https://virgool.ir/feed/@dr.mohsen.1212Mohse Jahan, Full-Stack Developerfa2026-11-11 00:58:42https://files.virgool.ir/upload/users/3366839/avatar/avatar.pnghttps://virgool.ir/@dr.mohsen.1212https://virgool.ir/@dr.mohsen.1212/سرقت-سشن-تاریکی-مطلق-hnmzkasomgndمدتی پیش اتفاقی وحشتناک برام افتاد، که دوست داشتم این قضیه رو منتشر کنم جایی که بقیه هم بتونن از این تجربه درسی بگیرن و بیشتر حواسشون رو‌ جمع کنن....به شکل خیلی بدی هک شدم...!من یه برنامه نویسم؛ از این جهت معمولا همیشه حواسم به همه حساب های کاربریم هست. توی همه سایت های مهم به شکل دوره ای رمزم رو تغییر میدم.تلگرامم تایید دو مرحله ای دارهقسمت های مختلف گوشیم رمزِ جدا داره برای خودش.چیز های مهمم رو توی تلگرام ذخیره میکنم چون اونجا حداکثر امنیت رو داره.اما چی شد که اینطوری شد؟مدتی پیش برای ریکاوری یسری موارد پاک شده روی گوشیم توی سایت های مختلف میگشتم که یه برنامه پیدا کنم برای ریکاوری این موارد؛ که روی لپ تاپم نصب کنم و با وصل کردن گوشیم بهش ریکاوری رو انجام بدم.توی سایت های مختلف میگشتم که به یه برنامه رسیدم که ظاهرا خوب کار میکرد... اما، برنامه نسخه رایگانش محدود بود و طبق معمول ما ایرانی ها اولین کاری که به ذهنمون میرسه بعد مواجه شدن با این مشکل کرک هست...اینبار افتادم دنبال پیدا کردن کرک اون برنامه؛ با گشتن زیاد چیز خوبی دستگیرم نشد، و مجبور شدم برم حتی توی صفحه های دوم و سوم گوگل...تا رسیدم به یه سایت متفرقه و یک فایلو دانلود کردم. اولین چیزی که ازم خواست غیرفعال کردن آنتی ویروس ویندوز بود. و خب طبیعی هم بود به نظرم، اینکارو کردم نصب شد کرک رو انجام دادم هرچند برنامهه هم کار نکرد درست یا شایدم اصلا کرک نشد یادم نیست خلاصه هرچی گرفته بودم رو پاک کردم و بیخیال شدم کلا.تااا اینکه تقریبا بعد ۵-۶ روز... یهو دیدم چندین ایمیل عجیب برام اومدرفتم نگاه کردم دیدم توی اکانت های : لینکدین، مایکروسافت، استیم، گیت هاب و حتی کلش آف کلنز برای همه درخواست ریست پسورد اومده و رمز همه عوض شدهبرام خیلی عجیب بود که آخه چطور ممکنه همچین چیزی که یکی اینقد راحت وارد شده باشه حتی کد های تایید رو خونده باشهمنه ساده اون لحظه اصلا فکرم به دایره بزرگ تری نرسید و فقط فکر کردم که یکی به رمزم توشون دسترسی پیدا کرده و از این طریق اون کار هارو انجام داده. به شکل سریعی تمام اکانت هام رو تونستم برگردونم با ایمیل به پشتیبانی و... (بجز کلش آف کلنز رو البته اون هنوز متتظر جواب پشتیبانی ام از حدود یک ماه پیش😂)و خلاصه خیالم راحت شد و گفتم حل شد دیگه...تاااا دو روز تقریبا بعدش... که یهو دیدم یه ایمیل از یه شخص خارجی برام ارسال شد توی نوتیف گوشیم دیدم که نوشته «منظورت چیه؟»(انگلیسی) جا خوردم و خیلی سریع ایمیلم رو باز کردم ببینم چه خبره و چیشدهدیدم که بلهههه از طریق ایمیل من حدود ۳۶۰ تا ایمیل ارسال شده برای اشخاص مختلف...اینجا بود که در مرحله اول بلخره یه کم شک کردم که سشن مرورگر من به سرقت رفته! و از طریق سشن مرورگر بوده که اونقد راحت به ایمیل هام دسترسی پیدا کرده و ریست پسورد انجام داده...فورا نشست هارو باطل کردم و هرچیزی وجود داشت رو اصلاح کردم رمز هارو عوض کردم و خب نگاه هم کردم اینبار اتفاق خاصی نیفتاده بود فقط ایمیل ارسال شده بود و خب خلاصه خیالم راحت شد...اما این خیال راحت شدن عمر طولانی ای نداشت...منه کم عقل... کاش همون لحظه هرچی روی اون لپ تاپ داشتم رو میبستم دسترسی رو و ویندوز رو عوض میکردم...بعد از ۲۴ ساعت از اون واقعه، دیدم که دوتا نوتیف اومد بالای گوشیم...از برنامه های ترون لینک و متامسک...مبلغ خیلی زیادی از حساب های من به سرقت رفت...اما چطور؟اولین چیزی که به ذهنم اومد گفتم احتمالا گوشیم هک شده و از طریق اسکرین گوشی تونستن برن توی اون برنامه ها...فورا گوشیم رو آماده فلش کردن کردم...اما به خودم اومدم و گفتم این قضیه بزرگ تر از این حرفاست...در واقع اتفاقی که افتاده بود این بود که سشن تلگرام من روی سیستم هم دزدیده شده بود و از طریق اون به تلگرام من دسترسی پیدا کرده بوده و رفته توی سیو مسیج تلگرام و از اونجا سکرت کد های ولت هام رو که ذخیره کردم رو برداشته و خیلی شیک و مجلسی همه رو خالی کرده...لحظه ی تاریکی مطلق! لحظه ای که توی زندگیم با تموم وجودم نا امنی رو با تموم وجودم درک کردمدارکنِس این دِ دیپ! حتی الانی که دارم مینویسم تهه دلم اضطرابش رو میگیرم...و تنها چیزی که بابتش خداروشکر میکنم اینه که کسی که این کارو کرده به احتمال زیاد فارسی زبان نبوده وگرنه خیلی کار های دیگه هم میتونسته انجام بده...یسری چیزای جالب از اون تایم بهتون بگم ایناس که:۱- هیچ آنتی ویروسی هیچ ویروسی روی سیستم من پیدا نکرد! در واقع تروجان یک لحظه عمل کرده و هرچیزی که نیاز داشته رو برده(سشن هارو) و از بین برده خودش رو۲- یک چیزی که هنوز برای من عجیبه اینه که حتی شخص از یوتیوب من هم استفاده کرده! اما خیلی عجیب!سرچ های یوتیوبش اینا بودن (البته به زبان روسی): چطوری از اینترنت پول در بیاوریم - چگونه پولدار شویم - و یسری موارد در رابطه با فورتنایتاصلا اینو به هیچ وجه نمیتونم درک کنم که چه اتفاقی افتاده. اینا سرچ های یه بچه ۱۳ ساله هست که اصلا درکی از این چیزا نداره. سشن من چطوری روی مرورگر اون بوده...؟۳- رمز همه اکانت های من(لیندین، استیم و...) تغییر داده شدن ولی هیچ کاری باهاشون انجام داده نشده! حتی کلش آف کلنز من نه تنها رمز بلکه ایمیل هم تغییر کرده ولی هنوز حتی یک اتک هم با اکانتم انجام ندادهخلاصه از اون اتفاق به بعد، من بلافاصله ویندوزم رو عوض کردم.تلگرام اصلی خودم رو روی سیستم نذاشتم - اونی هم که هست روش رمز گذاشتم - محل نصبش رو یچی نامشخص گذاشتمایمیل های اصلیم رو روی مرورگر نذاشتم.اما سوال اینجاست، چه اتفاقی افتاد واقعا؟ آیا الان در امنیت هستم؟mohsen jahanmohsen jahanSun, 24 Aug 2025 12:40:48 +0330https://virgool.ir/@dr.mohsen.1212/وب-سرویس-پیام-رسان-های-داخلی-jt6c1oftr09oچند روزی بودش که بنا بر یک پروژه برنامه نویسی ای که به پستم خورده بود لازم بود که فازی از پروژه پلتفرمی تحت ربات روی یکی از پیام رسان های داخلی پیاده بشه.اولیت کارفرما استفاده از پیام رسان ایتا بود اما خب نظر اون نیست که تعیین کنندس :)با توجه به تحقیقاتی که من طی این چند روز کردم و دستاورد های کلی ای که به دست اوردم گفتم تاپیکی اینجا بنویسم شاید در آینده به درد بقیه هم بخوره ( هر چند فکر میکنم یک تاپیک مال مدتی خیلی قبل با این عنوان موجود هست ولی خب من میخوام گفته های کامل تری بهتون ارائه بدم بعلاوه نتیجه گیری ای کامل تر)پیام رسان های پر کاربر و البته چیزی که بشه روشون حساب کرد قطعا میدونید که روبیکا، ایتا و بله هستن و منم روی همینا کار کردم.اول از روبیکا شروع میکنیم:طبق برسی که من کردم روبیکا اصلا ربات نداره و همچنین روبیکا اصلا api ارائه نداده و خب کلی بگم api برای روبیکا وجود ندارد. عملا اولین مرحله تیر به سنگ خوردش.دوم از ایتا بگم:چرت ترین و مسخره ترین api متعلق به ایتا هستش. در مرحله اول اینکه برای api یه سامانه جدا داره که باید کلید یا همون توکن رو بگیرید ازش که اسمش رو گذاشتن ایتایار. همون بدو ورود این سامانه یه باگ داره اینکه اگر اکانتی که توی ایتا ساختید و دارید باهاش وارد ایتایار میشید "نام کاربری" نداشته باشه ایتایار ارور میده بهتون که شناسه پیدا نشد و... این از دردسر اول موقع لاگینو گرفتن کلید؛ مورد بعد این پلتفر اصلا سیستمی نه برای webHook تعریف کرده و نه getUpdate و همونطور که احتمالا حدس میزنید api که ارائه دادن شما فقط میتونید باهاش پیام ارسال کنید و فایل ( نمی تونید پیام بخونید و عملا یچیز بدرد نخور برای توسئه پلتفری روی خود ایتا ) احتمالا این api فقط به درد تولید کنندگان محتوا و... میخوره که فقط سایتشون مثلا متصل به ایتا کنند که هر وقت پستی چیزی گذاشتن توی سایت اونجا هم اطلاع رسانی ای چیزی بشهو در آخر از بله بگم:این پیام رسان سر قسمت api واقعا گل کاشته! هرچند نقص هایی داره ولی معلومه توسعه دهنده های پیام رسان بله روی این قسمت وقت گذاشتندقیقا مشابه تلگرام شما به دو حالت میتونید Handeling Update داشته باشید یکی به شیوه وب هوک و دیگری هم گت آپدیتزبانی که من داشتم کار میکردم پایتون بودش همین اول کار از روی تنبلی و... یکم سختم بود که به شیوه قدیم بشینم برای سند مسیجو گت آپدیت و... تابع تعریف کنم... و سورپرایز بعدی رو توی این مرحله شدم:من برای توسعه ربات های تلگرامی و... از کتابخونه telethon استفاده میکنم و در حین جستجو به این مورد رسیدم که پیام رسان بله یه کتابخونه خفن برای کار با ربات به اسم balethon معرفی کرده که تا 90% هم مشابه همون تله تون هستش و واقعا کار رو آسون کردشوب سرویس های نسبتا کاملی داره ولی خب بزرگ ترین ایرادی که من میبینم داره این پیام رسان و البته ربات ها (بازو؟) اینه که قابلیت setAction مثل تلگرام نداره... همون وضعیت درحال تایپ و درحال ارسال و... رو میگم اگر این یک مورد رو برطرف کنند و اضافه کنند در واقع این یک پلتفرم بی نقص میشه...در پایان بخوام نتیجه گیری کنم اگر کسی هدفش پیاده کردن رباتی یا چیزی بر بستر پلتفرم های داخلی باشه و نخواد درگیر وب اسکرپینگو این داستان ها بشه بهترین و کامل ترین پلتفرم برای این کار پیام رسان بله هستشایتایار: eitaayar.irبله: bale.aiداکیومنت بله: docs.bale.aiبله تون: github.com/Balethon/Balethon/tree/mainmohsen jahanmohsen jahanMon, 08 Jul 2024 18:13:22 +0330