1. موارد مهم:
    1-با مطالعه رمان های در حال تایپ و تشکر از پست های نویسندگان عزیز انگیزه خوبی به آنها خواهید داد.
    2-نویسندگان عزیز لطفا در نوشتن رمان مسایل اخلاقی را رعایت کرده که سایت دچار مشکل نشود(در صورت مشاهده بدون تذکر پاک خواهد شد).
    3- اگر رمان شما طبق عرف جامعه اسلامی باشد و مسایلی که در عرف کشور ممنوع است تایپ نکنید هیچ اتفاقی برای داستان و رمان شما رخ نمی دهد.
    4- نویسندگان عزیز شما برای نوشتن اثر ادبی و برای بالا بردن سطح فرهنگ جامعه رمان تایپ می کنید .پس از خلق صحنه هایی که باعث تحریک و یا ایجاد باورهای نادرست میشود پرهیز کنید.
    5- از ایجاد تاپیک های خلاف قوانین کشور خودداری کنید. این تاپیک ها حذف خواهد شد.
    6-اگر رمانی یا مطلبی را مشاهده کردید که خلاف قوانین سایت یا کشور است گزارش پست خلاف را بزنید.
    7-ماده ٢٣- هرکس تمام یا قسمتی از اثر دیگری را که مورد حمایت این قانون است به نام خود یا به نام پدید آورنده بدون اجازه او یا عامداً به شخص دیگری غیر از پدید آورنده نشر یا پخش یا عرضه کند به حبس تادیبی از شش ماه تا سه سال محکوم خواهد شد.
    8-قوانین مهم
    9-
    کانال نگاه دانلود درتلگرام
آنتی ویروس nod32

آسیبپذیری خطرناک در سرور مدیریتی گوگل و یاهو

شروع موضوع توسط ♥MASTANE♥ ‏7/7/15 در انجمن تازه های فن آوری اطلاعات

  1. ♥MASTANE♥

    ♥MASTANE♥ مدیر بازنشسته مدیر بازنشسته

    تاریخ عضویت:
    ‏1/1/70
    ارسال ها:
    4,303
    تشکر شده:
    3,743
    امتیاز:
    546
    جنسیت:
    زن
    شغل :
    دانش آموز
    محل سکونت:
    شیراز
    ایتنا- این آسیب پذیری امکان نفوذ به هویت کاربران گوگل و یاهو را افزایش میدهد.
    [​IMG]





    مرکز ماهر از آسیب پذیری خطرناک در سرور مدیریت محتوای کمپانیهایی چون گوگل، یاهو و مایکروسافت خبر داد که احتمال جعل هویت کاربران این کمپانی ها را به همراه خواهد داشت.


    به گزارش ایتنا از مرکز ماهر، مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه ای - ماهر- از بروز آسیب پذیری خطرناک در سیستم مدیریت محتوای «دروپال» خبر داده که مربوط به ماژول OpenID در هسته این سیستم مدیریت محتوا بوده و به شخص حمله کننده اجازه ورود به سیستم را با نام کاربری سایر کاربران، از جمله مدیر سایت می دهد.

    این آسیب پذیری در وهله اول کاربران سایت را تهدید می کند و به صورت مستقیم تهدیدی علیه سرور محسوب نمی شود.

    اطلاعات عمومی آسیب پذیری
    آسیب پذیری در ماژول OpenID در هسته سیستم مدیریت محتوای Drupal به شخص حمله کننده اجازه ورود به سیستم را با نام کاربری سایر کاربران، از جمله مدیر سایت می دهد.

    فردی که مورد نفوذ قرار می گیرد باید با استفاده از سیستم OpenID وارد سایت شده باشد. همین امر باعث می شود که با وجود خطرناک بودن این آسیب پذیری و طیف وسیعی از نسخه های آسیب پذیر، تعداد کمی از سایت های استفاده کننده از سیستم Drupal در خطر باشند. این آسیب پذیری دارای شناسه CVE-2015-3234 و شامل نسخه های ۶.X تا ۶.۳۵ و ۷.X تا ۷.۳۷ است.

    openID چیست ؟
    OpenID که به اختصار OID نیز نامیده می شود یک استاندارد باز و پروتکل غیر متمرکز از بنیاد غیر انتفاعی OpenID Foundation است که به کاربران امکان احراز هویت را با استفاده از سایت هایی که با این سیستم همکاری دارند می دهد.

    در این روش ارائه دهنده openID که به اختصار OP - OpenID Provider - نامیده می شود یک URL در اختیار کاربر قرار می دهد؛ با استفاده از تبادل URL بین کاربر نهایی و سایت پشتیبانی کننده RP یا Relying Party ،تصدیق هویت بین RP و OP انجام می پذیرد.

    به زبان ساده تر OpenID یک تکنولوژی است که به کاربران اجازه می دهد با یک بار ساخت اکانت در سایت های ارائه دهنده این سرویس، به تمامی سایت هایی که از این سیستم پشتیبانی می کنند وارد شود.

    در حال حاضر کمپانی های بسیاری از جمله گوگل، یاهو، مایکروسافت، AOL و Paypal به عنوان یک OpenID Provider سرویس OpenID را به کاربران ارائه می دهند.


    توضیحات فنی این آسیب پذیری

    در این آسیب پذیری شخص نفوذگر از یکی از کمپانی های ارائه دهنده این سرویس، امکان جعل هویت خواهد داشت. در واقع بعد از یک حمله موفق، نتیجه نهایی، شکلی همانند حملات هایجک - Session Hijacking - خواهد داشت.

    در صورت موفقیت این حمله، شخص نفوذگر در ابتدا با OpenID خود، معتبر شناخته می شود اما در هنگام بازگشت پاسخ به سمت سیستم Drupal ، با ایجاد تغییر در پاسخ، مقدار مربوط به OpenID هر کاربر دیگر سایت (از جمله مدیر سایت) را در پاسخ قرار می دهد؛ اما سیستم Drupal این تغییر را متوجه می شود و درصدد رفع این مغایرت برمی آید.

    ایراد اصلی کدنویسی در همین بخش سیستم است. سیستم فقط حالت خاصی را به منظور کشف تغییر بررسی می کند و با توجه به کامل نبودن این بررسی به اشتباه با یک درخواست از OP ، تمامی مشخصات مربوط به کاربری که مورد نفوذ قرار می گیرد را دریافت می کند و در اختیار شخص نفوذگر قرار می دهد؛ در واقع سرور محتوا به جای اینکه مشخصات مربوط به نفوذگر را دریافت کند، به اشتباه مشخصات شخصی را که مورد حمله قرار گرفته است دریافت می کند.

    این آسیب پذیری باعث می شود هویت شخص نفوذگر به هویت شخص هدف تغییر پیدا می کند.

    سرویس ها را آپدیت کنید

    بهترین روش برای رفع این آسیب پذیری، به روزرسانی - آپدیت - نسخه های آسیب پذیر به آخرین نسخه ( ۶.۳۶ یا ۷.۳۸ ) است؛ راه دیگر جایگزینی فایل های openid.module در پوشه /modules/openid/ و openid_test.module در پوشه /modules/openid/tests/ با فایل های موجود در نسخه ۷.۳۸ یا ۶.۳۶ است.

    هرچند فایل های تست در این آسیب پذیری نقش مستقیم نداشته و تغییر فایل openid.module در فولدر /modules/openid/ به تنهایی نیز برای رفع آسیب پذیری کفایت می کند.

    به گزارش مهر، هایجک نوعی از حملات ضد امنیتی در شبکه محسوب می شود به نحوی که در آن، حمله کننده ارتباط را در دست می گیرد؛ این به این معنی است که در حالی که قربانی، ارتباط خود را با جایی برقرار کرده و در حال انجام کار خود است حمله کننده کنترل این ارتباط را در دست می گیرد و مانع از رسیدن پیغام ها می شود و در عوض پیغام خود را برای طرفین می فرستد اما دو طرف گمان می کنند که مستقیما با هم در ارتباط هستند .
     
    saeid_shz, *SAmirA و Diba از این پست تشکر کرده اند.