Телеграм канал «Source Code Store»

توی پروژه های ترم پیش دانشگاهم داشتم می‌چرخیدم اینو دیدم، گفتم حالا که تایم اون ترمه گذشته (و نمرشم گرفتم!) میتونم اینو پابلیک کنم.
برای شبیه سازی حمله تست نفوذ به یه صفحه لاگین وب (تحت یه الگوریتم خاص) نیاز داشتم یه صفحه لاگین داشته باشم تا آزمایش‌های اون حمله رو پیاده کنم و مقایسه‌ش کنم با روش‌های کلاسیکی که وجود داره.
رفتم سراغ وب سرورها اما دیدم اینا به درد آزمایش من نمیخوره، یه سری حواشی داره که من رو از هدف اصلی تحقیقم دور می‌کنه.

دست به کار شدم و خودم یه برنامه سی نوشتم که یه صفحه لاگین رو توی تمام اینترفیس‌های کامپیوتری که این برنامه روش ران میشه، سرو کنه.

برنامه رو طوری نوشتم که اگه یه میلیون تا ریکوئست همزمان هم بهش بیاد از لحاظ نرم‌افزاری کم نیاره (مولتی ترد نوشتمش با pthread که از این لحاظ کم نیاره و بتونه ریکوئست‌ها رو پردازش کنه).

اگه شما هم درگیر یادگیری تست نفوذ وب یا مواردی مشابه این هستید که به مینیمال ترین و بهینه ترین حالت ممکن یه صفحه لاگین در اختیار تون قرار بده این پروژه می‌تونه براتون مفید واقع بشه.
این برنامه رو میتونید به صورت متن‌باز از اینجا مشاهده، دریافت و استفاده کنید.

پ‌ن: قابلیت تعریف بی‌نهایت یوزر دلخواه هم داره از اون لحاظ کمبود نداره

@Source_Code_Store

دوستان PHP کار،
خدا آخر عاقبت تونو بخیر کنه یه cve امتیاز بالای دیگه هم خوردید

خلاصه‌ش میشه اینکه یه شرکت هندی که وظیفه‌ش جفت کلید (گواهی SSL) ساختن برای سایت ها بوده از کلید های ضعیفی استفاده می‌کرده به طوریکه راحت می‌شده کلیده رو حدس زد و بدستش آورد (درنتیجه میشه ترافیک رمزگذاری شده اون سایت ها رو شکوند و به محتواش دست یافت یا اطلاعات رو دزدید.)
برای اینکه بفهمید این بلا سر شما اومده یا نه برید توی این سایت:
http://emudhra.we-have-a-problem.com
و ببینید اگر با سبز نوشت did not connect یعنی مشکلی نیست ولی اگه خدای نکرده با قرمز نوشت connect یعنی اوضاع خرابه بپیچید به بازی.! باید کلید هایی که مشکل دارن رو هم در مروگرهاتون هم از سطح سیستم تون جمع کنید.
@Source_Code_Store

یه شرکت هندی که گواهی SSL می‌داده کلید هاش آبکی از آب در اومده

قفل کنار آدرس وب‌سایت‌ها معمولاً نشانه‌ای از اتصال امن است؛ اما این امنیت به زنجیره‌ای از اعتماد وابسته است که مرجع‌های صدور گواهی دیجیتال (CA) نقش مهمی در آن دارند. حالا تصور کنید کلید خصوصی یکی از این مراجع، به‌جای یک مقدار تصادفی و پیچیده، عددی مثل ۴ باشد!
این دقیقاً همان اتفاقی است که برای هشت گواهی واسط شرکت هندی eMudhra رخ داد. به‌دلیل خطا در اسکریپت تولید کلید، کلیدهای خصوصی این گواهی‌ها از فضای بسیار کوچکی انتخاب شده بودند؛ به‌طوری‌که مقدار همه آن‌ها کمتر از ۲۵۶ بود و یکی از کلیدها دقیقاً عدد ۴ بود.
یعنی مهاجم می‌تونه با بررسی حداکثر ۲۵۶ حالت ممکن، کلید خصوصی را در زمانی بسیار کوتاه، حتی کمتر از یک ثانیه، پیدا کنه
چرا این موضوع خطرناکه؟
گواهی‌های واسط بخشی از زیرساخت اعتماد اینترنت هستند. اگر مهاجمی به کلید خصوصی یکی از این گواهی‌ها دسترسی پیدا کند، ممکن است بتواند برای دامنه‌های مختلف گواهی جعلی صادر کند؛ گواهی‌هایی که برخی دستگاه‌ها آن‌ها را معتبر تشخیص می‌دهند.
نتیجه چنین حمله‌ای می‌تواند شنود ارتباطات رمزنگاری‌شده، جعل هویت وب‌سایت‌ها یا دست‌کاری ترافیک کاربران باشد.
واکنش شرکت‌ها چه بود؟
طبق گزارش منتشرشده، پژوهشگران در ۱۷ اکتبر ۲۰۲۶ این مشکل را گزارش کردند. فایرفاکس و کروم همان روز گواهی‌های آسیب‌دیده را مسدود کردند. اپل در ۱۹ اکتبر و مایکروسافت در ۲۰ اکتبر اقدامات لازم را انجام دادند. کلادفلر نیز واکنش نشان داد و eMudhra گواهی‌های آسیب‌پذیر را باطل کرد.
آیا کاربران واقعاً در معرض حمله قرار گرفتند؟
شرکت اعلام کرده است که با استفاده از این گواهی‌های واسط، گواهی نهایی برای هیچ وب‌سایتی صادر نشده و گواهی‌های ریشه نیز سالم بوده‌اند.
همچنین، در سوابق عمومی شفافیت گواهی (CT) نشانه‌ای از صدور گواهی نهایی با استفاده از این واسط‌ها مشاهده نشده است. این موضوع خطر حمله از طریق مرورگرهای اصلی را کاهش می‌دهد. تاکنون نیز گزارشی از سوءاستفاده واقعی منتشر نشده است.
بااین‌حال، کلیدهای آسیب‌پذیر از آوریل ۲۰۲۵ قابل بازیابی بودند. نرم‌افزارهای قدیمی، برخی برنامه‌ها و تجهیزات شبکه که از سازوکارهای شفافیت گواهی استفاده نمی‌کنند، ممکن بود همچنان این گواهی‌ها را معتبر بدانند.
چطور بررسی کنیم دستگاه ما هنوز به این گواهی‌ها اعتماد دارد؟
روش اول:
مرورگر را باز کنید و به نشانی زیر بروید:
emudhra.we-have-a-problem.com
در بخش
Does your client still trust the compromised intermediates?
نتایج هر ردیف را بررسی کنید. اگر اتصال برقرار شود و آزمون نشان دهد دستگاه همچنان به یکی از گواهی‌های آسیب‌دیده اعتماد دارد، ممکن است هنوز اصلاحات امنیتی لازم را دریافت نکرده باشد.
این نتیجه به معنای هک‌شدن دستگاه یا سرقت اطلاعات نیست؛ بلکه نشان می‌دهد دستگاه ممکن است گواهی جعلی را معتبر تلقی کند.
روش دوم:
در ترمینال لینوکس یا مک، دستورهای زیر را اجرا کنید:
curl https://dv-g3b-emudhra.we-have-a-problem.com/
curl https://dv-g3b-aaa-emudhra.we-have-a-problem.com/
اگر خطای اعتبارسنجی گواهی دریافت کردید، معمولاً اتصال به دلیل نامعتبر بودن گواهی رد شده است. اگر اتصال بدون خطای گواهی برقرار شد، ممکن است سیستم همچنان به گواهی آسیب‌دیده اعتماد داشته باشد. البته نتیجه باید با توجه به تنظیمات سیستم و وضعیت سرویس آزمایشی تفسیر شود.
راه‌حل چیست؟
۱. مرورگر خود را به آخرین نسخه به‌روزرسانی کنید. ۲. سیستم‌عامل را به آخرین نسخه دارای اصلاحات امنیتی ارتقا دهید. ۳. در لینوکس، بسته ca-certificates را نیز به‌روز کنید. ۴. اگر از نرم‌افزارهای قدیمی یا تجهیزات شبکه استفاده می‌کنید، وضعیت گواهی‌های مورد اعتماد آن‌ها را بررسی کنید.
@Source_Code_Store

در PHP دوتا cve پیدا شده که جفتشون امتیاز 9.2 از 10 (از لحاظ اهمیت مسأله و عمق فاجعه) رو گرفته.
دوستان وردپرس کار سفت بچسپید به کار که بعد از پچ شدن و حل شدن مشکل وقت سر خاروندن ندارید.

امروز دسکتاپ پلاسما محصولی از KDE به مناسبت ۳۰ سالگی پروژه نسخه 6.8 رو ریلیز داد بیرون
میتونید آپدیت کنید و از بهترین و با سابقه ترین دسکتاپ نرم‌افزار آزاد لذت ببرید.
@Source_Code_Store

چند روزیه این پروژه رو شروع کردم.
این اثر کامل بشه احتمالا روی GitHub Pages هاست میشه شایدم یه جای دیگه
هدفم اینه که تمامی کتاب های اینجا رو ترجمه کنم و بذارم.
از اونجایی که من طراح سایت نیستم قالب سایت رو دادم کلاود طراحی کرد و خروجی طراحی کلاود رو به یکی از دوستان فرانت اند کارم دادم و ایشون هم یه سری تغییرات روش انجام داد و این شد قالب کلی سایت.

ترجمه ش رو هم دارم از دانش وب اسکرپینگم استفاده می‌کنم و صفحات اصلی رو به گوگل ترنسلیت میدم و خروجی میگیرم (خیلی کند هست ولی با یه برنامه کوچولو C اینو اتوماتیکش کردم و نیازی به حضور فعال من پشت کامپیوتر نداره) و جاهایی که خیلی بد ترجمه کرده رو به فارسی ای که بهتره به صورت دستی بازنویسی می‌کنم.

کل کتابهاش ۱۹۰۰ و خورده ای هست و من تا حالا تونستم ۱۶۰ صفحه رو به صورت نهایی در بیارم.

پ‌ن: اینجوری که تخمین زدم حجم سورس سایت پس از تکمیل نهایی به نزدیک ۲۵۰‌ مگابایت می‌رسه و از این نگرانم که این حجم رو اکانت رایگان گیت‌هاب اجازه بده توی ریپوزیتوری push کنم.
اگر هم نشد هاست های git زیادی هستن که محدودیت حجم ندارن سورس اصلی رو توی یکی از اونا میذارم.
@Source_Code_Store