کتابخانه‌ی مقالات
مقالات تازه در حوزه‌ی تست نفوذ وب‌اپلیکیشن، OWASP Top 10 و روش‌شناسی هک قانونی — رایگان برای همه.
A10:2025 — Mishandling of Exceptional Conditions؛ باگ‌هایی که فقط در حالت خطا ظاهر می‌شوند
آخرین رتبه‌ی OWASP Top 10:2025 به مسیرهای کمتردیده‌شده‌ی کد — یعنی مدیریت خطا و شرایط استثنایی — می‌پردازد.
متدولوژی و ذهنیت تست نفوذاز آزمایشگاه تا دنیای واقعی: چطور دانش آزمایشگاهی را به مسیر شغلی تبدیل کنیم
آزمایشگاه‌های آموزشی نقطه‌ی شروع عالی هستند، اما مسیر رسیدن به یک شغل واقعی امنیت، چند قدم بیشتر نیاز دارد.
متدولوژی و ذهنیت تست نفوذمرزهای اخلاقی و قانونی تست نفوذ: چرا «فقط برای یادگیری» کافی نیست
تفاوت حیاتی بین تست روی یک محیط آزمایشی مجاز و تست روی یک وب‌سایت واقعی بدون اجازه.
متدولوژی و ذهنیت تست نفوذنوتبرداری و گزارش‌نویسی حرفه‌ای در حین تست نفوذ
یک یافته‌ی فنی بدون گزارش قابل‌فهم، عملاً برای تیم مشتری بی‌ارزش است — مهارت گزارش‌نویسی به‌اندازه‌ی مهارت فنی...
متدولوژی و ذهنیت تست نفوذچرا باید همیشه بین دو حساب کاربری متفاوت تست کنید
یک عادت ساده که به‌تنهایی بزرگ‌ترین دسته از آسیب‌پذیری‌های کنترل دسترسی (IDOR، Mass Assignment، BOLA) را کشف م...
متدولوژی و ذهنیت تست نفوذنقشهبرداری سطح حمله (Attack Surface Mapping) قبل از هر تست عملی
اولین قدم هر تست نفوذ حرفه‌ای، نه اجرای ابزار، بلکه فهم کامل نقشه‌ی سطح حمله است.
متدولوژی و ذهنیت تست نفوذچرا باید همیشه از نسخه‌ی Repeater بدون Auto-Update Content-Length استفاده کنید
یک نکته‌ی ابزاری کوچک اما حیاتی که در تست کلاس‌هایی مثل Request Smuggling، نادیده‌گرفتنش کل نتیجه را خراب می‌ک...
متدولوژی و ذهنیت تست نفوذمهندسی ذهنیت مهاجم (Attacker Mindset Engineering) چیست؟
تفاوت بین «دانستن یک لیست آسیب‌پذیری» و «فکر کردن مثل یک مهاجم واقعی» — و چرا دومی خیلی سخت‌تر و ارزشمندتر است...
متدولوژی و ذهنیت تست نفوذروششناسی یادگیری پیشرفته و خودآموز برای هکرهای برتر (Elite Hackers)
چرا بهترین تست‌کننده‌های نفوذ، عمده‌ی دانش خود را از یادگیری خودجوش و نظام‌مند به‌دست آورده‌اند، نه فقط دوره‌ه...
متدولوژی و ذهنیت تست نفوذده تکنیک برتر هک وب در سال ۲۰۲۵ از نگاه PortSwigger — خلاصه و تحلیل
هر سال PortSwigger با نظرسنجی از جامعه‌ی امنیت، برترین تکنیک‌های کشف‌شده‌ی آن سال را رتبه‌بندی می‌کند؛ نگاهی ب...
OWASP Top 10:2025A01:2025 — Broken Access Control به زبان ساده
بررسی رتبه‌ی اول OWASP Top 10:2025؛ چرا کنترل دسترسی شکسته همچنان رایج‌ترین و خطرناک‌ترین دسته‌ی آسیب‌پذیری وب...
OWASP Top 10:2025A09:2025 — Security Logging and Alerting Failures؛ وقتی حمله اتفاق می‌افتد و کسی متوجه نمی‌شود
چرا نبود لاگ و هشدار کافی، میانگین زمان کشف یک نفوذ را از چند ساعت به چند ماه می‌رساند.
OWASP Top 10:2025A08:2025 — Software or Data Integrity Failures؛ وقتی «به داده اعتماد کردید» اشتباه بزرگ است
از Insecure Deserialization تا آپدیت‌های نرم‌افزاری بدون بررسی یکپارچگی — این دسته درباره‌ی اعتماد نابجا به دا...
OWASP Top 10:2025A07:2025 — Authentication Failures؛ از رمز ضعیف تا JWT بی‌امضا
نگاهی جامع به تمام نقاطی که سیستم احراز هویت می‌تواند شکست بخورد — از brute force تا مدیریت ضعیف نشست.
OWASP Top 10:2025A06:2025 — Insecure Design؛ وقتی باگ در «فکر کردن»، نه در کدنویسی است
چرا بعضی آسیب‌پذیری‌ها را هیچ بررسی کد یا اسکنر خودکاری پیدا نمی‌کند، چون ریشه در تصمیم طراحی دارد، نه در یک خ...
OWASP Top 10:2025A05:2025 — Injection؛ همچنان ریشه‌ای‌ترین کلاس آسیب‌پذیری وب
SQL Injection، Command Injection، XXE و SSTI — همه یک داستان مشترک دارند: اعتماد بیش از حد به ورودی کاربر.
OWASP Top 10:2025A04:2025 — Cryptographic Failures؛ وقتی رمزنگاری غلط از نبود رمزنگاری بدتر است
از الگوریتم‌های هش ضعیف تا کلیدهای رمزنگاری هاردکد‌شده در کد — تحلیل رایج‌ترین اشتباهات رمزنگاری.
OWASP Top 10:2025A03:2025 — Software Supply Chain Failures و خطر وابستگی‌های نامطمئن
چرا امنیت کد شما دیگر فقط به کد خودتان بستگی ندارد، بلکه به صدها پکیج شخص‌ثالثی که import می‌کنید هم وابسته اس...
OWASP Top 10:2025A02:2025 — Security Misconfiguration؛ وقتی تنظیمات پیش‌فرض دشمن شما می‌شوند
از حالت debug فعال در Production تا هدرهای امنیتی فراموش‌شده — نگاهی به رایج‌ترین اشتباهات پیکربندی.