💬 " به نظر من اولین و مهم‌ترین کاری که کسب‌وکارها بهتر است قبل از اقدام به تست نفوذ به فکرش باشند، این است که روند را با برنامه نویس ها و نیروی انسانی خود، طوری پیش ببرند که کدنویسی امن به‌عنوان یک اشانتیون نباشد! بلکه جزو مهارت‌های اصلی تیم برنامه نویسی و نیروی انسانی باشد. اگر در یک پروژه، برنامه نویس به طور امن کد بزند، 80% از راه امن‌سازی را رفته‌اند. 20% باقی راه را هم با تست نفوذ و باگ بانتی و غیره، حدودا می‌شود هندل کرد. "

👤 عرفان توکلی
متخصص تست نفوذ
در بلاگ پست جدید راورو، از تجربیات و دیدگاهش درخصوص تست نفوذ برایمان گفته است.

از مواردی نظیر:
تست نفوذ خوب و تست نفوذ بد
کدنویسی امن
دغدغه‌ی امنیت سایبری در کسب‌وکارهای ایرانی
کار تیمی
و ...


در #بلاگ راورو بخوانید:

🌐 تجربیات و نکات تست نفوذ؛ با عرفان توکلی


@Ravro_ir

🎙️ گپ‌وگفتی با یک شکارچی آسیب پذیری داشته‌ایم:

👤 هادی پات (@0xhadiworld)

رشته‌ی دانشگاهی‌اش ریاضی بوده و براساس علاقه‌اش به سمت دنیای امنیت سایبری آمده است.

در مسیر یادگیری‌اش، خواندن تجربیات دیگران را بسیار مفید و کارساز می‌داند.

با چند نفر دیگر یک تیم تشکیل داده‌اند و با به‌اشتراک‌گذاری دانش، برای رشد و ارتقای جمعی‌شان تلاش می‌کنند.

یک کلمه‌ی کلیدی در تعریف هک برایش وجود دارد و آن "خلاقیت" است.

معتقد است که هرکسی باید آگاهی‌رسانی درخصوص امنیت سایبری را از دوستان و اطرافیان خودش شروع کند.


در #بلاگ راورو بخوانید:

🌐 گپ‌وگفتی با شکارچی آسیب‌پذیری؛ هادی پات


@Ravro_ir

🎙️ گپ‌وگفتی با یک شکارچی آسیب پذیری داشته‌ایم:

👤 زهرا

حدود 4 سال است که در حوزه‌ی امنیت سایبری فعالیت می‌کند؛ در این مدت تجربه‌های مختلفی همچون تست نفوذ، کارهای پژوهشی، آماده‌سازی داکیومنت‌های امنیتی و بلوتیم را داشته است.

به‌عنوان یک زن در حوزه‌ی امنیت سایبری معتقد است که گاهی به زنان در فضای امنیت سایبری، سخت می‌گذرد.

نگاه جامعه به هکرها را منصفانه نمی‌داند و آرزو دارد که ذهنیت "هکر مساوی است با مجرم " در طول زمان تغییر کند.

نسبت به بی‌احتیاطی‌های کاربران عمومی در فضای اینترنت، حساس و دغدغه‌مند است. آگاهی‌رسانی و فرهنگ‌سازی در این خصوص را از خانواده، دوستان و دوروبری‌های خودش شروع کرد‌ه‌است.


در #بلاگ راورو بخوانید:

🌐 گپ‌وگفتی با شکارچی آسیب‌پذیری؛ زهرا


@Ravro_ir

📍📑 اطلاعیه:

در حال حاضر امکان دسترسی به وب سایت راورو مختل شده است.
همکاران ما در حال بررسی و رفع مشکل هستند.

به محض برطرف شدن مشکل از طریق همین کانال اطلاع رسانی انجام خواهد شد.

📌اطلاعیه


کاربران عزیز، به اطلاع شما می‌رسانیم که وب سایت راورو در حال حاضر در دسترس است.

اگر چنان‌چه برای انجام فرآیندهای خود در وب‌سایت به همراهی و پشتیبانی نیاز داشتید، می‌تونید باما در ارتباط باشید:

💬 @RavroSupport
📞 ۰۲۱-۹۱۰۳-۵۳۱۵
📧 [email protected]


@Ravro_ir

🎙️ گپ‌وگفتی با یک شکارچی آسیب پذیری داشته‌ایم:

👤 مهدی غلامی

به تازگی وارد دنیای امنیت سایبری شده و نزدیک به یک سال است که به شکار آسیب پذیری می‌پردازد.

دوستش، باعث آشنایی و ورود او به وادی امنیت سایبری شده است.

اولین آسیب پذیری ای که کشف کرده، آسیب پذیری RCE بوده.

آرزو دارد که از نظر سطح امنیت، آن‌قدر پیشرفت کنیم که در باگ بانتی و تست نفوذ، دیگر نیاز نباشد که بعضی تست‌های سطح پایین روی سامانه‌ها انجام شود.


در #بلاگ راورو بخوانید:

🌐 گپ‌وگفتی با شکارچی آسیب‌پذیری؛ مهدی غلامی


@Ravro_ir

💬 "اغلب سازمان‌ها نسبت به این‌که سورس کد و Credential یا اطلاعات دسترسی را در اختیار تیم تست نفوذ قرار دهند، مقاومت دارند. به دلیل این ترس و نگرش کسب‌وکارها، اکثر تست نفوذهایی که ما تابه‌حال انجام داده‌ایم به صورت Black Box و بدون در اختیار داشتن مواردی مانند سورس‌کد برای بررسی، بوده. در حالی‌که نیاز است اعتمادی دوطرفه بین کسب‌وکار و تیم تست نفوذ وجود داشته باشد. که البته با امضای قراردادها و NDAها فراهم می‌شود. درست است که در حالت Black Box هم آسیب پذیری هایی پیدا می‌شوند، ولی این نیاز همچنان وجود دارد که سازمان برای تست سورس کد و موارد دیگر، هم کارهایی بکند و از آن‌ها نگذرد. "

👤 زهرا
متخصص تست نفوذ،
در بلاگ پست جدید راورو، از تجربیات و دیدگاهش درخصوص تست نفوذ برایمان گفته است.

از مواردی نظیر:
تست نفوذ خوب و تست نفوذ بد
دیدگاه کسب‌وکارها نسبت به تست نفوذ
درس‌ها و نکاتی راجع به تست نفوذ تیمی
نقاط آسیب پذیر رایج در کسب و کارها
خطر استفاده از دیتای موجود از افراد در اینترنت در حملات
تفاوت‌های باگ بانتی و تست نفوذ
و ...


در #بلاگ راورو بخوانید:

🌐 تجربیات و نکات تست نفوذ؛ با زهرا


@Ravro_ir

در پی حمله تجاوزکارانه رژیم صهیونیستی به خاک ایران و هدف قرار دادن مناطقی از سرزمین عزیزمان، ضمن ابراز همدردی با خانواده‌ شهدا، با قلبی به درد آمده اما سری بلند، در کنار مردم شریف ایران می‌ایستیم و این اقدام جنایت‌کارانه و مغایر با اصول انسانی و حقوق بین‌الملل را به‌شدت محکوم می‌کنیم.

در این لحظات تلخ، یاد همه جان‌باختگان وطن را گرامی می‌داریم و بر حفظ آرامش و حرمت این سرزمین تاکید می‌کنیم.

ایران ما زنده است؛ از تبار درختی‌ است که با روزهای سخت آشناست اما با ریشه‌هایش زنده می‌ماند.

📍📑 اطلاعیه:

در حال حاضر امکان دسترسی به وب سایت راورو مختل شده است.
همکاران ما در حال بررسی و رفع مشکل هستند.

به محض برطرف شدن مشکل از طریق همین کانال اطلاع رسانی انجام خواهد شد.

📌اطلاعیه


کاربران عزیز، به اطلاع شما می‌رسانیم که وب سایت راورو در حال حاضر در دسترس است.

اگر چنان‌چه برای انجام فرآیندهای خود در وب‌سایت به همراهی و پشتیبانی نیاز داشتید، می‌تونید باما در ارتباط باشید:

💬 @RavroSupport
📞 ۰۲۱-۹۱۰۳-۵۳۱۵
📧 [email protected]


@Ravro_ir

📍📑 اطلاعیه:

به دلیل اختلال‌های بوجود امده در اینترنت کشور در ۱۰ روز گذشته ویژگی‌های پلتفرم که نیاز به ارسال ایمیل داشتند به درستی عمل نمی‌کردند. در حال حاضر مشکل ارسال ایمیل برطرف شده است.

اگر چنان‌چه برای انجام فرآیندهای خود در وب‌سایت به همراهی و پشتیبانی نیاز داشتید، می‌تونید باما در ارتباط باشید:

💬 @RavroSupport
📞 ۰۲۱-۹۱۰۳-۵۳۱۵
📧 [email protected]

❓آیا تمام گزارش‌های آسیب پذیری ثبت‌شده، در دسترس میدان قرار می‌گیرند؟

❓آیا میدان، بلافاصله پس از ثبت هر گزارش آسیب پذیری به آن دسترسی می‌یابد؟

❓آیا هر گزارش، پس از مرحله بررسی تیم داوری، برای میدان ارسال می‌شود؟

❓راورو به‌عنوان یک پلتفرم باگ بانتی، چه روندی را برای بهینه‌سازی روال دریافت و تعیین تکلیف گزارش‌های آسیب پذیری ترتیب داده است؟


در #بلاگ راورو بخوانید:

‌🌐 میدان چه زمانی به گزارش آسیب پذیری ثبت‌شده‌ دسترسی می‌یابد؟


@Ravro_ir

🎙️ گپ‌وگفتی با یک شکارچی آسیب پذیری داشته‌ایم:

👤 پیمان زینتی (@Scar3cr0vv)

۲۲ سال دارد.
از از ۱۵-۱۶ سالگی وارد دنیای هک و امنیت شده است.

بیشتر در حوزه‌ی امنیت وب‌اپلیکیشن‌ها فعالیت می‌کند.

هم به باگ بانتی می‌پردازد، هم به تست نفوذ. سعی می‌کند با حفظ تنوعی از هردو، اصطلاحا از هیچ کدام "زده" نشود.

فکر می‌کند رقابتی که در باگ بانتی همواره در جریان است، ممکن است شکارچی آسیب پذیری را خسته کند.

آرزو دارد که وضعیت امنیت سایبری ایران از حالت اوپن سورسی که هست، یک‌مقدار کلوز سورس‌تر شود.


در #بلاگ راورو بخوانید:

🌐 گپ‌وگفتی با شکارچی آسیب‌پذیری؛ پیمان زینتی


@Ravro_ir

🎙️ این بار، گپ‌وگفتی با دو شکارچی آسیب پذیری داشته‌ایم:

👥 ایلیا کشتکار و مهدی حسینی

دوستی مهدی و ایلیا از زمان دانشگاه شکل گرفته است.

تقریبا دو سالی است که باهم در حوزه‌ی امنیت سایبری کار می‌کنند.

تجربه‌ی کار مشترک در پروژه‌های تست نفوذ، CTF، باگ بانتی، باگ پارتی و ... را باهم دارند.

ایلیا یک ویژگی کمک‌کننده برای شکارچی آسیب پذیری را، "سمج‌بودن" می‌داند؛ این‌که با خودت بگویی:" من باید این آسیب پذیری را پیدا کنم." خیلی مهم است که ناامید نشوی.

مهدی یک چالش باگ بانتی را " احتمال تکراری محسوب شدن گزارش" و رقابتی که به خاطرش شکل می‌گیرد، می‌داند. معتقد است چون ممکن است آسیب پذیری‌ های قبلی ثبت ‌شوند، باید عجله کنیم که زودتر آسیب پذیری ها را کشف و گزارش کنیم، تا نفر اول باشیم و گزارش‌هایمان تکراری محسوب نشود.


در #بلاگ راورو بخوانید:

🌐 گپ‌وگفتی دو شکارچی آسیب‌پذیری؛ ایلیا کشتکار و مهدی حسینی


@Ravro_ir

🎙️ گپ‌وگفتی با یک شکارچی آسیب پذیری داشته‌ایم:

👤 حسین محمدیان

۲۲ سال دارد و حدود ۲ سال است که وارد حوزه‌ی امنیت سایبری شده است.

هیجان و کنجکاوی‌ای که در شکار آسیب پذیری وجود دارد، آن را برایش جذاب می‌کند.

آسیب پذیری موردعلاقه‌اش، آسیب پذیری XSS است.

داشتن انگیزه و حفظ و مراقبت از آن را، مهم‌ترین ویژگی‌های لازم برای یک شکارچی آسیب پذیری می‌داند.


در #بلاگ راورو بخوانید:

🌐 گپ‌وگفتی با شکارچی آسیب‌پذیری؛ حسین محمدیان


@Ravro_ir

💬 " لازم است کسب‌وکارها به این نکته توجه کنند که هر کدام از راهکارهای امنیتی به یک شکل خاص و ابعاد خاصی را پوشش می‌دهند. تست نفوذ نیاز است، باگ بانتی هم نیاز است. آن بغل Red Team هم نیاز است که باشد. هر کدام از این‌ها، اصطلاحا " یک جای کار را می‌گیرند". همه‌شان درکنارهم، لازم و معنادار هستند. مثلا در Red Team بعد انسانی هم چک می‌شود، به مهندسی اجتماعی هم پرداخته می‌شود. همیشه که فقط موارد فنی مهم نیستند، ابعاد انسانی هم مهم هستند. در تست نفوذ و باگ بانتی این موارد پوشش داده نمی‌شوند و بیشتر به موارد فنی پرداخته می‌شود که آن‌ها هم مهم هستند. تست نفوذ و باگ بانتی هم باهم تفاوت‌هایی دارند. "

👤 پیمان زینتی
متخصص تست نفوذ،
در بلاگ پست جدید راورو، از تجربیات و دیدگاهش درخصوص تست نفوذ و امنیت سایبری برایمان گفته است.

از مواردی نظیر:
تست نفوذ خوب و تست نفوذ بد
موارد قابل‌توجه قبل از تست نفوذ
امنیت سایبری
کشف آسیب پذیری
و ...


در #بلاگ راورو بخوانید:

🌐 تجربیات و نکات تست نفوذ و امنیت سایبری؛ با پیمان زینتی


@Ravro_ir

💬 "یک چالش رایج و مکالمه‌ی تکرارشونده‌ که پس از ارسال گزارش آسیب پذیری پیش می‌آید، این است که دولوپر در پاسخ می‌گوید:" نه، این آسیب پذیری نیست. فیچر است. " در چنین شرایطی ما باید اثبات کنیم که این آسیب پذیری است. معمولا برای اثباتش یک جلسه PoC ترتیب می‌دهیم و سعی می‌کنیم برایشان مواردی را از سمت خودمان توضیح دهیم؛ از گزارش و روش کشف آسیب پذیری برایشان بگوییم، برایشان توضیح دهیم که از دید یک مهاجم چه استفاده‌ای ممکن است از آن شود و چه خطری سامانه را تهدید می‌کند. معمولا هم جلسه‌ی PoC جواب می‌دهد. در مواقعی هم که کسب‌وکار نمی‌پذیرد، سامانه‌اش را به خدا می‌سپاریم و امیدواریم که کسی آن آسیب پذیری را پیدا نکند. "

👥 ایلیا کشتکار و مهدی حسینی
متخصصین تست نفوذی که تجربه‌ی تست نفوذ تیمی را باهم داشته‌اند، در بلاگ پست جدید راورو، از تجربیات و دیدگاهشان درخصوص تست نفوذ برایمان گفته‌اند.

از مواردی نظیر:
تست نفوذ تیمی
تست نفوذ خوب و تست نفوذ بد
چالش‌های کاری با کسب‌وکارها
نقاط آسیب پذیر رایج در کسب‌وکارها
و ...


در #بلاگ راورو بخوانید:

🌐 تجربیات و نکات تست نفوذ؛ با ایلیا کشتکار و مهدی حسینی


@Ravro_ir

❓به نظر شما چه مواردی تفاوت یک تست نفوذ خوب و یک تست نفوذ بد را تعیین می‌کنند؟

یک تست نفوذ خوب، چه ویژگی‌هایی دارد؟
یک تست نفوذ بد، چه ویژگی‌هایی دارد؟

👥 ۱۳ متخصص تست نفوذ بر اساس تجربیات و دیدگاه خود، پاسخ‌هایی منحصربه‌فرد و متفاوت به این سوال‌ها داده‌اند.

پاسخ‌هایی که در آن‌ها، نکات ارزشمند و قابل‌توجهی نهفته است
و شامل نکاتی‌اند که هم به کار کسب‌وکارها می‌آیند و هم به کار متخصصین تست نفوذ.


در #بلاگ راورو بخوانید:

🌐 تست نفوذ خوب و تست نفوذ بد


@Ravro_ir

❓شما تست نفوذ تیمی را ترجیح می‌دهید یا فردی؟ چرا؟

مزیت‌های تست نفوذ تیمی را در چه می‌بینید؟
در تست نفوذ تیمی چه روالی را تجربه کرده‌اید؟
توجه به چه نکاتی را در تست نفوذ تیمی، کمک‌کننده می‌بینید؟

👥 ۶ متخصص تست نفوذ بر اساس تجربیات و دیدگاه خود، پاسخ‌هایی منحصربه‌فرد و متفاوت به این سوال‌ها داده‌اند.

پاسخ‌هایی که در آن‌ها، نکات ارزشمند و قابل‌توجهی نهفته است
و شامل نکاتی‌اند که هم به کار کسب‌وکارها می‌آیند و هم به کار متخصصین تست نفوذ.


در #بلاگ راورو بخوانید:

🌐 چرا تست نفوذ تیمی؟


@Ravro_ir

❓ آیا در پروژه‌های تست نفوذ، شاهد این بوده‌اید که کسب‌وکارها به برخی نکات توجه لازم و کافی را نمی‌کنند؟

چه نکاتی در خصوص تست نفوذ وجود دارند، که کسب‌‌وکارها کمتر به آن‌ها توجه می‌کنند؟

👥 ۶ متخصص تست نفوذ بر اساس تجربیات و دیدگاه خود، پاسخ‌هایی منحصربه‌فرد و متفاوت به این سوال داده‌اند.

پاسخ‌هایی که در آن‌ها، نکات ارزشمند و قابل‌توجهی نهفته است

و شامل نکاتی‌اند که هم به کار کسب‌وکارها می‌آیند و هم به کار متخصصین تست نفوذ.


در #بلاگ راورو بخوانید:

🌐 نکاتی درباره‌ی تست نفوذ که کسب‌وکارها معمولا به آن‌ها توجه نمی‌کنند


@Ravro_ir