من مفاهيم DoS وDDoS وBotnets، لفئات الهجمات الثلاث (Volumetric / Protocol / Application)، لـ 20+ تقنية هجوم من SYN Flood للـ Phlashing، وصولاً لآليات الكشف والتصدّي والحماية.
DoS Attack: هجوم على جهاز أو شبكة يقلَّل أو يمنع الوصول لموارد النظام للمستخدمين الشرعيين — من جهاز مهاجم واحد.
DDoS Attack: هجوم منسَّق واسع النطاق على توفَّر الخدمات — مُطلَق بشكل غير مباشر من خلال آلاف الأجهزة المخترقة (Botnets). الهدف الأول: الحصول على وصول إداري لأكبر عدد ممكن من الأجهزة.
أنواع هجمات DoS — أهداف الموارد
BBandwidth Attacks: إغراق الشبكة بحجم ترافيك ضخم لاستنفاد الـ Bandwidth وحرمان المستخدمين الشرعيين
CConnectivity Attacks: إغراق النظام بطلبات اتصال ضخمة لاستنفاد كل موارد الـ OS وتعطيل معالجة الطلبات الشرعية
كيف تعمل هجمات DDoS؟
Attacker → C&C → Zombies → Target: الهجوم المنسَّق يستحيل تتبُّعه لمصدره الحقيقي
01Botnets — البنية وطرق الانتشار
⬦ Botnet
Bot = برنامج لجمع البيانات أو تنفيذ مهام آلية. Botnet = شبكة ضخمة من الأجهزة المُصابة ببرمجيات خبيثة. Botnet صغير بـ 1,000 Bot عنده Bandwidth مشترك أكبر من معظم الأنظمة المؤسسية.
استخدام SOCKS Proxy للـ Spamming وجمع Email Addresses من صفحات الويب لإرسال Spam Emails.
Sniff
Traffic Sniffing
Packet Sniffer يراقب بيانات الترافيك — يسمح بسرقة Credit Cards وكلمات المرور. الـ Botnets ممكن حتى تسرق بعضها.
طرق الفحص للبحث عن أجهزة ضعيفة
الطريقة
الآلية
الخاصية
Random Scanning
الجهاز المصاب يفحص IP Addresses عشوائياً في نطاق الهدف
يولَّد ترافيك ضخم — يبطأ مع مرور الوقت
Hit-list Scanning
قائمة مُسبَقة بالأجهزة الضعيفة — تُقسَم نصفين بعد كل إصابة
انتشار أُسّي — الأسرع
Local Subnet Scanning
الجهاز المصاب يبحث في الشبكة المحلية خلف الـ Firewall
يُستخدَم مع أساليب أخرى
طرق انتشار الـ Malicious Code
1Central Source Propagation: المهاجم يضع Toolkit على مصدر مركزي — يُنقَل لكل جهاز ضعيف جديد عبر HTTP/FTP/RPC
2Back-chaining Propagation: الـ Toolkit على جهاز المهاجم — الجهاز المخترَق يتصَّل رجوعاً لتنزيله — يستخدم TFTP
3Mobile Botnets: أجهزة Android في App Stores الخارجية — APK files مرتبطة بـ Malicious Server — DDoS عبر الموبايل
02فئات هجمات DoS/DDoS الثلاث
الفئات الثلاث — كل واحدة تستهدف موردًا مختلفًا وتُقاس بوحدة مختلفة
★ CEH Exam — وحدات القياس
Volumetric = bps (Bits per Second) — استنفاد الـ Bandwidth. Protocol = pps / cps (Packets/Connections per Second) — استنفاد Connection State Tables. Application = rps (Requests per Second) — استنفاد App Resources.
03تقنيات الهجوم — 20+ Attack Technique
الهجمات الحجمية (Volumetric Attacks)
UDP Flood
UDP Flood Attack
إرسال UDP Packets مُزوَّرة بمعدَّل عالٍ لـ Random Ports على الخادم المستهدَف. الخادم يبحث باستمرار عن تطبيقات غير موجودة → ICMP "Destination Unreachable" يُعاد إرساله حتى تنضب الموارد.
ICMP Flood
ICMP Flood Attack
إرسال كميات ضخمة من ICMP Echo Requests للضحية مباشرةً أو عبر Reflection Networks → الضحية تُشبَع Bandwidth وتتوقف عن الرد على طلبات TCP/IP الشرعية.
PoD
Ping of Death
إرسال Packets بحجم 65,538 bytes (تتجاوز الحد المسموح RFC 791 وهو 65,535 bytes) → عملية إعادة التجميع (Reassembly) تسبَّب Crash. هوية المهاجم سهلة الإخفاء.
Smurf
Smurf Attack
المهاجم يُزوَّر Source IP بـ IP الضحية ويُرسَّل ICMP ECHO Requests لعنوان Broadcast → كل الأجهزة في الشبكة ترد للضحية (بسبب الـ IP المزوَّر) → فيضان ضخم يُعطَّل الجهاز.
Pulse Wave
Pulse Wave DDoS
نمط دوري — الهجوم بأمواج كل 10 دقائق تقريباً، كل موجة ≥ 300 Gbps لساعة أو أيام. صعب الاسترداد. يستنفد الـ Bandwidth بالكامل وقت كل موجة.
NTP Amp
NTP Amplification
Botnet بيُرسَّل UDP Packets بـ IP مُزوَّر (IP الضحية) لـ NTP Server بـ monlist مُفعَّل → NTP يرد بقائمة ضخمة لـ IP الضحية. الضحية تُغرَق بردود NTP غير مطلوبة.
bash — ntp amplification check
# فحص NTP Server للـ monlist
nmap -sU -pU:123 -Pn -n --script=ntp-monlist
# لو monlist مُفعَّل → NTP Server قابل للاستخدام في Amplification Attack
هجمات البروتوكول (Protocol Attacks)
⚙ SYN Flood — استغلال الـ Three-Way Handshake
الاتصال الطبيعي: Client → SYN → Server → SYN/ACK → Client → ACK → Connected ✓ SYN Flood: المهاجم يُرسَّل آلاف SYN Requests بـ Fake IPs → Server يُرسَّل SYN/ACK ويبقى ينتظر الـ ACK → Connection مفتوح غير مكتمل يشغل الـ Listening Queue → لا مجال لاتصالات جديدة.
SYN
SYN Flood
يستغل Three-Way Handshake — SYN Requests بـ Fake IPs → Half-open Connections تملأ Listening Queue → Server لا يقبل اتصالات جديدة.
SYN-ACK
SYN-ACK Flood
يستغل المرحلة الثانية من الـ Handshake — إرسال SYN-ACK Packets ضخمة للهدف لاستنفاد موارده.
ACK
ACK + PUSH ACK Flood
إرسال ACK وPUSH ACK Packets مُزوَّرة بكميات ضخمة → الجهاز المستهدَف يصبح غير فعَّال.
Frag
Fragmentation Attack
إرسال TCP/UDP Fragments ضخمة (1500+ bytes) — عادةً لا تُفحَص من Routers/Firewalls. إعادة التجميع تستنفد الموارد. المحتوى عشوائي لجعل الفحص أصعب.
Spoof
Spoofed Session Flood
إنشاء TCP Sessions وهمية بـ SYN+ACK+RST/FIN — يتجاوز الـ Firewalls ويستنفد الموارد. النوع Multi-ACK لا يستخدم SYN فيصعب اكتشافه بالـ Firewalls.
SACK
TCP SACK Panic
هجوم بعيد على Linux — SACK Packets بـ MSS = 48 bytes (أدنى قيمة) → يزيد TCP Segments للإعادة → Integer Overflow في SKB → Kernel Panic → DoS. يؤثر أيضاً على Containers وVMs.
هجمات طبقة التطبيق (Application Layer Attacks)
HTTP
HTTP GET/POST Flood
GET: Time-delayed HTTP Header يُبقي الاتصال مفتوحاً — Server ينتظر باقي الطلب الذي لا يأتي. POST: Body ناقص — Server ينتظر الباقي. Layer-7 — لا يحتاج Spoofing أو كثير من الـ Bandwidth.
Slowloris
Slowloris Attack
يُرسَّل HTTP Requests جزئية ويُبقيها مفتوحة بإرسال Headers بشكل بطيء — يستنفد كل الـ Connections المتاحة بدون إكمال أي طلب. فعَّال جداً بموارد قليلة.
UDP App
UDP App Layer Flood
بروتوكولات UDP على مستوى التطبيق: CHARGEN, SNMPv2, QOTD, TFTP, NetBIOS, NTP, VoIP, Steam Protocol, Quake Network Protocol.
RDDoS
DDoS Extortion / RDDoS
تهديد بـ DDoS + طلب فدية (Digital Currency). ممكن يُرفَق بـ Sample Attack حقيقي للإثبات. Email يحتوي Deadline وخيارات الدفع.
هجمات خاصة وهجمات متقدّمة
Multi-V
Multi-Vector Attack
تجميع Volumetric + Protocol + Application Layer في نفس الوقت أو بالتناوب لإرباك فريق الـ IT وتشتيت موارده.
P2P
Peer-to-Peer Attack
يستغل Bugs في P2P Servers وبروتوكول DC++ — يُوجَّه Clients للاتصال بموقع الضحية بدل بعضهم. لا يحتاج Botnets. سهل الكشف بالـ Signatures.
PDoS
Permanent DoS (Phlashing)
يستهدف الـ Hardware ويتلفه بشكل دائم — يتطلَّب استبدال أو إعادة تثبيت. يستغل Remote Admin Interfaces بـ Fake Firmware Updates. أسرع وأشد دماراً من DDoS.
DRDoS
Distributed Reflection DoS
يستخدم Reflectors (أجهزة غير مخترقة) — Zombies بيُرسَّلوا SYN بـ IP الضحية للـ Reflectors → Reflectors يُرسَّلوا SYN/ACK للضحية → صعب التتبَّع.
DRDoS — الهجوم عبر الـ Reflectors
DRDoS — الـ Reflectors (غير المخترقة) هي من يبدو أنها تهاجم الضحية مباشرة
04أدوات الهجوم — DoS/DDoS Toolkits
الأداة
الوظيفة
نوع الهجوم
LOIC (Low Orbit Ion Cannon)
TCP/UDP/HTTP Flood بسيطة — واجهة GUI سهلة
Volumetric / App
HOIC (High Orbit Ion Cannon)
HTTP Flood متطوَّرة — دعم Scripts للتخصيص
Application Layer
HULK
HTTP Unique Load King — يولَّد طلبات HTTP فريدة باستمرار
Application Layer
Slowloris
يُبقي الاتصالات HTTP مفتوحة ببطء — موارد قليلة جداً
Application Layer
UFONet
يستخدم Open Redirects و ZombieNet للـ DDoS
Application / Volumetric
ISB
HTTP, UDP, TCP, ICMP Floods — مع WHOIS/netstat/traceroute
All Categories
UltraDDoS-v2
GUI بسيطة — IP + Port + Packet Count → Launch
Volumetric
05الكشف والتصدّي والحماية
تقنيات الكشف
01
Activity Profiling
يبني Profile بناءً على متوسَّط معدَّل الـ Packets لكل Network Flow. يُنبَّه عند زيادة ملحوظة في Activity Levels أو ارتفاع عدد الـ Distinct Clusters (DDoS مُحتمَل).
02
Sequential Change-Point Detection
يُصفَّي بيانات الترافيك ويخزَّنها كـ Time Series. يستخدم خوارزمية Cusum لعزل التغيّرات في إحصاءات الترافيك. يكتشف أيضاً Scanning Activities للـ Network Worms.
03
Wavelet-Based Signal Analysis
يصف الـ Input Signal بـ Spectral Components. يحلَّل طاقة كل Spectral Window للكشف عن الـ Anomalies. يُصفَّي الـ Anomalous Traffic من الـ Background Noise.
استراتيجيات التصدّي
AAbsorbing (الامتصاص): استخدام طاقة إضافية لاستيعاب الهجوم — يحتاج تخطيط مسبَّق وموارد إضافية (تكلفة حتى بدون هجوم)
DDegrading (التدهور التدريجي): الحفاظ على الخدمات الحرجة فقط أثناء الهجوم وتعطيل الغير ضرورية
SShutting Down (الإغلاق): إغلاق كل الخدمات حتى يتوقَّف الهجوم — الملاذ الأخير عندما لا يوجد خيار آخر
تقنيات الدفاع ضد الـ Botnets
التقنية
الآلية
RFC 3704 Filtering
Basic ACL Filter يحجب الترافيك بـ Spoofed Addresses. يستخدم "Bogon List" — IPs غير مُخصَّصة أو محجوزة تُحذَف فوراً
Cisco IPS Source IP Reputation
Cisco SensorBase Network — معلومات عن Botnets وMalware وDark Nets. Cisco Global Correlation يُعيَّن درجة Threat لكل IP
Black Hole Filtering
Network Nodes تحذف الترافيك الوارد بدون إعلام المصدر — فعَّال ضد الـ Botnets
TCP SYN Cookie Protection
الـ Server لا يخصَّص موارد للـ Half-open Connections — مقاومة لـ SYN Flood
الحماية على مستوى الـ ISP
📌 ISP-Level Protection
معظم ISPs بيحجبوا كل الطلبات أثناء DDoS — حتى الشرعية منها. In-the-Cloud DDoS Protection يُعيَّد توجيه الترافيك للـ ISP أثناء الهجوم. المسؤولون يطلبون من الـ ISP حجب الـ IP المُصاب وتحويل الموقع لـ IP جديد بعد DNS Propagation.
Post-Attack Forensics
1Traffic Pattern Analysis: تحليل بيانات ما بعد الهجوم لتحديد خصائص الترافيك المهاجم وتحسين Load Balancing وFiltering
2Packet Traceback: تتبُّع الـ Attack Traffic عكسياً لمصدره الحقيقي → حجب الهجمات المستقبلية
3Event Log Analysis: Logs من Honeypots والـ Firewalls والـ Packet Sniffers لدعم التحقيق الجنائي وتطبيق القانون
Multi-layered Protection — Behavioral Baseline + Auto-generated Signatures + Advanced Challenge/Response. يحجب مجموعة واسعة من الهجمات.
A10
A10 Thunder TPS
Threat Protection System — يكتشف ويحجب DDoS وهجمات خارجية قبل تصعيدها. Scalable Protection مع تقليل Security OpEx.
Anti
Anti DDoS Guardian
يراقب كل Incoming/Outgoing Packet في Real-Time. يحمي IIS, Apache, Mail, FTP, VoIP/SIP Servers. يعرض Remote Address لكل Network Flow.
Cheat Sheet مرجعي
مرجع سريع — كل تقنيات الهجوم
الهجوم
الفئة
الآلية الأساسية
ما يُميَّزه
UDP Flood
Volumetric
UDP عشوائي لـ Random Ports
ICMP Unreachable يُعاد للمصدر
ICMP Flood
Volumetric
ICMP Echo Requests ضخمة
Bandwidth Saturation
Ping of Death
Volumetric
Packets > 65,535 bytes
Reassembly يُسبَّب Crash
Smurf
Volumetric
ICMP Broadcast بـ IP مُزوَّر
كل الشبكة ترد للضحية
Pulse Wave
Volumetric
أمواج دورية كل 10 دقائق
≥ 300 Gbps لكل موجة
NTP Amplification
Volumetric
monlist + Spoofed IP
Amplification Factor ضخم
SYN Flood
Protocol
Half-open TCP Connections
Listening Queue ممتلئة
Fragmentation
Protocol
TCP/UDP Fragments كبيرة
Reassembly يستنفد الموارد
Spoofed Session
Protocol
Fake TCP Sessions
يتجاوز SYN Packet Filters
TCP SACK Panic
Protocol
MSS = 48 bytes
Linux Kernel Panic
HTTP GET/POST
Application
Time-delayed Headers/Body
Layer-7 — لا يحتاج Spoofing
Slowloris
Application
Partial HTTP Requests
موارد قليلة جداً
Multi-Vector
Combined
تجميع Volumetric+Protocol+App
يربك فريق الـ IT
Peer-to-Peer
Special
DC++ Protocol Bugs
لا يحتاج Botnets
PDoS (Phlashing)
Special
Fake Firmware Updates
Hardware Damage دائم
DRDoS
Reflection
Reflectors + Spoofed IP
صعب تتبُّع المهاجم
RDDoS Extortion
Application
Ransom + Sample Attack
Digital Currency Payment
الدفاع — ملخَّص الاستراتيجيات
المشكلة
الحل
الأداة/الأسلوب
SYN Flood
TCP SYN Cookie Protection
Cisco IOS TCP Intercept
Spoofed Source IPs
RFC 3704 Filtering / Bogon List
ACL على الـ Router/Firewall
Reflection Attacks
Block port 123/53/161 inbound من Service Ports
Ingress Filtering
Botnet Traffic
IP Reputation Filtering
Cisco IPS / SensorBase
Eavesdropping
WPA2/WPA3 + AES 256
Strong Encryption
Kernel Vulnerabilities
تحديث الـ Kernel للأحدث
Patch Management
High-Volume Attack
Black Hole Filtering
Discard without Notification
NTP Amplification
تعطيل monlist
ntp-monlist NSE script للفحص
الخلاصة العامة للموديول
الموديول ده غطّى هجمات الـ DoS/DDoS من المفاهيم الأساسية والـ Botnet Ecosystem، لـ 20+ تقنية هجوم تنتمي لثلاث فئات رئيسية، وصولاً لآليات الكشف والتصدّي والأدوات المتخصَّصة.
$ cat ./module10_summary.txt
DoS = هجوم فردي. DDoS = هجوم منسَّق من Botnets — الهدف الأول: الوصول الإداري لأكبر عدد من الأجهزة
Botnet صغير بـ 1,000 جهاز عنده Bandwidth أكبر من معظم المؤسسات
Hit-list Scanning أسرع أساليب انتشار الـ Malware — عدد الأجهزة المُصابة يتضاعف أُسّياً
Volumetric = bps | Protocol = pps/cps | Application = rps — كل فئة تستهدف موردًا مختلفًا
TCP SACK Panic = MSS:48 → Integer Overflow → Linux Kernel Panic → DoS
RFC 3704 + Bogon List + TCP SYN Cookies + Black Hole Filtering = الدفاع الأساسي
DDoS مش هجوم تقني بحت — هو هجوم على التوافر (Availability) كأحد أعمدة CIA Triad. الاستعداد المسبَّق (Absorbing + ISP-level Protection + Forensics Plan) هو الفرق بين دقائق التعطَّل وأيام.