الموديول ده بيغطي ثلاث محاور أساسية:
في كتير من مهمات اختبار الاختراق، الهدف بيكون تجاوز الدفاعات الخارجية للمؤسسة والوصول لوجود أولي (initial presence) جوه الشبكة الداخلية. تقليديًا، ده كان معناه فحص الأنظمة المكشوفة على الإنترنت واستغلال خدمات ضعيفة. دلوقتي، اختراق محيط الشبكة من خلال ثغرات تقنية بحتة بقى أصعب بكتير وأقل شيوعًا.
بيانات من جهات زي Verizon بتوضّح إن أساليب الهندسة الاجتماعية — وعلى رأسها الـ phishing — بقت من أكتر الطرق فعالية لدخول المهاجمين، وتيجي في المرتبة الثانية بعد هجمات بيانات الاعتماد (credential-based attacks) مباشرة.
حملات الـ phishing بتعتمد غالبًا على استغلال من جانب العميل (client-side exploitation). بدل ما المهاجم يهاجم السيرفرات مباشرة، بيبعت محتوى مُسلّح (weaponized) للموظفين.
لما المستخدم يفتح مرفق خبيث أو يزور رابط معدّ بعناية، المهاجم ممكن ياخد تنفيذ كود عن بعد على جهاز المستخدم، وده بيكوّن foothold جوه الشبكة.
الهجمات دي بتستهدف ثغرات في السوفت وير الشغّال على الـ endpoint، زي:
على عكس استغلال السيرفرات، النجاح هنا غالبًا بيعتمد على التلاعب بسلوك بشري — إقناع الهدف إنه يضغط، يفتح، يفعّل، أو يثبّت حاجة معينة.
عمليات الـ client-side بتوضّح إن البني آدمين ممكن يبقوا أضعف حلقة في أي نظام. المهاجمين الفعّالين بيدرسوا مش بس التكنولوجيا، لكن كمان:
فهم إزاي الموظفين بيتعاملوا مع الإيميلات والمستندات والعمليات الداخلية بيسمح للمهاجمين يصمّموا سيناريوهات قابلة للتصديق تتجاوز الشك.
أثناء التقييمات الأمنية المصرَّح بيها، الحدود الأخلاقية حاسمة. الغرض هو تقييم الوضع الأمني — مش ترهيب أو مضايقة الموظفين أو انتحال شخصية جهات رسمية. المختبرين المحترفين لازم يلتزموا بإرشادات قانونية وأخلاقية صارمة محدَّدة في نطاق المهمة (engagement scope).
أجهزة المستخدمين جوه البيئات المؤسسية عادةً بتكون:
بسبب العزلة دي، صعب نهاجمها عن بعد بالطرق التقليدية. متجهات الـ client-side بتتجاوز الحماية دي عن طريق خلّي المستخدم نفسه هو اللي بيبدأ الاتصال أو التنفيذ.
التهديدات دي دفعت تبني استراتيجيات دفاعية أحدث بتركّز على حماية الـ endpoint، تدريب توعية المستخدمين، والكشف السلوكي (behavioral detection).
المهاجمين بيستخدموا تقنيات متعددة لتوصيل محتوى خبيث، منها:
حتى مع فلترة الإيميل المتقدمة، المهاجمين باستمرار بيطوّروا تقنياتهم للتهرب من أنظمة الكشف.
توصيل محتوى خبيث عن طريق الإيميل بقى أصعب بسبب:
نتيجة لكده، المهاجمين غالبًا بيعدّلوا الـ payloads عشان تبان شرعية أو يستغلوا صيغ ملفات موثوقة.
قبل ما نختار طريقة هجوم، جمع استخبارات عن بيئة الهدف ضروري. المهاجم لازم يحدد:
مطابقة الـ payload مع بيئة الهدف بتزوّد احتمالية النجاح بشكل كبير. على سبيل المثال:
لو Microsoft Office موجود، المهاجمين ممكن يستخدموا مستندات فيها ماكروهات ضارة لتنفيذ كود بمجرد ما المستخدم يفعّل المحتوى.
قبل إطلاق أي عملية client-side أثناء اختبار الاختراق، أساسي نحدد مين أنسب الأهداف وإيه التكنولوجيا اللي بيستخدموها. كل ما الاستخبارات عن جهاز المستخدم وبيئة السوفت وير بتاعته كانت أدق، كل ما زادت احتمالية إن الـ payload الموصَّل يشتغل زي ما متوقَّع.
الخطوة الأولى هي اختيار أفراد جوه المؤسسة من المرجَّح إنهم يتفاعلوا مع تواصل خارجي. مصادر مفيدة لتحديد المستخدمين دول تشمل:
المصادر دي ممكن تكشف المناصب الوظيفية، المسؤوليات، صيغة الإيميلات، والهيكل الداخلي — كلها معلومات قيّمة لصياغة سيناريوهات قابلة للتصديق.
على عكس الفحص الفعّال للسيرفرات، استطلاع سيناريوهات الـ client-side غالبًا بيعتمد بشكل كبير على تقنيات سلبية مابتتفاعلش مباشرة مع جهاز الهدف. أمثلة:
النهج ده بيقلّل خطر الاكتشاف مع إنه بيوفّر استخبارات ذات معنى.
في اختبار الشبكات القياسي، المختبر عادةً بيتفاعل مباشرة مع أنظمة مكشوفة، وده بيسمح بعمل enumeration عبر الفحص والاستكشاف. في المقابل، مستخدمي الـ endpoint جوه الشبكة المؤسسية نادرًا ما بيكونوا متاحين من الخارج. فالاستطلاع هنا لازم يعتمد على طرق غير مباشرة واستنتاج.
بما إن مفيش قناة مباشرة للاستعلام عن جهاز الهدف، الإبداع بيبقى مهارة أساسية. المختبرين لازم يجمّعوا تلميحات صغيرة من مصادر متعددة عشان يبنوا بروفايل دقيق للبيئة.
Client Fingerprinting بيشير لتقنيات بتُستخدم عشان نستنتج تفاصيل عن إعدادات نظام المستخدم. ده ممكن يشمل تحديد:
1) نوع نظام التشغيل وإصداره 2) التطبيقات المثبَّتة 3) المتصفح والإضافات 4) سوفت وير الحماية
المعلومة دي بتساعد نتأكد إن أي payload أو سيناريو اختبار متجهّز متوافق مع بيئة الهدف. الـ fingerprinting يقدر يتحقق عن طريق تفاعلات متحكَّم فيها، محتوى ويب معدّ بعناية، أو تحليل إزاي النظام بيستجيب لعناصر معينة.
بما إن الـ enumeration التقني المباشر محدود، التقنيات اللي بتركّز على البشر غالبًا بتلعب دور مركزي. تواصل مصمَّم بعناية يقدر يشجّع المستخدمين يكشفوا معلومات من غير قصد، زي:
الطرق دي لازم تفضل دايمًا جوه النطاق القانوني والأخلاقي المحدَّد للتقييم.
في القسم ده، بنفحص تقنيات لاكتشاف إيه السوفت وير الموجود جوه مؤسسة الهدف من غير أي تواصل مباشر مع أنظمتها. الطرق دي قيّمة بشكل خاص لما مفيش طريقة آمنة أو مصرَّح بيها للتفاعل مع الأجهزة الداخلية. بما إن العملية سلبية بالكامل، بتقلّل فرصة تفعيل تنبيهات أمنية أو ترك أثر لنشاط الاستطلاع.
واحدة من أقوى التقنيات بتتضمّن تحليل metadata مدمَجة جوه ملفات نشرتها المؤسسة أونلاين. كتير من المستندات — زي PDF، ملفات Word، العروض التقديمية، والجداول — بتحتوي حقول وصفية مخفية بتتولّد تلقائيًا من السوفت وير اللي أنشأها.
رغم إن المؤسسات تقدر تشيل المعلومة دي، غالبًا بيتم تجاهلها. الـ metadata ممكن تكشف تفاصيل زي:
حتى لو بعض القيم مش مكتوبة صراحةً، أحيانًا ممكن تُستنتج من حقول مرتبطة. مجتمعة، التفاصيل دي بتساعد نبني صورة واقعية للتطبيقات والمنصات الشائع استخدامها عبر المؤسسة.
رغم إن الطريقة دي سرية (stealthy)، مش دايمًا دقيقة تمامًا: الملفات القديمة ممكن تعكس سوفت وير قديم، أقسام مختلفة ممكن تستخدم أدوات مختلفة، والمستندات ممكن تكون اتعدّلت على أجهزة متعددة. رغم القيود دي، تحليل الـ metadata بيفضل نقطة بداية قوية لعمل بروفايل لبيئة الهدف.
الملفات العامة غالبًا ممكن تتكتشف عن طريق استعلامات بحث موجَّهة — زي استخدام عوامل بحث متقدمة لتحديد صيغ ملفات معينة مستضافة على نطاق الشركة. تضييق النتائج بأسماء أقسام أو مواقع بيحسّن النتيجة أكتر.
لو التفاعل مع الموقع مسموح، أدوات directory enumeration زي Gobuster تقدر تُستخدم لتحديد الملفات حسب الامتداد. لكن النهج ده بيولّد ترافيك ملحوظ وممكن يتسجّل في أنظمة الهدف. البديل الأهدأ هو التصفح اليدوي — استكشاف أقسام التحميلات، صفحات الصحافة، أو مكتبات الموارد اللي المؤسسات عادةً بتنشر فيها المستندات.
تخيّل سيناريو فيه بروشور اتنزّل من موقع شركة. أداة forensic زي ExifTool تقدر تستخرج الـ metadata المدمجة من الملف. الخرج النموذجي ممكن يشمل: (1) طوابع زمنية توضّح حداثة المستند، (2) اسم الموظف اللي أنشأه، (3) التطبيق المستخدَم في التأليف، (4) معرّفات مستند فريدة.
عمر المستند — تواريخ الإنشاء والتعديل بتوضّح إذا كانت المعلومة بتعكس ممارسات حالية. الطوابع الزمنية الحديثة بتشير لإن البيانات على الأرجح ذات صلة.
تحديد الموظف — حقول المؤلف ممكن تكشف أفراد داخليين. معرفة أسماء محددة تساعد في بناء سيناريوهات تواصل قابلة للتصديق لأن الإشارة لموظفين حقيقيين بتزوّد المصداقية.
تلميحات السوفت وير والمنصة — لو الـ metadata بتوضّح إن المستند اتعمل بـ Microsoft PowerPoint من منظومة Microsoft Office، ده بيلمّح بقوة إن أدوات Office منتشرة جوه المؤسسة. غياب الإشارة لمنصات بديلة كمان ممكن يلمّح لنظام التشغيل المستخدَم.
الاستخبارات دي بتساعد نحدد أنهي تقنيات client-side ممكنة تقنيًا وعلى الأرجح هتنجح.
Client fingerprinting (بيتسمى كمان device fingerprinting) بيشير لتقنيات بتُستخدم عشان نحدد تفاصيل عن جهاز الهدف — زي نظام التشغيل، المتصفح، والبيئة — من غير وصول مباشر للشبكة الداخلية. النهج ده مفيد بشكل خاص لما بنحاول نؤسس وجود أولي أثناء اختبار اختراق مصرَّح بيه حيث الأجهزة الداخلية مش متاحة من الخارج.
قبل نشر أي تقنية client-side، حاسم نتأكد إن الطريقة المختارة هتشتغل على نظام الهدف. على سبيل المثال، بعض متجهات الهجوم بتشتغل بس على أنظمة تشغيل معينة أو بتعتمد على تطبيقات محددة مثبَّتة.
تخيّل إنك جمعت قبل كده إيميل موظف محتمل باستخدام أداة استطلاع زي theHarvester. ممكن تخطّط تبعت ملف مصمَّم عشان يتنفّذ جوه مكوّنات Windows معينة — مثلًا آليات مرتبطة تاريخيًا بمتصفحات زي Internet Explorer أو ميزات توافق قديمة جوه Microsoft Edge. لكن بعت محتوى كده من غير تأكيد البيئة بيحمل خطر فشل لو الهدف بيستخدم منصة مختلفة.
تقنية شائعة بتتضمّن بعت رابط معدّ بعناية للهدف بيجمع معلومات النظام بصمت لما يتفتح. خدمات زي Canarytokens بتولّد روابط فريدة فيها عناصر تتبّع مدمجة.
لما المستلم يضغط الرابط في متصفحه، الخدمة بتسجّل تفاصيل زي:
المعلومة دي بتسمح للمختبرين يتأكدوا إذا كانت بيئة الهدف متطابقة مع السيناريو المخطَّط.
إقناع حد إنه يفتح رابط مش طالبه محتاج قصة معقولة. السيناريو لازم يتماشى مع دور المستلم ومسؤولياته اليومية. مثلًا لو الهدف شغّال في المحاسبة، الرسالة ممكن تشير لتعارض في فاتورة وتوفّر رابط بيدّعي إنه بيعرض screenshot للمشكلة. لما الرابط يتفتح، نظام التتبّع بيلتقط تفاصيل الجهاز وهو بيعرض صفحة فاضية أو محتوى عام غير ضار للمستخدم.
تطوير سياق زي ده أساسي للمحاكاة الواقعية لأن الطلبات العشوائية غالبًا بتتجاهل.
بمجرد ما الرابط يتفتح، لوحة التتبّع عادةً بتعرض:
| العنصر | الوصف |
|---|---|
| مؤشرات الموقع | خريطة بتوضّح المصدر التقريبي للاتصال |
| معلومات الشبكة | عنوان IP واسم المؤسسة المحتمل المرتبط بالاتصال |
| User Agent String | نص بيبعته المتصفح تلقائيًا بيكشف تفاصيل النظام — مثلًا نظام Windows 64-bit بإصدار متصفح محدد. لكن القيمة دي ممكن تتغيّر، فمش دايمًا موثوقة بالكامل |
معلومات أدق تقدر تتجمع باستخدام سكربتات بتتنفّذ جوه المتصفح. السكربتات دي بتحلّل خصائص زي:
بما إن الخصائص دي أصعب تزويرها مجتمعة، بتوفّر دليل أقوى عن إعدادات الجهاز.
رموز التتبّع (tracking tokens) ممكن كمان تتضمّن جوه أنواع ملفات تانية، بتسمح بجمع بيانات لما الملف يتفتح أو يتشاف. الحوامل المحتملة تشمل: مستندات، ملفات PDF، صور، ومحتوى ويب. أدوات وخدمات تانية — زي Grabify أو مكتبات browser fingerprinting زي FingerprintJS — تقدر تخدم أغراض مشابهة.
الاستخبارات المجموعة بتحدد الخطوة الجاية:
مثلًا لو الهدف بيستخدم متصفح مختلف عن المطلوب، الرسالة ممكن تقترح إن المحتوى أفضل يتشاف بمتصفح معين.
Client fingerprinting بيوفّر طريقة منخفضة التفاعل لعمل بروفايل للأجهزة الداخلية من خارج الشبكة. فهم بيئة سوفت وير الهدف مُسبقًا بيسمح للمحترفين الأمنيين يصمّموا محاكاة دقيقة وواقعية مع تجنّب التقنيات غير الفعّالة. المرحلة دي خطوة تأسيسية في أي عملية client-side لأن النجاح غالبًا بيعتمد على التوافق بين المحتوى الموصَّل وإعدادات نظام الضحية.
Microsoft Office لسه واحد من أكتر المنصات استهدافًا لهجمات الـ client-side. انتشاره الواسع جوه المؤسسات واستخدامه المتكرر في التواصل الداخلي بيخليه وسيط مثالي لتوصيل محتوى خبيث.
حملات الـ ransomware بالذات غالبًا بتستغل مستندات Office فيها ماكروهات مدمجة عشان توصل لوصول أولي جوه الشبكة.
الماكروهات (Macros) هي سكربتات صغيرة مدمجة جوه مستندات Office وبتقدر تؤتمت مهام متكررة. رغم إنها مصمَّمة للإنتاجية، المهاجمين يقدروا يعيدوا استخدامها لتنفيذ كود عشوائي على جهاز المستخدم لما الماكرو يتفعّل.
بما إن المستخدمين غالبًا بيثقوا في مستندات من زملاء أو مصادر معروفة، الماكروهات الخبيثة بتمثّل متجه هجوم فعّال جدًا.
قبل صياغة ملف Office خبيث، مختبري الاختراق لازم ياخدوا بالهم من عوامل متعددة:
تحديد إصدار Office المثبَّت على نظام الهدف (مثلًا Office 2016، 2019، أو Microsoft 365). تحديد نظام التشغيل المستخدَم (Windows، macOS، ...إلخ)، بما إن الماكروهات بتتنفّذ بشكل مختلف عبر المنصات.
كتير من المؤسسات بتعطّل الماكروهات افتراضيًا أو بتفرض "Protected View". صياغة سياق مقنع ممكن يزوّد احتمالية إن المستخدم يفعّل الماكروهات.
طرق التوصيل الشائعة تشمل مرفقات إيميل، مشاركات شبكة، أو روابط تخزين سحابي. الهندسة الاجتماعية تقدر تُستخدم لإقناع المستلم إنه يفتح المستند ويفعّل الماكروهات.
تحديد النتيجة المرغوبة، زي وصول reverse shell، حصاد بيانات الاعتماد (credential harvesting)، أو استطلاع. التأكد إن الماكرو بينفّذ كود متوافق مع بيئة الهدف.
لأغراض الاختبار، ثبّت Microsoft Office على جهاز لاب متحكَّم فيه:
الاختبار بأمان: دايمًا نفّذ تشغيل الماكروهات جوه آلة افتراضية معزولة لتجنّب اختراق شبكة غير مقصود.
لصياغة مستند Word بينفّذ reverse shell:
.docm (macro-enabled)عشان تقنع هدف إنه يفعّل الماكروهات، المستند لازم يبان شرعي. السيناريوهات الشائعة تشمل: تقارير مالية، إعلانات موارد بشرية، ومخرجات مشروع (project deliverables).
كشف التحايل (Anti-Detection): بعض المؤسسات بتستخدم فحص ماكروهات أو أدوات endpoint detection. اختبر الـ payload بتاعك ضد الضوابط الأمنية عشان تفهم القيود الواقعية.
مرفقات الـ phishing التقليدية اللي بتعتمد على ماكروهات Office بقت مراقَبة بشكل كبير من أدوات الأمان الحديثة، فلاتر الإيميل، وبرامج توعية المستخدمين. بسبب كده، المهاجمين بشكل متزايد بيدوّروا على أنواع ملفات بديلة تبان غير ضارة لكن لسه بتسمح بتنفيذ كود.
واحد من الخيارات الأقل شهرة هو ملف Windows Library اللي بيستخدم امتداد .Library-ms. الملفات دي بتتصرف كمجموعات افتراضية (virtual collections) بتجمّع محتوى من مجلدات محلية، مشاركات شبكة، أو خدمات بعيدة، وبتعرضها جوه Windows Explorer كأنها مجلدات عادية. مظهرها البريء واستخدامها غير الشائع بيخليها آلية توصيل خفية في هجمات الـ client-side.
نهج الهجوم الشائع باستخدام ملفات Library بيتضمّن مرحلتين:
عشان يستضيف محتوى بعيد، المهاجم يقدر يعدّ سيرفر WebDAV، اللي بيسمح بالوصول للملفات عبر HTTP كأنها جزء من محرك شبكة. بعد إعداد المشاركة وحط الملفات جواها، المهاجم بينشئ ملف Library مكتوب بصيغة XML بيشير لعنوان WebDAV.
البنية الـ XML بتحدد metadata زي اسم المكتبة (library's name)، الأيقونة، قالب المجلد، والأهم من كده — الرابط البعيد (remote URL). لما الضحية يضغط دبل كليك على ملف Library، Windows Explorer بيتصل تلقائيًا بالموقع ده ويعرض محتواه بشفافية.
لتحفيز تنفيذ الكود، المهاجمين غالبًا بيضمّنوا ملف اختصار Windows (.lnk) جوه المجلد البعيد. ملفات الاختصار تقدر تشغّل برامج بمعطيات (arguments)، فممكن تتعدّ عشان تبدأ محرك سكربتات زي PowerShell وتجيب كود إضافي من سيرفر المهاجم.
التقنية دي بتتجنّب بعت ملفات executable مباشرة عن طريق الإيميل، اللي على الأرجح هيتمنع. بدلًا من كده، المكوّن الخبيث بيتجاب بس بعد ما الضحية يتفاعل مع الاختصار، وده بيقلّل فرصة الاكتشاف من دفاعات المحيط.
الهندسة الاجتماعية بتلعب دور حاسم في إقناع الضحية إنه يتفاعل مع الملفات. المهاجم ممكن ينتحل شخصية فريق الدعم الفني (IT staff) ويدّعي إن المرفق فيه أداة إعداد أو حزمة تحديث.
بمجرد ما الضحية يفتح ملف Library وبعدين الاختصار جواه، الأمر الخبيث بيتنفّذ، وممكن يؤسس جلسة عن بعد ترجع لجهاز المهاجم. من هناك، المهاجم بياخد foothold أولي يقدر يُستخدم لأنشطة إضافية جوه الشبكة.
التقنية دي بتوضّح إزاي ميزات Windows اللي تبان غير ضارة ممكن يُعاد استخدامها للهجوم. ملفات Library نفسها مابتحتويش كود خبيث؛ هي بس بتشير لمحتوى بعيد. لكن بربطها مع ملفات shortcut وتوصيل payload بعيد، المهاجم يقدر يتجاوز كتير من الدفاعات التقليدية. مع ما المؤسسات بتحسّن حماية الماكروهات وفحص المرفقات، تقنيات زي دي بتوضّح أهمية مراقبة أنواع الملفات غير الشائعة وتقييد الاتصالات التلقائية بمشاركات بعيدة غير موثوقة.
| الأداة | الاستخدام |
|---|---|
theHarvester | جمع إيميلات وأسماء نطاقات فرعية مرتبطة بالهدف من مصادر عامة |
ExifTool | استخراج metadata من مستندات منشورة (PDF, Office files) |
| Canarytokens | توليد روابط/ملفات تتبّع تكشف IP والمتصفح ونظام التشغيل |
| Grabify / FingerprintJS | بدائل لتتبّع وجمع بصمة الجهاز |
| # | الخطوة |
|---|---|
| 1 | تحديد إصدار Office ونظام التشغيل المستهدَف |
| 2 | تفعيل Developer tab ← VBA Editor |
| 3 | كتابة ماكرو بيستدعي PowerShell listener |
| 4 | حفظ الملف بصيغة .docm |
| 5 | اختبار داخل لاب معزول قبل أي استخدام فعلي |
| المكوّن | الدور |
|---|---|
.Library-ms | يوصّل Explorer تلقائيًا بمشاركة WebDAV بعيدة |
| WebDAV Server | يستضيف الملفات ويعرضها كأنها محرك شبكة عبر HTTP |
.lnk | شورت كت بيشغّل PowerShell بمعطيات لتنفيذ الكود البعيد |
متجهات الهجوم من جانب العميل غالبًا بتكون طريقة فعّالة للحصول على foothold أولي جوه شبكة داخلية غير قابلة للتوجيه (non-routable). هي خطيرة بشكل خاص لأنها بتستغل نقاط ضعف أو وظائف موجودة في سوفت وير العميل نفسه.
في الموديول ده، اتعلّمنا إزاي نجمع معلومات عن أهدافنا للتحضير لهجمات client-side. بعد كده استخدمنا ماكروهات Microsoft Office، ملفات Windows Library، وملفات الاختصار للحصول على تنفيذ كود واستقبال reverse shells.
مهم ندرك إن النجاح هنا بيعتمد بشكل كبير على جودة الاستطلاع والسياق الاجتماعي، مش بس التقنية نفسها. مختبرين الاختراق المفروض يهدفوا يدمجوا بين الاستخبارات السلبية الدقيقة وصياغة سيناريوهات قابلة للتصديق، مع الالتزام الصارم بنطاق المهمة وحدودها الأخلاقية.
نهاية نوتس الموديول التاسع — OSCP: Client-Side Attacks