المسح هو امتداد موسَّع للاستطلاع — عملية جمع معلومات مفصَّلة إضافية عن الهدف باستخدام تقنيات استطلاع معقَّدة وعدوانية. المسح نفسه مش الاختراق الفعلي، لكنه بيساعد المهاجم يتعلّم أكتر عن هدفه (أنظمة تشغيل، خدمات، أخطاء إعداد) عشان يختار استراتيجية الهجوم.
رأس TCP يحتوي أعلام (Flags) بتتحكّم في نقل البيانات عبر اتصال TCP — ستة أعلام، كل واحد بحجم بت واحد. أربعة بتحكم إنشاء/صيانة/إنهاء الاتصال (SYN، ACK، FIN، RST)، واثنان بيديّا تعليمات للنظام (PSH، URG).
| العلم | الوظيفة |
|---|---|
| SYN | يُعلن إرسال رقم تسلسل جديد — غالبًا بيمثّل إنشاء اتصال (Three-way Handshake) |
| ACK | يؤكّد استلام النقل ويحدّد رقم التسلسل التالي المتوقَّع |
| PSH | يشير إن المرسل رفع عملية Push للمستقبل — بيُستخدَم في بداية ونهاية نقل البيانات |
| URG | يأمر النظام بمعالجة البيانات فورًا كأولوية قصوى |
| FIN | يُضبَط على 1 للإعلان إن مفيش نقل تاني هيُرسَل، وإنهاء الاتصال |
| RST | يُضبَط عند وجود خطأ في الاتصال الحالي — المهاجمون يستخدموه لمسح المضيفين وتحديد المنافذ المفتوحة |
TCP بروتوكول Connection-Oriented — بيعطي أولوية لإنشاء الاتصال قبل نقل البيانات.
المصدر بيبعت حزمة SYN للوجهة لبدء اتصال TCP.
الوجهة بترد بحزمة SYN/ACK عند استلام SYN.
المصدر بيبعت ACK لتأكيد حزمة ACK/SYN — ده بيُطلق اتصال "مفتوح" يستمر حتى إرسال FIN أو RST.
عند الإنهاء: المرسل بيبعت FIN أو RST بعد انتهاء النقل، المستقبل بيرد بـ ACK ثم بيبعت FIN خاصته، وبعدين يُنهى الاتصال.
| الأداة | الوظيفة |
|---|---|
| Nmap | ماسح أمني لاستكشاف الشبكة — بيرسم "خريطة" للشبكة عبر حزم مصمَّمة خصيصًا وتحليل الاستجابات. يدعم مسح TCP/UDP، كشف نظام التشغيل، كشف الإصدار، Ping Sweeps |
| Hping3 | أداة سطر أوامر لمسح الشبكة وصياغة الحزم لبروتوكول TCP/IP — تدقيق أمان الشبكة، اختبار الجدار الناري، اكتشاف MTU، Traceroute متقدّم، بصمة نظام التشغيل عن بُعد |
| Metasploit | مشروع مفتوح المصدر يوفّر بنية تحتية وأدوات لاختبار الاختراق والتدقيق الأمني — نهج معياري بيدمج أي Exploit مع أي Payload |
| NetScanTools Pro | أداة تحقيق لاستكشاف ومراقبة الأجهزة على الشبكة — عناوين IPv4/IPv6، أسماء مضيفين، نطاقات، بريد إلكتروني، روابط |
hping3 -1 10.0.0.25 # ICMP ping
hping3 -A 10.0.0.25 -p 80 # ACK scan على المنفذ 80 (فحص جدار ناري)
hping3 -2 10.0.0.25 -p 80 # UDP scan
hping3 192.168.1.103 -Q -p 139 # جمع أرقام التسلسل الأولية (ISN)
hping3 -S 72.14.207.99 -p 80 --tcp-timestamp # فحص الجدار الناري والـ Timestamp
hping3 -8 50-60 -S 10.0.0.25 -V # SYN scan على نطاق منافذ 50-60
hping3 -1 10.0.1.x --rand-dest -I eth0 # فحص subnet كامل بحثًا عن مضيفين نشطين
hping3 -9 HTTP -I eth0 # اعتراض كل ترافيك يحمل توقيع HTTP
اكتشاف المضيفين (Host Discovery) هو المهمة الأساسية الأولى في عملية المسح — بيوفّر حالة دقيقة للأنظمة في الشبكة، فبيتجنّب المهاجم مسح كل منفذ على كل نظام من غير داعي.
| التقنية | الآلية | ميزة رئيسية |
|---|---|---|
| ARP Ping Scan | حزم ARP لاكتشاف كل الأجهزة النشطة في نطاق IPv4 حتى لو مخفية خلف جدران نارية صارمة | الأكثر كفاءة ودقة — بيُعالج طلبات وإعادة إرسال ARP تلقائيًا |
| UDP Ping Scan | Nmap بيبعت حزم UDP (المنفذ الافتراضي 40,125) | كشف أنظمة خلف جدران نارية بفلترة TCP صارمة تنسى UDP |
| ICMP ECHO Ping Scan | حزم ICMP للهدف — لا يشمل تجريد منفذ، مختلف عن Port Scanning | تحديد المضيفين الشغّالين بسرعة |
| ICMP ECHO Ping Sweep | طلبات ICMP ECHO متعدّدة لمضيفين كتير لتحديد نطاق IP حي — عبر Zenmap بخيار -PE | جرد كامل للأنظمة الحية في Subnet |
| ICMP Timestamp/Address Mask Ping | بديل لـ ICMP ECHO التقليدي — استعلام Address Mask لمعرفة Subnet Mask (-PM في Zenmap) | فعّال لما الأدمن يحجب ICMP Echo التقليدي |
| TCP SYN Ping Scan | بدء مصافحة ثلاثية بإرسال SYN فارغ — الهدف بيرد بـ ACK | بدون اتصال فعلي، فمفيش سجلات — تخفٍّ عالي |
| TCP ACK Ping Scan | إرسال حزمة ACK فارغة مباشرة — الهدف بيرد بـ RST لأنه مفيش اتصال سابق | فعّال لتجاوز جدران نارية بتحجب SYN بس |
| IP Protocol Ping Scan | حزم Ping بأي رقم بروتوكول IP محدَّد — بنفس صيغة TCP/UDP Ping | يجرّب بروتوكولات IP مختلفة لإيجاد استجابة |
المهاجمون يقدروا يستخدموا ChatGPT أو تقنيات AI توليدية تانية لأتمتة اكتشاف المضيفين عبر Prompts مباشرة:
"Scan the target network 10.10.1.0/24 for active hosts and place only the IP addresses into a file scan1.txt"
"Run a fast but comprehensive Nmap scan against scan1.txt with low verbosity and write the results to scan2.txt"
"Use Nmap to perform ICMP ECHO ping sweep on the target network 10.10.1.0/24"
ماسح عناوين IP ومنافذ — بيفحص أي نطاق IP وأي منفذ، بيعمل Ping لكل عنوان IP للتحقق من نشاطه، وممكن يحلّل اسم المضيف ويحدّد عنوان MAC ويفحص المنافذ. ميزات إضافية: معلومات NetBIOS (اسم الحاسوب، اسم مجموعة العمل، المستخدم المسجَّل دخوله)، نطاقات IP مفضَّلة، كشف سيرفر ويب. بيستخدم نهج Multithreaded — خيط مسح منفصل لكل عنوان IP لزيادة السرعة.
connect() لنظام التشغيل بيحاول فتح اتصال لكل منفذ. اتصال ناجح = المنفذ في حالة استماع؛ خطأ = المنفذ غير قابل للوصول.-sS في Zenmap).مشابه جدًا لـ NULL وFIN وXmas scan، لكن الفحص المستخدَم هنا FIN/ACK — في أنظمة BSD كتيرة، المنفذ مفتوح لو الحزمة اتسقطت استجابة للفحص.
إرسال حزم TCP بعلم ACK وتحليل معلومات رأس حزم RST المستلَمة (حقلي TTL وWINDOW) لتحديد حالة المنفذ — يستغل ثغرات في مكدَّس TCP/IP المشتق من BSD.
| النوع | الآلية |
|---|---|
| TTL-Based | إرسال آلاف حزم ACK لمنافذ TCP مختلفة وتحليل قيمة حقل TTL في حزم RST (nmap --ttl [time] [target]) |
| Window-Based | تحليل قيمة حقل Window في حزم RST — مفيد لما كل المنافذ بترجّع نفس قيمة TTL (-sW في Zenmap) |
يساعد كمان في فحص أنظمة الفلترة: مفيش استجابة = منفذ مُفلتَر (جدار ناري Stateful موجود)؛ استجابة RST = منفذ غير مُفلتَر (لا جدار ناري).
بيبعت عنوان مصدر مُزوَّر لحاسوب لتحديد الخدمات المتاحة — مسح أعمى بالكامل لمضيف بعيد. المنفذ "مفتوح" لو تطبيق بيستمع عليه — إرسال SYN بيرجّع SYN|ACK (مفتوح) أو RST (مغلق).
مفيش مصافحة ثلاثية في مسح UDP — أصعب من TCP لأنك تقدر تبعت حزمة لكن مش تقدر تحدّد هل المضيف حي أو ميت أو مُفلتَر. لو بعتّ حزمة UDP لمنفذ بدون تطبيق مرتبط، مكدَّس IP بيرجّع ICMP_PORT_UNREACH — أي خطأ ICMP يعني المنفذ مغلق، أما المنافذ اللي ماردّتش يبقى إما مفتوحة أو مُفلتَرة (-sU في Zenmap).
| النوع | الوصف |
|---|---|
| SCTP INIT Scan | بروتوكول طبقة نقل موثوق قائم على الرسائل، بديل لـ TCP/UDP — يُستخدَم لـ VoIP وIP Telephony وSS7/SIGTRAN. ارتباط SCTP بيتكوّن من مصافحة رباعية |
| SCTP COOKIE ECHO Scan | نوع متقدّم — إرسال COOKIE ECHO chunk؛ منفذ مفتوح = إسقاط صامت، منفذ مغلق = رد ABORT. غير محجوب بقواعد جدار ناري غير Stateful (-sZ في Zenmap)، فقط IDS متقدّم يكتشفه |
| SSDP Scan | بروتوكول اكتشاف خدمة بسيط للتواصل عبر عناوين Multicast — يتحكّم في UPnP. يُستخدَم لكشف ثغرات UPnP المؤدية لـ Buffer Overflow أو DoS |
| List Scan | يولّد ويطبع قائمة IPs/أسماء بدون Ping أو مسح فعلي — كل العناوين تظهر "not scanned" |
| IPv6 Scan | مساحة البحث الأكبر (64 بت) بتخليه أصعب وأعقد من مسح IPv4 — بعض الأدوات مش بتدعم Ping Sweeps على IPv6، فلازم حصاد عناوين من ترافيك الشبكة أو السجلات |
"Use Nmap to find open ports on target IP 10.10.1.11"
"Perform stealth scan on target IP 10.10.1.11 and display the results"
"Use Nmap to scan open ports, MAC details, services running on open ports with their versions on target IP 10.10.1.11"
اكتشاف إصدار الخدمة بيساعد المهاجم يحدّد أي استغلالات النظام الهدف عرضة ليها — بعض إصدارات البروتوكولات غير آمنة وتسمح بالاختراق عبر استغلال الثغرة.
-sn لو الهدف بس التحقق من الاتصال، وتجنّب الأنواع المتقدّمة (-sC، -sV، -O، --traceroute، -A) لو مش ضرورية-T حسب شراسة المسح المطلوبةBanner Grabbing أو "OS Fingerprinting" طريقة لتحديد نظام التشغيل الشغّال على نظام هدف بعيد — أهمّية حرجة لأن معظم الثغرات خاصة بنظام تشغيل محدَّد، وده بيساعد المهاجم يصيغ استراتيجية هجوم مناسبة.
.aspx → سيرفر IIS ومنصّة Windows).| الأداة/التقنية | الآلية |
|---|---|
| Wireshark | التقاط استجابة الهدف ومراقبة حقلي TTL وحجم نافذة TCP في أول حزمة ملتقَطة، ومقارنتها بجدول مرجعي |
Nmap (-O في Zenmap) | عرض تفاصيل نظام تشغيل الجهاز الهدف مباشرة |
| Unicornscan | تحديد نظام التشغيل عبر مراقبة قيم TTL في نتيجة الفحص — TTL=128 غالبًا يعني Windows |
| Nmap Script Engine (NSE) | سكريبتات لأتمتة مهام الشبكة — مثل smb-os-discovery لجمع معلومات نظام التشغيل عبر بروتوكول SMB |
| IPv6 Fingerprinting | نفس وظيفة IPv4 لكن بفحوصات إضافية خاصة بـ IPv6 ومحرّك كشف منفصل — Nmap بيبعت نحو 18 فحص (S1-S6، IE1، IE2، NI) |
المهاجمون يقدروا يستخدموا ChatGPT لتوجيه استخدام TTL Ping لتحديد نظام التشغيل الهدف عبر Prompts مباشرة.
IDS والجدران النارية آليات أمنية لمنع وصول المهاجم — لكن حتى هذه الأنظمة عندها قيود. المهاجمون بيستغلّوا القيود دي بتقنيات متعدّدة.
| التقنية | الآلية |
|---|---|
| Packet Fragmentation | تقسيم حزمة الفحص لعدة حزم أصغر — معظم IDS بتُعدَّ لتخطّي الحزم المجزَّأة أثناء مسح المنافذ لأن معالجتها بتستهلك موارد كتير |
| SYN/FIN Scanning باستخدام IP Fragments | تعديل لتقنيات سابقة — رأس TCP بيتقسّم لعدة حزم لتجاوز جهاز فلترة الحزم |
| Source Routing | حقل IP Options بيخزّن معلومات توجيه المصدر — قائمة عناوين IP اللي الحزمة بتمر بيها لوجهتها |
| Source Port Manipulation | التلاعب برقم المنفذ المصدر الفعلي بأرقام منافذ شائعة — استغلال ثقة الأدمن العمياء في أرقام منافذ معروفة (HTTP، DNS، FTP) |
| IP Address Decoy | توليد أو تحديد عناوين IP وهمية لخداع IDS/Firewall — يصعب تحديد مين فعليًا بيمسح الشبكة ومين عناوين وهمية |
| IP Address Spoofing | تزوير عنوان IP المصدر لتجاوز جدران نارية بتفلتر بناءً على المصدر |
| MAC Address Spoofing | استخدام عناوين MAC مزيَّفة لانتحال مستخدمين شرعيين وتجاوز قواعد فلترة MAC |
--randomize-hosts في Nmap) لتجنّب أنماط قابلة للكشفتطبيق وسيط للاتصال بحواسيب أخرى — يُستخدَم كجدار ناري وحماية الشبكة المحلية، مضاعِف عناوين IP (NAT/PAT)، إخفاء هوية التصفّح جزئيًا، وتوفير النطاق الترددي.
إخفاء هوية المهاجم هو التحدّي الأساسي — بيستخدم بروكسي لإخفاء عنوان IP الحقيقي، فسجلات السيرفر الهدف بتسجّل عنوان البروكسي مش عنوان المهاجم الفعلي.
بيزيد تخفّي المهاجم على الإنترنت — كل ما زاد عدد سيرفرات البروكسي المستخدَمة، زادت درجة التخفّي. المستخدم بيطلب مورد، عميل البروكسي بيتصل بسيرفر بروكسي ويمرّر الطلب، السيرفر بيشيل معلومات هوية المستخدم ويمرّر الطلب لسيرفر بروكسي تاني.
| الأداة | الوظيفة |
|---|---|
| Proxy Switcher | تصفّح مجهول بدون كشف عنوان IP — الوصول لمواقع محظورة في المؤسسة |
| CyberGhost VPN | إخفاء IP المهاجم واستبداله بـ IP مختار — تشفير الاتصال بدون الاحتفاظ بسجلات |
| Tails | نظام تشغيل حي (Live OS) من USB/SD — أدوات تشفير متقدّمة، تصفّح مجهول بدون ترك أثر على الحاسوب |
المخترق الأخلاقي، بعكس المخترق العادي، لازم يتبنّى إجراءات مواجهة للثغرات اللي اكتشفها — معرفة الثغرات بدون حماية ضدها عديمة الفائدة.
تعطيل أو تغيير الـ Banner — منفذ مفتوح يعني خدمة/Banner شغّال عليه. لما المهاجم يتصل بمنفذ مفتوح عبر تقنيات Banner Grabbing، النظام بيعرض Banner يحتوي معلومات حساسة (نظام التشغيل، نوع السيرفر، الإصدار) — إخفاء أو تعديل البيانات دي بيمنع استغلالها.
| التقنية | الآلية |
|---|---|
| Direct TTL Probes | إرسال حزمة (Ping) للمضيف الشرعي، ومقارنة قيمة TTL في الرد بقيمة الحزمة المشكوك فيها. TCP/UDP: 64 أو 128؛ ICMP: 128 أو 255 |
| IP Identification Number (IPID) | مراقبة رقم تعريف IP المتزايد تدريجيًا — قيمة IPID في استجابة الفحص لازم تكون قريبة من لكن أكبر شوية من قيمة حزمة الفحص. لو بعيدة، العنوان مزوَّر |
ExtraHop بيوفّر رؤية كاملة واكتشاف لحظي واستجابة ذكية للمسح الشبكي الخبيث — اكتشاف تلقائي لكل جهاز وثغراته بما فيه أجهزة IoT غير المُدارة. أدوات إضافية: Splunk Enterprise Security، Scanlogd، Vectra Detect، IBM Security QRadar XDR، وCynet360 AutoXDR.
| الخيار | الوظيفة |
|---|---|
-sS | Stealth/SYN Scan (Half-Open) |
-sU | UDP Scan |
-sW | TCP Window Scan (ACK Flag Probe) |
-sZ | SCTP COOKIE ECHO Scan |
-PE | ICMP ECHO Ping Sweep |
-PM | ICMP Address Mask Ping |
-PA | TCP ACK Ping Scan |
-O | OS Discovery |
--randomize-hosts | مسح بترتيب مضيفين عشوائي |
--ttl [time] [target] | TTL-Based ACK Flag Probe Scan |
| النوع | التخفّي | الموثوقية |
|---|---|---|
| TCP Connect | منخفض (يُسجَّل بالكامل) | عالية جدًا |
| SYN/Stealth | عالي | عالية |
| Xmas/FIN/NULL | عالي جدًا | محدودة (UNIX فقط) |
| IDLE/IPID | أعلى (مسح أعمى بالكامل) | معقَّد الإعداد |
| # | السؤال | الإجابة السريعة |
|---|---|---|
| 1 | كام علم TCP؟ | 6: SYN، ACK، FIN، RST، PSH، URG |
| 2 | أي نوع مسح بيعمل بس على UNIX؟ | Xmas Scan (يعتمد على BSD Networking Code) |
| 3 | الفرق بين TCP SYN Ping وTCP ACK Ping؟ | SYN بيبدأ مصافحة (بدون اتصال كامل) — ACK بيبعت مباشرة فبيرجع RST دايمًا من مضيف نشط |
| 4 | إيه القيم الشائعة لـ TTL الأولي؟ | TCP/UDP: 64 أو 128 — ICMP: 128 أو 255 |
| 5 | أي نوع مسح بيحتاج IDS متقدّم جدًا لاكتشافه؟ | SCTP COOKIE ECHO Scan |
الموديول ده غطّى مسح الشبكات بعمق — من اكتشاف المضيفين النشطين بتقنيات Ping متعدّدة، مرورًا بعشرات تقنيات مسح المنافذ (من TCP Connect وحتى SCTP COOKIE ECHO)، واكتشاف نظام التشغيل عبر Banner Grabbing، ووصولًا لتقنيات تجاوز IDS/Firewall وإجراءات المواجهة.
الفكرة الجوهرية للموديول: كل تقنية مسح هي محاولة للإجابة على سؤال واحد بطريقة مختلفة — "هل في حد موجود هنا، وإيه اللي بيشتغل؟" التنوّع الهائل في التقنيات مش تعقيد بلا داعي، هو استجابة مباشرة لتنوّع الدفاعات اللي بتحاول تمنع الإجابة على السؤال ده.
احفظ خيارات Zenmap/Nmap المختصرة بدقة (-sS، -sU، -O، إلخ) لأن الامتحان بيختبرها مباشرة. افهم الفرق الدقيق بين كل نوع Ping/Scan من حيث الاستجابة المتوقَّعة (SYN/ACK مقابل RST مقابل لا استجابة) — ده أساس فهم ليه تقنية معيّنة بتنجح ضد دفاع معيّن وتفشل ضد تاني.
نهاية نوتس الموديول الثالث — Scanning Networks (CEHv13)