( شرح ) فحص الجهاز بشكل يدوى ( معرفه اذا كنت مخترق ام لا )

SaMio · ‏ديسمبر 9, 2015

بارك الله فيك ،،،

معلومات قيمه جدا

حمودي sa · ‏ديسمبر 9, 2015

شرح واضح
ابدعت وكفيت

جزاك الله عنا كل خير ..

MagicianMiDo32 · ‏ديسمبر 9, 2015

بسم الله ماشاء الله

موضوع رائع أخي بلاك وشرح مبسط وجميل جدا

من أجمل المواضيع التي رأيتها في هذا المجال

Abdulmuhaimen · ‏ديسمبر 9, 2015

درس أقل ما يقال عنه أنه درس رائع

واصل أبداعتك أخي مصطفى

:: تحياتي ::

المسكت511 · ‏ديسمبر 10, 2015

قمة الابداع الله يحفظك

farid6618 · ‏ديسمبر 10, 2015

موضوع ممتاز ومهــم للغاية
بارك الله فيك

ZEYAD 007 · ‏ديسمبر 11, 2015

بارك الله فيييييييييييييييييييييييييك

أبوفاطمة · ‏ديسمبر 11, 2015

بارك الله فيك أخي مصطفى
ماشاء الله عليك يالغالي
موضوع رائع وقيم وحصري لزيزووم
الموضوع راح يثبت وبشكل رسمي في هذا الركن للاهميه
ونداء للاخوة في مكتبة الكتب لتحويل الموضوع لكتاب الكتروني حتى يكون سهل للاعضاء للأطلاع عليه ولحفظه

Amine-KaBLe · ‏ديسمبر 11, 2015

شكراا

هشام مسك · ‏ديسمبر 11, 2015

الله يزيدك علم ياريت تستمر في هذا الموضوع بالتدريج

ضياء نورالدين · ‏ديسمبر 11, 2015

جزاكم الله خيراً

student · ‏ديسمبر 11, 2015

مقتبس من black007: ↑

بسم الله الرحمن الرحيم

السلام عليكم ورحمه الله وبركاته

اولا اعتزر بشده على كل من طلب مساعدتى على الخاص ولم استطيع ان اساعده

ثانيا كما وعدت جميع اصدقائى الاحبا الذين راسلونى بخصوص هذا الموضوع الان اوفى بوعدى لكم واعتزر لكم بشده انى تاخرت فى طرحه وذلك بسبب الانشغال الدائم

ندخل الى موضوعنا

موضوعنا ان شاء الله سنقوم بفحص جهازنا بشكل يدوى دون الحاجه الى برامج حمايه

1- ProcessExplorer وسنقوم به بفحص العمليات الشغاله حايا وما هى مهيتها

2- فحص الحقن

3- فحص الاتصالات الخارجيه عن طريق عده برامج (TCPView و ApateDNS )

1- فحص العميات الشغاله حاليه وما هى مهيتها عن طريق برنامج ProcessExplorer

لتحميل البرنامج من الموقع الرسمى

https://technet.microsoft.com/en-us/sysinternals/processexplorer.aspx

شرح سريع للبرنامج والتعرف على بعض الاجزاء منه والتحقق من العمليات التى تعمل

ملحوظه مهمه جدا يفضل قبل تشغيل البرنامج اغلق اى برنامج يعمل عندك وحتى اغلاق المتصفح اى الذى تستخدمه للبدا فى التحليل بشكل سليم

عند تشغيل البرنامج لاول مره سيظهر لك بهذا الشكل

ينقسم البرنامج الى 4 اجزاء

ملحوظه مهمه هناك بعض انواع الملفات الخبيثه يمكن التلاعب بها من خلال المبرمج الخاص بها بتزييف معلومات العمليه عن طريق تغيير فى كل من اسم العمليه والشركه المنتجه للملف وايضا خانه وصف البرنامج ( فيرجى الانتباه جيدا ) و فى هذه الحاله سنتعرف عن العمليه التى تعمل عن طريقPID و كشف اتصالاتها

ينقسم برنامج ProcessExplorer الى جزئين الجزء العلوى وهو خاص بملفات نظام التشغيل

كما نلاحظ يوجد بعض العمليات التى ليس لها تعريف PID هذه العمليات هى عمليات اساسيه خاصه بالويندوز اى تعمل قبل اثنا تحميل الويندوز لنفسه للدخول الى سطح المكتب

نبذه عن تعريف بعض عمليات الويندوز

العمليه system عمليه خاصه بالنظام

العمليه csrss عمليه المسئول عن ربط البرامج بنواه الويندوز ( الكرنل )

العمليه winint مسئول عن عمليه (services ) الخاصه بالنظام

العمليه services ملف مسئول عن تشغيل جميع الخدمات السرفس ( services ) الخاصه بالنظام وايضا السرفس الخاصه ببرامج الحمايه وغيرها من البرامج الاخرى

العمليه lssas عمليه مسئول عن كل مايخص حساب المستخدممثل تغيير الباسورد للحساب إنشاء حساب اخر و غيرها

العمليه lsm عمليه خاصه بنظام الربط remote desktop connection اى الاتصال عن بعد

العمليه winlogon عمليه خاصه بظهور شاشه الترحيب فى الويندوز

كما نلاحظ ان اغلبها عمليات النظام الاساسيه وهناك بعض الملفات الخبيثه التى تسطتيع التعديل فى هذه المناطق

ملحوظه لن اتحدث هنا الى كيفيه التنظيف هذه الجزئيه حيث العبث فى هذه المنطقه يضر بنسخه الويندوز

و مخصص لها شرح اكثر احترافيه فيما بعد فى دوره ان شا الله ساقوم بتحضيرها ساتكلم فيها عن التحليل عن الطريقه الاستاتيكيه وعن الطريق الديناميكيه وساتكلم فيها بشكل اكثر تعميقا عن كيفيه تحليل الملف الخبيث واستخراج بياناته وهى خاصه بهذا الجز لكن موضوعنا يختص بكل من يريد فحص جهازه بشكل يدوى سريعا دون التعمق فى تحليل الملف الخبيث وانما يريد التاكد ان جهازه نظيف وخالى من الملفات الخبيثه

الان العمليه الاساسيه التى تخصنا فى هذه المرحله هى عمليه explorer وهذه العمليه الاساسيه التى يعمل تحتها اى ملف يقوم المستخدم بتشغيله

لاحظ معى هنا عمليات تعمل تحت explorer

ملحوظه مهمه لكى يتم الفحص بشكل سليم علينا اغلاق اى شى يعمل حاليا حتى نتاكد من العمليه التى تعمل ونستطيع تحليلها بشكل جديد

فى حاله انكم قمت بغلق جميع العمليات التى تعمل ومازالت هناك عمليات تعمل

نتحقق من كل من اسم العمليه – رقم التعريف PID – نسبه استهلاك العمليه – مسار العمليه واين يقع تحديدا

واذا وجدت عمليه تعمل تحت عمليه اخرى

مثال

اى ان هناك عمليه اساسيه وهناك عمليات فرعيه تتفرع منها هذه العمليات الفرعيه تخص العمليه الاساسيه لذلك يرجى التاكد من البرنامج الذى يعمل وعندك وغلق العمليه الاساسيه وستم غلق جميع العمليلات الفرعيه الاخرى عن طريق الامر

Right Click على اسم العمليه ثم اختار kill process tree

- طريقه التحقق من اتصال العمليه التى تعمل عن طريق برنامج ProcessExplorer

ببساطه استطيع ان اعرف اذا كانت هذه العمليه تحتوى على اتصال ام لا عن طريق الضغط اضغط على اسم العمليه

Right Click على اسم العمليه ثم اختار properties ثم TCP/IP

حيث ما يهمنا يهمنا فى هذه القائمه

اى بى الإتصال Remote Address + البورت أو المنفد Remote Port

وكما هو ملاحظ هنا ان الاى بى يكون على هذا الشكل والبروت يكون متبوع بعده مفصول بين الاى بى بعلمه ( : )

حالات الاتصال

Listening تعني أنه ينتضر الإجابة من الجانب الأخر ( الإتصال غير مكتمل )

Established تعني أن الإتصال جاري بين الطرفين ( كل شي تمام )

2- الحقن لا توجد طريقه معينه لكشف عن الملف المحقونه من عدمه

طريقه الحقن تعتمد على : يقوم الملف المصاب بالحقن فى الملف الاصلى بهدف الوصول الى الانترنت والعمل تحت الملف الاصلى على انه هو لكى يبعد الشبهات عنه وللاسف هناك بعض الجدران الناريه التى تنخدع بهذا الامر فالحقن فائده ان الملف المصاب يعمل كانه ملف موثوق لابعاد اى شكوك عنه

الملفات التى من المحتمل ان يتم الحقن فيها svchost - smss - csrss - explorer

لذلك نبهت على ملحوظه مهمه جدا فى الاعلى وساعيدها مره اخرى يجب غلق جميع البرامج التى تعمل عندك حتى يسهل عليك الفحص بشكل صحيح

1- من المحتمل ان يتم الحقن فى عمليات svchost -smss - csrss - explorer ( نسبه الاحتمال عاليه جدا )

2- من المحتمل ان يتم الحقن الملف فى المتصفح الاكسبلور ( نسبه الاحتمال عاليه )

3- من المحتمل ان يتم الحقن فى calculator ( نسبه الاحتمال متوسطه )

4- من المحتمل ان يتم الحقن الملف فى نفسه ( نسبه الاحتمال متوسطه )
لذلك الفيصل هنا هو مراقبه الاتصال الخاص بهذه العمليات لكى يتم كشف اتصال الملف من عدمه

نبذه مختصره حول الهوست

الهوست هو عباره عن عنوان ثابت يستخدمه اغلب المخترقون لكى يستطيعوا تثبيت ضحاياهم

بشكل مبسط اكثر

من المعروف ان اى جهاز كمبيوتر متصل بالانترنت يجب اى يحمل رقم او ما نطلق عليه IP

هناك نوعين من الاى بى الاى بى الداخلى وتم اعطائه لك عن طريق الروتر الخاص بك وهو الذى يكون على هذا الشكل 192.168.1.***

الاى بى الخارجى وهو الذى تعطيه لك مزود الخدمه ويكون على هذا الشكل 197.162.21.23
شرح سريع للارقام

هذا الاى بى الخارجى يكون متغير دائما وهذا راجع الى شركه المزوده للخدمه حيث عند اشتراك معها وعند تشغيل الخدمه عندك يتم اعطائك عنوان اى بى وهو الذى تستخدمه للدخول الاى الانرنت ياتى الان دور الهوست كما ذكرنا انه عنوان ثابت اى انها خدمه تقوم بثبيت اتصالك فى حاله تم تغيير الاى بى الخاص بك فتستطيع استخدام هذه الخدمه للدخول اليها من اى مكان فى العالم حتى وان تغير عنوان الاى بى الخاص بك
لذلك يستخدمه اغلب المخترقون حتى اذا حدث ام ما وتم تغيير عنوان الاى بى الخاص به لا يفقد كل الضحايا الذى اخترقهم

اشهر الخدمات التى تقدم Free Host موقع NO-IP ويفضله اغلب المخترقيت لسهوله التعامل معه وثبات الخدمه

هناك بعض النطاقات التى يتيحها الموقع نطاقات مجاينه وهى ما يستخدمه اغلب المخترقون وهناك نطاقات اخرى فرعيه

لان اذكر ما هى تلك النطاقات حيث انها كثيره جدا ومتنوعه وايضا لا استطيع ان اقوم بحصر جميع المواقع التى تقدم خدمه الهوست لدى المخترقين لتعددها

اعتزر على تبسيط الامر هنا بخصوص الاى بى فقط اردت تبسيط الامر قدر الامكان

لكن لمعرفه ما هو الاى بى بشكل مفصل عليك بدراسه احدى كورسات الشبكات ( Network + ) وانصح بالكورس الخاص بشركه Comptia

3- فحص الاتصال عن طريق عده برامج منفصله

ملحوظه مهمه مره اخرى يفضل غلق جميع البرامج التى تعمل فى الخلفيه حتى يكون الفحص صحيح

برنامج TCPView

لتحميل البرنامج من موقع الرسمى

https://technet.microsoft.com/en-us/sysinternals/tcpview.aspx

عند تشغيل البرنامج لاول مره

قم بالضغط على علامه لكى تقوم بازاله الاتصالات التى لا تعمل

ما يهمنا يهمنا

اى بى الإتصال Remote Address + البورت أو المنفد Remote Port

حاله الاتصال

Listening تعني أنه ينتضر الإجابة من الجانب الأخر ( الإتصال غير مكتمل )

Established تعني أن الإتصال جاري بين الطرفين ( كل شي تمام )

اذا وجدت ان العمليه متصله مع اى بى ما

نتحقق من اسم العمليه – رقم التعريف PID

ملحوظه اغلب المخترقون يستخدمون بورتات عشوائيه لذلك من السهل التحقق من العمليات التى تعمل برقم البورت الخاص بها

موقع مهم يعتمد عليه فى البحث عن معلومات IP

https://ipinfo.io/

http://whatismyipaddress.com/ip-lookup

برنامج ApateDNS

لتحميل البرنامج من موقعه الرسمى

https://www.fireeye.com/services/freeware/mandiant-apatedns.html

عند تشغيل البرنامج اول مره

يقوم البرنامج على طريقه ممتازه جدا جدا فى كشف الاتصالات الخارجيه حيث انه يقوم بتحويل جميع الاتصالات الخارجيه الى عنوان الجهاز الافتراضى 127.0.0.1 ويقوم بعرض لك جميع الاتصالات الجاريه بعد اعاده توجيها الى الى الاتصال الداخى

بعد تشغيل البرنامج اضغط على Start ليبدا البرنامج بعمله ( انتظر بضع دقائق واذا كان هناك اى اتصال خارجى يعمل ستم التقاطه )

ملحوظه مهمه فى حاله تشغيل البرنامج عليك عدم فتح المتصفح او استخدام الانترنت لانه البرنامج يقوم كما ذكرنا بقطع الاتصال بالانترنت ويقوم بتحويل جميع الاتصالات الى الاتصال الداخلى لذلك لا تحاول استخدام الانترنت اثنا فحصك بهذا البرنامج

التنظيف فى حاله الاصابه

التخلص من باتش الاختراق + الدوده فى حاله الاصابه ( Vbs & ExE )

ان اماكن زراعه الملفات الخبيثه تكون لها اكثر من مسار لكى تقوم بحفظ نفسها فيه لتقوم بتشغيل نفسها من جديد

فى حاله انى قمت باكتشاف ان هناك عمليه خبيثه وبعد ان تاكدت من اتصالها وقمت بقتل العمليه الان نريد حزف تثبتها الذى يكون كالاتى

1- مسار الملفات 2- مسار الاستارت اب 3- مسار الرجيسترى 4- Task Scheduler

ملحوظه مهمه قبل اى اجراء انصح بشده استخدام البرنامج الرائع CCleaner فى تنظيف كافه المخلفات

+

وهذا يعتبر بمثابه مسح سريع بشكل اتومتك

قبل البدا فى مسح المناطق المذكوره فى الاعلى عليك بتفعيل كل من الملفات المخفيه + اظهار امتداد الملفات

1- التحقق من مسارات الاتيه

مسار % TEMP% ( C:\Users\YourUser\AppData\Local\Temp )

مسار % AppData% ( C:\Users\YourUser\AppData\Roaming )

مسار % UserProfile% (C:\Users\YourUser)

مسار % ProgramData% (C:\ProgramData )

2- التحقق من مسارات الاستارت اب

C:\Users\YourUser\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

3- التحقق من مسار الرجيسترى استارت اب

لفتح الرجيسترى اذهب الى

Start > Run > Regedit

الان اذهب الى المسار للتحقق من مكان زرع العمليه

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

4- مسار Task Scheduler

لفتح Task Scheduler اذهب الى

Start > search > Task Scheduler

الى هنا ينتهى موضوعى المتواضع

اذا صعب عليك الامر او التبس عليك اى مشكله فقسم الاستفسارات مفتوح ان شا الله

من هنا مشاكل واستفسارات الحماية

او هناك اى ملف تشك فيه او تحس بانك مخترق قم بوضع الملف الذى تشك فيه فى القسم

من هنا طلبات فحص الملفات

وسيتم الرد عليك ان شا الله

اتمنى ان يكون الموضوع افادت الجميع ولو بشى القليل

واكون بسط الامور قدر الامكان

تحياتى وتقديرى للجميع

اخوكم ومحبكم دوما

مصطفى & black007
أنقر للتوسيع...

ارجو من احد الاخوة تحويل الموضوع لكتاب الكتروني pdf لسهولة حفظه علي الجهاز و تخزينة

MeDMiDo · ‏ديسمبر 12, 2015

ابدعت اخي مصطفي ربنا يباركلك

mrso_mrso · ‏ديسمبر 12, 2015

بسم الله ماشاء الله لا اروع
جزيت الفردوس الأعلى من

الجنة

drone · ‏ديسمبر 12, 2015

شرح أكثر من رائع
بارك الله في علمك أخي

محمد الشناوى · ‏ديسمبر 13, 2015

السلام عليكم هل هذا أى بى يريد اختراق جهازى ام ماذا

محمد الشناوى · ‏ديسمبر 13, 2015

الأمل الدائم · ‏ديسمبر 15, 2015

موضوع في قمة الروعة
بارك الله فيك
و جزاك الله كل خير

mojahid · ‏ديسمبر 15, 2015

بارك الله فيك أخي مصطفى
موضوع متعوب عليه ، وشرح وافي
جزيت خيرا

Agent001 · ‏ديسمبر 18, 2015

الله عليك و على شرحك الوافى المبسط الرائــــع .. كلمات الشكر و الثناء لا توفيك أخى ف الله ..

تقبـل تحياتى .. وفى انتظار الجديد منك ..

تسجيل الدخول

( شرح ) فحص الجهاز بشكل يدوى ( معرفه اذا كنت مخترق ام لا )

SaMio زيزوومي نشيط

حمودي sa زيزوومى فعال

MagicianMiDo32 مراقب قسم الحماية طـــاقم الإدارة ★ نجم المنتدى ★ فريق فحص زيزووم للحماية عضوية موثوقة ✔️

Abdulmuhaimen زيزوومي VIP

المسكت511 زيزوومي جديد

farid6618 زيزوومى مبدع

ZEYAD 007 زيزوومى مميز

أبوفاطمة الإدارة العامة طاقم الإدارة عضوية موثوقة ✔️

Amine-KaBLe زيزوومي جديد

هشام مسك زيزوومي نشيط

ضياء نورالدين زيزوومي VIP ★ نجم المنتدى ★

student مسئول فريق تحويل الروابط ★ نجم المنتدى ★ فريق تحويل الروابط

MeDMiDo زيزوومي ماسى

mrso_mrso داعم للمنتدى داعــــم للمنتـــــدى نجم الشهر فريق دعم البرامج العامة

drone زيزوومي نشيط

محمد الشناوى زيزوومى فضى

محمد الشناوى زيزوومى فضى

الأمل الدائم زيزوومي جديد

mojahid زيزوومى ذهبى

Agent001 زيزوومي VIP ★ نجم المنتدى ★ فريق تحويل الروابط

مشاركة هذه الصفحة

تسجيل الدخول

( شرح ) فحص الجهاز بشكل يدوى ( معرفه اذا كنت مخترق ام لا )

SaMio زيزوومي نشيط

حمودي sa زيزوومى فعال

MagicianMiDo32 مراقب قسم الحماية طـــاقم الإدارة ★ نجم المنتدى ★ فريق فحص زيزووم للحماية عضوية موثوقة ✔️

Abdulmuhaimen زيزوومي VIP

المسكت511 زيزوومي جديد

farid6618 زيزوومى مبدع

ZEYAD 007 زيزوومى مميز

أبوفاطمة الإدارة العامة طاقم الإدارة عضوية موثوقة ✔️

Amine-KaBLe زيزوومي جديد

هشام مسك زيزوومي نشيط

ضياء نورالدين زيزوومي VIP ★ نجم المنتدى ★

student مسئول فريق تحويل الروابط ★ نجم المنتدى ★ فريق تحويل الروابط

MeDMiDo زيزوومي ماسى

mrso_mrso داعم للمنتدى داعــــم للمنتـــــدى نجم الشهر فريق دعم البرامج العامة

drone زيزوومي نشيط

محمد الشناوى زيزوومى فضى

محمد الشناوى زيزوومى فضى

الأمل الدائم زيزوومي جديد

mojahid زيزوومى ذهبى

Agent001 زيزوومي VIP ★ نجم المنتدى ★ فريق تحويل الروابط

مشاركة هذه الصفحة

عمليات بحث مفيدة