مدونة النمر المصري

تطور الفيروسات وتزايد خطورتها مع خبير أمن المعلومات ميكوهيبونين

2011-08-08T07:22:00.000-07:00

الهندسة الاجتماعية فن اختراق العقول!!

2011-01-08T16:40:00.000-08:00

تحدثنا في المرة السابقة عن احد الهجمات الشهيرة في الهندسة الاجتماعية هجوم Evil Twin هذه المرة سنتحدث بشكل مفصل أكثر عن الهندسة الاجتماعية وبشكل خاص سنركز على المبادئ والاساسيات التي تعتمد على اساليب سيكولوجية لمهاجمة واختراق عقل الشخص المستهدف.
______
_____

مقدمة:

إلى أي مدى وصل تعقيد فكر الإنسان والى أي مدى قد يصل ذكاء المهاجم الذي يعتمد على الهندسة الاجتماعية لفك هذا التعقيد؟
عزيزي أنا لاأتحدث هنا عن شخص هنا يتمتع ببعض مهارات الاحتيال من خلال خبرة اكتسبها مع مرور الوقت والتعامل مع المجتمع لابالطبع فشخص كهذا مع احترامي اعتبره ساذج بل ساذج جدا بل لايوجد مقارنة أصلا بين شخص يعتمد على الخبرة فقط وشخص يعتمد على العلم والخبرة معا لاختراق الانظمة البشرية.
إنني أتحدث هنا عن شخص بنظرة في عينيك يعرف ماهو شعورك ومالذي تفكر فيه شخص يملك من الذكاء مايكفي لابقاءك تحت السيطرة ودون ان تشعر تماما .
سوف نتحدث عزيزي اليوم عن اساليب للتخطيط واستخراج المعلومات وقراءة الافكار وزراعتها أيضا في عقل الهدف!!
_______________

كيف يعمل نظام الإنسان؟

نظام وتركيب وطريقة عمل الانسان مشابهة جدا لعمل الحاسوب لكن طبعا انظمة البشر معقدة جدا ومتطورة جدا جدا جدا.
فالحاسب يحتاج للغة خاصة "لغة الآلة" ليفهم ماتريده منه وكذلك نظام الانسان فنظام الانسان لايفهم إلا مايسمى بالاكواد او الاشارات العصبية Neuronal code هذا مثال بسيط على وجه التشابه بين الحاسوب والإنسان.
يتكون نظام الانسان من 3 طبقات:

أولا طبقة المستقبلات العصبية:"الوعي"

هذه الطبقة هي المسؤولة عن استقبال جميع المؤثرات من البيئة الخارجية والتي تشمل المؤثرات الفزيائية كالسمعية والبصرية اوالمؤثرات الحسية كاللمس ودرجة الحرارة أو الكيميائية كالرائحة وغيرها من المؤثرات التي تحيط بنا.
جميع هذه المؤثرات والتي تستقبلها المستقبلات الخاصة بها تشكل بالنسبة لنا مايسمى بالوعي والوعي هو جميع البينات الداخلة لنا عبر هذه المستقبلات .
مشكلة هذه الطبقة أنها تعتبر وسيلة اتصال مع من حولنا من الاشخاص وهذا يعني ان اي شخص يستطيع ارسال بينات لنا وبغض النظر عن هيئة البينات يمكننا تمرير مانريد من افكار من خلالها للتلاعب بعقل من أمامنا عموما لاحقا سيتضح ماأقصده أكثر.

ثانيا: طبقة الألياف العصبية:"أنابيب الطاقة "

هذه الطبقة هي حلقة الوصل بين هذه الطبقة الأولى والثالثة حيث يتم ارسال الأوامر من خلالها.

ثالثا:طبقة النواة المركزية:"الجهاز العصبي المركزي"

هذه الطبقة تشبه في عملها طبقة الkernel في انظمة الحاسوب وهي الطبقة التي تربط بين الطبقة الاخيرة في أنظم التحكم الانسانية وبين باقي الطبقات الأخرى .
اهم عضو في هذه الطبقة بالطبع هو العقل والذي ينقسم من حيث تعامله مع الواقع الى قسمين
العقل الواعي والعقل الباطن subconious حيث العقل الواعي هو الذي يتصل مع واقعنا الملموس
حيث يقوم بفلترة جميع الافكار ومن ثم يمررها للعقل الباطن حيث يقوم بتخزين تلك الأفكار هناك

_________________

تناسق وتناسب عمل الطبقات معا
تقوم جميع الطبقات التي تحدثت عنها بالعمل جنبا الى جنب بشكل متناسق وحتى تضح الصورة اكثر سوف اعطي مثال بسيط وليكن المثال على المحادثات التي نجريهها فيما بيننا طوال الوقت .
اولا نسأل انفسنا مالذي يحدث عندما نتحدث مع احدهم؟
طبعا مايحدث هو انك تمرر بينات بانواع مختلفة فانت تمرر بينات صوتية"الكلام"وبصرية أيضا الا اذا كان اللي تتحدث معه أعمى^_^وتستقبل هذه البينات الطبقة الأولى طبقة المستقبلات العصبية ثم تقوم هذه المستقبلات بتحويل هذه البينات الى اشارات واكواد عصبية يتم نقلها عبر الطبقة الثانية طبقة الالياف العصبية ثم تصل البينات الى طبقة الجهاز العصبي المركزي"المخ والحبل الشوكي"والذي يقوم بترجمة هذه الاشارات البينات مثلا في العقل الباطن "لاتقلق سنتحدث لاحقا عن العقل الباطن".
________________
العقل الباطن
ماهو العقل الباطن؟
تستطيع أن تقول العقل الباطن او اللاواعي هو مجموعة من البينات المترسبة في اللاوعي للانسان وتشمل هذه البينات الكثير من الأمور كأحداث معينة قد تكون محزنة مثلا اوحتى
مشاعر معينة تجاه اشخاص آخرين والعادات والتقاليد التي تربيت عليها بمعنى اخر نستطيع أن نقول الامور التي اصبحت تلقائيا تقوم بعملها دون أن تشعر ومجموع هذه البينات تشكل بالطبع شخصيتك وخبراتك في هذه الحياة.
_________________________

Human OS Hacking methodology

في هذه الفقرة ساحاول ان اذكر الاساليب الرئيسية لاقتحام عقل الهدف.

أولا:استخراج المعلومات

أول خطوة نقوم بها لاختبار اختراق أنظمة الحاسوب هي جمع واستخراج المعلومات وكذلك انظمة البشر لابد أن نجمع عن نظام الشخص المستهدف أكبر قدر من المعلومات المتاحة لنا حتى نجد المنفذ المناسب الذي نستطيع من خلاله الدخول لعقل النظام الهدف.

كيف نحلل الشخص المستهدف؟

هناك اساليب عديدة لتحليل شخصية الهدف وقراءة عقليته والتعرف على كيفية تعامله مع الامور طبعا هذه الاساليب تعتمد بشكل اساسي
على فكرة اساسية وهي ان رغم تنوع عقليات البشر الا اننا جميعا نشترك في صفات مشتركة جميعنا نمرض جميعنا نحزن جميعا نغضب جميعنا جميعنا نحب ونكره لكن السؤال المهم مالذي نستطيع استخراجه من هذه الصفات ان هذه الصفات هي بمثابة المنافذ التي من خلالها نستطيع ايجاد ثغرة في نظام الشخص المستهدف عموما سوف نتطرق الآن لبعض اساليب التحليل:

التحليل بالاعتماد على الهيئة الفزيائية للشخص:"شكل الشخص "

إن الهيئة الخارجية للشخص تعطينا كثير من المعلومات ولكن هذا يعتمدبشكل كبير على خبرتك العلمية بشكل كبير نعم واخصص كلامي واقول علمية فمثلا اذا كانت لديك معلومات جيدة في المجال الطبي فهذا سيمكنك مثلا من تشخيص بعض الامراض التي قد تكون مصيبة لهذا الشخص مثلا قد تستطيع من خلال نظرة ان تعرف ان هذا الشخص عنده مشكلة في هرمونات الغدة الدرقية ولنفرض ان هذه الهرمونات زائدة عن حدها الطبيعي هذا سوف يعطينا كثير من المعلومات فزيادة هذه الهرمونات هي السبب الرئيسي الذي تجعل هذا الشخص نحيف وايضا زيادتها تؤدي لزيادة انتاج الطاقة بسبب زيادة عمليات الايض في الخلايا وهذه الطاقة الزائدة تجعل هذا الشخص نشيط زيادة عن الحد مما يجعله عصبي نوعا ما هل رأيت كم المعلومات التي قد تستخرجها بسهولة من شكل الشخص فقد عرفت من شكل الشخص وبنظرة انه عصبي وكثير من المعلومات الفسيولوجية عنه مما سيجعلك عندما تتعامل معه ستاخذ حذرك من هذه الامور وتضعها في الحسبان حسنا انا اعلم أنك تقول ولكن هكذا سوف اضطر لان اتعلم الكثير والكثير والامر ليس بالسهل كما ذكرت
سوف اقول لك نعم ومن قال ان الموضوع سهل بالتأكيد فن السيطرة على الارادة للبشر هو فن صعب وهذا ماقلته في البداية فلاتنسى انك لاتتعامل هنا مع نظام وندوز او لينوكس او اي نظام حاسوب انت تتعامل مع نظام متطور جدا يحوي احدث التقنيات التي وجدت في هذا الكون.

التحليل من خلال التلاعب في النمط اللغوي:"hypnotic language"

إن اللغة ماهي إلا اداة ووسيلة للتعبير عن افكارنا بشكل مفهوم وهذه اللغة مكونة من كلمات وهذه الكلمات ماهي إلا اوامر تفهمها عقولنا جيدا وهي في النهاية ايضا مجرد بينات تصل الى النواة المركزية بنظامنا على شكل اشارات عصبية وتقوم طبقة النواة المركزية بترجمتها ومن الطبيعي انه اذا تلاعبنا في هذه البينات سنتلاعب في الاستجابة التي ستحدث نتيجة لترجمة هذه الاوامر!!
كيف؟!!
حتى يتوضح أكثر ما أقصده ربما يجدر بي اعطاء مثال والحقيقة ان الامثلة في حياتنا اليومية كثيرة جدا
مثلا يمكنني بكل سهولة أن اقترح على احد اصدقائي الذهاب الى العشاء وفي هذه الحالة سوف يفكر هل سوف اذهب للعشاء أم لا ؟
بينما ان صغت الجملة بطريقة اخرى مثلا هكذا:
هل تريد العشاء قبل ان نذهب للسينما او بعد؟!
الحقيقة تبدوا الجملتين متشابهتين فكلاهما الهدف منهم ان أتعشى مع صديقي ^_^
لكن في الحقيقة هناك اختلاف واضح اذا دققت جيدا في الجملة الأولى سألته إن كان يريد أن يتعشى في هذه الحالة عقل صديقي سوف يأخذ هذه المسألة على أنها سؤال إن كان فعلا يريد أن يتعشى ام لا؟
بينما في السؤال الآخر انا لم اعطيه الخيار لكي يتعشى وان كان ظاهر من السؤال انه كذلك لكن في الحقيقة اعطيته خيار آخر وهو انه سيتعشى فعلا لكن هل تريدها قبل او بعد أن ندخل للسينما؟! بمعنى آخر العشاء لم يصبح قضية اختيارية الآن.
بالطبع هذا المثال بسيط وانا واثق انك تحدث نفسك الآن قائلا في الحقيقة نحن احيانا نستخدم هذه الاساليب كثيرا في حياتناوسوف اجيبك قائلا نعم نحن نستخدم اساليب متشابهة للتلاعب بالكلام تلقائيا ودون شعور ولكن الفرق هنا انك في الحالة الأولى لم تكن تعلم مدى قوة هذا الاسلوب اما الآن فنحن نعرف ^_^.
طبعا في المثال الذي ذكرته بامكان صديقي رغم تلاعبي بالكلام ان يرفض فكرة العشاء من الأساس ولكن ماتزال محاولتي محاولة ناجحة حيث اني قدمت قضية خيارية اخرى بدل قضية العشاء لصديقي لكي يفكر بها طبعا هذا مثال بسيط جدا لحقن الافكار داخل الكلام والتأثير على الإرادة.

تحليل حركة العين:

العين تلك الشيء الفريد والذي بمجرد النظر اليها تعطينا ايحاء عن الشخص الذي امامنا
فكم مرة نظرت الى شخص اول مرة تراه وينتابك هذا الشعور الغير مبرر ان عيون هذا الشخص تخفي
من الاشياء مايجعلك تكون حذرا معه حقا ان العيون هي بوابة العقل والروح.
الحقيقة اجريت كثير من الدراسات للعيون وربما ابرز الدراسات التي تهمنا
في هذا المقال الدراسات والنظريات التي تطرحها البرمجة اللغوية العصبية NLP
انظر للصورة التالية:

الصورة السابقة توضح بعض التفسيرات التي وضعت بناء على دراسة فسيولوجية لحركة العين ووضع تفسيرات لها
طبعا هذا الاسلوب يستخدم في كثير من الامور ولعل اشهر الامثلة على استخدام هذه الاساليب الاستجوابات التي تجريها المباحث الفدرالية FBI .
ومن النموذج الموضوح بالصورة نرى مثلا ان الشخص الذي ينظر للاعلى تجاه اليمين نجد ان الصورة توضح انه في هذه الحالة غالبا الاشياءالتي يقولها شخص هي من تأليف خياله أي أنه يكذب واذا كان ينظر للاعلى في اتجاه اليسار معنى هذا انه يتذكر ذكريات ويتخيلها بشكل مرئي وهذا مانسميه بالvisual memory .
عموما هذا الاسلوب كما ذكرت يستخدم في كثير من الامور كالتحقيقات والاستجوبات الجنائية او في العلاج النفسي حتى وهو مفيد جدا في التحليل وتحديد مصداقية الشخص بدرجة عالية من الدقة.
_____________________

أمثلة على أساليب الهجوم :

أولا:التأثير على الإرادة بالإيحاء:

ماهو الايحاء؟
الايحاء ببساطة هو تمرير اقتراح او فكرة معينة للعقل الواعي باسلوب معين ليقوم بتصديقها العقل اللاواعي subconcious

التأثيرعلى الإراداة بالضغط النفسي:

حتى يتوضح مقصدي في هذه الفقرة يجدر بي أن أسألك سؤال كم مرة كنت تعتقد أنك على صواب في نقاش معين ومع ذلك تجد ان الذين يناقشوك يحاولون اقناعك بأنك مخطئ لدرجة أنك شعرت أنك بالفعل مخطئ رغم ان الحجج التي يتكلمون بها ليست قوية ولاتدعم رأيهم
هذا مايسمى بالضغط النفسي فالذين يناقشوك يحاولون من خلال الضغط عليك بانهم جميعامتفقون على انهم صواب وانك انت المخطئ
وبالتالي تشعر انت بانك شاذ عن المجموعة وهذا لأن العقل الواعي قام بتصديق انهم على صواب وبالتالي قام العقل الواعي بتمرير هذه الفكرة الى عقلك اللاواعي وترسيخها هناك .

السؤال الإيحائي:"leading question"

السؤال الايحائي هوببساطة سؤال يحتوي الاجابة!!

كيف؟!!

لاجابة هذا السؤال اليك المثال التالي:
احد اصدقائي قريبه التحق معنا بكلية الطب هذه السنة وكان قريبه يريد شراء جمجمة طبعا تستطيع في الكلية شراء جمجمة طبيعية او جمجمة مصنوعة من البلاستيك وبالطبع الجمجمة الطبيعة افضل للدراسة ولكنها غالية.
صديقي كان يريد اقناع قريبه بشراء الجمجمة البلاستيكية فسأل قريبه هذا السؤال
هل تريد شراء الجمجمة البلاستيكية او جمجمة طبيعية مع العلم ان الجمجمة الطبيعية افضل للدراسة ولكنها اغلى ومع الوقت تخرج رائعة
والبلاستسيكية اقل في الجودة ولكن جيدة للدراسة واقل في السعر فايهم تريد شرائه؟؟
^_^ أعتقد الاجابة منطقيا واضحة سوف يشتري قريبه الجمجمة البلاستيكية .
بالطبع ماقاله صديقي عن الجمجمة البلاستيكية والجمجمة الطبيعية صحيح ولكن بالطبع الجمجمة الطبيعة لاتخرج رائحة مع الوقت^_^.
عندما تركز في المثال سوف تلاحظ ان صديقي يبدوا ظاهريا قام باعطاء قريبه سؤال وهو حر في مايشتري لكن بالتأكيد صديقي لم يعطي قريبه سؤال بل أعطاه الإجابة^_^ وهذا مانسميه بالسؤال الإيحائي.

التنويم الايحائي:Hypnosis

هو إيصال الذهن إلى حالة من الهدوء والاسترخاء بحيث يكون الذهن فيها قابل بشكل كبير للإقتراحات والإيحاءات.
يستخدم التنويم الايحائي في كثير من الأمور كالعلاج بخط الزمن وتحسين الحالة النفسية للإنسان وتحسين النواحي الإبداعية في الشخصية .
عموما اذا كنت ركزت أخي في التعريف الذي وضعته للتنويم الإيحائي يجب أن يكون ذهن الإنسان فيها قابل أصلا للتنويم او إرخاء الوعي أي أننا لن نجبره لابد أن يكون مقتنع بما يفعله وبالتالي اذا استطعنا
أن نقنعه بطريقة واسلوب ماسوف ينفذ بالفعل مانطلبه والحقيقة أن هناك أساليب كثيرة للإقناع ولعل أغلب من قرأ أو شاهد تجربة للتنويم الإيحائي يجد مثلا أن الشخص الذي يقوم بالتنويم الإيحائي يستخدم موسيقى اثناء التنويم وذلك لأن الموسيقى لها تأثير على الحالة للنفسية للإنسان فكم مرة تسمع موسيقى معينة وتشرع بالحزن وأخرى تشعر بالتفاؤل والحماس وإذا استطعنا التأثير في الحالة النفسية للإنسان عندها سنؤثر في طريقة تفكيره وبالتالي من السهل اقناعه والتأثير على إقناعه
والحقيقة إني استخدم هذا الأسلوب عندما اريد اقناع احد الاشخاص بشئ ما أحيانا فإخذه لمكان يقوم بتشغيل موسيقى مناسبة للموضوع الذي نتكلم فيه ^_^.
عموما لن أتعمق اكثر من هذا في فقرة التنويم الايحائي او في أساليب الإيحاء بشكل عام لأن الإيحاء موضوع كبير ولايكفي مقال مكون من عدة سطور وصفحات لتفصيله.

ثانيا:زراعة الأفكار

هو ادخال فكرة للاوعي للشخص بحيث تكون فكرة ثابتة عنده يتعامل من خلالها .
الحقيقة زراعة الإفكار تعد أحد أخبث الأساليب لاختراق العقول والسيطرة عليها ومن الامثلة الواضحة التي نشاهدها في عالمنا هو ماتشنه التيارات الفكرية المختلفة في يومنا هذا من حرب نفسية على المجتمع البشري للتحكم في مصيره وزراعة الأفكار في اذهان المجتمع الانساني بشتى الطرق والوسائل لسلبهم حرية التحكم في قراراتهم دون أن يشعروا.

ولكن كيف نقوم بزراعة فكرة معينة وماهي الأساس التي تقوم عليه؟!

أولا عزيزي القارئ ضع في ذهنك قاعدة مهمة وهي أن جسد الإنسان بني على الحماية بمعنى أن أي شيء غريب عليه يقوم بمقاومته فمثلا عندما نقوم بعمل تبرع بالدم لابد من التحقق من فصيلة الدم
لضمان التوافق وكذلك عند زراعة الاعضاء كذلك عقل الانسان حيث اللاوعي للإنسان مليء بالأفكار
كالمعتقدات الدينية والعادات والتقاليد والمبادئ وجميع ماتعلمته منذ أن ولدت كل هذه الأفكار عندما تدخل عليها فكرة غريبة ستقاوم هذه الفكرة إن لم تكن متوافقة مع الافكار الموجودة.
وحتى أوضح كلامي ساذكر مثال بسيط:
ماذا لو أتيت لأحد الأشخاص وحاولت إقناعه بشكل مباشر بأن معتقده الديني خاطئ ماذا سيحدث غالبا ماستجد ردة فعل قوية والسبب أن المعتقد الديني فكرة اساسية وعميقة واغلب افكاره مرتبطة بهذا المعتقد بل أن جميع قراراته في الأصل يأخذها على أساسه فيرى الصواب والخطأ من خلال هذا المعتقد
وبالتالي بمجرد أن تلقي عليه فكرة أن معتقده خاطئ بالتالي يجب أن تتوقع ردة فعل قوية لأنك تهدد كيان فكري عميق في ذهنه.
اذا من يستخدم هذا الأسلوب عليه أن يعي جيدا مدى عمق الفكرة الرئيسية المضادة للفكرة التي سيسزرعها ومدى تأثيرة هذه الفكرة المضادة لفكرتنا على الأفكار الأخرى في ذهن المتلقي .
____________________

كيف أحمي نفسي من اساليب الاختراق المختلفة؟

ماذا أقول؟فنحن نعيش في عالم صعب مليء بالمخاطر وأراهن ان أعظم خطر يهدد البشرية هو اختراق عقولنا وقمع حريتها هناك من درس جيدا كيف تفكر اخي الإنسان ودرس كل إنش فيك
عرف نقاط ضعفك جيدا وتأكد أنه سيتأكد دائما أنه سيبقيك تحت السيطرة .
فماذا تعتقد النصيحة التي سأقدمها لك سوى أني سأقول لك أدرس وتعلم من كتاب الكون العظيم الذي نعيش فيه والمليء بالأسرار والتي كلما تعمقنا فيها بالتأكيد ستكون هذه الحماية القصوى لك.
____________

أخيرا

ماذكرته في هذه المقالة ليس إلا جزء من فيض من الأساليب النفسية الحديثة لقمع عقول البشرية
ستكون هذه المقالة بداية سلسة واتمنى مقدما ان تنال اعجابكم فانتظروا القادم منا.

كيف تصبح بطل خارق?!

2010-11-26T05:55:00.000-08:00

عندما كنت صغير اشاهد افلام السينمائية واشاهد هؤلاء الابطال الخارقين الذين يملكون قدرات فائقة كنت اتسائل مالذي يجعلنا نميل لتمني وجودبطل خارق يقوم بانقذنا من حياتنا البائسة؟؟
رغم اني وجدت اننا ابناء الجنس البشري نملك قدرات خارقة اكثر من اي بطل خارق صورته لنا الافلام السينمائية وهليوود
إننا نملك العقل البشري الذي من خلاله استطعنا ان نطير وان نبني ناطحات السحاب فاذا كان سوبر مان يستطيع تحريك الجبال بكلتا يديه
فكل مايلزمنا نحن البشرهو قليل من الافكار لتحريك ماهو اثقل من الجبل
إننا نملك العقل والادراك البشري الذي يميزنا ويجعلنا خارقين اكثر من اي كائن حي اخر في هذا الكون.
لكن فقط نصبح خارقين عند استخدامه واشخاص عاديين عندما نهمله
اخيرا هل عرفت الآن كيف تصبح بطل خارق
ماذا تنتظر؟؟^_^

__________
ملاحظة :
طبعا انا عارف الموضوع قصير جدا وهو في الاصل كان مجردnote وضعتها على الfacebook واحببت ان اشارككم افكاري وان اغير قليلا من روتين المدونة فوضعتها اتمنى مااثقلت عليكم.

لمحة عن الPACKET CRAFTING

2010-11-10T00:11:00.000-08:00

في بداية دخولي لعالم الهاكينج قرأت كتاب عربي بسيط عن اختراق الشبكات الأساليب التي يشرحها الكتاب جدا بدائية بصراحة لو قابلت مؤلف هذا الكتاب او تسنت لي مراسلته كنت سأسأله هل هذا فعلا كتاب يتحدث عن اختراق الشبكات فعلا وتأمينها لكن كان لفت نظري عدة أشياء تكلم عنها الكتاب الكتاب تكلم عن عدة اداوات لعمل sniffing وبعض المعلومات البسيطة جدا جدا عن حزم البينات في هذا الوقت كنت اتسائل عن ماهية هذه الحزم مكوناتها انواعها الضوابط التي تنظمها هل يمكننا صناعة مثل هذه الحزم واذا يمكن هل هذا يعني اننا يمكن ان نصنع حزم مزيفة ولنفرض اننا نجحنا في تزييف حزم هل هذا قد يساعدنا بالفعل في اختراق نظام معين.
في هذه اللحظة بدأت أشعر أن هناك باب جديد سوف ينفتح لي في هذا العالم وأن كثير من الأشياء المثيرة تنتظرني .
عموما يكفي ثرثرة ولندخل في صلب الموضوع لنتعرف على تقنية صناعة الحزم packet crafting بدل من مراقبتها فقط ^_^.

______________

مقدمة:

في هذه الفقرة سوف نتكلم "ندردش ^_^"في بعض الأشياء الاساسية قبل أن ندخل للتطبيق باستخدام اداوت لصناعة الحزم.

الآن عزيزي القارئ مارأيك في أن نقوم بوصف كيفية انتقال الحزم من شبكة لشبكة اخرى.

نحن نستخدم اجهزة للاتصال بالتاكيد وهذه الاجهزة هي التي تخرج منها الحزم على شكل اشارات كهربائية أو حتى في هيئة موجات كهرو مغناطيسية في هذه المرحلة تكون البينات في طبقة الphysical layer.

بعد ذلك علينا أن نتمهل للحظة ونفكر كيف تتعرف الأجهزة التي في الطبقة المادية او الفزيائية على بعض ؟ ولهذا نحتاج عنوان فزيائي كالMAC address وفي هذه المرحلة تكون الحزم في الطبقة الثانية Data link layer.
بعد ان تتعرف الnetwork devices على المستوى الفزيائي من خلال العنواين الفزيائية في طبقة الdata link تكون الحزم في المرحلة والطبقة الثالثة network layer لها حيث تشارك عدة برتكولات في عملية توجيه الحزم للوجهة المطلوبة زي برتكول الIP-ICMP وغيرهم .
بعد ذلك تكون الحزم في الطبقة الرابعة transport layer حيث يتم تنظيم نقل البينات من خلال عدة برتكولات اهمها برتكول TCP-UDP.
في الطبقة الخامسة الsession layers هذه الطبقة تتحكم في جلسة الاتصال وتفصل بين جلسات الاتصال للتطبيقات المختلفة .
الطبقة السادسة الpresentation layer وهي الطبقة المسئولة عن ايصال البينات بهيئتها يعني مثلا لو ارسلت ملف mp3 يصل على هيئة mp3 ولو ملف تنفيذي يصل على انه ملف تنفيذي وهكذا.

الطبقة السابعة والأخيرة application layer وهي الطبقة التي يكون لها احتكاك مباشر مع المستخدم طبعا هذا يوضح لنا أن أي تطبيق بيتصل عبر النت هو برتكول يعمل على الطبقة السابعة ومن الامثلة على هذه البرتكولات برتكول http-ftp-msn-skype-snmp.

:. طبعا كل الطبقات اللتي قمت بشرحها معا لنصف تدفق حزم البينات عبر الشبكة نسميها OSI model.
"معلش في ناس مدايقة انا عارف لان الكلام اللي بقوله بدائي جدا بس زي مااحنا عارفين مش كل اللي بيقرا المواضيع دي محترفين ولاكلهم مختصيين زي مثلا انا لامتخصص ولافني^_^".
طبعا لماذا قمت بهذه الدردشة البسيطة معكم لأن ببساطة الpacket crafting يعتمد عليها بشكل اساسي يعني الحزم الاعدادات اللتي تكون فيها تكون وفقا لهذا النموذج نموذج OSI.
______________________

Packet crafting

ماهو الpacket crafting؟؟

ببساطة شديدة هو صناعة الحزم وصياغتها .

مالفائدة من الpacket crafting؟

الحقيقة صناعة الحزم مفيدة جدا في التعرف على البرتكولات المختلفة وتحليلها ومعرفة مكونات وقواعد كل منها وأيضا تفيدنا في الpen test مثلا كاختبار قواعد الجدران النارية والIDS/IPS وايضا في الforensicsوحتى في عمليات الreverse engineeringوغيرها من الامور وماذكر على سبيل المثال وليس الحصر.

مالذي يلزمنا لتعلم استخدام هذه التقنية ؟

طبعا انا ماذكرته في المقدمة كما قلت لايكفي طبعا في موضوع مثل الpacket crrafting وإن تكلمنا بصراحة فسأقول لك المفترض اني أكتب عن الOSI modelبتفصيل اكثر عن الen/decapsulation والTcp/ip stack واقوم بشرح التركيب "anatomy" الخاص بالحزمةطبعا كل هذا المفروض كان يوضع بالمقدمة ولكن البركة فيكم ان شاء الله وجوجل مايقصر المهم ركزوا اعزائي في العناوين اللي ذكرتها الآن والتي كان المفروض اتكلم عنها لاني طبعا المفروض انكم تبحثون عنها في عراب الشبكة العنكبوتية جوجل ^_^.
_______________________

اداوت وتطبيقات

Scapy

نظرة سريعة :

scapy برنامج تم كتابته باللغة الرائعة لغة python ومن قام بتجريب هذا البرنامج من قبل سوف يرى انه يستخدم الinterpreter الخاص بالبايثون .
ببساطة scapy بيئة متكاملة لاختبار أمان البرتكولات المختلفة على الشبكة فبامكانك ارسال الحزم واستقبالها ايضا اوتنفيذ بعض الهجمات الشهيرة كاعتراض الحزم عن طريق تسميم الArp cash وغيرها من الهجمات الأخرى .
في الحقيقة كل هذه الوظائف جيدة لكنها ليست بالتاكيدالميزة الرئيسية لهذه الاداة ففي الحقيقة هناك الكثير من الاداوت التي تستطيع عمل ذلك ولكن المشكلة في هذه الأدوات انك تظل محدود بحدود تفكير المبرمج الذي برمج الاداة وهنا ياتي ذكر اداتنا scapy احد اقوى اربع ادوات عالميا للpacket crafting حيث تصبح حدود البرنامج هي حدود خيالك أنت نعم حيث تستطيع ان تعدل اي قيمة تريد او حتى تقوم باضافة برتكول جديدلقائمة البرتكولات المتوفرة في scapy عمومايبدوا أن المقال سيتحول إلى موضوع انشاء عن scapy ^_^ وليس نظرة سريعة ههههه طيب طيب يلا استعدوا للتطبيق.

Basics commands
قم بتنفيذ الامر التالي لاستعراض قائمة الcommands المتوفرة في scapy:


 lsc()

الأمر التالي يقوم باستعراض قائمة الlayers المتوفرة في scapy:


 ls()

الامر التالي لاستعراض الرvaluesالخاصة بالبرتكول الذي نريده


 ls(variable or protocol function)

ملاحظة :البرتكول الذي ستختاره لتستعرض قيمه يجب أن تكتب حروفه Capital
أما لو كان متغير سبق وان قمت بتعريفه فتكتب حروفه small
عموما لاتقلق سوف نقوم لاحقا بتطبيق عملي لهذه الاوامر مماسيوضح الامور اكثر

الأمر التالي يقوم بارسال الحزمة:


 send()

الامر التالي يقوم بارسال الحزمة واستقبالها:


 sr()

الأمر التالي يقوم باستعراض قيم متغير قمنا بتعريفه:

variable.show()

مثال:ip.show()

ip=متغير قمنا بتعريف سابقا

طبعا هذه كانت بعض الاوامر الاساسية واترك لكم الباقي لتكتشفوه
الآن تعالوا لنقوم بعمل تطبيق سريع

quick demo

في هذه الفقرة سوف اعطي مثال بسيط لحزمة tcp/ip من نوع syn frame فتابع معي الصور التالية:
أولاسنقوم باستعراض ال valuesالخاصة ببرتكول الIPوالTCP من خلال الأمر التالي:


ls(IP)

ls(TCP)

انظر للصورة التالية:

الآن سوف أقوم بالتعديل على القيم الافتراضية لبرتكول الIP من خلال الأوامر التالية:

ip=IP(dst='192.168.1.254')

شرح الأمر:
اولا قمنا بتعريف قيمة متغير سميناه ip بحيث قيمة هذا المتغير =IP( )
بحيث كل مرة نستخدم فيها المتغير ip سوف نستدعي الIP( ) والقيم التي يحويها وقمنا بالتعديل عليها
وعدلنا قيمة الdestnation ip الى الip المنظام الذي نريد توجيه الحزمة اليه.والآن سوف اقوم باستعراض التغيرات التي طرأت على القيم الخاصة بحزمة برتكول IP:

ip.show()

لتظهر لنا النتائج التالية:

بنفس الطريقة مع برتكول TCP
تابع الاوامر التالية:

tcp=TCP(dport=(80),flags="S")

tcp.show()

لاحظ قمنا بظبط الflags في الTCP()layer بحيث تكون الحزمة من نوع syn حيث استخدمنا الرمز S لعمل ذلك وقمنا بظبط الdestnation port حيث قيمة الdport=80.

الآن نستخدم الامر التالي لارسال الحزمة التي قمنا بانشائها:

send(ip/tcp)

طبعا يمكنك أن تستخدم الامر التالي لارسال واستقبال الحزمة بدلا من ان نرسلها فقط:

sr(ip/tcp)

يمكنك أيضا باستخدام الطريقة التالية أن ترسل العدد الذي تريده من الحزم وتستقبله:

sr((ip/tcp)*100)

لاحظ سوف يتم ارسال 100حزمة

هذا كان مثال بسيط وطبعا هو ليس شرح كافي لبرنامج مثل scapy فالغرض من المقال ليس شرح
تطبيق معين انما الغرض اعطاء فكرة ولمحة سريعة عن الpacket crafting وبالطبع كما قلت في بداية المقال اني اتوقع منك ان تقوم بعمل بحث خاص بعد أن قرات هذا المقال وتبدأ بتجاربك الخاصة^_^.
___________________

أخيرا:
اتمنى هذه اللمحة ان تكون كافية لبداية صحيحة لتنطلق بنفسك في حال انك لم تلقي نظرة من قبل
على الpacket crafting واتمنى ايضا المقال نال اعجابكم و سيكون لنا حديث اخر
عن امور وتطبيقات متقدمة للpacket crafting فقط ابقوا اعينكم مفتوحة سلام مؤقتا^_^.

تحول المدونة من مدونة مختصة في الhacking الى مدونة متعددة المجالات هل تؤيد الفكرة؟!

2010-10-24T16:45:00.000-07:00

من عنوان الموضوع كما ترى الموضوع عبارة عن استشارة "ماخاب من استشار" فبصراحة منذ فترة تراودني فكرة تحويل المدونة

الى مدونة متعددة المجالات حيث اني مهتم بمجالات اخرى غير الهاكينج كانقد الاديان والفلسفة والطب الذي هو تخصصي في الأساس ...الخ وباعتبار أن المدونة في الأساس تعبر عن فكر المدون فوجدت أن فكرة جعل المدونة منوعة من حيث المجالات والتخصصات فكرة جيدة بصراحة أنا أيضا محتار فانا في الأول انتابني شعور الخوف من أن أجعل المدونة منوعة فأجعل القارئ مشتت وفي نفس الوقت أجد أن هذا التفكير الذي فكرته حينها غير منطقي فما فائدة قائمة اقسام المدونة التي وضعتها في العمود الجاني للمدونة اذا كان القارئ سيتشتت أيضا عندما افكر اجد ان جعل المدونة متنوعة سيفيد القارئ اكثر وسيجعل أيضا هناك تنوع في نوعية القراء وزوار المدونة .
عموما أنا قمت بعمل استطلاع في العمود الجانبي للمدونة
لكني قمت بعمل هذا الموضوع لأني اريد قراءة اراءكم شخصيا.

فإن كنت ترى الفكرة جيدة ففضلا لا أمرا أرجو أن تشاركني السبب.
وإن كنت تفضل بقاء المدونة على حالها أتمنى أيضا أن تشاركني السبب في اختيارك.
أيضا أتمنى لو هناك أفكاربخصوص المدونة حتى لو لم تكن حول هذه الفكرة أن تشاركني بها .
وشكرا جزيلا مقدما وأتمنى منكم التفاعل.

تغطية مؤتمر RSA Europe 2010 بالصور من فريق isecur1ty

2010-10-18T00:46:00.000-07:00

قام فريق isecur1ty وبالتحديد الأخوان ساري والاخ عبد المهيمن الآغا بتغطية موئتمر RSA Europe 2010 بصراحة التقرير الذي اعدوه أكثر من رائع ويغطي اهم التفاصيل في المؤتمر ومن خلال قرائتي للتقرير وجدت مدى الازدهار التكنولوجي التي وصلت اليه هذه الدول اتمنى ان نصل ان تصل الدول العربية على الاقل لمستوى مشابه يوما ما.
من خلال قرائتي للتغطية وجدت أن هناك تركيزواضع على تطبيقات الويب خاصة ثغرات الxxs والSql injection وأيضا botnet الذي اصبح مفزع جدا صراحة البوتنت أصبح محور الحديث الكثيرين اليوم من خبراء السيكيورتي وايضا كان هناك تركيز على امن البينات الشخصية وأنها لم يعد من الصعب الحصول عليها الآن في ظل تواجد الكثير من التقنيات التي توفر الكثير من المعلومات الشخصية كالشبكات الاجتماعية وغيرها بصراحة اوافقهم تماما في هذه النقطة فكثير من الاشخاص اليوم يضعون بينات بطاقتهم الشخصية بكل سهولة على شبكة الانترنت.
عموما لاأطيل عليكم بامكانكم الاطلاع على التغطية من هنا
ومازال للتغطية بقية على حد ذكر اخواني في isecur1ty ننتظرها على احر من الجمر.

شرح اداة Open Vas

2010-10-16T22:42:00.000-07:00

نوع البرنامج:Security scanner
الرخصة :GPL
نبذة عن البرنامج:
هذا البرنامج هو تطوير لبرنامجnessus والذي اصبح مغلق المصدر ومن ثم اتى هذا البرنامج كبديل له
البرنامج بشكل عام ممتاز ويحتوي واجهة رسومية كا nessus ويعمل تقريبا بنفس الطريقة server-client حيث يقدم لنا بينات جيدة عن الremote servicies على الremote system بحيث يعطينا تقرير مفصل عن العيوب التي وجدها ومستوى الخطورة لهذه الاخطاء مع بعض الحلول المقترحة ولكن هناك فرق في البرتكول المستخدم حيث nessus يستخدم برتكول NTPبينما يستخدم Open Vas برتكول OTP.

وهذه صورة بسيطة لتوضيح البنية التحتية infrastructure لاداة open vas:

عموما انصحكم بتجربة على شبكتكم الخاصة ومن ثم قيموه بانفسكم.
بالنسبة للشرح بصراحة وجدت اكثر من فديو يقوم بشرح استخدام هذه الااة بطريقة ممتازة على الyoutube وآسف اني لم أشرحه بنفسي لضيق الوقت عموما اليكم الvedio
_____________________
اولا:فديو طريقة تنصيب هذه الاداة على توزيعة BT4.

ثانيا:فديو لعمل metasploit-Open Vas inegration.

________________

اتمنى هذا المقال البسيط نال اعجابكم ومشاهدة ممتعة

SNMP Enumeration

2010-10-16T02:40:00.000-07:00

مقدمة :

سوف نتحدث اليوم عن احد الاسااليب لعمل enumeration واستخراج بينات عن الtarget system من خلال برتكول snmp والذي هو اختصار SIMPLE NETWORK MANAGER PROTOCOL.
طبعا من اسم البرتكول نعلم انه يستخدم لادارة الشبكات وبرتكول SNMPيعمل بشكل قياسي من خلال منافذ برتكول UDPوغالبا الخدمة المفعلة لهذا البرتكول تستخدم المنفذ 161.
وطبعا لمن لديه معرفة ببرتكول UDPسوف يعلم انه اقل موثوقية واقل كفاءة من برتكول TCP
ايضا الجدير بالذكر ان برتكول snmpيعمل كاحد برتكولات الطبقة السابعة من نموذج OSI
والتي تمثل طبفة التطبيقات APPLICATION LAYER اي اننا نستطيع التعامل مع البرتكول
خلال التطبيقات كبرتكول FTP-STMPTFTPوغيرها من البرتكولات.

______________

خلفية سريعة عن SNMP

يتكون برتكول SNMP من ثلاث أشياء كما نرى في الصورة:

agent
برمجيات تدعم برتكول SNMP’تنصب على الاجهزة الموجودة على الشبكة Managed Devices
Managed Devices:
اجهزة منصبة عليها برمجيات تدعم برتكول snmp "Agent"وقد تكون هذه الاجهزة روترات او سرفر او حاسب شخصي يملك نظام وندوز او ليونكس وغالبا ماتكون روترات
.
NMs NETWORK MANAGMENT SYSTEMالنظام الذي يقوم بمراقبة الmanaged devices ويوقوم بالاستعلام عنها والتعديل على اعدادتها عن طريق الagent.
من الجدير بالذكر ايضا ان الاعدات والمعلومات التي تخزنها الخدمات والبرمجيات التي تدعم برتكول SNMP
تجمعها وتخزنها في قاعدة بينات نرمز لها ب MIBوالتي هي اختصار لMANAGMENT INFORMATION BASE سوف نقوم بشرح هذه القاعدة بعد قليل.
___________________

قاعدة المعلومات الادارية MIB

لكي نفهم طريقة عمل قاعدة البينات MIBنستطيع ان نشببها بالشجرة او ايضا نستطيع ان ننشبها بنظام الملفات directory لانظمة dos وlinux فكما نعلم ان الشجرة تبدأ بجذر ثم تتفرع شيئا فشيئا وفي حالتنا هنا المجلد الرئيسي والذي هو نقطة البداية والجذر الاصلي لجميع مابعده من الملفات كما في الصورة MIB ROOTوكل ماتحته هو فروع كما قلنا.
طيب الى هنا والكلام جيد لكن ايضا الجذر والفروع والاغصان في الشجرة ليست فارغة بل تحمل اوراق وثمار
نستطيع ان نشبه هذه الاوراق والثمار التي تحملها الفروع بالمحتويات التي تحتويها الملفات الفرعية وقد تكون هذه البينات بينات عن الهاردوير في الجهاز كحجم الذاكرة ومساحة الهارديسك والprocessوالserviceالتي
تعمل على النظام وغيرها من المعلومات الهامة والتي اذا استطاع الهكر الوصول اليها قد يضع شبكتك او نظامك او حتى سرفرك امام محاولة للاختراق!
ايضا الملفات التي تحتوي هذه البينات لها رقم IDخاص يدل عليها ويسهل وصولنا اليها بغرض الاستعلام او التعديل وهذا الرقم نرمز له بOIDوالذي هو اختصار لObject Identifier .
ويكون بهذا الشكل.1.3.6.1.2.1.1.3
أعلم أنك رأيت الرقم الذي وضعته كمثال للOIDوبدأت تتسأل نفسك ماهي الطرق والقواعد التي يكتب من خلالها هذا الرقم وكيف نستخدمه لعمل MIB browsing أي عمل تصفح لقاعدة البينات وأنا اجيبك لاتقلق عزيزي ولاتستعجل .
عموما سوف اشرح اول اربع اجزاء في التي تكون غالبا في اي OID
وليكن مثلا عندنا هذا الOID
.1.3.6.1.2.1.1.3
لو نظرنا بالصورة التي بالاعلى سنجد التالي :
أن الرقم 1=ISO
الرقم 3=ORG
الرقم6=DOD
الرقم1=INTERNET
غالبا بنسبة 99%الاربع اجزاء الاولى من الOIDتقابل هذه القيم.
عموما هناك برامج بواجهات رسومية تسهل علينا التصفح لقاعدة المعلومات الادارية MIB والتي ستسهل علينا جدا الاستعلام والوصول للملف والبينات التي نريدها.
وسيكون هناك تفصيل اكثر بعد قليل لهذه النقطة.
__________________

وظيفة برتكول SNMP

و ظيفة برتكول snmp ببساطة هي مراقبة موارد الشبكة وادراتها
وكمثل يوضح وظيفة الsnmp مثلا نجد بعض سرفرات الويب التي تقوم باستضافة المواقع تقوم بالاتفاق مع احد الشركات مثلا والتي ستقوم بتخصيص snmp server لادارة الويب السرفر ومراقبة التطبيقات التي تعمل عليه ومراقبة جميع موارد النظام بحيث اذا حدث خطأ معين يقوم الsnmp server بعمل تنبيه بذلك ليتم اصلاح هذا الخطأ Remotly من بعد بواسطة الSNMP server.
______________

Snmp Messages

من المهم لنا ان نعرف ان اغلب البرتكولات التي تعمل على الطبقة السابعة من نموذج OSIمثل برتكول STMPوFTP كما ذكرنا تعمل من خلال تنظيم بينات بين عميل وخادم اي جهازين يقومان بتنصيب
برامج تدعم البرتكول الذي سيقوم بدوره بتنظيم البينات والذي سيستعمل اوامر Commandsاو FUNCTONS للقيام بهذه المهمة.
كذلك برتكولنا هذا اليوم برتكول SNMPيستخدم اوامر للتخاطب بين السرفر والعميل نسميها
PDUs FUNCTIONSو وهي خمسة كالتالي:
Get-Getnext-Get response-Set-Trap
سأكتفي بشرح اربعة منها
GET REQEST
هذا الامر يقوم بارسال طلب استعلام عن OID.
GET NEXT
هذا الامر يستعلم عن OID لملف معين ثم الملف الذي يليه NEXTثم الذي بعده وهكذا وكاننا نقوم بعمل تمشية على الملفات والتي نسميها بSNMP WALK
GET RESPONSE
والتي هيا عبارة عن رد واستجابةعلى طلبات الاوامر Get-Get Next
SET
امر لوضع تعديلات على قاعدة المعلومات الادارية MIB
وهذه كانت الاوامر التي نستعملها للتصفح والتعديل لقاعدة البينات الادراية MIB

______________

الناحية الأمنية في snmp

ان برتكول SNMPمن رغم بساطته وقلة اوامره وسهولتها والتي جعلتا او كلمة في اسمه Simpleالا انه ليس برتكول مؤمن تماما فنظام الAuthnicationوالذي يكون عبارة عن Community string بعض الاحيان تضبط اعدادته بشكل خاطئ بحيث تكون غالبا ماتكون
الcommunity مفعلة لوضعية الpuplic بشكل افتراضي مما قد يعطي فرصة جيدة لعمل
access على معلومات القاعدة الادارية MIB ولكن بصلاحيات Read -only access غالبا هذا بفرض انه لايوجد باسورد" community string" بينما لو حصل على الباسورد
سوف يصل الى معلومات القاعدةا لادارية بصلاحيات كاملة Read-write access مماقد يؤدي الى حصوله على صلاحيات root على النظام.
طبعا مشكلة الاعدادات الخاطئة ليست هي المشكلة الوحيدة فهذا البرتكول كما قلنا يعمل خلال الطبقة السابعة طبقة التطبيقات وبما انه يعمل من خلال برامج فهذا يعرضه للRemote Exploitation من خلال ثغرات Buffer over fllow مثلا.

_______________________

SNMP SERVICE FINGERPRINT

عندما نريد استخراج معلومات باستخدام خدمة تدعم برتكول SNMPفاننا يجب ان نعلم اولا هل النظام المستهدف تعمل عليه هذه الخدمة ام لا وهذا مانسميه بSERVISE FINGERPRINT
اي استكشاف وتعقب اثر الخدمة والتاكد انها تعمل على النظام الهدف الTARGET SYSTEM
والبرامج كثيرة لهذا الغرض مثل NMAPو NESSUS انظر للصورة

ملاحظة:البرنامج المستخدم في الصورة NESSUS.
كما ترى قام البرنامج بتحديد الخدمات ومنها خدمةSNMPوحدد رقم المنفذ والبرتكول ومستوى الخطورة .
أيضا يقوم nessus عندما يجد الخدمة التي تدعم برتكول snmp مفعلة باستخراج البينات تلقائيا كمانرى في الصورة

____________

SNMP WALK

في الفقرات السابقة وبالتحديد فقرة PDUs messages قمت بشرح سبب تسمية هذه الاسلوب بSNMP WALK
عموما سوف اقوم في هذه الفقرة بشرح بعض الاداوت التي تساعدنا في هذا الموضوع والاداوت المتوفرة كثير.

5nmp

SHA-1: 1d8310fb505d1f4270406f8d2059a23cf72adac1

تحميل:

من هنا

نبذة عن الاداة :

اداة 5nmp اداة ذو واجهة رسومية جميلة تعمل على كل من نظام لينوك ووندوز "ملاحظة تحتاج net framework 3.5"

نستطيع من خلال الاداة فحص single ip او ip range كامل للتحقق من وجود خدمة تدعم الsnmp على الtarget system ومن ثم تقوم باستخراج المعلومات من كل ip قمنا بفحصه وايضا هناك خيار لعمل brute force للcommunity string ونستطيع استخدام ايضا dectionaries لعمل cracking للcommunity string .

استخدام الميتاسبلويت

سوف نستخدم الauxiliary خاص في مشروع الmeta لعمل نفس البرنامج السابق تابع معي:

msf > use auxiliary/scanner/snmp/community
msf auxiliary(community) > show options

Module options:

   Name         Current Setting                                Required  Description
   ----         ---------------                                --------  -----------
   BATCHSIZE    256                                            yes       The number of hosts to probe in each set
   CHOST                                                       no        The local client address
   COMMUNITIES  /opt/metasploit3/msf3/data/wordlists/snmp.txt  no        The list of communities that should be attempted per host
   RHOSTS                                                      yes       The target address range or CIDR identifier
   RPORT        161                                            yes       The target port
   THREADS      1                                              yes       The number of concurrent threads

msf auxiliary(community) > set RHOSTS 192.168.1.2 192.168.1.161
RHOSTS => 192.168.1.2 192.168.1.161
msf auxiliary(community) > set THREADS 2
THREADS => 2
msf auxiliary(community) > run

[*] >> progress (192.168.1.2-192.168.1.161) 0/240...
[*] 192.168.1.2 'public' 'GSM7224 L2 Managed Gigabit Switch'
[*] 192.168.1.2 'private' 'GSM7224 L2 Managed Gigabit Switch'
[*] 192.168.1.161 's3cr3t' 'Hardware: x86 Family 6 Model 23 Stepping 7 AT/AT COMPATIBLE - Software: Windows 2000 Version 5.1 (Build 2600 Uniprocessor Free)'
[*] 192.168.1.161 's00pers3cr3t' 'Hardware: x86 Family 6 Model 23 Stepping 7 AT/AT COMPATIBLE - Software: Windows 2000 Version 5.1 (Build 2600 Uniprocessor Free)'
[*] Scanned 2 of 2 hosts (100% complete)
[*] Auxiliary module execution completed
msf auxiliary(community) >

___________
اخيرا
طبعا الاداوت المتوفرة لاختبار برتكول SNMP كثيرة جدا ومن الصعب ان اجمعها كلها هنا في نفس المقال لكن بالتأكيد سوف يكون للحديث بقية عن هذا البرتكول في مقالات اخرى
اتمنى المقال نال اعجابكم واضاف الى ارصدة معلوماتكم ولو القليل.

البنية التحتية لأنظمة التشغيل الجزء الأول

2010-10-01T19:02:00.000-07:00

اكثر مايذهلني دائما عندما اجلس على اي نظام حاسوب ليس تطوره فحسب بل المدى الذي وصل اليه الفكر البشري من تعقيد ليقوم بصنع اشياء معقدة كهذه عموما في هذا المقال سنتكلم عن انظمة التشغيل مماتتكون كيف تتعامل مع العتاد Hardware والمستخدم وسوف احاول القاء الضوء على التفاصيل والنقاط الهامة والتي يستطيع الشخص على الاقل من خلالها يكون عنده خلفية لابأس بها عن الكيفية التي تعمل بها أنظمة التشغيل.

ماهي انظمة التشغيل OS:

نظم التشغيل ماهي الا عبارة عن مجموعة من الprogramms والdata تقوم بادارة موارد الحاسب الhardware والخدمات المختلفة مثلا كالخدمات التالية:

process management
interrupts
memory management
file system
device derivers
networking
security
I/O

مكونات نظام التشغيل OS:

أي نظام تشغيل يتكون من ثلاث طبقات :

طبقة البرمجيات application والتي يستطيع المستخدم

الاحتكاك بها.

طبقة النواة kernel: وهي الطبقة الوسيطة بين طبقة البرمجيات
وطبقة العتاد.
طبقة العتاد hardware.

عموما سوف نلقي الضوء على هذه الطبقات وكيف يتم التنسيق فيما بينهم

kernel layer:

نواة النظام او الطبقة المركزية في النظام سميه ماتسميه المهم هذه الطبقة هي كما ذكرت منذ قليل الطبقة الوسيطة بين طبقة الAppliation والHardware وبالتالي هي تقوم بادارة الكثير من الاشياء كالprocess الخاصة بالapplications التي تعمل على النظام وادارة الذاكرة ...الخ.
عموما لاتقلق في الجزء الاول سوف احاول ان اعطي خلفية جيدة في هذا الجزء من المقال عن الkernel والمهام التي يقوم بها.

Process Management

عندما نقوم بتشغيل برنامج معين على النظام فان نواة النظام kernel تقوم بعمل set up للaddress space ومن ثم يقوم بتحميل كود البرنامج الى الذاكرة ومن ثم يقوم بعمل set up لل

stack ومن ثم يكون البرنامج جاهز للتنفيذ.

Memory management

لدى الkernel صلاحيات وصول كاملة full access على كل bit في الذاكرة ممايمكنه من تنسيق البينات التي قد تحتاجها اي process لاي برنامج من الذاكرة بشكل آمن.
أيضا يقوم الkernel بعمل virtual memory في حال لايوجد مكان كافي في الذاكرة وبالتالي يمكننا الkernel استخدام مصادر اخرى لحفظ البينات مثل الhard drive .
يقوم الkernel بعنونة هذه الذاكرة غالبا بطريقتين الpaging او الsegmentaion.

مالذي يحدث عندما نقوم بتشيغل أكثر من برنامج وتنفذ الذاكرة RAM؟!

كما ذكرت بالأعلى سوف تقوم نواة الظام بعمل ذاكرة وهمية ومن ثم تحميل ملفات البرنامج اليها وبعد ذلك عندما نريد تشغيل البرنامج الذي في الذاكرة الوهمية سوف تقوم وحدة المعالجة الCPU بارسال اشارة لنواة النظام بحيث يقوم بتحميل ملفات البرنامج الذي نريده من الذاكرة الوهمية الى physical memory واستبدال هذه الملفات بملفات برنامج موجودة في الphysical memory ولكنها غير منشطة inactive ومن ثم نقوم بتنفيذا البرنامج المراد.

Device management
تقوم نواة النظام بتسيق التعامل مع جميع الdevices المتصلة بالنظام مثل الشاشة -الطابعة.....الخ.
فمثلا عندما اريد عرض شيء للمستخدم سيقوم البرنامج بارسال طلب request لنواة النظام ونواة النظام تقوم بالتنسيق عرض هذا الشيء من خلال ارسال طلب للdisplay driver ومن ثم يقوم بعرض الشيء الذي نريده.
System Calls

لكي تقوم أي process بعمل access على خدمات النواة kernel services تحتاج دوال الاستدعاء system calls
ومن الامثلة الشهيرة على الsystem calls مكتبات الC ودوال API حيث تمكننا هذه الدوال من التحكم في خدمات النواة المختلفة كادارة
الملفات والprocess والdevices ....الخ.
عموما هناك خمس انواع تقريبا لدوال الاستدعاء:

Process Control.
- load
- execute
- create process
- terminate process
- get/set process attributes
- wait for time, wait event, signal event
- allocate free memory
File management.
- create file, delete file
- open, close
- read, write, reposition
- get/set file attributes
Device Management.
- request device, release device
- read, write, reposition
- get/set device attributes
- logically attach or detach devices
Information Maintenance.
- get/set time or date
- get/set system data
- get/set process, file, or device attributes
Communication.
- create, delete communication connection
- send, receive messages
- transfer status information
- attach o

_________________
بالطبع ماذكرته في هذا الجزء هو أقل من مقدمة في شيء معقد كأنظمة التشغيل وعموما لاتقلق ان كانت هناك بعض الامور غير واضحة في هذا الجزء فهناك كثير من الامور والتفاصيل التي ساذكرها في الجزء القادم من هذا المقال مماسيجعل الامور اوضح.
اخيرا اتمنى هذا المقال وجميع مقالتي ان تكون اضافت اليكم ولو القليل في ارصدة معلوماتكم .
يلا القاكم افي الجزء القادم.

مجلة Hackin9 عدد شهر اكتوبر

2010-09-30T12:54:00.000-07:00

تم اصدار عدد الجديد من مجلة hakin9 والذي يتبين لنا من عنوانه تركيزه على حماية البريد وبصراحة

اعتقد ان كثير من المستخدمين يبحثون عبر النت عن مقالات تتكلم عن حماية البريد فمن من لايستخدم الاميل الآن في كثير من أمور حياته اليومية!!

كما ان هناك مقالات اخرى كالمقال الذي يتحدث عن الvoip وبصراحة انا متشوق لقراءة هذا المقال

خاصة اي اريد التعمق في فهم آلية عمل هذا البرتكول.

عموما لن اطيل الحديث عليكم هذا هو فهرس المقالات في هذا العدد:

Free Issue to Download!
Lavasoft: Ad-Aware Internet Security Pro
Knowing VoIP Part I What you should really know about Voice over Internet Protocol
Web Malwares Part III
IPv6 Security Implications
Session riding
An analysis of email security Issues for end-users
The Greatest Hacking Breach In Cyber History

للتحميل ادخل هنا

الفحص بأداة Nmapعلى طريقة الNinja!!

2010-09-24T10:30:00.000-07:00

لطالما شاهدنا افلاما وقرأنا قصصا تتكلم عن هذا النوع من المقاتلين الاسطوريين مقاتلي الNinja والذين يتمتعون بالرشاقة والحركات القتالية المذهلة والتخفي ايضا!
سوف نتعلم في هذا المقال كيف نصبح كالنينجا موجودين لكن لايشعر بنا أحد ونستطيع ان نرى كل شيء لكن لاأحد يرانا نخرج وندخل كالاشباح لايلحظنا أحد.

ملاحظة:اضغط على الصور لتظهر بحجمها الحقيقي.

مقدمة:

أداة Nmap احد اقوى الادوات عالميا في عمل Scanning للشبكات وتحتوي على اساليب عديدة تقريبا 50 اسلوب للفحص منها اساليب بسيطة يمكن كشفها والتصدي لها بسهولة ومنها اساليب اكثر تعقيدا واحترافية
تجعلنا اكتشافنا اثناء الفحص اكثر صعوبة وهذا جدول يقوم بتوضيح بعض اشهر هذه الاساليب ومميزاتها:

عموما سوف احاول بقدر الإمكان القاء الضوء على تفاصيل هذه الاساليب.
ولكن قبل أن نبدأ تأكد انك قد مررت على الامور التالية والتي تعتبر من الاشياء الاساسية لتفهم هذا المقال جيدا.

تأكد من فهمك لااساسيات اداة Nmap وهناك مقال ارشحه لكم يغطي اساسيات الNmap بشكل جيد وهو مقال المدون الشهير عبد المهيمن الأغا اضغط هنا.
تحتاج خلفية جيدة عن نموذج OSI.
تحتاج خلفية جيدة عن بعض البرتكولات: TCP/IP-IP-ICMP-UDP

Tcp handshake mechanism

في هذه الفقرة سنتحدث عن عملية المصافحة handshake التي تتم عند عمل بدء اي جلسة اتصال تعتمد على برتكول Tcp والتي من المهم جدا فهمها لان اغلب الفقرات التالية تعتمد عليها
عموما لكي نفهم هذه العملية جيدا يجدر بنا ان نتذكر ماذا نفعل عندما نقابل شخص ما في طريقنا:
اولا:ستقول السلام عليكم
ثانيا:سيرد عليك الشخص الذي قابلته السلام ثم سيقوم بمد يديه ليسلم عليك
رابعا:ستمد يديك وتمسك بيده لتسلم عليه.
خامسا:تبدأ جلسة اتصال على هيئة حوار متبادل بينكما.

نفس الكلام هنا ايضا عدما يريد اي نظام الاتصال بنظام اخر سوف يقوم بالقاء التحية عليه اولا بارسال حزم ٍSyn فيقوم النظام المقابل بالرد عليه اما بحزمة syn/ack فيتم الرد من الsource systemبحزمة من نوع Ack وتتم عملية الاتصال او تقوم الdestnation بارسال حزمة من نوع RST ليتم رفض الاتصال.

SYN SCANNING

سوف نتكلم في هذه الفقرة عن الsyn scan والذي يسمى ايضا بhalf stealth scanوسنعرف لماذا سمي بهذا الاسم.

عموما حتى نفهم هذا النوع من الفحص سوف اقوم باعطاء مثال كما نرى في الصورة رقم 1 عندما قام الsource ip بارسال حزم من نوع Syn لفحص حالة المنفذ 80 قام الdestination ip بارسال حزمة من نوع RST معلنا بذلك نهاية جلسة الاتصال قبل بدأها وهذا يعني ان هذا المنفذ مغلق.

2-المنفذ رقم 80 مفتوح

في الصورة رقم 2 كما نرى يقوم الsource system بارسال حزم frame من نوع syn للdestenationعلى المنفذ
80 فيقوم الdestination بارسال حزم من نوع Syn/Ack وهذا يعني ان المنفذ مفتوح ومن ثم يقوم الsource بارسال حزم من نوع RST لانهاء جلسة الاتصال ايضا قبل بدأها!!
لماذ يسمى هذا النوع من الفحص باسم half-open stealth scan؟
إن كنت لاحظت عزيزي القارئ وركزت جيدا في عمل هذا الفحص سوف تجد انه لاتتم عملية المصافحة handshake بشكل كامل وكأن الsorce قام بمد يده لمصافحة الdestination ولكن يأبى الDestination بمد يده واكمال المصافحة لبدأ جلسة حوار واتصال والعكس صحيح.
ولهذا قلنا ان هذا النوع هو عبارة عن نصف مصافحة "جلسة اتصال" half-connection.

مميزات هذا النوع من الفحص:

يعد هذا الاسلوب احد افضل اساليب الفحص في اداة nmap واشهرها في الاستخدام لكفائته في العمل على جميع الانظمة والشبكات.أيضا بما ان هذا الفحص لايقوم بفتح جلسة اتصال كاملة فهذا يعني انه لن يتم تسجيل logs لهذا الفحص ولهذا يعد هذا الفحص احد افضل اساليب التخفي اثناء فحص هدف معين.

عيوب هذا النوع من الفحص:

يحتاج لprivilged access حتى يتم تنفيذه.

مثال تطبيقي للفحص باستخدام هذا النوع انظر للصورة:

Manipulation of Flag bits technique
هذه الفقرة تتطلب فهم جيد لبرتكول Tcp حتى تفهم مامعنى التلاعب بالflags الخاصة بالTcp frames قبل أن تفهم آلية عمل هذه الأساليب والتقنيات التي سستخدمها للفحص.
Fin scanning
سنتكلم في هذه الفقرة عن الFin scan وسوف اقوم بشرحها بالصور الفقرات السابقة ولكن قبل ان تقرا هذه الفقرة أشدد على فهم الTCP PROTOCOL بشكل جيد لان هناك أشياء في هذه الفقرة والفقرات القادمة ان لم تكن على علم ببرتكول TCP/IP
وآلية عمله وكيفية تحليل حزمه سوف تكون كالطلاسم ان لم تك على دراية وفهم جيد لهذا البرتكول.

المنفذ 80 مغلق

عندما ننظر للصورة نجد أن الsource يقوم بارسال حزمة FIN على المنفذ 80 من خلال ضبط اعدادات الFlage header الخاصة بالحزمة التي سنرسلها حيث ستكون قيمة الFin Flage=1 وباقي البيتات الخاصة بالFlags الاخرى كالSyn flagو الAck flag وغيرها تكون مظبوطة قيمتها على 0 وبالمقابل يقوم الdestination بارسال استجابة من نوع RST معلنا بهذا أن الport 80 مغلق ولاتقلق ساشرح ماذا يحدث عندما يكون المنفذ مفتوح.

المنفذ 80 مفتوح او انه مفلتر م خلال جدار ناري

في الصورة الثانية نجد أن الSourcr ip يقوم بارسال حزمة من نوع Fin على المنفذ 80 لكن كما نرى لايوجد استجابة من هذا المنفذ في الdestenation system في هذه الحالة إن قلنا أن هذا المنفذ مفتوح فحسب فنحن مخطئين وإن قلنا المنفذ محمي بجدار ناري فحسب فنحن مخطئين أيضا وانما سنقول المنفذ مفتوح او مفلتر بحيث ستظهر النتائج في اداة الnmap بهذا الشكل
Filtered|Open.
انظر الصورة التالية مثال تطبيقي لهذا النوع من الفحص:

Xmas scanning

في هذه الفقرة سوف نتكلم ع الxmas scan والذي يسمى أيضا بال Christmas scan وسوف نعرف سبب هذه التسمية بعد القليل.هذا النوع من الفحص يشبه في اسلوبه تماما اسلوب Fin scan عدى اننا بدلا من ان نقوم ضبط الFlage واحد فقط سوف نقوم بظبط اعدادات قيمة اكثر من Flage على واحد مثلا نقوم بظبط اعدادات الurgent flage والFin flage وال push flag بحيث تصبح قيمتهم 1 اذا كنت فهمت عمل الTcpجيدا سوف تعلم ان شكل الflag bits ستكون بهذا الشكل 00101001
طبعا اذا كنت تذكر عزيزي القارئ 1=on في لغة الحاسوب 0=off في لغة الحاسوب هذا يذكرنا بمصابيح الاحتفالات والتي تضيء on وعندما تنغلق off ومن هنا جاءت التسمية Christmas tree scan.
صورة توضيحية لمثال تطبيقي لل xmas scan:

Null scan:

أيضا هنا نفس الفكرة لكن سوف نقوم بظبط اعدادات كل الFlag bits على قيمة 000000 وهذا سبب تسميتها بnull scan.
صورة توضيحية لمثال تطبيقي على الnull scan.

مميزات اساليب الفحص باستخدام تقية التلاعب بالflag bits:

إن كنت لاحظت أم لا في الاساليب التي ذكرتها في فقرة التلاعب بالflag bits لايوجد tcp handshak وهذا يعني اه لايتم تسجيل logs لمثل هذه الانواع من الفحص .

العيوب:

نحتاج لprivilege access لكي ستخدم هذه الانواع والاساليب أيضا لاتعمل هذه الانواع على بعض الانظمة كنظام Windows.

أخيرا:

هذا الشرح للغرض العلمي فقط ولايغرك اني قلت ان هذه الاساليب جيدة للتخفي فبل سهولة يمكن لاي ids اصطيادك .
عموما هذه بعض الاساليب البسيطة وهنا جزء اخر للمقال سوف انشره قريبا وسوف يحتوي على اساليب اكثر احترافية للمراوغة evasion كتخطي الids ومالى ذلك.
القاكم قريبا في مقالات اخرى سلام.
جميع الحقوق محفوظة للنمر المصري © 2010

مجلة hackin9 عدد شهر سبتمبر

2010-09-11T09:00:00.000-07:00

تم اصدار مجلة hackin9 عدد هذا الشهر بعنوان mobile malware وكما نرى من عنوان المجلة ومحتوياتها يبدوا أن فريق المجلة هذه المرة قام بالتركيز على الملفات الضارة خاصة ان الmalware هذه الأيام تشهد طفرة غير عادية من التطور فالmalware هذه الأيام أصبحت اكثر تعقيدا في اساليبها من حيث طرق الانتشار والتخفي من برامج الحماية واصبحت لاتختصر على أنظمة معينة فحتى أنظمةاجهزة الهواتف الجوالة اليوم لم تعد بمأمن اليوم من هجمات الmalware
.

محتويات العدد:

Botnet:The Six Laws And Immerging Command & Control Vectors
Hacking Trust Relationships Part II
Web Malwares Part II
Defeating Layer-2 attacks in VoIP
Armoring Malware: Hiding Data within Data
Is Anti-virus Dead The answer is YES. Here’s why…
Mobile Malware – the new cyber threat

صفحة التحميل:اضغط هنا

EvilTwin Attack

2010-09-10T09:51:00.000-07:00

كثير ماتذكرني هذه الهجمات بفيلم Face Off عندما تضطر الFBI بعمل عملية جراحية لاحد FBI Agents للحصول على وجه مشابه للمجرم وبالتالي سيمكنهم من الوصول للمعلومات التي يريدونها .طبعا هجمة الEvil Twin واحدة من اخطر الهجمات التي تعتمد على ال Social Engineeringخاصة ان مثل هذه الهجمات تحتاج خبرة اجتماعية وعلمية وذكاء شديد وطرق مدروسة وغير متوقعة من طرف المهاجم هذا غير صعوبة التصدي لها حيث الطريقة لاتعتمد على ثغرة تقنية مثلا يمكن ترقيعها بل تعتمد على ثغرات في نظام الانسان نفسه!!
عموما في هذا الموضوع سوف القي الضوءعلى بعض النقاط والتقنيات التي يمكن استخدامها في هذه الهجمات.

مقدمة:
تطور الانترنت بشكل كبير وأصبحت التقنية الاكثر اختراقا لحياتنا اليومية واصبحنا نعتمد عليها في كل صغيرة وكبيرةواصبحت الشبكة اليوم عبارة عن مركز هام لتدوين افكار وثقافات الشعوب المختلفة ولكن كما نعلم لكل شيئ عيوبه ومزاياه فأنت تسخدم الانترنت لغرض التواصل وتبادل الافكار لكن ألآف غيرك يستخدمون الانترنت لاصطياد الكثير من المستخدمين امثالك اثناء تصفحهم عبر الشبكة.بمعنى آخر مااريد قوله ماتقدمه انت من معلومات على الانترنت بحسن نية لغرض التعارف والتواصل وتبادل الأفكار قد يستخدمه اخر ضدك مثلا قد يستخدم معلوماتك لانتحال شخصيتك مثلا والذي قد يؤدي الى الوصول لمعلومات حساسة فمثلا قد تكون مدير شبكة لشركة وبالتالي تعرض بينات الشركة للاختراق .عموما سوف اقوم الآن بشرح بعض الخطوات والTechniqes البسيطة والتي يمكن استخدامها في تنفيذ هذه الهجمات.

أولا: حدد هدفك واعرف من الذي تتعامل معه:

قبل ان يقوم المهاجم بتنفيذمثل هذه الهجمات عليه أن يعرف من يتعامل معه مثلا فلو كان الهدف شركة كبيرة فعليه أن يتوقع اجراءات أمنية صارمة وان الهدف لن يكون سهل لو كان الهدف افراد عاديين مثلا فقد يكون نسبة كبيرة منهم سذج نوعا ما وبالتالي ارتفاع معدل نجاح الهجمة ماأقصده كل ماكانت معرفتك بالخصم دقيقة كلما اقتربت للهدف اكثر ايضاعليك أن تضع اهداف واضحة في مهمتك لكي تستطيع رسم خطتك بوضوح وعلى اساس متين فمثلا لو كان هدفك مدير الشبكة الذي يملك الباسوردالخاصة بخدمة معينة لسرفر الشركة المستهدفة فأي شيء او اي شخص يمكن من خلاله الوصول لمدير الشبكة هو هدف لنا أيضا.

ثانيا:Information gathering about our goals:

كما نعلم أن أي عملية Pen test أو اختراق مدروسة تكون أول خطوة فيها هي خطوة جمع المعلومات وهي التي ستحدد مصير الهجمة فيما بعد فان كانت المعلومات التي قمت بجمعها صحيحة هذا سيرفع نسبة نجاح هجومك عموما سنتستعرض هنا بعض الخطوات والتقنيات التي من خلالها نستطيع جمع بينات عن اهدافنا المختلفة والتي ستساعدنا في بناء توأم شرير Evil Twin
فلنبدأ :

-جمع البينات من خلال الاحتكاك الفزيائي:

اذا كان الهدف \ أهداف قريب منك وتستطيع الاحتكاك به فزيائيا اي تستطيع الوصول له بشكل مادي فهذا يسهل بالتأكيد المهمة عليك فابمكانك جمع معلومات عن اهدافك من البيئة المحيطة بهم او بالاحتكاك معهم مباشرة من خلال الحديث معهم مثلا اذا كان الهدف شركة مثلا فبامكانك الذهاب الى موقع هذه الشركة والبدأ بجمع البينات عن الاشخاص المستهدفين بهذه الشركة

كمواعيد الدوام الخاصة بعملهم.
العلاقة بينهم وبين زملائهم في العمل.
او مثلا جمع البينات عن عائلة كاسمه واسم اولاده مثلا.
او حتى معرفة الاماكن التي يفضلها.
او جمع معلومات عن المنتجات الخاصة بالشركة المستهدفة مثلا.

باختصار جمع البينات بهذه الطريقة تعني ان الاهداف ستكون تحت المراقبة بشكل مباشر مما سعيطينا كم هائل من المعلومات عن اهدافنا ويرفع نسبة نجاح هجومنا ايضا!
-جمع البينات البينات باستخدام البينات المتاحة لنا على الشبكة:
كما ذكرت بالمقدمة شبكة الانترنت الان اصبحت مركز هام لتدوين ثقافات وافكار الشعوب وان ماتكتبه وتضعه من معلومات عنك في هذه الشبكة قد يصبح مصدر معلومات جيد عن طريقة حياتك وافكارك لاحد عديمي الضميرليقومون بانتحال شخصيتك مثلا .
ربما قد يظن البعض ان جمع بينات عن شخص ما عبر الشبكة قد يكون صعب لكن اؤكد لك انه لم يعد كذلك الآن بفضل محركات البحث والشبكات الاجتماعية عموما سوف اقوم بشرح بوضع بعض الطرق التي يمكن استخدامها من محركات البحث او الشبكات الاجتماعية او حتى باستخدام ادوات وسكربتات تم برمجتها لهذا الغرض.
أولا:جمع المعلومات باستخدام محركات البحث:
من منا لايستخدم محرك البحث جوجل!
هل سبق وسألت جوجل عن اسمك إن لم تفعل فيجدر بك ذلك لأنه سوف يجيب بالتأكيد؟!
طبعا اتحدث عن جوجل هنا بحكم انه محرك البحث الاكثر شعبية والاكثر استخداما على الاطلاق حيث يشكل تقريبا مايزيد عن ال80%من محركات البحث في الشبكة العنكبوتية.
افضل مايعجبني في محرك البحث جوجل انه يعطيك ماتبحث عنه وماتريده بالظبط وبشكل مرتب ايضا طبعا ليس كل مانريده نحن البشر دائما جيد وبالتالي كنت اتمنى لو كان عمو
جوجل سوف يقول للطلبات السيئة كلمة"لا" للاسف هذه الكلمة الوحيدة الغيرمدونة في
سجلات جوجل!
الاف من الاشخاص يتصفحون جوجل لعمل accessعلى البينات المنشورة على الشبكة على
هيئة نتائج مرتبة بشكل منظم قد يكون ماتريده الوصول لملف معين كتاب مثلا وقد يكون مااريده
انا ايضا ملف لكن ماذا لو كان لملف يحتوي على معلومات حساسة قد يكون ماتريد الوصول اليه
صفحة في موقع معين وقد اكون ايضا اريد الوصول الى رابط صفحة معينة ايضا لكنها صفحة
لNetwork Device تابع لشبكة معينة قد يؤدي لاختراقها .
باختصار اذا كنت تريد اداة جبارة لجمع البينات عن اي شيء تريده فجوجل هو ا لخيار الامثل بالتأكيد
خاصة ايضا ان جوجل لم يكتفي بكل هذا فحسب بل جوجل يوفر لنا Advanced operators لتسهيل
الوصول للمعلومات التي نريدها وتنظيمها بشكل افضل وسوف اقوم باعطاء نبذة عنها الآن في الفقرة التالية
بعنوان Google Hacking techniqe

Google Hacking techniqe

اضغط على الصورة لتظهر بحجمها الطبيعي

ماهي ال?Advanced operators
الAdvanced oprerators هي مصطلحات خاصة يقدمها لنا محرك البحث جوجل للوصول للمعلومات التي نريدها بشكل اسرع وادق.
طبعا كما قلت بالمقدمة ان جوجل سلاح ذو حدين هذه الoperators قد توفر علينا الوصول للصفحات والمعلومات التي نريدها بشكل اسرع وتجعل التصفح عبر جوجل اكثر كفائة ودقة لكنها ايضا توفر الوقت بشكل ممتاز بنفس الكفائة والدقة للمخترقين للوصول لمايريدون عموما هناك الكثير من الoperators يقدمها لنا جوجل وقد وضعت جدول كما ترون يوجد فيه بعض هذه الoperator مع امثلة ووصف لعمل كل operator.
انظر للصورة ولاحظ جيدا الصيغة التي يجب أن تكون عليها الoperators syntax بشكل صحيح.
عموما اذا كنت ترغب في الاطلاع على اساسيات الgoogle hacking والتعمق فيه فهناك الكثير من المقالات والكتب المتوفرة
في هذا الموضوع مثل كتابGoogle Hacking For Penteration Testers من شركة syngress. المهم مااريد قوله في هذه الفقرة يمكنك استخدام هذه الoperator لتحديد المعلومات المتوفرة في سجلات جوجل عن الهدف بدقة ومن الامثلة على الoperator التي يمكن استخدامها الامثلة التالية:
site:www.facebook.com "victim"-1
بامكاننا من خلال الoperator الموضح في المثال البحث عن الصفحات التي ذكر فيها اسم الvictim في موقع معين كالfcebook مثلا.
Intitle:"victim"-2
يقوم intitle operator بارجاع الصفحات الذي يوجد فيها الاسم الذي نبحث عنه في الintitle tag الخاص بها .
Filetype:ctt "msn"-3

بامكاننا مثلا البحث من خلال هذا الoperator البحث عن جميع الcontact list بامتداد ctt لشركة او موقع معين مثلا وفي مثالنا هذا سوف تلاحظ اني قمت بالبحث عن الcontact list المتوفرة على جوجل للMSN.
عموما الoperators المتوفرة لنا والتي ستساعدنا في جمع معلومات وبناء توأمنا الشرير كثيرة وكما ذكرت منذ قليل يمكنك بالاطلاع على مقالات او كتب تتكلم عن google hacking بشكل مفصلإن اردت لانه لو احببت أن أفصل هنا سوف يطول الموضوع بنا جدا.

-جمع البينات عن طريق الشبكات الاجتماعية:

تطورت الشبكات الاجتماعية بشكل كبير اليوم واصبحت تحتل حيز كبير من نشاطنا عبر الانترنت وأصبح من النادر أن تجد شخص ليس له حساب علىشبكة اجتماعية اوكثر مثل الfacebook وtwitteer ...الخ.
اليوم لم تعد تحتاج الكثير من العناء للحصول على بينات البطاقة الشخصية لهدفك لان الشبكات الاجتماعية توفر لك ذلك الآن على طبق من ذهب.
يمكنك أن تتسأل كم شخص يضع صور له وبينات حقيقية خاصة به على الfacebookمثلا وماذا يمكن أن تفعل بهذه البينات؟
عموما بالطبع الشبكات الاجتماعية مصدر ومكان مناسب جدا لتنفيذ هجمات الEvil Twin .

-جمع البينات باستخدام اداوات مساعدة:

في هذه الفقرة سوف نقوم باستخدام اداوات اعددت خصيصا لجمع المعلومات عن الهدف خاص المعلومات الاجتماعية والادوات التي سنتحدث عنها هي:

أولا:أداة Maltego

لاأعتقد ان هناك شخص متعمق في طرق جمع البينات Information gathering ولم يمر عليه هذا البرنامج
الجبار في جمع البينات وتحليلها البرنامج بصراحة مذهل ويعمل بكفائة عالية جدا في استخراج جميع البينات الممكنة عن الهدف سواء كان الهدف ip مثلا لسرفر معين او حتى موقع معين او شبكة او حتى اسم شخص اوE-mail معين مثلا. عندما تقوم بفتح برنامج maltego ستجد انه يقسم
انواع البينات التي يتم جمعها الى ثلاثة اقسام:

أعتقد الصور الموضح فيها أقسام البينات لاتحتاج لشرح ماهية البينات التي سوف يتم استخراجها بالنسبة لطريقة الاستخدام فهناك ملف pdf رائع في الموقع الخاص بالرنامج نفسه يقوم شرح استخدام البرنامج بالكامل وهذا هو رابط الملف:

اضغط هنا

وهذا رابط البرنامج:

صفحة التحميل

maltegoبرنامج اكثر من رائع يكفي فقط مميزاته والبينات التي يستخرجها كالاميلات والحسابات على الشبكات الاجتماعية وارقام الهاتف وحتى مكان الاقامة ومعلومات عن السيرة الشخصية ان وجدت عن الهدف فإن كنت تريد اداة جبارة خاصة في الهندسة الاجتماعية maltego هي خيارك الامثل بالتأكيد.

ثانيا:اداة لاستخراج اسماء الfacebook:

قام Atul Agarwal باكتشاف مشكلة في الfacebook وهي عند دخولك وتسجيلك
باميل له حساب على الfacebook وادخلت
الباسورد مثلا بطريقة خاطئة فسوف يظهر لك
الprofile الخاص بالحساب الخاص بالاميل فقام
ببرمجةphp scriptبسيط لتسهيل هذه العملية من خلاله نستطيع استخراج اسماء الfacebook من مجموعة من الاميلات.

طريقة الاستخدام:

أولا قم بتحميل الاداة من هذا الرابط:
اضغط هنا للتحميل
ثانيا:قم بفك الضغط عنها وقم بالدخول الى مسار الملف من خلال شاشة الterminal ثم نفذ الامر التالي:

php fbextract_php.bin

لتظهر لك الشاشة الافتتاحية التالية وفيها شرح مختصر لاستخدام الاداة:

*****************************************************
* Facebook name extract POC, by atul@secfence.com   *
* Usage : fbextract.php target_list output_file     *
* Check the script for more details, such as random *
* name generation and proxy settings                *
*****************************************************

الآن قم بعمل ملف text لتضع فيه الاميلات اللتي قمت بجمعها ولقد اسميت الملف في حالتنا هذه مثلا email.txt الآن قم بتنفيذ الامر التالي:

root@bt:/pentest/bluetooth# php fbextract_php.bin email facebook
*****************************************************
* Facebook name extract POC, by atul@secfence.com   *
* Check the script for more details, such as random *
* name generation and proxy settings                *
*****************************************************

target_list=email.txt output_file=facebook
Output file already exists. Will be overwritten.


Loaded 4 targets. Starting ..


elnimrelmasry@hotmail.com, 7984811,elnimr elmasry
aaa@hotmail.com, 9141731, INVALID
ee.ss@hotmail.com, 5855539, INVALID
bbb@hotmail.org, 2044078, INVALID
utput succesfuly stored in facebook

كما ترى بالاعلى يقوم السكربت باختبار الايميلات الموجودة في الtarget_list ويعطيك النتيجة ثم يقوم بتخزينها في الoutput_file.

ثالثا:الهجوم

طوال الوقت ونحن نقوم بجمع البينات تحضيرا لبناء الEvil Twin
الآن وبعد أن قمت ببناء البينات يمكنك استخدامها في عمل توأمك الشرير باكثر من طريقة مثلا يمكنك عمل حساب على احد الشبكات الاجتماعية باسم احد الاشخاص وانتحال شخصيته لنشر maleware مثلا المهم هناك طرق كثيرة لتنفيذ هذه الهجمة وبالطبع يمكننا استخدام المعلومات التي جمعناها في هجمات اخرى كهجمات الpassword offline attack بحيث تكون هذه المعلومات good source نستطيع من خلالها انشاء قائمة جيدة من الباسوردات.
عموما الطريق الآن مفتوح للهجمات التي تعتمد خاصة على الهندسة الاجتماعية.

رابعا:نصائح للوقاية من هجمات الهندسة الاجتماعية بشكل عام:

الهندسة الاجتماعية كما قلت في أول الموضوع ليست ثغرة تقنية في نظام معين بل هي ثغرات في انظمة البشر ويقوم باستغلالها بعض الاشخاص الذي يملكون قدر كبير من الخبرة في هذه الحياة للدخول لانظمة هؤلا الاشخاص والتحكم فيهم تماما كما يتحكم المخترق في النظام الذي تم اختراقه وبالتالي يجب مثلا اذا كان هناك شخص يمتلك شركة معينة عليه أن يقوم بتوعية الموظفين وخاصة هؤلاء الذين يملكون مراكز حساسة في الشركة مثلا عن طريق عمل pent test من مختصين بحيث يكون الاختبار يحتوي على مثل هذه الهجمات .
ايضا يجب أن يكون هناك اجراءات امنية صارمة تمنع وضع بينات خاصة بالشركة حتى ولو كانت عامة وليست حساسة"قد تكون معلومات غير حساسة لكنها قد تكون المفتاح الذي سيدخل المخترق به".

أذا كنت تملك حسابات في الشبكات الاجتماعية او اي شيء على الشبكة يمكن ان يعطي معلومات عنك حاول استخدم الاعدادات والاجراءات الأمنية المتاحة في الapllication الخاص بالشبكة الاجتماعية مثلا بحيث مثلا يتم عرض معلوماتك فقط للاصدقاء
وليس للجميع.

عندما تتحدث مع صديقك تأكد أن ليس له أخ توأم يريد العبث معك!!

أخيرا:

نحن البشر عقلنا معقد جدا ونملك من الخير تماما بمقدار مانملكه من الشر ولهذاعليك دائما أن تتأكد من الذي يبتسم لك أن ابتسامته بيضاء ناصعة وليست لون آخر!!

مجلة HACKIN9 عدد هذا الشهر

2010-08-11T09:15:00.000-07:00

تم اصدار العدد الجديد من المجلة العالمية والمتميزة Hackin9 المتخصصة في مجال الSecurityبعوان SECURING THE CLOUD .

محتويات العدد:

An introduction to Reverse Engineering: Flash, .NET
Web Malware - Part 1
Cyber warfare with DNSbotnets
Search Engine Security and Privacy
Securing the Cloud: Is it a Paradigm Shift in Information Security?
Radio Frequency-enabled Identity Theft
Intelligence Monopolies
Capturing the New Frontier: How To Unlock the Power of Cloud Computing

اضغط هنالتحميل العدد

The Linux File System

2010-08-10T06:15:00.000-07:00

مقدمة

الfile system ليس أكثر من طريقة لحفظ المعلومات واستراداد كل ملفاتك. في نظام الوندوزلدينا فكرة عن ال Folders وال Files حيث ان الfolder والذي يعرف ايضا ب Directory ماهو الا وعاء لاحتواء مختلف الملفات .الفرق بين الوندوز واللينوكس هو أن الوندوز يقوم بتخزين الملفات في المجلدات طبقا للبرامج التي تنتمي إليها بمعنى أنه عندما تقوم بتنصيب برنامج في الوندوزكل ملفات هذا البرنامج كال.exe file والconfiguration files والData files ..الخ تذهب الى نفس المجلد الخاصبالبرنامج.

وكمثال للتوضيح اكثر اذا قمت بتنصيب برنامج winrar مثلا سوف تجد جميع ملفات هذا البرنامج في مجلد واحد في المسار التالي:

C:\programs files\winrar .

أما في اللينوكس فالملفات يتم تخزينها طبقا للوظيفة التي تؤديها بمعنى اخر كل ملفات الhelpمثلا تذهب لمجلد واحد خاص بملفات الhelp كل الexecutable files تذهب لمجلد واحد خاص بالملفات التنفيذية '/bin directory ' .

Linux hierarchical file system

المجلدات والملفات في نظام اللينوكس الموضحة في الصورة أن نظام اللينوكس يستخدم نظام تصنيف هرمي للملفات على قمة هذا الهرم مجلد root/ والذي يتفرع منه جميع مجلدات نظام اللينوكس طبعا ولايوجد بالطبع Drives كمانرى في الوندوز Drive C - D ..الخ.
ولعمل access على مجلد معين نستخدم نفس طريقة الوندوز فمثلا لو اردت ان اقوم بعمل access على مجلد bin سوف اكتب مساره بالشكل التالي :
/root/bin
بهذه الطرية أنت تخبر النظام عن مكان المجلد بصراحة يمكنك ان تتخيل انظمة تصنيف الملفات تشبه لحد كبيرة نظام عنونة الشوارع في المدن فان اغلب المدن تضع مسمى للشارع او رقم ومن قم رقم لمنزل الشخص وبالتالي يسهل الوصول اليه بنفس الطريقة هنا انت تعطي العنوان للنظام وهو سيقوم بتوصيلك للمجلد المطلوب.
إلى هنا الكلام جيد لكن إن كنت لاحظت فإن هناك فرق بسيط في عمل access على مجلد معين بينما اللينوكس والوندوزوهو الslash
حيث نستخدم في اللينوكس forward slash /root/bin
اما في الوندوز نستخدم backslash c:\programs file

شرح موجز عن وظيفة كل مجلد في نظام ملفات لينوكس:

root-هو اعلى مستوى بنظام الملفات او الادلة في نظام لينوكس وهو الذي يتفرع منه جميع المجلدات كا bin-home
bin- هذا المجلد يستخدم لكل المفات التنفيذية في النظام.
etc- هذا المجلد يستخم لتخزين اعدادات ملفات الخدامات الرئيسية بالنظام كال network services
home- هذا المجلد يقوم بحفظ الملفات الخاصة بكل مستخدم في مجلد خاص به-وهو يشبه مجلد 'My Documents'
var- هذا المجلد يقوم بتخزين الملفات التي تحتوي على معلومات عن تغيرات في ملفات النظام كالlog files
usr- هذا المجلد يقوم بتخزين المجلدات التي تحوي ملفات يمكن الوصول اليها من جميع المستخدمين.
mnt- بما أنه لاتوجد فكرة الDrives الموجودة في وندوز في نظام لينكس فكيف سنستطيع الوصول للcd rom مثلا او الfloby بالتأكيد عن طريق هذا المجلد.
dev- كل نظام يحتوي على devices خاصة به ونظام ليونكس بالتأيكد ليس استثناء من هذه القاعدة في هذا المجلد توجد جميع مجلدات الdevices كال ملفات Com ports .
proc- يحتوي على جميع الاعدادات الخاصة بالprocess في نظامك.

sbin-يعمل نفس عمل مجلد bin لكن مع اختلاف ان الذي له صلاحية فقط للوصول لهذا المجلد هو الroot.

شرح أداة CUPP v 3.0

2010-08-05T01:00:00.000-07:00

سنتكلم اليوم عن اداة احد افضل الادوات المستخدمة في الهجمات التي تعتمد على الهندسة الاجتماعية وهي اداة common user password profile باصدارها الاخيرcupp v3.0.
مبدأ عمل ألأداة:
هذه الأداة تعتمد بشكل أساسي على سيكولوجية وطريقة تفكير الشخص الذي يضع الباسورد فأغلب الأشخاص عندما يضعون باسورد لشيء معين بطريقة او بأخرى بقصد او بدون قصد تجده يضع الباسورد لشيء يسهل علي تذكره او له علاقة بذاكرته بحدث معين مثلا.

ما أريد قوله انه الهجمات التي تستهدف الباسوردات وتعمد على التخمين لا يشترط ان تكون تخمين عشوائي او تخمين غير مدروس وهذا هو مبدأ الأداة التخمين المدروس فكل ماسوف تفعله أنك ستجمع البينات التي تريدها عن هدفك كاسمه واسم زوجته واطفاله والاسماء المستعارة لكل منهم وتواريخ ولادتهم اين يعمل وماهي ديانته ومن ثم ستستخدم هذه الاداة لتسجل عليها هذه المعلومات عن طريقة اسئلة تقدمها لك الأداة وبعد إجابتها من المعلومات الذي قمت بجمعها سوف تقوم الأداة بتوليد password list بالاعتماد على المعلومات الذي قدمتها للأداة. طبعا يمكنك بعد توليد الpassword list باستخدام الاداة ان تستخدم هذه القائمة في برامج كالبرامج التي تعتمد على هجمات الbrutforce وتخمين الباسورد .
طريقة الاستخدام:
قم بالدخول إلى المسار التالي من شاشة الterminal
cd /pentest/passwords/cupp
ثم قم بكتابة الامر:
python cupp.py -h لتقوم باستعراض الخيارات المتوفرة في هذه الاداة:

سوف اقوم باستخدام الخيار الموضوح في الصورة التالي
وساترك الباقي لتكتشفه بنفسك:
كما تلاحظ عندما قمنا بكتابة الامر التالي سوف تعطينا الأداة اسئلة ونجيب عليها كما ذكرت سابقا من المعلومات التي قمنا بجمعها عن هدفنا.
بعد ان تجيب الاسئلة سوف تخبرك الأداة بأنها قامت بتوليد password list بنجاح وعدد الباسوردات اللتي تم توليدها ويمكنك الدخول لمسار ملف الباسوردالذي تم توليده من نفس مسار الأداة:
root/pentest/passwords/cupp/
وسوف تجد ملف الpassword list بنفس اسم الشخص الذي تجمع عنه البينات بامتداد txt.
انظر للصورة:

كلمة أخيرة:
أغلب الأشخاص لديهم اعتقاد سائد بأن الهجمات التي تعتمد على الهندسة الاجتماعية ليست ذو فاعلية وفي رأي هذا اعتقاد خاطئ فإذا كنت تعتقد ان الهجمات التي تعتمد على ثغرات تقنية بحتة في الأنظمة ذو فاعلية اكثر فبكل بساطة مثل هذه الثغرات يمكن ترقيعها والسيطرة عليها أما الثغرات التي تستهدفها الهندسة الاجتماعية فلايمكن السيطرة عليا لأنها تعتمد على طبيعة الانسان وتزاداد خطورة هذه الهجمات عندما تكون مدروسة ومدعومة بالتقنيات المساعدة كما في موضوعنا الآن عموما أداة cupp أداة رائعة جدا وتعتطي فرصة كبيرة لتخمين ناجح للباسورد بطرق مدروسة.
أتمنى أنكم استمتعتم بهذا الموضوع.

تحميل الأداة:
SHA-1: 477e8e8c060f0da2e2039dc3af1ba4b17a421cd1
اضغط هنا للتحميل
ملاحظة:
اضغط على الصور لمشاهدتها بالحجم الطبيعي.
جميع الحقوق محفوظة للنمر المصري © 2010

Grey Hat Hacking Book Review

2010-08-04T15:23:00.000-07:00

هذا الكتاب هو واحد من سلسة مشهورة من الكتب المختصة في حقل السيكيورتي بالتأكيد إن كنت احد المختصين او المهتمين بعلم السكيورتي فقد مر عليك بالتأكيد اسم هذه السلسة "Hacking Exposed".
بصراحة جميع الكتب في هذه السلسة بحد ذاتها اكثر من رائعة ومتعمقة ومفيدة جدا وفي موضوعنا هذا سوف نقوم بعمل تقرير عن كتاب Gray Hat Hacking وهو واحد من اقوى الكتب في هذه السلسة في رأيي .
وما نراه من غلاف الكتاب الرمادي واسمه انه يناقش عدة اساليب في الهاكينج من وجهة نظر الgrey hat hackers وطبعا نحن نعلم ان هذا النوع من الهكرز هم الخط الفاصل بين الblack hat and white hat hackers وجميعهم يمتلك المعرفة العلمية والعملية لكن الاهداف تختلف بالطبع"بصراحة لاتروقني هذه التسميات كثيرا whit hatو black hat احس اني في فلم جيمس بوند"
بالنسبة لمحتوى الكتاب لو قلبت صفحات الكتاب ونظرت للفهرس سوف تجد أن الكتاب يبدا بشرح عن اخلاقيات واساليب الهكر الاخلاقي ثم ينتقل الى شرح استخدام بعض الاداوت الشهيرة في الpen test ومن ثم نجده ينتقل للتركيز على الاساسيات التي يحتاجها الهكر لتحليل البرامج واكتشاف الاخطاء فيها فنجد المؤلفين يتحدثون عن الاساسيات التي تحتاجها في البرمجة ومن ثم يركز على بعض اللغات البرمجية الشهيرة كال C والاسمبلي والبايثون وكذلك نجد المؤلفين يقومون بالتركيز على شرح البنية الداخلية للنظام كالذاكرة والمعالج والمسجلات والمقاطع ومالى ذلك.
ثم ينتقل المؤلفون الى التركيز على اساسيات اكتشاف الثغرات في نظام ليونكس وووندوز وكيفية كتابة الشل كود بعد ذلك نجد ان الكتاب يبدأ بالتركيز على الreverse engineering والتقنيات المتقدمة المستخدمة في هذه العملية.
ايضا نجد في اخر الكتاب قسم عن الmalwere analysis وهو الذي اعتمدت عليه في التدوينة السابقة عن تحليل الملفات الضارة.
___________________

محتويات الكتاب:

Part I
ntroduction to Ethical Disclosure
Part II
penetration testing and tools
Part III
Exploits
Part IV
Vulnerability Analysis
Part V
Malware Analysis

__________________
عدد صفحات الكتاب: 537 صفحة
___________________
المؤلفون : كتب هذا الكتاب بواسطة عدة مؤلفين خبراء في مجال أمن المعلومات وهم
shon harris-allen harper-chris eagle-jonathan ness
_________
كلمة أخيرة:
هذا الكتاب رائع جدا جدا خاصة لعشاق الهندسة العكسية واكتشاف الثغرات.
______________
جميع الحقوق محفوظة للكاتب النمر المصري © 2010
عند النقل يرجى الاشارة الى المصدر بوضع رابط المدونة

Malware Analysis

2010-07-14T03:10:00.000-07:00

النظام :windows

الموضوع :malware Analysis

ملاحظة!!

اضغط على الصور لمشاهدتها بالحجم الطبيعي لها

__________________

مقدمة ....

لا لاتستغرب ان كنت وضعت اليك صورة جنود سبرتا في اول الموضوع فهذا مايجب ان نفعله للقضاء على الملغمين ولاتستغرب اني وضعت لك في فقرة المقدمة صورة للفنون القتالية فلطالما ذكرتني فلسفة الهكر ومبدأ عمله بالفنون القتالية خاصة الصينية منها والتي تعتمد على تطوير الجسد والعقل وتحليل نقاط ضعف الخصم ومن ثم استخدامها ضد الخصم هكذا هو الهاكينج ايضا نفس الاسلوب ونفس الطريقة في الدفاع والهجوم.في هذا الموضوع سوف نتكلم عن تحليل الmalware ودراسة سلوكها وطريقة وديناميكة عملها وتأثيراتهاعلى النظام.

_______________________

ديناميكة عمل الملفات التنفيذية خلال النظام:

هذا diagram ورسم بياني بسيط يوضح طريقة عمل الملفات التنفيذية داخل النظام فكما نرى عند تنفيذ احد البرامج والتي في حالتنا هنا الmalware فان النظام يقوم بتحميل الprocess والاجراءات الخاصة بالبرنامج الى الذاكرة وعلى هذا فإن كل برنامج يعمل في نظامنا تكون له process مقابلة له في الذاكرة ويكون لكل process رقم يميزها يسمى بprocess identifier (PID) .

الى هنا الكلام جيد لكن ماذا يحدث بعد اكتمال تنفيذ البرنامج على النظام ماهي التأثيرات والنشاطات الحيوية الذي يحدثها بالنظام وهذا مانحن بصدد دراسته في هذا الموضوع في الفقرات القادمة.

للمعلومية فقط:

عند تحميل الprocessلاي برنامج الى الذاكرة تتجزء الى عدةمقاطع مثل مقطع .text ومقطع .dataومقطع .bss عموما هذا فقط لاثراء المعلومات ويمكنك بعد اكمال قراءة الموضوع عمال بحث بسيط هذه المعلومة .

_________________

انواع تحليل البرمجيات الضارة :

كما نرى في الرسم البياني الموضح بالأعلى هناك نوعان رئيسيين لتحليل البرمجيات الضارة STATICو LIVE .

___________________

أولا:Static Analysis

وهو تحليل الملف التنفيذي بشكل مبدأي قبل تنفيذه على النظام وجمع معلومات عنه مثل اسم البرنامج المستخدم لعمل packing للملف اذا كان الملف مشفر ومعمول له packing ايضامعرفة اللغة المبرمجية المكتوب بها البرنامج ونقطة الدخول وكثير من المعلومات الاخرى.

هناك اداوت كثيرة تقوم بهذا العمل مثل برنامج PEID وFile Inspector ....الخ

_______________________

ثانيا:Live Analysis

ويقصد به تحليل الملف التنفيذي اثناء تشغيله على النظام Run Time ويساعدنا هذا التحليل على معرفة التأثيرات والنشطات الخاصة بهذا الملف على النظام مثل معرفة تأثيرات تنفيذ الملف على ال registry ونشاطات الملف عبر الشبكة وغيرها من الامور التي سنتعرف عليها لاحقا.

Registry Activity

من المعلوم لدى الجميع ان الmalware تحدث تغيرات في الregistry وان هذه التغيرات التي تحدثها هي طريقة للتأكد من تثبيث الmalwareعلى النظام وذلك لان جميع الاعدادات التي في الregistry تعمل مع عمل reboot للنظام.والاداة التي سنستخدمها هنا لرصد التغيرات في الRegistry هي اداة .regshot

فكرة عمل الأداة:

ببساطة من خلال هذه الاداة سنقوم بعمل snapshot للريجستري قبل تنفيذ الملف المراد تحليله ومن ثم سنقوم بأخذ صورة اخرى 2^nd snapshot للرجيستري بعد تنفيذ الملف المراد اختباره ومن ثم سنقوم بالضغط على الزر compare ليقوم البرنامج بعمل مقارنة بين الصورتين وتقديم مفاتيح الرجستري الذي لذي حدث لها تغير وايضا المفاتيح التي تم اضافتها للريجستري فيtext report او html report كما تريد.

Network Activity

هنا سنقوم بتحليل جميع النشاطات التي يقوم بها البرنامج عبر الشبكة .

وهناك اداوت كثيرة منها من يقوم بمراقبة الشبكة بشكل عام وتحليل الحزم كالsniffer ومنها منا يقوم بتحليل النشاطات التي تحدث عبر الشبكة بالاعتماد على مراقبة الprocess الخاصة البرنامج ومن الادوات التي تقوم بعمل ذلك :

TCP View:

فكرة عمل الاداة:

تقوم هذه الاداة بمراقبة العمليات والخدمات التي لها نشاطات عبر الشبكة لحظة بلحظة .

من الجيد في استخدام مثل هذه الادوات انك ربما تستطيع كشف الديدان او البوتنت فمثلا ولنفرض ان هناك botnet على نظامك وكان البوتنت يحتوي على طريقة للانتشار عبر ثغرة ما عبر الشبكة كيف تستطيع اكتشافه؟؟

بما ان البوت نت سوف يقوم بفحص الانظمة التي تعمل على الشبكة هذا يعني ان البوتنت سوف يقوم بعمل اتصال مع هذه الانظمة من داخل نظامك اذا عن طريق هذه الاداة اذا وجدنا process معينة تعمل على النظام تقوم بالاتصال بالانظمة الاخرى على الشبكة الداخلية فهذا يعني ان هذه الprocess هي عبارة عن botnetاو worm طبعا من خلال المنفذ التابع للدودة تستطيع عمل بحث بسيط عبر محركات البحث لمعرفة الخدمة الخاصة بهذا المنفذ ومعرفة اسم الmalware ايضا تستطيع بما انك عرفت الprocessالخاصة بالدودة او البوت نت تستطيع عمل dump لهذه ال processللحصول على نسخة من هذ الملف الخبيث وتحليله ودراسته.

عموما سوف نشرح هذه الطريقة لاحقا في الفقرات القادمة.

File Activity

هنا سنقوم بمراقبة وتحليل نشاطات وحركات الملف داخل النظام هل يقوم بعمل مسح لملفات معينة مثلا او يقوم بوضع ملفات في مسارات معينة من الاداوت البسيطة والشهيرة لهذا العمل اداة .file monitor

File monitor tool

هذه الاداة رائعة نستطيع من خلالها كما قلنا ان نراقب ملفات النظام ومن خلال نوافذ هذه الاداة نستطيع ان نعرف المسارات التي تقوم كل process بعمل accessعليها ومانوع هذا الaccess مثلا هل هو writeكان تقوم الprocess بالكتابة على ملف معين او وضع ملف جديد بمسار معين .

process monitor

هذه الاداة تم تطويرها من نفس الشركة المبرمجة للاداة السابقة وهي اداة رائعة وتحوي مميزات اكثر فهي تستطيع مراقبة ملفات النظام والريجستري وتقوم بعرض اسماء الprocess التي تقوم بعمل accessعلى كلامن الريجستري او ملفات معينة في النظام.

__________________

Packer basics

عملية الضغط والتشفير او ال Packing هي عبارة عن خوارزمية algorithm يقوم المبرمج ببرمجتها واستخدامها لحماية البرنامج من التحليل او مانسميه ايضا بال Reverse Engineering .

مالذي يحدث للملف التنفيذه عند ضغطه وتشفيره بالpacker؟؟

بكل بساطة الملف التنفيذي سوف يتغير حجمه بما انه اصبح مشفرايضا عنوان نقطة الدخول القديمة للملف الاصلي سوف تتغير الى نقطة الدخول الجديدة والتي سيقوم النظام بقرائتها اثناء تنفيذ الملف التنفيذي المشفرليقوم بتنفيذ كود فك الضغط.

Is This Malware packed?

هناك برمجيات كثيرة لاجابة هذا السؤال وخابارك هل هذا الملف التنفيذي مشفر ام لا وما اسم هذه التشفيرة مثل برنامج peid او file inspector عموما سبق لنا ان تكلمنا عن هذه النقطة في ال Static analysis ان كنت تتذكر.

طبعا هذه البرمجيات تستطيع التعرف على انواع التشفير بالاعتماد على مقارنتها بمجموعة من الsignatureومن ثم التعرف على نوع التشفير مثل طريقة الانتي فيروس تماما في التعرف على الملفات الضارة.

Unpacking Binaries

اذا استطعنا التعرف على نوع التشفير من خلال البرمجيات السابق ذكرها تستطيع عمل بحث بسيط عبر محركات البحث وتحميل الادوات اللازمة لفك الضغط عن الملف التنفيذي.

ولكن!!

ماذا لو لم تستطع الادوات التعرف على التشفيرة ماذا سوف نفعل في هذه الحالة؟

بالتأكيد سوف نلجأ للmanual unpacking

Manual Unpacking

هناك اكثر من طريقة لفك الضغط والتشفيرعن الملفات التنفيذية يدويا.

كيف؟؟

بالطبع الطرق تعتمد على مهاراتك الخاصة في الهندسة العكسية ان صح القول فاي شخص له خلفية عن هندسة العكسية وطرق عمل كراكينج على البرامج المشفرة والمضغوطة سوف يفهم انا كل ماسوف نقوم به الآن ماهو الا هندسة عكسية للملف التنفيذي.

عموما سوف اشرح الطريقة الاكثر شهرة فك ضغط البرامجيات المشفرة لكن لاتعتقد ان اي ملف تنفيذي سوف يكون فك تشفيره بهذه السهولة فهناك طرق كثيرة للمناورة!

Run and Dump Unpacking

حتى نفهم هذه الطريقة وديناميكية عملها تعالوا نسترجع بعض المعلومات الاساسية لآلية عمل الملفات التنفيذية:

إن أي ملف تنفيذي نقوم بتنفيذه على النظام يقوم النظام بتحميل الprocess الخاصة به في الذاكرة هذه الprocessتحتوي على image اي صورة طبق الاصل من ملفات البرنامج .

لكن ماذا عن الملفات التنفيذية المشفرة!?

ان المفات التنفيذية المشفرة قلنا عنوان نقطة الدخول entry pointلها تتغير لنقطة دخول جديدة لكي يستطيع النظام البدء من عند كود فك الضغط الذي اضيف للملف التنفيذي اثناء تشفير وماسيحدث انه عندما نقوم بالضغط على الملف التنفيذي المشفر سوف يقوم النظام بقراءة نقطة الدخول الجديدة والذي اشرنا اليها سابقا ومن ثم يبدافك الملف التنفيذي وتحميل الملفات اللازمة للprocess الخاصة به في الذاكرة في هذه الاثناء سوف يكون عندنا

imageصورة طبق الاصل من الملف التنفيذي لكن غير مشفرة اي الملف الاصلي.

كل ماسوف نقوم بفعله هو قراء الذاكرة واستخراجdump هذ الimage من الملف التنفيذي اثناءعمله على النظام والبرمجيات التي تستطيع عمل ذلك كثير مثل الtask manger والذي يكون موجود مع نظام الوندوز

ايضا برنامج lordpe المعروف.

كما ترى في الصورة تستطيع اختيار الprocess التي تريدها وعمل full dump لها.

هناك طق اخرى ايضا كما قلنا كاستخدام المنقحات كبرنامج olly وكما قلت تذكر هناك طرق كثيرة للمناورة هنا فلاتعتقد ان الامر دائما سيكون بهذه السهولة كل ماذكر هنا هو مجرد بداية لتاذخ فكرة جيدة عن تحليل الملفات التنفيذية بشكل عام والملفات الضارة بشكل خاص .

أخيرا

أتمنى ان يكون هذا الموضوع انطلاقة جيدة للجميع في التحليل بانفسهم والاعتماد على مهراتهم الخاصة في ذلك كما اتمنى ان اكون وفقت في ايصال المادة العلمية بشكل صحيح.

___________________

تذكر!!

أيا كان الطريق الذي يسلكه الرجل فهناك دائما فرصة ثانية!!

_________________

مدونة النمر المصري

تطور الفيروسات وتزايد خطورتها مع خبير أمن المعلومات ميكوهيبونين

الهندسة الاجتماعية فن اختراق العقول!!

كيف تصبح بطل خارق?!

لمحة عن الPACKET CRAFTING

تحول المدونة من مدونة مختصة في الhacking الى مدونة متعددة المجالات هل تؤيد الفكرة؟!

تغطية مؤتمر RSA Europe 2010 بالصور من فريق isecur1ty

شرح اداة Open Vas

SNMP Enumeration

البنية التحتية لأنظمة التشغيل الجزء الأول

مجلة Hackin9 عدد شهر اكتوبر

الفحص بأداة Nmapعلى طريقة الNinja!!

مجلة hackin9 عدد شهر سبتمبر

Botnet:The Six Laws And Immerging Command & Control Vectors

Hacking Trust Relationships Part II

Web Malwares Part II

Defeating Layer-2 attacks in VoIP

Armoring Malware: Hiding Data within Data

Is Anti-virus Dead The answer is YES. Here’s why…

Mobile Malware – the new cyber threat

EvilTwin Attack

مجلة HACKIN9 عدد هذا الشهر

An introduction to Reverse Engineering: Flash, .NET

Web Malware - Part 1

Cyber warfare with DNSbotnets

Search Engine Security and Privacy

Securing the Cloud: Is it a Paradigm Shift in Information Security?

Radio Frequency-enabled Identity Theft

Intelligence Monopolies

اضغط هنالتحميل العدد

The Linux File System

شرح أداة CUPP v 3.0

Grey Hat Hacking Book Review

Malware Analysis