داشته باشه باید هم درک درستی از اهمیت امنیت سایت داشته باشید و هم طرز استفاده از از ابزار امنیتی رو بلد باشید. اصلاح وضعیت بد امنیتی یک سایت به معنای شناختن مشکلاتیست که قبلا به آنها توجه نکردیم. بیاید بحثمون رو با نگاه انداختن به برخی آمار شروع کنیم: – در سال ۲۰۱۸ تعداد کل وب سایت ها مرز ۱.۸ میلیارد رو رد کرد. – روزانه گوگل ۱۰هزار وب سایت را بلاک می کند. – تقریبا یک میلیون بدافزار جدید هر روز تولید می شود. مهاجمان یا هکرها، با استفاده از تکنیک های زیر، به دنبال سرقت ترکیبات نام کاربری و کلمه عبور هستند: Brute Force Brute Force یک اصطلاحه که ما ازون برای نوعی از حملات استفاده می کنیم که در اون هکر سعی در به دست آوردن نام کاربری و کلمه عبور یک سایت دارد. این نوع حملات در CMS های آماده و مشهور […]