Kanaali Hacker-kaaga Gudaha Adigoo Ku Jebinaya Nidaam Aan Magac mooyaane Waxba Lahayn

Weligaa ma la yaabtay sida uu qofka wax weeraraya u jebin karo nidaam aan eber aqoon ku dhex lahayn? Adigoon ku biirin darajooyinka Anonymous ama Kooxda Lizard, barashada waxay u badan tahay inay tahay tan kuugu dhow ee aad ku socon karto kabaha. , waxaanu ku takhasusnay farshaxanka iyo sayniska ee daaha ka qaadida dayacanka, waana ku faraxsanahay inaan ku keeno adduunkeena. tijaabada gelitaanka sanduuqa madow Sekurno Haddii aad ku cusub tahay amniga internetka ama pentester khibrad leh, hagahani wax buu u leeyahay qof walba. Bilaabayaashu waxay heli doonaan si ay hoos ugu dhigaan geeddi-socodka, halka khubaradu ay heli karaan . Bal qiyaas in aad ku bilaabayso wax aan ka badnayn magaca ama domainka shirkadda oo aad si habaysan u diiriso lakabyada dambe si aad u muujiso dayacanka. hage cad, tallaabo-tallaabo ah aragtiyo cusub oo ay dib u eegaan mabaadi'da aasaasiga ah Waxaan sahamin doonaa , laga bilaabo ilaa , tusinaya sida weji kasta uu u dhisayo ugu dambeeya si loo soo bandhigo dayacanka iyo bixinta natiijooyin la taaban karo. Dhammaadka, waxaad arki doontaa sababta santuuqa-madow ee u-bandhigidda ay uga badan tahay jimicsiga farsamada-iyo baahida istaraatiijiyadeed ee looga hortegayo hanjabaadaha. wareegga nolosha ee buuxa ee santuuq-madow sahanka ka warbixinta Ogeysiiska tifaftiraha: Waxa ku jira maqaalkan waxa loogu talagalay ujeeddooyin macluumaad oo keliya. Waa maxay Pentesting Black-Box? Tijaabada gelitaanka sanduuqa madow waa farsamada amniga interneed halkaas oo tijaabiyaha uu ku qiimeeyo amniga nidaamka iyada oo aan hore loo aqoon shaqadiisa gudaha, sida qaab-dhismeedka, koodka isha, ama qaabaynta. Isku dayida aragtida weeraryahan dibadeed, sanduuqa madow ee ku dhejinta waxay ku siinaysaa aragtiyo qiimo leh oo ku saabsan sida uu nidaamku ugu kashifay khataraha aduunka dhabta ah. Tijaabayaashu waxay inta badan ku tiirsan yihiin qaab-dhismeedka iyo hababka la aqoonsan yahay si ay u qaabeeyaan qaabkooda. Doorashooyinka caanka ah waxaa ka mid ah: : Diirada saarta codsiyada shabakadda. OWASP Hagaha Tijaabada Amniga Shabakadda : Wuxuu daboolaa hababka baaritaanka dhamaadka-ilaa-dhamaadka. (Heerka Fulinta Imtixaanka Galitaanka) PTES : Wuxuu xaqiijiyaa imtixaannada amniga la cabbiri karo. (Buugga Habka Imtixaanka Amniga Isha Furan) OSSTMM Doorashada habka waxay ku xiran tahay arrimo ay ka mid yihiin nooca codsiga, shuruudaha macmiilka, iyo baaxadda ka-qaybgalka. Marxaladda sahanka Waxaan had iyo jeer ku bilownaa wajiga sahanka (sahaminta). Tallaabadan aasaaska ah waxay ku lug leedahay ururinta macluumaadka guud ee la heli karo ee ku saabsan bartilmaameedka intii suurtagal ah. Anaga oo ku dayanaya sida weeraryahanka dhabta ahi uu u wajahi lahaa nidaamka, waxaanu aqoonsanaa hantida qarsoon, waxaanu ogaanay meelaha laga geli karo, waxaanuna sawiraynaa dusha weerarka. Waxaa jira laba nooc oo sahamin ah oo ku jira wejiga dib-u-eegista ee tijaabada gelitaanka: dadban iyo firfircoon. Sahan dadban Sahan qarsoodi ah waxay ku lug leedahay ururinta macluumaadka ku saabsan bartilmaameedka iyada oo aan si toos ah ula falgalin nidaamkeeda. Habkani waxa uu yareeyaa khatarta ah in la ogaado, taas oo ka dhigaysa barta bilawga ku habboon ee khariidaynta aagga bartilmaameedka. Ka faa'iidaysiga macluumaadka si guud loo heli karo, sahan dadban ayaa bixiya aragtiyo qiimo leh iyadoo la ilaalinayo qarsoodiga. Hoos waxaa ku yaal tusaalayaal aaladaha inta badan la isticmaalo: Domain & Helitaanka Hantida crt.sh Hal qalab oo awood leh oo lagu daah-furo subdomains-da qarsoon waa , . Diiwaanka CT wuxuu si fagaare ah ula socdaa shahaadooyinka SSL/TLS ee la siiyay xayndaabka, kuwaas oo muujin kara subdomain-yada aan loogu talagelin in si guud loo arki karo. crt.sh mashiinka raadinta shahaadiga ah ee Transparency (CT) Tusaale ahaan, 2018, cilmi-baarayaashu waxay isticmaaleen CT logs si ay , oo ay ku jiraan jawi wax-qabad oo u nugul ka faa'iidaysiga. Iyagoo ka faa'iidaysanaya crt.sh, hackers-ka anshaxa, cilmi-baarayaasha, iyo tijaabiyaasha gelitaanka waxay si dhakhso ah u aqoonsan karaan hantida si khaldan loo habeeyey ama la soo bandhigay taasoo keeni karta khataro ammaan oo muhiim ah, taasoo ka dhigaysa qalab lagama maarmaan u ah marxaladda sahanka ee tijaabada gelitaanka sanduuqa madow. u ogaadaan subdomains-hoosaadyada aan la rabin ee la xidhiidha Tesla DNSDumpster DNSDumpster waa qalab sahamin awood leh oo bixiya macluumaad faahfaahsan oo ku saabsan diiwaanka DNS ee domain, sida A, MX, iyo diiwaanada TXT, iyo sidoo kale cinwaanada IP-ga ee laxiriira. Tani waxay si gaar ah faa'iido u leedahay samaynta khariidaynta dusha weerarka inta lagu jiro sahanka, garashada hantida qarsoon, iyo ogaanshaha qaabayn khaldan oo suurtagal ah oo laga faa'iidaysan karo. Google Dorks Google Dorks waa hawl wadeeno goobid heersare ah oo u oggolaanaya tijaabiyeyaashu inay daaha ka qaadaan macluumaadka la heli karo ee Google-ku tilmaamay. Isticmaalka hawlwadeenada sida , , , , tijaabiyeyaashu waxay heli karaan faylal xasaasi ah, hagayaal, ama bogag laxidhiidha ururka la beegsanayo. site: filetype: intitle: inurl: Tusaale ahaan, waydiinta sida waxay daaha ka qaadi kartaa dukumentiyada PDF ee si guud loo heli karo, halka uu soo bandhigi karo hagayaasha aan la ilaalin. Google Dorks waa aalad si cajiib ah wax ku ool u ah, haddana inta badan la dhayalsado, qalab sahamin ah oo lagu garto soo-gaadhista suurtagalka ah inta lagu jiro marxaladaha hore ee tijaabada. site:example.com filetype:pdf intitle:"index of" Shodan Mashiin raadin gaar ah oo lagu ogaanayo aaladaha iyo adeegyada ku xiran intarneedka, isagoo siinaya aragtiyo gaar ah kaabayaasha khadka ee bartilmaameedka. Si ka duwan matoorada raadinta dhaqameed, Shodan waxa ay tilmaantaa aaladaha ay ka midka yihiin adeegayaasha bannaanka ah, aaladaha IoT, xog-ururinta, iyo nidaamyada qaab khaldan. Tusaale ahaan, su'aal fudud ayaa daaha ka qaadi karta dekedo furan, xog ururin aan la hubin, ama software duugoobay oo ku shaqeeya nidaamyada dadweynaha soo jeedinaya. Awooddeeda ay ku shaandhayso natiijooyinka IP, goobta, ama nooca adeegga waxay ka dhigaysaa Shodan qalab qiimo leh oo loogu talagalay tijaabiyeyaasha gelitaanka inta lagu jiro marxaladda sahanka. Daaditaanka Xogta Dehashed / Intelx Aaladahani waxay caawiyaan in la aqoonsado xogta la daadiyay, sida shahaadooyinka ama dukumentiyada xasaasiga ah. Labaduba waxay u baahan yihiin is-diiwaangelin si ay si buuxda u shaqeyso. waxay tusinaysaa shabakada mugdiga ah iyo waxa ku jira intarneedka guud, jebinta, iyo xogta mareegta taariikhiga ah. Intelligence X Tusaalaha Weydiimaha: si aad u hesho jebinta ama sheegida ku lug leh ciwaanka iimaylka. email@example.com si aad u ogaato shahaadooyinka ama dukumentiyada la soo bandhigay. example.com Miyaan la I xanuunsaday (HIBP) Adeeg khadka tooska ah oo bilaash ah oo hubiya in xogta shakhsiyeed lagu xadgudbay jebinta xogta la og yahay. Si balaadhan loogu isticmaalo kor u qaadista wacyiga iyo yaraynta khataraha la xidhiidha aqoonsiga. Waybackurls Waybackurls waa qalab ka soo celiya URL-yada kaydsan ee Mashiinka Wayback, oo siinaya aragti ku saabsan qaabaynta shabakada taariikhiga ah ee bartilmaameedka. Waxay daaha ka qaadi kartaa agabka qarsoon, bogag duugoobay, ama qodobbo dhammaad ah oo laga yaabo inaan hadda ka sii muuqan goobta tooska ah laakiin weli keeni karta khatar amni. Marka la falanqeeyo URL-yadan la kaydiyay, tijaabiyeyaashu waxay aqoonsan karaan qaababka, dayacanka dhaxalka, ama hantida la ilaaway ee laga yaabo inay noqoto mid aan la dareemin. Tusaalaha Taliska: echo "sekurno.com" | waybackurls > urls.txt Sahan firfircoon Sahanka firfircooni wuxuu ku lug leeyahay la falgalka tooska ah ee nidaamyada bartilmaameedka si loo ururiyo macluumaad faahfaahsan. Iyadoo habkani uu bixinayo aragtiyo sax ah oo la fulin karo oo ku saabsan baaritaanka galitaanka ama qorsheynta weerarka, waxay xambaarsan tahay halis sare oo lagu ogaanayo, maadaama nidaamyada bartilmaameedku ay geli karaan ama ka digtoonaan karaan hawlaha shakiga leh. Waa lagama maarmaan in la aqoonsado dayacanka iyo fahamka tafaasiisha farsamo ee kaabayaasha bartilmaameedka. Tirinta Subdomain Aqoonsiga domain-hoosaadyadu waa tallaabo muhiim ah oo ku jirta tijaabada gelitaanka, maadaama subdomainyadu inta badan martigeliyaan adeegyada ama codsiyada laga yaabo inay noqdaan kuwo nugul ama qaab khaldan loo qaabeeyey. Subdomains waxa kale oo laga yaabaa inay bixiyaan meelaha laga soo galo sida maamulka panels ama API-yada aan isla markiiba la arkin. Liis-hoosaadka3r Waa aalad il furan oo si weyn loo isticmaalo oo loogu talagalay tirinta domain-hoosaadka. Waxay uruurisaa xogta ilo badan, oo ay ku jiraan makiinadaha raadinta, diiwaannada DNS, iyo API-yada, si loo aqoonsado-hoosaadyada ku xiran bar-tilmaameedka. Awoodeeda ay ku waydiiso aaladaha sida Google, Bing, iyo VirusTotal waxay ka dhigaysaa ikhtiyaar la isku halayn karo oo si degdeg ah loo sawiro dusha weerarka dibadda ee ururka. Tusaalaha Taliska: python3 sublist3r.py -d sekurno.com Helitaanka Adeegga Ka dib marka la aqoonsado subdomains, daaha ka qaad dekedaha furan, adeegyada, iyo nidaamyada hawlgalka adoo isticmaalaya qalabka sida iyo . Talaabadani waxay kaa caawinaysaa khariidaynta dusha weerarka bartilmaameedka. qodista Nmap qod (Domain Information Groper) Aalad-khadka taliska ee loo isticmaalo in lagu waydiiyo diiwaanada DNS. Waxay bixisaa macluumaad faahfaahsan oo ku saabsan dejinta DNS domain, oo ay ku jiraan A, MX, TXT, CNAME, iyo NS diiwaannada. waa udub dhexaadka cilad-baadhista iyo sahanka shabakada, u ogalaata tijaabiyaasha inay xaqiijiyaan isku xidhka, aqoonsadaan habaynta khaldan, oo ay ururiyaan fikrado ku saabsan kaabayaasha domain. Xawaaraheeda iyo saxnaantiisa ayaa ka dhigaysa qalab aad loogu talagalay falanqaynta DNS. digku Tusaalaha Taliska: dig sekurno.com Nmap Qalab badan oo loogu talagalay raadinta iyo xisaabinta shabakada Nmap wuxuu tilmaamayaa dekedo furan, adeegyo, iyo nidaamyada hawlgalka, iyadoo bixisa fikrado muhiim ah oo ku saabsan dusha weerarka bartilmaameedka. Sawirka aasaasiga ah: nmap Sawirka Dekedda: nmap -p -sV Scan Gardaro: Wuxuu isku daraa ogaanshaha OS, ogaanshaha adeegga, iyo qorista nmap -A Hagaha iyo Helitaanka Faylka Daaha ka qaadida boggaga qarsoon, faylalka habaynta, iyo guddiyada maamulka ayaa bixin kara aragtiyo muhiim ah oo ku saabsan tijaabada gelitaanka. Qalabka sida , , iyo ayaa inta badan la isticmaalaa. Dirb Gobuster ffuf Dir Dirb waa sawir qaade mareegaha ka kooban kaas oo ku qasbaya hagayaasha iyo URL-yada si ay u soo bandhigaan macluumaadka qarsoon ama aan la hubin ee ku jira serverka shabakadda. Adigoo isticmaalaya liisaska ereyada ee horay loo habeeyey ama caadadii, Dirb waxay aqoonsan kartaa faylalka, hagayaasha, iyo meelaha dhamaadka ah ee laga yaabo inaan si guud loo arki karin laakiin soo bandhigi kara macluumaadka xasaasiga ah ama dayacan. Waa qalab toosan oo awood badan oo loogu talagalay khariidaynta qaab-dhismeedka server-ka inta lagu jiro tijaabada gelitaanka. Amarka aasaasiga ah ee hagaha guud: dirb http://example.com Liiska Ereyada gaarka ah: dirb http://example.com /usr/share/wordlists/dirb/common.txt Ikhtiyaar sare: dirb https://example.com -X .php,.html -N 403 Aaladaha Beddelka ah ee Tirinta Hagaha Qalabka kale ee caanka ah waxaa ka mid ah: Gobuster Gobuster waa qalab degdeg ah oo hufan oo loogu talagalay , iyo in ka badan. Naqshadeynta si ay u qabato , waxay aad uga fiican tahay si dhakhso ah u daaha ka qaadida ilaha qarsoon ee server-yada webka. Gobuster , taasoo ka dhigaysa mid si gaar ah faa'iido u leh sahaminta hagayaasha si qoto dheer leh ama subdomains inta lagu jiro tijaabada gelitaanka. URL-yada, hagayaasha, DNS subdomains liisaska erayada waaweyn wuxuu taageeraa skannada soo noqnoqda gobuster dir -u http://example.com -w /path/to/wordlist.txt ffuf (Fuzz Faster U Fool) Fuzzer aad u badan oo xawaare sare leh oo lagu ogaanayo hagayaasha, cabbiraadaha, iyo agabyada kale ee qarsoon ee server-yada shabakadda. Waxay taageertaa shaandhaynta horumarsan ee ku salaysan summada jawaabta, cabbirka, ama ereyada, taasoo u oggolaanaysa tijaabiyaasha inay si hufan u caddeeyaan natiijooyinka habboon. Dabacsanaanteeda, ffuf waxa loo isticmaali karaa hawlo ay ka mid yihiin tirinta hagaha, halbeegyada fuzzing, iyo helitaanka dhamaadka API. ffuf -u http://example.com/FUZZ -w /path/to/wordlist.txt Sahaminta Madaxda Jawaabta HTTP Ugu dambeyntii, falanqee cinwaanada jawaabta HTTP si aad u aqoonsato software, qaab-dhismeedka, ama isku xidhka serverka ee la isticmaalo. Talaabadani waxay ku siinaysaa aragtiyo tafatiran laakiin aad ayay uga gaar tahay wajiyadii hore. Wappalyzer Kordhinta biraawsarka iyo aaladda ogaanaysa qaab-dhismeedka, aaladaha CMS, luqadaha barnaamijka, aaladaha falanqaynta, iyo tignoolajiyada kale ee ay adeegsadaan mareegaha. Marka la aqoonsado noocyada softiweerka, tijaabiyeyaashu waxay tixraaci karaan dayacanka la yaqaan ee xogta macluumaadka dadweynaha. Sawirka Sahanka ka dib waxa yimaada , halkaas oo tijaabiyeyaashu ay si firfircoon u falanqeeyaan bartilmaameedka dayacanka. Aaladaha iswada ayaa lama huraan u ah in si degdeg ah loo aqoonsado nuglaanta ballaaran. Aaladahani waa kuwa adag, si joogta ah loo cusboonaysiiyay, waxaana loogu talagalay inay horumariyaan hanjabaadaha. Sawir-qaadayaasha sida caadiga ah loo isticmaalo waxaa ka mid ah: marxaladda iskaanka : Sawir-qaade shabakadeed oo tilmaamaya cirbadaha SQL, XSS, iyo dayacanka kale. Acunetix : Sawir-qaade nuglaanta dhamaystiran ee shabakadaha iyo nidaamyada. Nessus : Waa qalab lagu ogaanayo laguna kala hormarinayo dayacanka hantida. Nexpose Waxaan ugu horeyn u isticmaalnaa baaritaanka codsiyada webka, maadaama ay bixiso awoodo ballaaran oo loogu talagalay qaababka software ee kala duwan iyo noocyada nuglaanshaha. Burp Suite Burp Suite Burp Suite waa mid ka mid ah aaladaha aadka loo isticmaalo ee tijaabinta codsiga shabakadda. Waxay isku daraysaa awoodaha gacanta iyo kuwa gacanta, taasoo ka dhigaysa mid ku habboon ogaanshaha dayacanka caadiga ah iyo kuwa horumarsan. Tilmaamaha muhiimka ah waxaa ka mid ah: : SQL duritaanka, XSS, duritaanka amarka, marin hagaha, cilladaha xaqiijinta, iyo in ka badan. Ogaanshaha Nuglaanshaha : Wuxuu aqoonsadaa kontaroolada gelitaanka jaban, duritaanka JSON, iyo meelaha ugu dambeeya ee aan ammaan ahayn. Tijaabada API : Wuxuu ogaadaa dayacanka sida CSRF, XXE, SSRF, iyo xad-gudubyada xad-dhaafka ah. Tijaabada Sarreysa : Waxay ku kordhisaa shaqaynta qalabyada gaarka ah ee iskaanka nuglaanta, tijaabinta oggolaanshaha, iyo abuurista culayska lacagta. Kordhinta Bakhaarka BApp-ka Dulmarka Dheeraadka Daacuunka ee caanka ah Waxay maamushaa oo tijaabisaa macquulnimada oggolaanshaha isticmaalayaasha badan ama doorarka. AuthMatrix - Wuxuu bixiyaa gelida tafatiran ee codsiyada HTTP iyo jawaabaha. Logger++ - Beddelaa qaababka xogta (tusaale, codaynta/dejinta) oo toosiya beddelka culayska lacagta. Hackvertor - Waxay kordhisaa iskaanka firfircoon ee Burp oo leh jeegag dheeraad ah. Scan ++ Firfircoon - Wuxuu qurxiyaa/yareeyaa faylalka JavaScript si ay u sahlanaato falanqaynta. JS Beautifier - Waxay ka heshaa xuduudaha qarsoon ee barnaamijyada shabakadda. Param Miner - Waxay ogaataa maktabadaha JavaScript ee duugoobay oo leh baylah la yaqaan. Retire.js - Waxa ay ku habaysaa sawir-qaadista culaysyada isticmaale-qeexay iyo xaaladaha ciyaarta. Burp Bounty - Wuxuu wax ka qabtaa oo tijaabiyaa JWT-yada dayacanka sida saxeexa wax-ka-qabashada. Tifaftiraha JSON Web Token (JWT) - Si otomaatig ah ayey u tijaabisaa oggolaanshaha dhaafitaanka iyadoo ku celinaysa codsiyada doorar kala duwan leh Autorize - Testssl Si loo tijaabiyo isku xidhka SSL/TLS, waxaanu isticmaalnaa , oo ah aalad-khadka taliska ee furan. Waxay qiimaynaysaa: testssl.sh Baratakoollada daciifka ah ama burburay (tusaale, SSLv2, SSLv3, TLS 1.0). Shahaadooyinka si khaldan loo habeeyey (tusaale, is saxeexay, dhacay). Nuglaanta sida Wadnaha, BEAST, ama POODLE. Habaynta HTTPS ee maqan, sida madaxyada HSTS. Tusaalaha Taliska: [testssl.sh](http://testssl.sh) Aqoonsiga Nuglaanta Marka marxaladda sahamintu dhammaato, waxaan u gudubnaa heerka . Marxaladani waxay ku lug leedahay falanqaynta xogta la ururiyay si loo aqoonsado daciifnimada amniga sida qaabaynta khaldan, software duugoobay, ama aqoonsiga daciifka ah. Marka la isku daro qalabka iskaanka ee tooska ah iyo baaritaanka gacanta, waxaan tilmaami karnaa dayacanka laga yaabo in looga faa'ideysto xaaladaha dhabta ah ee aduunka. aqoonsiga nuglaanta OWASP Hagaha Imtixaanka Amniga Shabkada (WSTG) waa kheyraad dhammaystiran oo bixiya habab habaysan oo lagu tijaabiyo amniga codsiga shabakadda. Waxay xaqiijisaa qiimayno habaysan oo dhamaystiran iyadoo ku hagaya tijaabiyeyaasha imtixaanada dayacanka caadiga ah, sida: OWASP WSTG : Tijaabinta goobaha gelinta ee su'aalaha SQL ee laga faa'iidaysan karo. Cirbadda SQL : Qiimaynta hababka sida wakhtiga fadhiga iyo maaraynta buskudka oo sugan. Dhaliilaha Maareynta Kulanka : Hubinta aqoonsiga daciifka ah iyo hirgelinta xaqiijinta arrimo badan oo aan habboonayn. Arrimaha Xaqiijinta Markay u hoggaansamaan WSTG, tijaabiyeyaashu waxay xaqiijiyaan joogtaynta iyo qoto dheer ee habka aqoonsiga nuglaanta. Tusaale: Falanqaynta Nuglaanta Keycloak Hal ka mid ah hawlgelinta, waxaan ogaanay in server-ka shabakadu uu ku socdo nooca : . Falanqaynta dheeraadka ah ayaa shaaca ka qaaday in noocaan uu saameeyay dayacanka badan ee la yaqaan (CVEs), oo ay ku jiraan: Keycloak "version": "23.0.4" CVE-2024-1132 CVE-2023-6484 CVE-2024-1249 CVE-2023-0657 CVE-2024-2419 CVE-2023-6717 CVE-2023-6544 CVE-2023-3597 Faa'iidada suurtagalka ah ee la aqoonsaday Falanqayntayada, waxaan go'aansanay in weeraryahanadu ay ka faa'iidaysan karaan dayacanka kuwan: Ka gal URL-yada xasaasiga ah . ee marinka Waddada Ku duri macluumaadka xaasidnimada leh diiwaannada iyada oo loo marayo . ansaxinta wax-gelinta aan habboonayn Sababta iyadoo la isticmaalayo Khaladka Xaqiijinta Asalka. werarada DDoS Hel galitaanka aan la ogalayn adiga oo ka faa'iidaysanaya Xaqiijinta Gudbinta Xatooyo calaamadaha oo iska dhig isticmaalayaasha iyada oo loo marayo . Dib-u-dejin Furan Ku fuli JavaScript gar-darro ah oo leh . Qoraal-goobeedka Cross-site (XSS) Ku diwaangeli macaamiisha aan la fasaxin iyada oo loo marayo . Oggol dhaafka Ka gudub xaqiijinta isfaham badan oo ay ugu wacan tahay socodka xaqiijinta. Talaabooyinka Muhiimka ah ee ka maqan Ka faa'iidaysiga Talaabada afraad, , waxa ay ku lug leedahay adeegsiga natiijooyinka ka soo baxa marxaladda aqoonsiga nuglaanta si loo sawiro weerarada dhabta ah ee aduunka. Habkani waxa uu muujinayaa sida uu qofka wax weeraraya uga faa'iidaysan karo nuglaanta si uu u waxyeeleeyo nidaamyada, u xado xogta, ama u helo galitaanka aan la ogalayn. Lagu qabto deegaan la kantaroolo, ka faa'iidaysigu wuxuu bixiyaa aragtiyo qiimo leh oo ku saabsan saamaynta ka iman karta dayacanka la aqoonsaday. ka faa'iidaysiga Ka faa'iidaysiga la xakameeyey: Xaqiijinta Natiijooyinka Ka faa'iidaysigu wuxuu ku bilaabmayaa tijaabinta dayacanka lagu aqoonsaday wajigii hore si loo xaqiijiyo saxnimadooda loona fahmo cawaaqibka ka dhalan kara. Tusaale ahaan, qiimayntii dhawayd, waxaanu daaha ka faynay dhawr CVE-yo dadweyne oo ku xidhan nooca Keycloak oo duugoobay. Nuglaantan waxa ka mid ah, waxaanu si guul leh u ansixinay arrin . Isticmaalka , waxaanu muujinay baylahda anagoo tijaabinay xaalad dib u hagis ah. Jawaabta serferka ayaa xaqiijisay ansaxnimada ka faa'iidaysiga, sida hoos ku cad: dib u jihsi ah oo furan Burp Suite Collaborator Saamaynta-dhabta ah ee Adduunka Marxaladda ka faa’iidaysiga waxa ay iftiiminaysaa sida baylahda loo isticmaali karo si loo gaadho ujeedooyin kala duwan, sida: : Ka faa'iidaysiga jihaynta furan ama kontaroolada gelitaanka aan habboonayn si loo xado macluumaadka xasaasiga ah. Xatooyada Xogta : Ka gudubka hababka xaqiijinta si loo helo mudnaanta maamul. Helitaanka Aan La Fasaxnayn : Durida culeysyada xaasidnimada ah si loo fuliyo amarada ama adeegyada loo carqaladeeyo. Nidaamka tanaasulka Talooyinka Yaraynta Ka dib marxaladda ka faa'iidaysiga, tillaabooyin sax ah oo cad ayaa lagama maarmaan ah si wax looga qabto arrimaha la aqoonsaday. Tusaalaha Keycloak, waxaanu kugula talinnay macmiilka inuu u cusboonaysiiyo nooca ugu dambeeyay ee software-ka si uu u daboolo dayacanka la yaqaan. Tixgelinta Muhiimka ah Inta lagu jiro ka faa'iidaysiga, waa wax caadi ah in lala kulmo xaalado halkaas oo: : Soo-saarayaashu waxa laga yaabaa inay dabooleen ama yareeyeen baylahda iyaga oo aan cusboonaysiin xadhigga nooca software-ka, taasoo horseedaysa natiijooyin been ah. Dhammaan CVE-yada lagama faa'iidaysan karo : Nuglaanta qaarkood ayaa laga yaabaa in laga faa'iidaysto oo keliya xaalado gaar ah ama habayn. Macnaha Guud : Ka faa'iidaysiga waa in si taxadar leh loo fuliyo si looga fogaado waxyeelo aan ula kac ahayn oo loo geysto deegaanka la beegsanayo. Tijaabada la Xakameeyay Ka warbixinta Talaabada ugu danbeysa ee meertada noloshu waa . Marxaladani waxa ay koobaysaa dhammaan natiijooyinka warbixin faahfaahsan oo qeexaysa dayacanka, darnaantooda, iyo talooyinka la fulin karo si loo yareeyo khatarta. Warbixin si wanaagsan loo soo diyaariyay ayaa soo koobaysa farqiga u dhexeeya kooxaha farsamada iyo daneeyayaasha, iyadoo hubinaysa in baylahda la fahmayo oo si hufan wax looga qabto. wejiga warbixinta iyo sixida Qodobbada Muhiimka ah ee Warbixinta Pentesting Si loo kordhiyo saamaynta, warbixinadu waa inay raacaan hababka ugu wanaagsan: : Si cad u kala saar nuglaanta mid Sare, Dhexdhexaad, ama Hoose iyadoo lagu salaynayo saamayntooda iyo ka faa'iidaysigooda. U kala soocida darnaanta : Ku dar soo koobid, tillaabooyinka taranka, saameynta suurtagalka ah, iyo heerka dhibka dhexdhexaadinta ee helitaan kasta. Sharaxaadaha Nuglaanta ee Faahfaahsan : Bixi tillaabooyin sax ah oo cad oo la fulin karo si wax looga qabto dayacannada la aqoonsaday. Talooyin la Dhaqan karo : Soo bandhig ee daneeyayaasha iyo qaybo farsamo oo faahfaahsan oo loogu talagalay kooxaha amniga. Nuxurka Habboon guud ahaan fulinta Qalabka Warbixinta Aaladaha sida waxay hagaajiyaan habka warbixinta iyagoo bixinaya habab la beddeli karo iyo hubinta joogtaynta. Isticmaalka qalabkan oo kale waxay dardar gelisaa soo saarista warbixinta waxayna ilaalisaa qaabaynta xirfadlayaasha. Pwndoc Si aad u dhiirigeliso, dib u eeg , kaas oo soo bandhigaya tusaalooyinka warbixinada xirfadlayaasha ah. Kaydka Warbixinada Pentesting Public Tusaale: Xakamaynta gelitaanka jaban Tusaalaha warbixinta nuglaanshaha ee arrinta waxaa ka mid ah: Xakamaynta Helitaanka jaban : Gelitaanka aan la oggolayn ee meelaha xasaasiga ah ee dhamaadka Sharaxaad : Weeraryahanadu waxay dhaafi karaan xannibaadaha doorka waxayna heli karaan mudnaanta maamul. Saamaynta : Ku dhaqan hubinta hubinta doorka habboon ee heerarka macmiilka iyo server-ka labadaba. Dib-u-habeyn Natiijooyin Halis ah iyo Dib-u-habayn Nuglaanta daran ama daran, sida kuwa lagu aqoonsaday , warbixinta waxaa ka mid ah: xisaabiyaha CVSS : Sharaxaad tafatiran ee arrinta, ka faa'iidaysigeeda, iyo saamaynteeda. Sharaxaad Dhamaystiran : Talaabooyinka lagu hagaajinayo dayacanka si wax ku ool ah. Hagaajinta lagu taliyay Si loo caawiyo horumariyayaasha, isku xidhka ilaha sida waxa ay hubisaa in ay helaan qaab habaysan. ASVS waxay bixisaa shuruudaha amniga oo faahfaahsan iyo habraacyada horumarinta, tijaabinta, iyo ilaalinta codsiyada sugan, waafajinta mashaariicda heerarka warshadaha. OWASP ASVS (Heerka Xaqiijinta Badbaadada Codsiga) Caqabadaha Guud ee Blackbox Pentesting Blackbox pentesting waxa ay soo bandhigtaa aragtiyo qiimo leh oo la xidhiidha dayacanka dibadeed ee ururka laakiin waxa ay la socotaa caqabado gaar ah iyo xaddidaadyo ay tahay in tijaabadu maraan. Xaddid Tijaabada Blackbox waa qalab-dhaqaale oo si dabiici ah u xaddiday tijaabiyaha aqoon la'aanta gudaha ee nidaamka. Xaddidaadaha muhiimka ah waxaa ka mid ah: : La'aanta helitaanka koodka isha ama qaab dhismeedka gudaha, arrimaha qaarkood ayaa laga yaabaa inaan la ogaan. Nuglaanta Gudaha ee Seegtay : Tijaabayaashu waxay inta badan ka maqan yihiin wakhti ay ku abuuraan faa'iidooyin isku dhafan si ay si buuxda u waxyeeleeyaan nidaamka. Caqabadaha Waqtiga : Dab-damiska, filtarrada adag, iyo habab kale oo ammaan ayaa laga yaabaa inay xannibaan imtixaannada iyo natiijooyinka qalloocan. Tallaabooyinka Difaaca : Aqoonta nidaamka xaddidan waxay u horseedi kartaa imtixaanno aan badnayn ama arrimo la ilduufo. Hufnaan Talo: Isku darka tijaabada sanduuqa madow iyo habab kale (tusaale, sanduuqa cawl ama tijaabada sanduuqa cad) waxay kaa caawin kartaa yaraynta xadayntan. Sanduuq-cad ama Sanduuq-madow? Halka tijaabada sanduuqa madow ay bixiso aragti dibadeed oo qiimo leh, waxay si fiican u shaqeysaa iyada oo qayb ka ah istaraatiijiyada tijaabinta lakabyada badan. Ururadu waxay ka faa'iidaysan karaan isku darka hababka tijaabada: : Waxay ku lug leedahay helitaan buuxa oo nidaamyada gudaha ah, taas oo awood u siinaysa falanqaynta dhamaystiran ee koodka isha, qaabaynta, iyo qaab dhismeedka. Tijaabinta Sanduuqa Cad : Waxay la mid tahay habka weerarka, isagoo xaqiijinaya dayacanka lagu aqoonsaday baaritaanka sanduuqa cad. Tijaabada Sanduuqa Madow : Waxay bixisaa qiimayn horumarsan, iyada oo la jaanqaadaysa hanjabaadaha casriga ah iyo kuwa joogtada ah si ay u tijaabiso difaaca farsamada iyo hababka ururka labadaba. Kooxda Cas Talo-siinta Pro: Tijaabada lakabka ah, oo lagu darayo hababka sanduuqa-cad iyo sanduuqa madow labadaba, waxay xaqiijisaa qiimayn dhamaystiran ee dayacan gudaha iyo dibadda. Caqabadaha AI Isku-dubbaridka ayaa beddelay sida baylahda loo aqoonsaday. Aaladaha ku shaqeeya AI waxay kor u qaadaan hufnaanta tijaabinta iyagoo otomaatig u dhigaya hawlaha soo noqnoqda iyo habaynta xog-ururinta. Qodobbada muhiimka ah waxaa ka mid ah: Sirdoonka Artificial (AI) ee baadhista : Qalabka Ka faa'iidaysiga AI : Waxay si otomaatig ah u samaysaa ka faa'iidaysiga dayacanka la aqoonsaday. DeepExploit : Wuxuu adeegsadaa barashada mashiinka si uu u khariidado aaladaha qarsoon iyo dekedaha furan. Shodan iyo : Automate OSINT ururinta iyo isku xidhka xogta. SpiderFoot Recon-ng : Codsiyada AI Falanqaynta cinwaanada IP-ga, subdomains, iyo adeegyada cabir ahaan. Kor u qaadida tijaabinta deegaanka-dhalatada, oo ay ku jiraan API-yada iyo adeegaha yar yar. : Xaddidaadaha AI Aaladaha AI waxay ku fiican yihiin automation-ka laakiin waxaa ka maqan faham guud iyo go'aan-qaadasho. Khibrada bini'aadmigu waxay weli lagama maarmaan u tahay tarjumaada natiijooyinka iyo u adeegsiga si wax ku ool ah. Aragtida: Isku darka qalabka AI ay wado ee tijaabiyaasha bini'aadamka waxay abuurtaa dheelitirnaanta hufnaanta iyo aragtida macnaha guud, taasoo horseedaysa natiijooyin wax ku ool ah oo wax ku ool ah. Soo koobid Tijaabada gelitaanka Blackbox waa hab muhiim ah oo lagu qiimeeyo ammaanka dibadda ee ururka. Iyada oo la ekaysiinaysa xaaladaha weerarka ee dunida dhabta ah, waxa ay ku siinaysaa aragtiyo ku saabsan dayacanka ay ka faa'iidaysan karaan weeraryahannada dibadda. Boostada balooggani waxay sahamisay meertada nololeed ee buuxa ee sanduuqa madow, oo iftiiminaya heerarkeeda muhiimka ah iyo caqabadaha: : Ururinta macluumaadka ku saabsan bartilmaameedka iyadoo la adeegsanayo farsamooyin aan fiicneyn oo firfircoon si loo sawiro dusha weerarka. Sahan : Shaqaalaynta aaladaha iswada sida Burp Suite iyo si loo garto dayacanka si hufan, oo lagu kabo baadhitaanka gacanta ee arimaha adag. Iskaanka testssl.sh : Falanqaynta natiijooyinka si loo tilmaamo daciifnimada sida software duugoobay, qaabaynta khaldan, ama aqoonsiga daciifka ah, ka faa'iidaysiga qaab-dhismeedka sida OWASP WSTG ee imtixaan nidaamsan. Aqoonsiga Nuglaanta : Muujinta sida ay weerarradu uga faa'iidaysan karaan nuglaanta nidaamyada wax u dhimaya, iyada oo la hubinayo in natiijooyinka la ansaxiyay lana fulin karo. Ka faa'iidaysiga : Bixinta warbixin dhamaystiran oo kala saarta baylahda, qeexaysa saamayntooda, oo bixisa talooyinka wax-ku-oolka ah ee dib-u-heshiisiinta. Warbixinta Inkasta oo faa'iidooyinka ay leedahay, pentesting blackbox waxay leedahay xaddidaad, sida awood-la'aanteeda inay daaha ka qaado dayacannada gudaha qaarkood iyo caqabadaha ka dhasha caqabadaha waqtiga iyo tallaabooyinka difaaca. Si kastaba ha ahaatee, isku darka hababka sida baaritaanka sanduuqa cad ama isbahaysiga cas waxay abuurtaa qiimeyn amni oo qotodheer oo qotodheer. Tignoolajiyada soo ifbaxaya sida AI waxay kor u qaadaysaa hufnaanta qallafsanaanta iyaga oo otomaatig u ah hawlaha iyo falanqaynta xog-ururinta, laakiin khibradda aadanaha ayaa weli lama huraan u ah fahamka macnaha guud iyo go'aan qaadashada istiraatiijiyadeed. Iyadoo la raacayo hab habaysan oo ku wajahan santuuqa-madow, ururadu waxay si firfircoon u aqoonsan karaan oo ay wax uga qaban karaan dayacanka, iyagoo hubinaya difaacyo adag oo ka dhan ah khataraha dibadda. Sekurno, waxaanu ku bixinaa qiimayn dhamaystiran oo la fulin karo si aanu uga caawino ganacsiyada inay adkaysi u yeeshaan wajahada caqabadaha amniga ee soo koraya. FAQ Waa maxay santuuqa blackbox? Blackbox pentesting waxay u ekaysiisaa weerarrada dibadda si loo aqoonsado dayacanka nidaamyada iyada oo aan hore loo aqoonin. Sidee loo qabtaa santuuqa blackbox? Waxay ku lug leedahay sahan, aqoonsiga nuglaanta, sawirida, iyo ka faa'iidaysiga si loo qiimeeyo booska amniga codsiyada iyo shabakadaha. Sidee buu tijaabada santuuqa-madow kaga duwan yahay sanduuqa-cawlan iyo baaritaanka-sanduuqa cad? Blackbox: Waxay u ekaysiisaa weerarrada dibadda. Greybox: Wuxuu isku daraa weerarrada dibadda iyo aqoonta gudaha ee qayb ahaan. Sanduuq-cadeedka: Waxay si buuxda u siisay nidaamyo gudaha ah si loo tijaabiyo dhammaystiran. Qalab noocee ah ayaa loo istcimaalaa santuuqa-madow? Aaladaha caadiga ah waxaa ka mid ah , , , iyo agabka OSINT sida . Nmap Burp Suite Metasploit Shodan Waa maxay sababta uu santuuqa madowgu u yahay mid muhiim ah? Waxay bixisaa aragtida weerarka, iyadoo hubinaysa in dayacanka dibadda la aqoonsaday lana yareeyo ka-faa'iidaysiga. Ku saabsan Qoraaga Maqaalkan waxaa diyaariyey , oo ah Injineer Imtixaanka Amniga ah oo jooga , oo uu dib u eegay , aasaasaha iyo CTO ee Anastasiia waxa ay leedahay in ka badan shan sano oo waayo-aragnimo gacan-ku-ku saabsan imtixaanka dhexgalka iyo qiimaynta ammaanka. Waxay ku takhasustay tijaabinta codsiyada webka, kaabayaasha (labadaba dhismaha iyo daruuraha), iyo aaladaha mobilada (iOS iyo Android). Khibraddeedu waxay ka kooban tahay hababka Sanduuqa Madow, Sanduuqa Gray, iyo Sanduuqa Cad, oo ay weheliso aqoonta qiimaynaha nuglaanta iyo dib u eegista koodhka isha. Alex wuxuu leeyahay toddobo sano oo waayo-aragnimo ah horumarinta iyo amniga internetka. Isagu waa ka qaybqaatayaasha Ilaha Furan ee AWS u heellan horumarinta dhaqamada codaynta ee sugan. Khibraddiisu waxay soo afjaraysaa farqiga u dhexeeya horumarinta software iyo amniga, isagoo siinaya fikrado qiimo leh oo lagu ilaalinayo codsiyada shabakadaha casriga ah. Anastasiia Tolkachova Sekurno Alex Rozhniatovskyi . Sekurno Tixraacyo Qalabka iyo Khayraadka Hufnaanta Shahaadada (crt.sh) DNSDumpster 40 Google Dorks oo aad u isticmaali karto ujeedooyin kala duwan Waybackurls by tomnomnom Mashiinka Wayback (Kaydhka Shabakadda) Shodan DeHashed Intelx Miyaan la I xanuunsaday (HIBP) Wappalyzer Liis-hoosaadka3r Dirb on Kali Tools Gobuster ffuf (Fuzz Faster U Fool) Nmap Xogta Nuglaanta Qaranka (NVD) Ka faa'iidayso Xogta (Exploit-DB) CVE Miter Acunetix Nessus Daahsoon Dabo Bapp Store Testssl.sh Tilmaamaha iyo Maqaallada OWASP Hagaha Imtixaanka Amniga Shabkada (WSTG) Kaydka Warbixinta Pentesting Dadweynaha Heerka Xaqiijinta Amniga Codsiga OWASP (ASVS) API Pentesting Guide ee Sekurno Node.Js Hagaha Amniga Codsiga ee Sekurno