اختراق الأنظمة غالبًا الهدف النهائي للمهاجم. المهاجم بيجمع معلومات عبر Footprinting والفحص والتعداد وتحليل الثغرات، وبعدين بيستخدم المعلومات دي لاختراق النظام المستهدَف. منهجية CEH (CHM) بتشمل خطوات متعدّدة — وأول خطوة هي اكتساب الوصول عبر تكسير كلمات المرور، استغلال Buffer Overflows، واستغلال الثغرات المكتشَفة.
| الآلية | الوصف |
|---|---|
| SAM Database | Windows بيستخدم قاعدة بيانات Security Accounts Manager (أو Active Directory Database) لإدارة الحسابات وكلمات المرور بصيغة هاش (دالة اتجاه واحد). الملف مُقفَل حصريًا بواسطة Kernel، ومخزَّن في %SystemRoot%\system32\config\SAM ومُحمَّل في HKEY_LOCAL_MACHINE\SAM |
| NTLM Authentication | نظام مصادقة افتراضي بأسلوب Challenge/Response، يشمل بروتوكولَي NTLM وLAN Manager (LM) — كل واحد بيستخدم خوارزمية هاش مختلفة |
| Kerberos Authentication | بروتوكول مصادقة شبكي بيوفّر مصادقة قوية عبر تشفير المفتاح السري، مع مصادقة متبادلة وحماية من هجمات Replay والتنصّت |
| النوع | الوصف |
|---|---|
| Non-Electronic Attacks | بدون أي معرفة تقنية — Shoulder Surfing (مراقبة المستخدم أثناء الكتابة)، الهندسة الاجتماعية، Dumpster Diving |
| Active Online Attacks | المهاجم بيتواصل مباشرةً مع الجهاز المستهدَف — Password Guessing، Dictionary/Brute-Force، Password Spraying، Mask Attack، Hash Injection، Kerberos Cracking، NTLM Relay |
| Passive Online Attacks | بدون تواصل مباشر — مراقبة البيانات المارّة على القناة (Wire Sniffing، MITM، Replay) |
| Offline Attacks | تكسير الهاشات بدون الحاجة لتواصل مع النظام المستهدَف — مثل Distributed Network Attack (DNA) |
| التقنية | الوصف |
|---|---|
| Dictionary Attack | تحميل ملف قاموس (كلمات شائعة الاستخدام ككلمات مرور) وتجربته ضد الحسابات |
| Brute-Force Attack | تجربة كل توليفة ممكنة من الأحرف حتى تنكسر كلمة المرور |
| Rule-based Attack | يُستخدَم لما يكون عند المهاجم معلومة جزئية عن كلمة المرور (مثلًا تحتوي رقمين أو ثلاثة) — أقوى من Dictionary وBrute-Force |
| Password Spraying | استهداف عدّة حسابات بكلمة مرور واحدة أو مجموعة صغيرة شائعة، بدل استهداف حساب واحد بكلمات كتير (أداة thc-hydra) |
| Mask Attack | شبيه بـ Brute-Force لكن بنمط أضيق من الأحرف بناءً على معلومة معروفة عن كلمة المرور (أداة hashcat) |
LLMNR وNBT-NS بيوفّروا حل أسماء للأجهزة على نفس الرابط، مفعَّلين افتراضيًا في Windows. لما الـ DNS يفشل في حل اسم، الجهاز بيعمل Broadcast UDP غير مُصادَق يسأل كل الأجهزة.
مثلًا يحاول الوصول لـ \\DataServer لكن يكتبه \\DtaServr بالغلط.
\\DataServer يرد إنه مش عارف مضيف بالاسم ده.
يسأل الشبكة كلها هل حد عارف المضيف \\DtaServr.
المهاجم يرد إنه هو \\DataServer، يستقبل هاش NTLMv2 الخاص بالمستخدم، ويرد عليه برسالة خطأ.
أداة Responder (github.com) هي الأداة المرجعية لتسميم LLMNR وNBT-NS وmDNS — بترد افتراضيًا على طلبات File Server Service الخاصة بـ SMB.
شبيه بهجوم Mimikatz، لكن من غير تفريغ ذاكرة LSASS — وده بيتجنّب Windows Credential Guard ومضادات الفيروسات. Mimikatz أداة ما بعد الاستغلال بتستخرج كلمات مرور Plaintext وتذاكر Kerberos وهاشات NTLM من ذاكرة LSASS.
المهاجمون بيستهدفوا بروتوكول Kerberos بطريقتين أساسيتين: تكسير TGS (Kerberoasting) وتكسير TGT (AS-REP Roasting).
| الهجوم | المتطلّبات | المنهجية المختصرة |
|---|---|---|
| AS-REP Roasting | حساب بدون Kerberos Pre-Authentication + اتصال بالـ DC (حساب دومين اختياري لتسهيل الإيجاد عبر LDAP) | فحص AD لإيجاد حسابات بدون Pre-Auth ← إرسال AS-REQ ← استخراج TGT المشفَّرة من الرد (عبر GetNPUsers.py أو Rubeus) ← تكسير أوفلاين بـ hashcat/John the Ripper |
| Kerberoasting | أي حساب دومين صالح (مفيش صلاحيات خاصة مطلوبة) | مصادقة بحساب عادي للحصول على TGT ← طلب TGS لحسابات خدمة (SPNs) مشفَّرة بـ RC4 ← استخراج التذاكر من الذاكرة (Rubeus) ← تكسير أوفلاين |
| التقنية | الوصف |
|---|---|
| Combinator Attack | دمج إدخالات قاموسين مختلفين لإنتاج أسماء كاملة وكلمات مركّبة |
| PRINCE Attack | نسخة متقدّمة من Combinator — بيبني سلاسل كلمات من قاموس إدخال واحد بدل قاموسين |
| Markov-Chain Attack | تقسيم قاعدة بيانات كلمات مرور لمقاطع 2 و3 أحرف، بناء أبجدية جديدة، ودمجها في كلمات بطول أقصى 8 أحرف ثم تطبيق Dictionary Attack |
| GPU-based Attack | استغلال APIs الرسوميات (زي OpenGL) عبر هندسة اجتماعية لتثبيت برنامج خبيث يتتبّع نشاط المستخدم ويسرق كلمات المرور عبر Side-Channel Leaks |
أدوات إضافية: hashID، Patator، Brutus، BruteX، Secure Shell Bruteforcer.
إضافة سلسلة عشوائية من الأحرف لكلمة المرور قبل حساب الهاش — بيصعّب عكس الهاش ويهزم هجمات الهاشات المحسوبة مسبقًا (Rainbow Tables). نفس كلمة المرور بتنتج هاشات مختلفة لمستخدمين مختلفين، وده بيصعّب التكسير بشكل كبير.
استغلال الثغرات بيتضمّن تنفيذ خطوات معقَّدة ومترابطة متعدّدة للوصول لنظام بعيد — المهاجمون بينفّذوا الاستغلال فقط بعد اكتشاف ثغرات في النظام المستهدَف.
باستخدام تقنيات Footprinting والفحص والتعداد وتحليل الثغرات، ومواقع زي Exploit Database وPacket Storm.
هل استغلال الثغرة هيتجاوز الإجراءات الأمنية الموجودة على النظام المستهدَف؟
لو المخاطرة منخفضة، يحدّد المهاجم إمكانية استغلال الثغرة للوصول البعيد.
استخدام Exploits جاهزة من Exploit Database، أو تطوير Exploit خاص بأدوات زي Metasploit.
استغلال بعيد عبر الشبكة، أو استغلال محلي للتصعيد لو كان عند المهاجم وصول مسبَق.
توليد Payload خبيث بأدوات زي Metasploit وتوصيله عبر هندسة اجتماعية أو الشبكة — حقن Shellcode بينشئ Shell بعيد عند التنفيذ.
تشغيل الـ Exploit للحصول على Shell بعيد، وتنفيذ أوامر خبيثة والتحكّم بالنظام.
PoC هو إثبات وجود وأثر ثغرة في برمجية أو شبكة — غالبًا كود أو تعليمات أو سكربت. يساعد الباحثين على تأكيد خطورة الثغرة المكتشَفة وفهم أثرها المحتمل، ويوجّه أصحاب المصلحة لمعالجة سريعة. نشر كود PoC قبل تصحيح الثغرة ممكن يُطلق استغلال Zero-Day. مواقع مرجعية: Exploit Database، OSV، MITRE CVE. أداة WES-NG بتقارن مخرجات systeminfo.exe بقاعدة بيانات ثغرات محدَّثة لاقتراح Exploits مناسبة.
الـ Buffer منطقة ذاكرة متجاورة مخصَّصة لبرنامج للتعامل مع بياناته وقت التشغيل. Buffer Overflow ثغرة شائعة بتحدث لما التطبيق يستقبل بيانات أكتر من حجم الـ Buffer المخصَّص — ده بيسمح بالكتابة خارج الـ Buffer والكتابة فوق مواقع ذاكرة مجاورة، وبيؤدي لتوقّف النظام، سلوك غير مستقر، أو تنفيذ كود خبيث.
| النوع | الوصف |
|---|---|
| Stack-Based | الـ Stack بيُستخدَم للتخصيص الثابت للذاكرة بنظام LIFO. السجلّات الأساسية: EBP (عنوان أول عنصر)، ESP (عنوان العنصر التالي)، EIP (عنوان التعليمة التالية — الأهم للاستغلال)، ESI/EDI. لو التطبيق عرضة للهجوم، المهاجم بيتحكّم في EIP ليستبدل عنوان الإرجاع بكود خبيث |
| Heap-Based | الـ Heap بيُستخدَم للتخصيص الديناميكي — التخصيص والتحرير بيتم يدويًا (malloc()/free()). الـ Overflow بيحدث لما بيانات تُكتب بدون فحص حدود، بيكتب فوق مؤشّرات ديناميكية وHeap Headers وجداول Virtual Function — أسلوب استغلاله مختلف وغير منتظم عن Stack-Based |
إرسال حزم TCP/UDP مُصمَّمة خصيصًا للسيرفر المستهدَف عشان يتعطّل، لتحديد الدوال المعرَّضة لـ Buffer Overflow — باستخدام Netcat للاتصال وSpike Templates لتحديد صيغة الحزم.
إرسال كمية كبيرة من البيانات للسيرفر المستهدَف للتسبّب في Buffer Overflow والكتابة فوق EIP، لتحديد عدد البايتات المطلوبة لتعطيل السيرفر.
استخدام أداة pattern_create.rb لتوليد بيانات عشوائية، ثم pattern_offset.rb لتحديد الـ Offset الدقيق للبايتات في EIP.
التأكد من التحكّم الكامل في سجلّ EIP باستخدام الـ Offset المكتشَف.
تحديد الأحرف اللي بتكسر الـ Payload أو بتُفسَّر بشكل خاطئ من قِبل التطبيق المستهدَف.
إيجاد وحدة بدون حماية ASLR/DEP لاستخدام عنوانها كنقطة قفز موثوقة.
توليد Shellcode (باستثناء الأحرف السيّئة المكتشَفة) ليُنفَّذ عند الوصول لـ EIP.
تنفيذ الاستغلال الكامل للحصول على Shell بامتيازات إدارية على النظام المستهدَف.
| التقنية | الوصف |
|---|---|
| Return-Oriented Programming (ROP) | تنفيذ كود خبيث تعسّفي رغم وجود حمايات زي Code Signing وExecutable Space Protection — بالاستيلاء على تدفّق التحكّم عبر Call Stack وتنفيذ تعليمات موجودة فعلًا (Gadgets تنتهي بـ RET) بترتيب مُختار |
| ASLR و DEP | ASLR بيُعشِّي عناوين الذاكرة، DEP بيمنع تنفيذ كود من مناطق ذاكرة غير قابلة للتنفيذ — آليتان أساسيتان لمنع الاستغلال |
| Heap Spraying | إغراق مساحة الـ Heap الحرّة بنسخ متعدّدة من الكود الخبيث لزيادة احتمالية تنفيذه رغم ASLR، واستخدام ROP Gadgets لتجاوز DEP — شائع في استغلال متصفحات الويب |
| JIT Spraying | صياغة كود JavaScript خبيث يستغلّ ثغرات في مُجمِّع JIT بالمتصفح (أخطاء إفساد ذاكرة أو Buffer Overflow) للتلاعب بالكود المُولَّد آليًا وتوجيه التنفيذ للـ Payload الخبيث |
| Exploit Chaining | دمج عدّة Exploits أو ثغرات متتالية لاختراق الهدف من جذوره — استطلاع، تعداد ثغرات متسلسل، استغلال أولي، ثم التعمّق بالثغرات المكتشَفة لوصول بمستوى Kernel/Root بدون كشف |
BloodHound تطبيق ويب بيستخدم نظرية الرسوم البيانية لكشف علاقات خفية وغير مقصودة داخل بيئة AD — بيسهّل على المهاجمين تحديد مسارات هجوم معقَّدة. PowerView أداة PowerShell لتعداد AD بعد تعطيل مراقبة الأمان (Set-MpPreference -DisableRealtimeMonitoring $true) — تعداد الدومينات، سياسات الدومين، DCs، المستخدمين، الأجهزة، المجموعات، المشاركات، سياسات المجموعة والـ OUs، قوائم التحكّم بالوصول (ACLs)، وعلاقات الثقة بين الدومينات والغابات.
GhostPack Seatbelt مشروع C# بيجري فحوصات أمان شاملة على المضيف (إعدادات أمان PowerShell، تذاكر Kerberos، عناصر سلّة المحذوفات) لإيجاد نقاط ضعف قابلة للاستغلال.
أدوات كشف: Veracode، Flawfinder، Kiuwan، Splint، Valgrind.
تصعيد الصلاحيات هو المرحلة الثانية من اختراق النظام — المهاجم بيستخدم كلمات المرور اللي حصل عليها في المرحلة الأولى للوصول للنظام، وبعدين بيحاول الحصول على صلاحيات أعلى، مستغلًّا عيوب التصميم وأخطاء البرمجة والثغرات والإعدادات الخاطئة.
| النوع | الوصف |
|---|---|
| Horizontal Privilege Escalation | مستخدم غير مصرَّح له بيحاول الوصول لموارد وصلاحيات مستخدم تاني له نفس مستوى الصلاحيات (مثلًا مستخدم A يوصل لحساب بنكي لمستخدم B) |
| Vertical Privilege Escalation | مستخدم غير مصرَّح له بيحاول الوصول لموارد ووظائف مستخدم بصلاحيات أعلى (مثلًا مستخدم عادي يوصل لوظائف إدارية في الموقع) |
| التقنية | الوصف |
|---|---|
| DLL Hijacking | أغلب تطبيقات Windows بتبحث عن DLL في المجلّد اللي اتحمّلت منه أولًا بدل المسار الكامل — المهاجم بيحط DLL خبيث في مجلّد التطبيق فينفّذه بدل الأصلي. أدوات: Spartacus، DLLirant، ImpulsiveDLLHijack، PowerSploit |
| Dylib Hijacking (macOS) | مشابه لـ DLL Hijacking — استغلال طرق تحميل Dynamic Libraries ضعيفة (زي متغيّر DYLD_INSERT_LIBRARIES) لحقن Dylib خبيث يتحمّل وقت التشغيل |
| Spectre و Meltdown | ثغرات تصميم في معالجات حديثة (AMD، ARM، Intel) ناتجة عن تحسينات أداء — بتسمح بقراءة بيانات مقيَّدة (بيانات اعتماد، مفاتيح تشفير) عبر استغلال Speculative Execution وBranch Prediction |
| Named Pipe Impersonation | استغلال آلية التواصل بين العمليات عبر Named Pipes لتصعيد الصلاحيات — أداة Metasploit بأمر getsystem |
| Misconfigured Services | Unquoted Service Paths (مسارات بدون علامات اقتباس تسمح بحقن تنفيذي)، Service Object Permissions (صلاحيات ضعيفة تسمح بتعديل الخدمة)، تثبيتات بدون إشراف، وRegistry Autoruns قابلة للتعديل |
| Misconfigured NFS | استغلال إعدادات NFS الخاطئة (بورت 2049) للحصول على وصول Root من حساب عادي منخفض الصلاحيات |
| Bypassing UAC | استغلال تطبيقات Windows لتصعيد الصلاحيات بدون إطلاق تنبيه UAC — تقنيات Metasploit متعدّدة (أدناه) |
| الإكسبلويت | الآلية |
|---|---|
bypassuac | تجاوز UAC عبر حقن العمليات — ينشئ جلسة أو Shell جديد بدون علامة UAC |
bypassuac_injection | يستخدم آليات Reflective DLL لحقن Payload بصيغة DLL فقط، للحصول على صلاحيات AUTHORITY\SYSTEM |
bypassuac_fodhelper | يخطف مفتاح خاص من HKCU registry hive ويربطه بـ fodhelper.exe |
bypassuac_eventvwr | يخطف مفتاح من HKCU مرتبط بـ Event Viewer — يُمسَح تلقائيًا بعد التنفيذ |
bypassuac_comhijack | ينشئ إدخالات Registry لمعالج COM داخل الـ Hive الحالي، تؤدي لتحميل DLLs يتحكّم فيها المهاجم |
تقنيتان لاكتشاف معلومات تفصيلية عن الشبكة المستهدَفة بعد اختراق نظام ناجح، للوصول لأنظمة وموارد غير متاحة مباشرةً من شبكة المهاجم.
| التقنية | الوصف |
|---|---|
| Pivoting | فتح Shell بعيد على النظام المستهدَف يمرّ عبر النفق من الـ Shell الأولي على النظام المخترَق. الخطوات: اكتشاف أجهزة فعّالة (ARP Scan)، إعداد قواعد التوجيه (route add)، فحص بورتات الأجهزة الفعّالة، استغلال الخدمات الضعيفة المكتشَفة |
| Relaying | الوصول لموارد موجودة على أنظمة تانية عبر النظام المخترَق بحيث تبدو الطلبات صادرة من النظام المخترَق نفسه — عبر إعداد قواعد Port Forwarding ثم الوصول للموارد البعيدة بعميل مناسب |
nltest /domain_trusts لجمع معلومات الثقة بين الدوميناتlsadump::dcsync /domain:<domain> /user:Administrator| التقنية | الوصف |
|---|---|
| Access Token Manipulation | تعديل Access Tokens بحيث تبدو العملية مملوكة لمستخدم مختلف عن اللي شغّلها فعليًا |
| Parent PID Spoofing | انتحال معرّف العملية الأب (PPID) لتجاوز أدوات تحليل العلاقات الأبوية والحفاظ على الاستمرارية |
| Path Interception | وضع ملف تنفيذي في مسار معيّن بحيث يُنفَّذ بدل الهدف الشرعي — عبر مسارات بدون اقتباس أو سوء تهيئة متغيّر PATH |
| SID-History Injection | استغلال خاصية SID-History (المستخدَمة عند ترحيل المستخدمين بين الدومينات) لحقن قيم SID إضافية |
| Launch Daemon (macOS) | إنشاء Launch Daemon خبيث جديد يُنفَّذ وقت الإقلاع بصلاحيات Root |
| Plist Modification (macOS) | تعديل ملفات Property List للتحكّم في وقت وطريقة تنفيذ البرامج |
| Setuid و Setgid | على Linux/macOS، تطبيقات تستخدم setuid/setgid بتنفَّذ بصلاحيات المالك/المجموعة بدل المستخدم الحالي |
| Abusing macOS Elevation API | استغلال AuthorizationExecuteWithPrivileges API (بدون تحقق كافٍ من مصدر الطلب) للحصول على صلاحيات Root |
أدوات إضافية: PowerSploit، Traitor، PEASS-ng، FullPowers، WinPEAS (لتعداد الصلاحيات المتاحة للتصعيد).
بعد اكتساب الوصول وتصعيد الصلاحيات، المهاجم بيحاول الحفاظ على وصوله لمزيد من الاستغلال، أو يحوّل النظام المخترَق لمنصّة إطلاق لمهاجمة أنظمة تانية. بيُنفَّذ برامج خبيثة (Keyloggers، Spyware) ويُخفيها عبر Rootkits وSteganography وNTFS Data Streams.
| النوع | الوصف |
|---|---|
| Backdoors | برنامج مصمَّم لتعطيل أو تعطيل عملية النظام، جمع معلومات تؤدي لاستغلال أو فقدان خصوصية، أو الوصول غير المصرَّح به للموارد |
| Crackers | مكوّنات برمجية مصمَّمة لتكسير الأكواد أو كلمات المرور |
| Keyloggers | عتاد أو برمجية بتسجّل كل ضغطة مفتاح على لوحة المفاتيح |
| Spyware | برمجية تجسّس قد تلتقط لقطات شاشة وترسلها لمكان يحدّده المهاجم، بعد تثبيت Backdoors إضافية للوصول المستقبلي |
| التقنية | الوصف |
|---|---|
| Web-Browser-Based Exploitation | استهداف المتصفح عبر روابط Spear Phishing أو Drive-by Compromise — لا يحتاج تدخّل من المستخدم للتنفيذ |
| Office-Applications-Based Exploitation | استهداف تطبيقات مكتبية (Microsoft Office) عبر Spear Phishing — يحتاج المستخدم يفتح مستند خبيث لتشغيل الاستغلال |
| Service Execution | تنفيذ ملفات ثنائية أو أوامر تتواصل مع خدمات Windows (Service Control Manager) — عبر إنشاء خدمة جديدة أو تعديل خدمة موجودة |
| WMI | التفاعل مع النظام المستهدَف عن بُعد، جمع معلومات الموارد، وتنفيذ كود للحفاظ على الوصول — يُستخدَم كثيرًا في الحركة الجانبية |
| WinRM | بروتوكول بيسمح بتشغيل ملف تنفيذي لتعديل خدمات النظام والـ Registry عن بُعد — عبر أمر winrm |
أدوات تنفيذ تطبيقات: Dameware Remote Support، Ninja، Pupy، PDQ Deploy، ManageEngine Endpoint Central، PsExec.
برامج أو أجهزة بتسجّل ضغطات المفاتيح لمستخدم أو شبكة حواسيب، وبتخزّنها في ملف نصّي أو ترسلها لسيرفر بعيد. قدراتها الشائعة: تسجيل كل ضغطة مفتاح، التقاط لقطات شاشة دورية، تتبّع عناوين النوافذ والتطبيقات المفتوحة، مراقبة المواقع المزارة، تسجيل محادثات الدردشة، تسجيل بيانات الدخول وأرقام البطاقات حتى لو ظهرت بنجوم، إرسال المعلومات لسيرفر بعيد، وتشفير البيانات لتفادي الكشف.
| النوع | الفئة | الوصف |
|---|---|---|
| PC/BIOS Embedded | Hardware | تعديل Firmware مستوى BIOS المسؤول عن إدارة ضغطات المفاتيح — يحتاج وصول فيزيائي أو إداري |
| Keylogger Keyboard | Hardware | دائرة إلكترونية متّصلة بكابل لوحة المفاتيح، تسجّل كل الضغطات في ذاكرتها الداخلية — غير متعلّق بنظام التشغيل |
| PS/2 و USB Keylogger | Hardware | شفّاف تمامًا لعمل الحاسوب، لا يحتاج برمجيات أو Drivers |
| Acoustic/CAM Keylogger | Hardware | يحوّل موجات صوتية كهرومغناطيسية لبيانات ضغطات، أو يستخدم كاميرا لتسجيل الشاشة |
| Bluetooth Keylogger | Hardware | وصول فيزيائي مرة واحدة للتثبيت، ثم استرجاع البيانات لاحقًا عبر الاتصال بالبلوتوث |
| Wi-Fi Keylogger | Hardware | يتصل بنقطة وصول Wi-Fi محلية ويرسل بيانات الضغطات بالبريد الإلكتروني أو عبر TCP/IP |
| Application Keylogger | Software | يسجّل كل ما يكتبه المستخدم في البريد والدردشة والتطبيقات، بما فيها كلمات المرور |
| Kernel/Rootkit Keylogger | Software | يعمل على مستوى Kernel كـ Driver للوحة المفاتيح — نادر الاستخدام لصعوبة كتابته، لكن صعب جدًا كشفه |
| Hypervisor-Based Keylogger | Software | يعمل داخل Hypervisor خبيث يشغّل نظام التشغيل |
| Form-Grabbing-Based Keylogger | Software | يسجّل بيانات نماذج الويب عند الإرسال، متجاوزًا تشفير HTTPS |
| JavaScript-Based Keylogger | Software | حقن JavaScript خبيث في صفحة ويب مخترَقة للاستماع لأحداث onKeyUp() وonKeyDown() |
| Memory-Injection-Based Keylogger | Software | تعديل جداول الذاكرة المرتبطة بالمتصفح ووظائف النظام لتسجيل الضغطات، ويُستخدَم أيضًا لتجاوز UAC |
# عرض العمليات الجارية وأخذ PID
ps
# الانتقال (Migrate) لعملية مستقرة زي explorer.exe لتفادي إغلاق الجلسة
getpid
migrate <PID>
# بدء تسجيل ضغطات المفاتيح
keyscan_start
# استخراج الضغطات المسجَّلة وعرضها
keyscan_dump
# إيقاف التسجيل
keyscan_stop
أدوات Keyloggers للعتاد: KeyGrabber، KeyCarbon، Keyboard Logger، KeyGhost، KEYKatcher. أدوات Windows: Spyrix Personal Monitor، REFOG Personal Monitor، All In One Keylogger، Revealer Keylogger Pro، NetBull، Spytector. أدوات macOS: Hoverwatch، Spyrix for Mac، CleverControl، FlexiSPY، KidLogger.
برمجية مراقبة خفية بتسجّل كل نشاط المستخدم سرًّا، وبترسل السجلّات لمهاجم بعيد عبر الإنترنت (بريد، FTP، HTTP، DNS). بتنتشر عبر "الالتصاق" ببرامج تانية أو عبر Drive-by Downloading، وبتخفي عملياتها وملفاتها لتفادي الكشف.
| النوع | الوصف |
|---|---|
| Desktop Spyware | تسجيل مباشر لنشاط سطح المكتب، الأنشطة على الإنترنت، استخدام البرمجيات وتوقيتها |
| Email Spyware | مراقبة وتسجيل وإعادة توجيه كل البريد الوارد والصادر، ورسائل فورية |
| Internet Spyware | تسجيل زمني لكل صفحات الويب المُزارة، يعمل في الخلفية بوضع تخفّي |
| Child-Monitoring Spyware | تتبّع نشاط الأطفال أونلاين وأوفلاين بوضع تخفّي كامل |
| Audio Spyware | برنامج مراقبة صوتية يسجّل الصوت عبر الحاسوب بدون صلاحيات إدارية |
| Video Spyware | مراقبة فيديو مجدولة عبر الكاميرا بدون علم المستخدم |
| Telephone/Cellphone Spyware | سجلّ المكالمات، الرسائل النصّية (حتى المحذوفة)، تاريخ المواقع، تتبّع GPS |
| GPS Spyware | تتبّع موقع الهاتف أو المركبة عبر GPS، وإرسال نقاط الموقع لبريد محدَّد |
أدوات: Spytech SpyAgent، Spyrix Personal Monitor، وأدوات تتبّع الهاتف زي mSpy، XNSPY، iKeyMonitor، ONESPY، Highster Mobile، وأدوات GPS زي SPYERA، Snoopza، MobiStealth، FlexiSPY، Mobile Tracker Free.
برامج مصمَّمة للوصول لحاسوب بدون اكتشاف — بتساعد المهاجم على الوصول غير المصرَّح به وتنفيذ أنشطة خبيثة. الهدف هو الحصول على صلاحيات Root، وبناء عملية دخول خلفية في نظام التشغيل تتجاوز عملية الدخول العادية.
| النوع | الوصف |
|---|---|
| Hypervisor-Level | يستغلّ ميزات عتاد (Intel VT، AMD-V) ويعمل في Ring-1 مستضيفًا نظام التشغيل كآلة افتراضية — يعترض كل نداءات العتاد |
| Hardware/Firmware | يستخدم Firmware الجهاز لإنشاء صورة برمجية خبيثة دائمة (هارد ديسك، BIOS، كرت شبكة) — نادرًا ما يُفحَص لسلامة الكود |
| Kernel-Level | يعمل في Ring-0 بأعلى صلاحيات نظام التشغيل — عبر Drivers أو Kernel Modules معدَّلة — صعب الكشف لأنه بنفس صلاحيات النظام |
| Boot-Loader-Level (Bootkit) | يعدّل أو يستبدل Boot Loader الشرعي — يُفعَّل قبل بدء نظام التشغيل، ويُسهّل اختراق مفاتيح التشفير وكلمات المرور |
| Memory (Volatile) Rootkits | يقيم فقط في ذاكرة RAM بدون أي أثر على القرص — أصعب كشفًا من الـ Rootkits التقليدية |
آلية العمل الأساسية: System Hooking — استبدال مؤشّر الدالة الأصلي بمؤشّر يوفّره الـ Rootkit بوضع تخفّي. Inline Function Hooking تقنية بتعدّل بايتات دالة داخل DLLs أساسية (kernel32.dll، ntdll.dll) بحيث أي استدعاء يمرّ بالـ Rootkit أولًا.
| الطريقة | الوصف |
|---|---|
| Integrity-Based Detection | إنشاء خط أساس (Baseline) من ملفات نظام نظيف (أدوات زي Tripwire وAIDE) ومقارنته باللقطة الحالية لإيجاد اختلافات |
| Signature-Based Detection | مقارنة خصائص العمليات والملفات بقاعدة بيانات بصمات Rootkits معروفة — فعّالية أقل لأن الـ Rootkit بيقاطع مسار تنفيذ أداة الكشف |
| Runtime Execution Path Profiling | مقارنة ملف تعريف مسار التنفيذ وقت التشغيل لكل العمليات — الـ Rootkit بيضيف كود جديد قرب مسار تنفيذ روتين معيّن فيخلخله |
| Alternative Trusted Medium | الطريقة الأكثر موثوقية على مستوى نظام التشغيل — إيقاف النظام المصاب وإقلاعه من وسيط موثوق بديل (USB قابل للإقلاع) ثم فحص التخزين |
نظام NTFS بيخزّن الملف بمساعدة Data Streams — واحد لوصف الأمان (الصلاحيات) وواحد للبيانات نفسها. ADS (Alternate Data Streams) نوع من Named Data Streams الإضافية داخل أي ملف — بتسمح بإدماج بيانات في ملفات موجودة من غير تغيير وظيفتها أو حجمها الظاهر، وبتتيح للمهاجم حقن كود خبيث وتنفيذه بدون اكتشاف المستخدم.
# إخفاء Trojan.exe داخل Readme.txt (stream)
type c:\Trojan.exe > c:\Readme.txt:Trojan.exe
# إنشاء اختصار (رابط) لتشغيل الملف المخفي من الـ Stream
mklink backdoor.exe Readme.txt:Trojan.exe
# تنفيذ البرنامج المخفي عبر الاختصار
backdoor.exe
الـ Notepad تطبيق متوافق مع ADS — ممكن تفتح Stream مخفي مباشرةً، مثلًا notepad sample.txt:secret.txt. لا يُنصح باستخدام Alternate Data Streams لتخزين معلومات حرجة.
تقنية إخفاء رسالة سرّية داخل رسالة عادية واستخراجها في الوجهة للحفاظ على سرّية البيانات — استخدام صورة كغطاء هو الأسلوب الأكثر شيوعًا. المهاجمون بيستخدموا Steganography لإخفاء قوائم سيرفرات مخترَقة، كود أدوات اختراق، أو خطط هجمات مستقبلية — حتى لما التشفير مش عملي، لأن الرسالة بتفضل مخفية حتى لو اتكتشف الملف.
| الفئة | التقنيات |
|---|---|
| Technical Steganography | Invisible Ink (حبر غير مرئي يظهر بالحرارة أو الضوء)، Microdots (نص أو صورة مصغَّرة لحجم نقطة)، طرق حاسوبية رقمية |
| Linguistic Steganography — Semagrams | Visual Semagrams (إخفاء في رسمة أو موسيقى)، Text Semagrams (تغيير حجم الخط أو إضافة مسافات) |
| Linguistic Steganography — Open Codes | Covered Ciphers بفرعيها Null Ciphers (خلط البيانات الحقيقية بين بيانات عديمة الفائدة) وGrille Ciphers (تشفير عبر ورقة مثقوبة) |
| التقنية | الوصف |
|---|---|
| Substitution Techniques | استبدال البتات غير المهمّة في الغطاء بالرسالة السرّية |
| Transform Domain Techniques | إخفاء المعلومات في أجزاء مهمّة من الصورة (قص، ضغط، معالجة صور) — أصعب في الاستهداف |
| Statistical Techniques | تعديل خصائص إحصائية للغطاء عند نقل بت معيّن، للتمييز بين الأغطية المعدَّلة وغير المعدَّلة |
| Spread Spectrum Techniques | إشارات اتصال تشغل Bandwidth أكبر من المطلوب — أقل عرضة للاعتراض والتشويش |
Image، Document، Folder، Video، Audio، Whitespace، Web، Spam/Email، Natural Text، Hidden OS، C++ Source-Code، Compressed Data.
أدوات: OpenStego (إخفاء بيانات وعلامات مائية غير مرئية لاكتشاف النسخ غير المصرَّح به)، StegoStick (إخفاء أي ملف داخل صورة أو صوت أو فيديو أو أي صيغة أخرى)، OmniHide PRO (إخفاء ملف سرّي داخل صورة/فيديو/موسيقى، مع حماية بكلمة مرور).
| الطريقة | الوصف |
|---|---|
| LSB Coding | إدراج رسالة ثنائية سرّية في أقل بت أهمية لكل عيّنة صوتية — يسمح بإخفاء كمية كبيرة من البيانات، لكن سهل الكشف عبر ضوضاء القناة وإعادة أخذ العيّنات |
| Tone Insertion | إدخال نغمات منخفضة الطاقة غير مسموعة وسط إشارة صوتية أعلى طاقة بكثير |
| Phase Encoding | استبدال مقطع صوتي أولي بطور مرجعي يمثّل البيانات — ترميز ناعم من حيث نسبة الإشارة للضوضاء |
العملية العكسية للـ Steganography — اكتشاف وجود معلومات مخفية في وسيط. المحلّل (Steganalyst) بيحاول كشف الرسائل المخفية داخل صور ونصوص وصوت وفيديو. ليها مرحلتان: الكشف (ملاحظة العلاقات بين أدوات Steganography والوسيط والرسالة) والتشويه (استخراج الرسالة المُدمَجة من Stego-Media).
| نوع الهجوم | المعلومات المتاحة للمحلّل |
|---|---|
| Stego-Only Attack | فقط وسيط الـ Stego — لازم يجرّب كل خوارزميات Steganography الممكنة |
| Known-Stego Attack | الخوارزمية + الكائن الأصلي والـ Stego معًا |
| Known-Message Attack | الرسالة ووسيط الـ Stego — يكشف التقنية المستخدَمة للإخفاء |
| Known-Cover Attack | كائن الـ Stego ووسيط الغطاء الأصلي — المقارنة تكشف التغييرات |
| Chosen-Stego Attack | كائن الـ Stego وأداة/خوارزمية الإخفاء المستخدَمة |
| Chi-Square Attack | تحليل احتمالي لاختبار هل الفرق بين بيانات الـ Stego والأصلية يساوي صفرًا تقريبًا (= لا توجد بيانات مُدمَجة) أم لا |
| Distinguishing Statistical Attack | تحليل الخوارزمية المُدمَجة لرصد تغيّرات إحصائية مميِّزة وطول البيانات المُدمَجة |
| Blind Classifier Attack | كاشف أعمى يتعلّم مظهر البيانات الأصلية من زوايا متعدّدة، ثم يُدرَّب مصنِّف لتمييز الفرق بين كائن الـ Stego والبيانات الأصلية |
| التقنية | الوصف |
|---|---|
| Windows Sticky Keys | استغلال ميزة Sticky Keys بعد تصعيد الصلاحيات (عبر bypassuac) باستخدام وحدة sticky_keys في Metasploit — الضغط على Shift خمس مرات بيفتح Command Prompt بصلاحيات SYSTEM |
| Registry Run Keys | استغلال خدمات مرتبطة بمفتاح Registry Run عند تسجيل دخول مستخدم مصرَّح — تعداد الصلاحيات عبر WinPEAS |
| Startup Folder | حقن تطبيقات خبيثة (RATs) في مجلّد Startup بحيث تُنفَّذ تلقائيًا عند تسجيل الدخول — فحص الصلاحيات عبر icacls أو accesschk.exe |
| Remote Code Execution + DPAPI | إنشاء مستخدم وهمي على DC عبر WMI (wmic /node:... process call create "net user /add ...") وإضافته لمجموعة Admins |
| Malicious Replication | تكرار بيانات حسّاسة زي krbtgt عبر خطوات DCSync لإنشاء نسخة مطابقة من بيانات المستخدم |
| Skeleton Key Attack | برمجية خبيثة مقيمة في الذاكرة بتحقن بيانات اعتماد مزيَّفة في DCs لإنشاء كلمة مرور خلفية رئيسية — يتطلّب صلاحيات DA ووصول للـ DC |
| Golden Ticket Attack | تزوير TGT عبر سرقة هاش KRBTGT (DCSync) ثم kerberos::golden بـ Mimikatz — سيطرة كاملة على الدومين بانتحال أي هوية |
| Silver Ticket Attack | تزوير TGS لخدمة واحدة فقط باستخدام هاش حساب خدمة محلي — بدون أي تواصل مع الـ DC |
| WMI Event Subscription | استغلال خاصية WMI Event Subscription لتنفيذ محتوى خبيث عند أحداث معيّنة، مع البقاء نشطًا حتى بعد إعادة التشغيل |
| Overpass-the-Hash (OPtH) | امتداد لـ Pass-the-Ticket/Pass-the-Hash — استخدام NTLM Hash مُستخرَج من LSASS لطلب TGT Kerberos وإعادة استخدامه للوصول لموارد الشبكة |
إخفاء الآثار (Covering Tracks) من أهم مراحل اختراق النظام — المهاجم بيحاول تجنّب الاكتشاف عبر إخفاء كل "الآثار" أو السجلّات المُولَّدة أثناء الوصول للشبكة أو الحاسوب المستهدَف. محو الأدلّة ضروري لأي مهاجم عايز يفضل غير مكتشَف — بيبدأ بمسح السجلّات الملوَّثة ورسائل الخطأ، وتعديل إعدادات النظام بحيث متسجّلش الأنشطة المستقبلية.
| التقنية | الوصف |
|---|---|
| Disabling Auditing | تعطيل ميزات التدقيق (Auditing) الخاصة بالنظام المستهدَف |
| Clearing Logs | مسح/حذف إدخالات سجلّ النظام المرتبطة بأنشطة المهاجم |
| Manipulating Logs | التلاعب بالسجلّات بحيث لا تدين المهاجم في أي إجراء قانوني لاحق |
| Covering Tracks on the Network | استخدام Reverse HTTP Shells، أنفاق ICMP عكسية، DNS Tunneling، ومعاملات TCP لإخفاء الآثار الشبكية |
| Deleting Files | استخدام أدوات سطر أوامر زي Cipher.exe لحذف البيانات بشكل يمنع استرجاعها لاحقًا |
| Disabling Windows Functionality | تعطيل وظائف زي Last Access Timestamp، Hibernation، Virtual Memory، ونقاط استعادة النظام |
| Hiding Artifacts | إخفاء الآثار الخبيثة داخل آثار نظام التشغيل الشرعية لتفادي الكشف |
# تفعيل التدقيق
auditpol /set /category:"system","account logon" /success:enable /failure:enable
# تعطيل التدقيق
auditpol /set /category:"system","account logon" /success:disable /failure:disable
# عرض إعدادات التدقيق الحالية
auditpol /get /category:*
clearev
# يمسح كل سجلّات Windows (Security, System, Application) عبر جلسة Meterpreter
# مسح سجلّ PowerShell كاملًا
Clear-EventLog "Windows PowerShell"
# مسح أنواع سجلّات محدَّدة من أنظمة محلية أو بعيدة
Clear-EventLog -LogName ODiag, OSession localhost, Server02
# مسح كل السجلّات المحدَّدة مع عرض قائمة السجلّات بعد المسح
Clear-EventLog -LogName application, system -confirm
أداة Clear_Event_Viewer_Logs.bat سكربت BAT بيمسح سجلّات الأمان والنظام والتطبيقات دفعة واحدة عبر صلاحيات إدارية.
تصفّح خاص، حذف سجلّ عنوان المتصفح، تعطيل تخزين السجلّ، حذف البيانات الخاصة، مسح الكوكيز والـ Cache عند الخروج، حذف التنزيلات، تعطيل مدير كلمات المرور ومسح بياناته، حذف الجلسات المحفوظة، وحذف JavaScript المخصَّص للمستخدم.
| التقنية | الوصف |
|---|---|
| Reverse HTTP Shells | تثبيت Shell عكسي بصيغة HTTP على جهاز الضحية يطلب أوامر من سيد خارجي بشكل دوري |
| Reverse ICMP Tunnels | استخدام حزم ICMP Echo/Reply كحاملات لبيانات TCP — يتجاوز قواعد الـ Firewall لأن أغلب المؤسسات بتفحص حركة ICMP الواردة فقط مش الصادرة |
| DNS Tunneling | ترميز محتوى خبيث داخل استعلامات وردود DNS، لإنشاء قناة خلفية (Backchannel) للوصول عن بُعد وتسريب بيانات حسّاسة |
# إخفاء SecretFile.txt خلف LegitFile.txt
type C:\SecretFile.txt >C:\LegitFile.txt:SecretFile.txt
# عرض الملف المخفي (محتاج تعرف اسمه)
more < C:\LegitFile.txt:SecretFile.txt
على UNIX/Linux، الملفات ممكن تتخفى بإضافة نقطة (.) قبل الاسم — بتُخزَّن عادةً في /dev و/tmp و/etc. لتفادي ظهور أمر فتح الملف في .bash_history، المهاجمون بيستخدموا export HISTSIZE=0.
أداة سطر أوامر مدمَجة في Windows لحذف البيانات بشكل آمن عبر الكتابة فوقها لمنع استرجاعها — بتساعد كمان في تشفير وفك تشفير بيانات على أقسام NTFS. الملفات الاحتياطية المُولَّدة أثناء التشفير ممكن تُستعاد بأدوات استرجاع البيانات لو لم تُحذَف بشكل آمن.
حذف سجلّ النشاط اللي بيسجّل الوصول للملفات واستخدام التطبيقات وتاريخ التصفّح — إخفاء هذه البيانات بيخفي وجود المهاجم وأنشطته على النظام المخترَق.
| التقنية | الوصف |
|---|---|
| Data/File Deletion | الحذف العادي بيترك البيانات في سلّة المحذوفات — المهاجم بيحذف أو يخفي البيانات الوصفية المرتبطة لمنع الاسترجاع |
| Password Protection | حماية الملفات بكلمة مرور وتشفيرها لمنع الهندسة العكسية واستخراج المعلومات وأدوات الاسترجاع |
| Data Hiding in File System Structures | استخدام $BadClus (ملف Sparse) أو Host-Protected Areas (HPA) أو DPA أو Slack Spaces لإخفاء بيانات غير مرئية للـ BIOS أو نظام التشغيل |
| Trail Obfuscation | حذف الأدلّة وإخفاء الآثار عبر التلاعب بالسجلّات، تزوير رؤوس البريد، تعديل الطوابع الزمنية، وتعديل رؤوس الملفات — أدوات زي Timestomp وTransmogrify |
| Minimizing Footprints | تنفيذ الهجوم بأقل أثر ممكن — هويات مسروقة، أجهزة افتراضية، بنية سحابية، عملات رقمية غير قابلة للتتبّع، وتشغيل النظام من Live USB |
| Access Anonymization | إخفاء البصمة الرقمية عبر Proxy Servers، خدمات التعمية، شبكة Tor، Traffic Padding، وقنوات اتصال مجهولة |
أدوات إخفاء الآثار: DBAN، Privacy Eraser Free، Wipe، BleachBit، east-tec Eraser.
استخدام المعلومات المجمَّعة في مراحل Footprinting والفحص والتعداد وتحليل الثغرات لتكسير كلمات المرور (Spraying، AS-REP Roasting، Kerberoasting) أو استغلال ثغرة Buffer Overflow أو ثغرة معروفة والحصول على أول Shell على النظام المستهدَف.
تحويل الوصول المحدود لصلاحيات إدارية أو SYSTEM عبر DLL Hijacking، استغلال خدمات مُهيَّأة بشكل خاطئ، تجاوز UAC، أو استغلال سياسة الدومين (DCSync، ADCS).
تثبيت Keyloggers أو Spyware أو Rootkits، إخفاؤها عبر NTFS ADS أو Steganography، وتأمين الاستمرارية عبر Golden/Silver Tickets، WMI Event Subscription، أو تعديل مفاتيح Registry للتشغيل التلقائي.
تعطيل التدقيق، مسح السجلّات (Security/System/Application/PowerShell)، إخفاء الحركة الشبكية عبر أنفاق DNS/ICMP، وتطبيق تقنيات Anti-Forensics لمنع أي تحقيق جنائي لاحق من تتبّع المصدر.
lsadump::dcsync /domain:<domain> /user:krbtgt
kerberos::golden /domain:<domain> /sid:<SID> /rc4:<KRBTGT_hash> /user:<user>
sekurlsa::logonpasswords
| الإكسبلويت | الاستخدام |
|---|---|
bypassuac | حقن عمليات أساسي |
bypassuac_injection | حقن DLL انعكاسي |
bypassuac_fodhelper | اختطاف مفتاح fodhelper |
bypassuac_comhijack | اختطاف معالج COM |
| الهدف | الأمر |
|---|---|
| تعطيل التدقيق | auditpol /set /category:"system" /success:disable /failure:disable |
| مسح كل سجلّات Windows (Meterpreter) | clearev |
| مسح سجلّ PowerShell | Clear-EventLog "Windows PowerShell" |
| تفريغ ضغطات المفاتيح (Meterpreter) | keyscan_start ← keyscan_dump ← keyscan_stop |
| المستوى | النوع |
|---|---|
| Ring -1 | Hypervisor-Level |
| Ring 0 | Kernel-Level |
| قبل إقلاع النظام | Boot-Loader-Level |
| ذاكرة فقط (RAM) | Memory (Volatile) |
الموديول ده ناقش بالتفصيل المراحل المختلفة لاختراق النظام — اكتساب الوصول، تصعيد الصلاحيات، الحفاظ على الوصول، وإخفاء الآثار. غطّى الأدوات والتقنيات المختلفة اللي بيستخدمها المهاجمون للوصول لنظام مستهدَف، وتصعيد صلاحياتهم. شرح تقنيات زي تنفيذ التطبيقات الخبيثة (Keyloggers، Spyware، Rootkits)، تلاعب NTFS Streams، وSteganography وSteganalysis، اللي بيستخدمها المهاجمون للحفاظ على وصول بعيد وسرقة معلومات حرجة. كمان فصّل التقنيات المختلفة لمحو كل أدلّة الاختراق من النظام المستهدَف.
اختراق النظام مش حدث واحد — هو سلسلة قرارات متتالية. كل مرحلة بتبني على نجاح اللي قبلها: وصول أولي ضعيف يفشل في التصعيد، وتصعيد ناجح بدون استمرارية بيضيع بإعادة تشغيل واحدة، واستمرارية بدون إخفاء آثار بتنكشف في أول مراجعة سجلّات. فهم السلسلة دي بالكامل — مش مرحلة واحدة بمعزل عن الباقي — هو اللي بيفرّق بين اختراق تجريبي واختراق فعلي يصمد قدام فريق استجابة الحوادث.
ركّز على الفرق بين Horizontal وVertical Privilege Escalation، أنواع Rootkits حسب مستوى التشغيل (Ring -1/0)، الفرق بين Golden وSilver Ticket، وأنواع هجمات Steganalysis الثمانية (خصوصًا Stego-Only وKnown-Cover). أسئلة السيناريو غالبًا بتربط بين أداة معيّنة (Mimikatz، Rubeus، Metasploit module) والتقنية اللي بتنفّذها.
نهاية نوتس الموديول السادس — System Hacking