DevOps Expert General Group

برادر تک یونیت بخوای بگیری باید ۷ ۸ تومن بدی دیگه از این کمتر نیست

کجا؟

اجازه بدید بپرسم من از یکی از دوستانم حتما اطلاع میدم رنج قیمتی رو

سر یکی از پروژه‌های پنتست متوجه شدم که روی تارگت، متد TRACE فعال بود. گفتم بد نیست کمی در موردش صحبت کنیم. متد TRACE چیه؟ یکی از متدهای HTTP (مثل GET، POST و ...) هست که برای Diagnostic و Debugging طراحی شده. وقتی یک درخواست TRACE به سمت سرور ارسال می‌کنیم، سرور (در صورت فعال بودن این متد) معمولاً همون درخواست دریافتی رو به‌همراه Headerهایی که در مسیر بهش اضافه شدن، در پاسخ برمیگردونه. مثال: TRACE / HTTP/1.1 Host: target.ir X-Test: VulnerabilityCheck نمونه پاسخ: HTTP/1.1 200 OK Content-Type: message/http TRACE / HTTP/1.1 Host: target.ir X-Test: VulnerabilityCheck Via: proxy.example.com X-Forwarded-For: 192.168.1.1 این رفتار میتونه اطلاعاتی درباره زیرساخت، Proxyها، Reverse Proxyها و برخی Headerهای اضافه‌شده در مسیر درخواست در اختیار ما قرار بده. آیا فعال بودن TRACE یک آسیب‌پذیریه ؟ نه، فعال بودن TRACE به تنهایی یک آسیب‌پذیری محسوب نمیشه؛ اما در اغلب سرویس های امروزی کاربرد عملی خاصی نداره و معمولاً توصیه میشه در محیط Production غیرفعال باشه تا سطح حمله (Attack Surface) کاهش پیدا کنه. تکنیک XST یا Cross-Site Tracing چیه؟ یک تکنیک قدیمی بود که از ترکیب TRACE و XSS استفاده میکرد. در برخی مرورگرهای قدیمی، این حمله می‌تونست باعث افشای اطلاعات حساسی مثل Cookieهای دارای فلگ HttpOnly بشه. الان مرورگرها ارسال درخواست TRACE از طریق JavaScript رو مسدود کردن؛ بنابراین سناریوی کلاسیک XST عملاً دیگه قابل بهره‌برداری نیست. با این حال، غیرفعال کردن TRACE همچنان یکی از توصیه‌های رایج Hardening محسوب میشه. بررسی فعال بودن TRACE با پایتون : import requests url = "https://target.ir/" headers = {"X-Test": "TRACE-CHECK"} response = requests.request("TRACE", url, headers=headers) if response.status_code == 200 and "X-Test" in response.text: print("TRACE method appears to be enabled.") else: print("TRACE method is disabled or not echoed.") این اسکریپت صرفاً بررسی میکنه که آیا سرور درخواست TRACE رو Echo میکنه یا نه و به تنهایی نشون دهنده وجود یک آسیب‌پذیری قابل بهره‌برداری نیست. @Ahura_Rahmani | #Ahur4 #HTTP #TRACE #XST #WebSecurity #PenetrationTesting

🚨 ۵ اشتباه پنهان که مانیتورینگ شما را بی‌اثر می‌کنند تصور کنید همه نمودارها سبز هستند و هیچ هشدار مهمی هم دریافت نکرده‌اید؛ اما کاربران همچنان با کندی و خطا روبه‌رو هستند. این اتفاق معمولاً یعنی داده دارید، اما مانیتورینگ شما تصویر کاملی از وضعیت واقعی سرویس ارائه نمی‌دهد. پنج اشتباه رایج می‌توانند مشکلات مهم را از دید شما پنهان کنند: ۱. اعتماد به میانگین‌ها و نادیده‌گرفتن p95 و p99 ۲. ساخت هشدار برای هر نوسان و ایجاد خستگی هشدار ۳. بررسی زیرساخت بدون توجه به تجربه واقعی کاربران ۴. جمع‌آوری متریک، لاگ و تریس بدون ارتباط میان آن‌ها ۵. نداشتن مسئول مشخص و فرایند واکنش پس از هشدار در مقاله جدید Watchlog، هرکدام از این اشتباهات را با مثال‌های واقعی بررسی کرده‌ایم و برای اصلاح آن‌ها راهکارهای عملی ارائه داده‌ایم. 👇 مطالعه مقاله https://watchlog.ir/blogs/common-monitoring-mistakes به نظر شما رایج‌ترین اشتباه در مانیتورینگ چیست؟ اگر تجربه‌ای داشته‌اید که با وجود سبزبودن داشبوردها، کاربران با مشکل مواجه بوده‌اند، در کامنت‌ها بنویسید تا دیگران هم از تجربه شما استفاده کنند. #مانیتورینگ #Observability #DevOps #SRE #برنامه_نویسی #Watchlog

دوستان نتورک پلاس خوب کسی که عمیق توضیح بده کی رو معرفی میکنید بببنم دورش رو

اگه لینوکس کارید... linux networking آنیسا خوبه اگه نیستید همون دوره نتورک پلاس keith barker یا داخلیزه شده‌اش محمدنصیری اگر هم منظورتون از عمیق اینه که تحلیل ترافیک بتونید انجام بدین sans 503 و sans 572

برای استخدام دواپس میخوام محمد نصیری کامل توضیح میده و عمیق؟

https://anisa.co.ir/courses/linux/networking-with-linux.html اینو میگید؟

منظورتون دوره نتورک پلاس انیسا هستش؟

نتورک پلاس بما هو نتورک پلاس عرض کردم keith barker یا محمد نصیری گفتید برای دواپس، پیشنهاد اون دوره آنیسا رو دادم دیگه خب... زیادی رو عمیق بودن تاکید دارید pdf های bootlin هم هست با c پکت میسازید تو سطح درایور 😅 والا

سلام دوستان، کسی توی حوزه devsecops اینجا کار میکنه؟ کتابی درمورد این زمینه و بیشتر توی امنیت داکر میخواستم بهم پیشنهاد بکنین.