کیر تو کارمندی، باگ بزنید

MOOD

من نزدیک ۱۰۹ ساعت تایم به هانت اجنتیک با مدلای ارزون و کوچیک‌تر اختصاص دادم (دیپ‌سیک فلش ۴ و میمو ۲.۵ پرو) و در رابطه با تجربم یه بلاگ پست نوشتم. امیدوارم به درد بخوره https://blog.remmy9.xyz/blog/100-plus-hours-agentic-hunt/ https://x.com/NineRemmy/status/2084953861601591737

یچی جدید یاد گرفتم بعضی وقتا وقتی دنبال origin ip میگردید صرفا با curl https://origin-ip -H "Host: domain.com" -k سایت باز نمیشه و ممکنه میس بدید. بعضی وقتا SNIای که ارسال میشه سمت وبسرور چک میشه و اگه درست نباشه 404 میده. یه کامند curl داره که حوصلم نشد پیداش کنم و تو کیس من که تقریبا مطمعن بودم origin ip رو پیدا کردم، صرفا رفتم تو فایل host ادرس دامین + ایپی رو ست کردم و توی مرورگر بازش کردم. * توی خود برپ بخش dns هم همینکارو میشه انجام داد که کثیف کاری نشه

برادری که باز ری اکشن خنده میری یه مشکلی در کودکیت داری که فیلمش تو کتگوری پدو.فیل قرار داره. پیشنهاد میکنم یه تراپی بری.

نسبت ری اکشن آدمهای با شرف به افراد بیشرف 90 به 10 هست. هر کدوم ازین اسم ها رفیق و خانواده یه سری آدمهای دیگه هستن، مادری دارن که چشم به راهشون هست. هرکدوم اشون حق زندگی کردن دارن. چجوریه که از اعدام و مرگ هموطن خودت حس رضایت داری و خوشحال میشی، درک نمیکنم اصلا چرا باید ایموجی خنده بزاری.

یکی از بچه هایی که میخوان اعدام کنن معلولیت داره... #امیرحسین_صفری #علیرضا_سپاهی #ابوالفضل_سپاهی

https://www.yeswehack.com/community/llms-bug-bounty-interview-icare تایتل یکم زرد محتوا جالب

بذارید یه توضیح بدم درباره این هوش مصنوعی مثل Claude Code و این ابزارهای مشابهش، چون این مدت یه سری پیام اومده که «داداش بالاخره تکلیف ما چیه؟ بریم درس بخونیم یا کلاً بشینیم کون‌مونو بذاریم زمین و ول کنیم بریم؟» اول از همه: هوش مصنوعی داره همه‌جا رو می‌گیره. تو هیچ حیطه‌ای پیدا نمی‌کنی که نتونه توش دخالت کنه. حتی اگه بری گاو و گوسفند بچرونی تو کوه، یه روزی همون کلاد (که احتمالاً اون موقع شده کلاد چوپان) می‌رسه سراغت و بهت می‌گه «این گوسفند رو اینجوری بکنی بازدهیت بیشتره، کیرخر به پیشونیت سنجاق کن». یعنی بحث «آیا AI منو تحت تاثیر قرار می‌ده؟» کلاً تموم شده. حالا فقط بحث اینه که چقدر قرار می‌ده و تو چطور قراره خودتو نجات بدی که کاملاً جایگزین نشی. پس این چرندیات «می‌رم حیطه عوض کنم» رو بذار کنار. AI مثل مرگ (دور از جون جمع) می‌مونه، یقه همه رو می‌گیره، فقط زمانش فرق داره. دوم: با اینکه مدل‌هایی مثل Opus و Fable و اینا خیلی قویه، هنوز سه تا ضعف گنده دارن که نمی‌تونن پنهونش کنن: محدودیت کانتکست (توکن ورودی محدودِ، حافظه‌شون مثل ماهی کوتاهه). اول: تو فهمیدن دنیای واقعی پنتست و باگ بانتی هنوز خیلی لنگ می‌زنه. وقتی مسئله پیچیده می‌شه، چندلایه می‌شه، و نیاز به اتصال اطلاعات پراکنده داره، AI گیج می‌شه. دوم: قابل اتکا کامل نیستن. هنوز مثل یه ابزار احمقن که حتماً باید یه اپراتور انسانی بالای سرش باشه. یکی که نتایجش رو چک کنه، بفهمه کجا داره چرند می‌گه، با Skills و RAG خودش درستش کنه، و در نهایت یه خروجی قابل استفاده تحویل بده. بدون انسان، هنوز زیادی احمقانه اشتباه می‌کنن. سوم: حقیقتش رو بخواید، برای خیلی از شما AI شده یه بهانهٔ عالی برای کون‌گشادی و تنبلی و کون کار گذاشتن. قبلاً می‌گفتید «رقابت زیاده، بقیه بهترن، فایده نداره درس بخونم». حالا هم با اومدن AI بهونه‌تون حسابی آب رفته و شده «AI که همه کارو می‌کنه، من دیگه چیکار کنم؟». ولی چه بخوای چه نخوای، AI اینجاست و داره می‌مونه. یا می‌تونی بشینی گریه کنی و الکی الکی فحش بدی، یا بلند شی یه چیزی یاد بگیری و یاد بگیری چطور با این لعنتی کار کنی. راه سومی وجود نداره، جدی می‌گم. کسایی که دارن یاد می‌گیرن، دارن فاصله‌شونو با بقیه بیشتر می‌کنن. حالا بریم سراغ محدودیت کانتکست (مهم‌ترین درد ما تو امنیت): تو هانتینگ و پنتست واقعی، تو با یه مشت اطلاعات پراکنده و گنده طرف نیستی، با یه کوه اطلاعات طرف هستی. ده‌ها ساب‌دومین، صدتا اندپوینت، هزارتا کیرخر، رفتارهای تکراری وب‌اپلیکیشن‌ها، لیک‌های کوچیک و بی‌ارزش به ظاهر، پترن‌هایی که از یه جا به جای دیگه کشیده می‌شن. یه باگ کوچیک تو ساب‌دومین X ممکنه کلید باز کردن در ساب‌دومین Y باشه. یه رفتار احمقانه تو یه بخش از اپلیکیشن بهت شهود می‌ده که تو بخش دیگه چطور حمله کنی. اینجاها آدم به حافظه، انتزاع و ارتباط دادن اطلاعات نیاز داره. این AI هنوز این کارو بلد نیست. حافظهٔ واقعی نداره، مفهوم انتزاع رو به عمق درک نمی‌کنه، و نمی‌تونه بین این همه چیز پراکنده ارتباط درست برقرار کنه چون کانتکستش خیلی زود پر می‌شه و فراموش می‌کنه. ولی کجا AI خوبه؟ دقیقاً همون جاهایی که کانتکست کوچیکه: یه اندپوینت تکی، یه فایل JS محدود، یه API endpoint مشخص، یه کد کوتاه. اونجا AI می‌تونه حسابی بترکونه و باگ بزنه همون‌طور که یه هانتر خوب دیگه هم ممکنه بزنه. در اصل اتفاقی که افتاده اینه: تعداد هانترهای خوب و متوسط یهو رفته بالا. قبلاً با چند تا آدم با استعداد و سخت‌کوش رقابت می‌کردی، حالا با کلی آدم معمولی + AI هم رقابت داری. پس رقابت سخت‌تر شده، ولی هنوز تموم نشده. هنوز جا برای کسایی که واقعاً بلدن و AI رو فقط به عنوان ابزار استفاده می‌کنن، نه تکیه‌گاه تنبلی، وجود داره. @KirTooKarmandi edit by charlie: اینم متن motivation شما. میخوای به pdf تبدیلش کنم؟

دارم روی یه مجموعه مقاله به اسم «JavaScript Dissect» کار می‌کنم. هدفش اینه که جاوااسکریپت، موتورهای مرورگر و موضوعات مرتبط رو عمیق‌تر بررسی کنیم. همه محتوا هم نتیجه مطالعه منابع مختلف و تحقیقات خودمه. قسمت اولش همین الان منتشر شده 👇 لینک به بلاگ پست لینک به…

https://javidnamaan.com/

چرا MCP - Tools و how it works افتادن تو یه خط🥸 - بیسیک های AI - چند نکته برای AI توی امنیت - 3 نکته برای کاهش مصرف token & context و در نهایت یه مورد مهم که باعث شد به دوتا ایده برسم که بعد از انجام تستاش پروژشو پابلیک میکنم.

https://youtu.be/-Rt_Z0allhM اینو ببینید تا چندتا پست بدرد نخور بنویسم

https://youtu.be/-Rt_Z0allhM اینو ببینید تا چندتا پست بدرد نخور بنویسم

یه وبسایت زدم برای خلاصه پادکست‌های Critical Thinking Podcast که باا AI خلاصه‌اش تهیه شده. (سختمه پادکست گوش بدم). اگر تمایل داشتید: https://ctpod.remmy9.xyz/ توییتش رو هم اگر خواستید: https://x.com/NineRemmy/status/2069904055598481621

دارم روی یه مجموعه مقاله به اسم «JavaScript Dissect» کار می‌کنم. هدفش اینه که جاوااسکریپت، موتورهای مرورگر و موضوعات مرتبط رو عمیق‌تر بررسی کنیم. همه محتوا هم نتیجه مطالعه منابع مختلف و تحقیقات خودمه. قسمت اولش همین الان منتشر شده 👇 لینک به بلاگ پست لینک به توییت

اعصاب و حوصلتون کشید این پادکست‌ها رو گوش بدید. مصاحبه با Brutecat هست که توی ۳ ماه نزدیک ۶۰۰ هزارتا بانتی زده: https://www.criticalthinkingpodcast.io/2x-google-rce-with-vrp-legend-brutecat/ https://www.criticalthinkingpodcast.io/600k-in-3-months-brutecat-pt-2/

اگه توی workflowتون از OpenRouter برای AI استفاده میکنید حواستون باشه درخواستتون به پروایدرهایی که quantization زیر 8 بیت ارائه میدن ارسال نشه (مدل کاملا گاو میشه)

جالب بود🥸

• https://www.youtube.com/watch?v=xZe7bBC17TM • https://brutecat.com/articles/hacking-google-with-ai/

https://arcanum-sec.github.io/ai-sec-resources/