BlueRever (Main)
الذهاب إلى القناة على Telegram
1 807
المشتركون
لا توجد بيانات24 ساعات
-27 أيام
-430 أيام
جاري تحميل البيانات...
القنوات المماثلة
سحابة العلامات
لا توجد بيانات
هل تواجه مشاكل؟ يرجى تحديث الصفحة أو الاتصال بمدير الدعم الخاص بنا.
الإشارات الواردة والصادرة
---
---
---
---
---
---
جذب المشتركين
أكتوبر '26أكتوبر '26
أكتوبر '26
+19
في 0 قنوات
سبتمبر '26
+22
في 0 قنوات
Get PRO
أغسطس '26
+23
في 0 قنوات
Get PRO
يوليو '26
+37
في 0 قنوات
Get PRO
يونيو '26
+1 090
في 0 قنوات
Get PRO
مايو '260
في 0 قنوات
Get PRO
أبريل '260
في 0 قنوات
Get PRO
مارس '260
في 0 قنوات
Get PRO
فبراير '260
في 0 قنوات
Get PRO
يناير '260
في 0 قنوات
Get PRO
ديسمبر '250
في 0 قنوات
Get PRO
نوفمبر '250
في 0 قنوات
Get PRO
أكتوبر '250
في 0 قنوات
Get PRO
سبتمبر '250
في 0 قنوات
Get PRO
أغسطس '250
في 0 قنوات
Get PRO
يوليو '250
في 2 قنوات
Get PRO
يونيو '250
في 1 قنوات
Get PRO
مايو '250
في 0 قنوات
Get PRO
أبريل '250
في 0 قنوات
Get PRO
مارس '250
في 1 قنوات
Get PRO
فبراير '250
في 0 قنوات
Get PRO
يناير '250
في 0 قنوات
Get PRO
ديسمبر '24
+72
في 0 قنوات
Get PRO
نوفمبر '240
في 0 قنوات
Get PRO
أكتوبر '240
في 0 قنوات
Get PRO
سبتمبر '240
في 0 قنوات
Get PRO
أغسطس '24
+1
في 0 قنوات
Get PRO
يوليو '24
+2
في 0 قنوات
Get PRO
يونيو '24
+20
في 0 قنوات
Get PRO
مايو '24
+30
في 0 قنوات
Get PRO
أبريل '24
+19
في 1 قنوات
Get PRO
مارس '24
+19
في 1 قنوات
Get PRO
فبراير '24
+77
في 3 قنوات
Get PRO
يناير '24
+97
في 2 قنوات
Get PRO
ديسمبر '23
+93
في 1 قنوات
Get PRO
نوفمبر '23
+47
في 1 قنوات
Get PRO
أكتوبر '23
+95
في 1 قنوات
Get PRO
سبتمبر '23
+84
في 0 قنوات
Get PRO
أغسطس '23
+27
في 0 قنوات
Get PRO
يوليو '23
+24
في 0 قنوات
Get PRO
يونيو '23
+10
في 0 قنوات
Get PRO
مايو '23
+5
في 0 قنوات
Get PRO
أبريل '23
+44
في 0 قنوات
Get PRO
مارس '23
+289
في 0 قنوات
| التاريخ | نمو المشتركين | الإشارات | القنوات | |
| 13 أكتوبر | +1 | |||
| 12 أكتوبر | 0 | |||
| 11 أكتوبر | 0 | |||
| 10 أكتوبر | 0 | |||
| 09 أكتوبر | +2 | |||
| 08 أكتوبر | 0 | |||
| 07 أكتوبر | +3 | |||
| 06 أكتوبر | +2 | |||
| 05 أكتوبر | +3 | |||
| 04 أكتوبر | 0 | |||
| 03 أكتوبر | +1 | |||
| 02 أكتوبر | +3 | |||
| 01 أكتوبر | +4 |
منشورات القناة
BlueSky: أداة OSINT تساعدك تجمع المعلومات من الإنترنت بطريقة أسهل
في مجال الأمن السيبراني، مش كل عملية بحث تحتاج اختراق أو أدوات معقدة. أحيانًا المعلومة اللي تبحث عنها تكون موجودة أصلًا على الإنترنت، لكن التحدي الحقيقي هو كيف توصل لها وتجمعها من مصادر مختلفة بطريقة منظمة.
هنا تجي فكرة BlueSky، مشروع مفتوح المصدر مبني لتسهيل البحث عن المعلومات المتاحة عبر قواعد البيانات والمصادر الإلكترونية، خصوصًا لما يكون عندك رقم هاتف، بريد إلكتروني، اسم أو اسم مستخدم وتريد تعرف المعلومات العامة المرتبطة به.
المشروع متوفر على GitHub:
https://github.com/blue24bluer/BlueSky
وش هو BlueSky بالضبط؟
BlueSky أداة مرتبطة بمجال OSINT، وهو اختصار لـ Open Source Intelligence، يعني جمع المعلومات وتحليلها من المصادر المفتوحة.
بدل ما تبحث يدويًا في كل مكان، الأداة مصممة لتسهيل البحث عن أنواع مختلفة من البيانات، مثل أرقام الهواتف، عناوين البريد الإلكتروني، أسماء المستخدمين، وأسماء الحسابات على منصات التواصل الاجتماعي.
الفكرة هنا مش إن الأداة تمتلك قاعدة بيانات سحرية فيها كل معلومات الناس، وإنما إنها تساعدك تبحث عن البيانات المتاحة من خلال المصادر التي تدعمها. والنتائج تعتمد على المصادر المستخدمة، ومدى توفر المعلومات، وطريقة تنفيذ البحث.
وش الفائدة منها في الأمن السيبراني؟
خلنا نفترض إنك تعمل على تقييم أمني لحسابات شركتك، أو تريد تتأكد من المعلومات العامة المرتبطة ببريد إلكتروني تابع لك.
بدل ما تبدأ من الصفر وتتنقل يدويًا بين مواقع كثيرة، تقدر تستخدم أدوات OSINT مثل BlueSky لتسهيل عملية الاستعلام وجمع المعلومات الأولية.
ومن أهم الاستخدامات المحتملة:
البحث عن البريد الإلكتروني: التحقق من المعلومات العامة المرتبطة بعنوان بريد إلكتروني.
البحث عن أسماء المستخدمين: الاستعلام عن أسماء الحسابات ومواقع ظهورها في المصادر التي تدعمها الأداة.
البحث عن أرقام الهواتف: محاولة العثور على معلومات عامة مرتبطة بالرقم، بحسب المصادر المتاحة.
الاستطلاع الأمني: جمع معلومات أولية ضمن اختبار أمني مصرح به قبل الانتقال إلى مراحل التقييم الأخرى.
التعلم والتطوير: دراسة طريقة بناء أدوات OSINT وتطويرها وإضافة مصادر بحث جديدة.
كيف تستخدم BlueSky؟
إذا كنت تستخدم Linux أو Parrot OS، تقدر تبدأ بتنزيل المشروع من المستودع الرسمي.
افتح الطرفية ونفّذ:
git clone https://github.com/blue24bluer/BlueSky
cd BlueSkypython Libs/Tools/BlueSky.py -h-s وخيار عرض تعليمات تثبيت المتطلبات -i.
وللاطلاع على تعليمات المتطلبات:
python Libs/Tools/BlueSky.py -ipython bluesky_main.py| 2 | ESP32 مش مجرد قطعة إلكترونية صغيرة تركبها في مشروع وتخليها تتصل بالواي فاي. هي شريحة رخيصة، قوية، وصغيرة جدًا، لكن إمكانياتها تخليها مثيرة للاهتمام بشكل كبير في مجال الأمن السيبراني.
أحد الأشياء اللي تميز ESP32 إنها تجمع بين Wi-Fi وBluetooth في نفس القطعة، ومع وجود GPIO ومداخل ومخارج متعددة، تقدر تربطها بحساسات وشاشات وأجهزة إلكترونية مختلفة وتبني عليها أدوات مخصصة حسب احتياجك.
الميزة الأهم بالنسبة للمخترق الأمني هي الحجم.
جهاز صغير جدًا ممكن تخفيه داخل مشروع إلكتروني، صندوق، لوحة تجارب أو حتى جهاز مخصص، وتبرمجه ينفذ مهام شبكية بشكل مستقل بدون الحاجة إلى كمبيوتر كامل. وهذا يفتح مجال كبير للأتمتة والاختبارات الأمنية داخل بيئة مصرح لك باختبارها.
الـESP32 ممكن تستخدم في بناء أدوات لفحص الشبكات اللاسلكية، تحليل بعض الاتصالات، اختبار إعدادات Wi-Fi، التعامل مع Bluetooth، مراقبة الأجهزة الموجودة على شبكة تجريبية، أو تنفيذ مهام متكررة بدل ما تعتمد على اللابتوب في كل شيء.
ومع البرمجة المناسبة، تقدر تخليها تعمل كجهاز مستقل: تشغلها، تتصل بالشبكة، تنفذ المهمة المطلوبة، تسجل النتائج، وبعدها ترسل البيانات إلى جهاز آخر.
وهنا تبدأ قوة ESP32 الحقيقية.
المخترق المحترف ما ينظر للأداة على أنها مجرد جهاز جاهز، بل ينظر لها كمنصة يقدر يبني فوقها أداته الخاصة.
تقدر مثلًا تربط ESP32 بحساسات، شاشة صغيرة، أزرار، بطارية، وحدة تخزين أو مكونات إضافية، وتحولها إلى جهاز اختبار أمني محمول. وبسبب سعرها المنخفض، ممكن تعمل أكثر من نسخة وتستخدمها في مختبرك لاختبار سيناريوهات مختلفة.
لكن لازم نفرق بين استخدام ESP32 في اختبار أمني مصرح به وبين استخدامها ضد أجهزة أو شبكات ما تملك تصريح عليها.
قوة الجهاز نفسها ما تجعله أداة اختراق سحرية. ESP32 عندها حدود في المعالجة والذاكرة مقارنة بالكمبيوتر، وبعض الهجمات والأدوات تحتاج قدرات أكبر. لكن الشيء المميز فيها هو أنها صغيرة، منخفضة التكلفة، قابلة للبرمجة، وتقدر تحولها من لوحة تطوير بسيطة إلى أداة متخصصة جدًا حسب الكود والمكونات اللي تضيفها.
لهذا السبب ESP32 تعتبر من القطع اللي تستحق اهتمام أي شخص داخل مجال الأمن السيبراني والـHardware Hacking.
لأنك بدل ما تتعلم فقط كيف تستخدم أدوات الآخرين، تقدر تبدأ تفهم كيف تبني أداة بنفسك من الصفر.
#ESP32 #CyberSecurity #EthicalHacking #HardwareHacking #WiFiSecurity #BluetoothSecurity #IoT #IoTSecurity #Pentesting #NetworkSecurity #RedTeam #Cybersecurity #Arduino #EmbeddedSystems #BugBounty #InformationSecurity | 84 |
| 3 | كمبرمج و مخترق و محلل ادوات ، وش الافضل بالنسبه لك | 125 |
| 4 | إنت مش ضعيف في البرمجة… إنت مشتت
مرة Flutter
مرة Backend
مرة AI
مرة Algorithms
مرة Cyber Security
مرة DevOps
وفي الآخر تقول أنا مش بتقدم
لا…
إنت مش واقف عشان المجال صعب
إنت واقف عشان كل شوية بتبدأ طريق جديد
أكبر غلطة ممكن تعملها وانت بتتعلم برمجة إنك تحاول تتعلم كل حاجة في نفس الوقت
تشوف حد بيتكلم عن Backend فتروح Backend
تلاقي الدنيا كلها AI فتسيب اللي في إيدك وتجري على AI
حد يقولك لازم Algorithms فتبدأ Roadmap جديدة
وفي الآخر عندك فكرة عن حاجات كتير
بس مفيش حاجة واحدة مستواك فيها قوي فعلًا
اختار Track واحد
واديله 3 شهور بتركيز حقيقي
لو اخترت Flutter مثلًا:
اتعلم Dart كويس
افهم OOP
اتعلم Flutter صح
اعمل Projects بإيدك
حل Problems
ومتنطش لحاجة تانية كل أسبوع
مش لازم تتعلم كل حاجة دلوقتي
ركز في حاجة واحدة لحد ما تبقى كويس فيها
وبعدين اتحرك للي بعدها
لأن المشكلة مش إنك مش بتتعلم
المشكلة إنك كل شوية بتبدأ من الأول | 198 |
| 5 |  مفيد لأي شخص يدور وظيفة:
لقيت أداة مجانية ومفتوحة المصدر اسمه JobSync تساعدك في البحث عن الوظائف.
الأداة تراقب الوظائف المنشورة من الشركات على منصات مختلفة، وبعدها الذكاء الاصطناعي يقارنها بسيرتك الذاتية ويطلع لك الوظائف الأقرب لك.
وفيها أيضًا تتبع لطلبات التقديم، وتحليل للسيرة الذاتية، وتوليد خطابات التقديم، وإحصائيات عن رحلة البحث عن وظيفة.
يعني تقريبًا كل اللي تحتاجه بمكان واحد، وفوق هذا مجانية ومفتوحة المصدر.
github.com/Gsync/jobsync | 194 |
| 6 | صار بإمكان الجميع اختبار و تجربه الاداه 10 مرات
طبعا رح تنزلها و شتغلها مباشره , ما اعتقد رح يحتاج فيديو او شرح | 201 |
| 7 |  # BCarding v5.0
🚀 أداة ذكية للاتصال بالشبكات العامة (WiFi Hotspot) بدون الحاجة لبطاقات أو أكواد شحن.
## ⚙️ الميزات
- 🔐 خوارزمية تنبؤية ذكية لكشف كلمات المرور.
- ⚡️ سرعة فائقة في التنفيذ والمحاولات.
- 🛡 آمنة وخالية من البرمجيات الخبيثة.
- 💻 تعمل على: Termux**، **Linux**، **WSL.
- 🎓 شرح خاص يُرسل بعد الشراء.
---
## 🧪 تم الاختبار على:
- ✅ Termux (Android)
- ✅ Ubuntu / Debian / Arch / Kali
- ✅ Windows Subsystem for Linux (WSL)
---
## 📥 طريقة التثبيت والتشغيل
```bash
apt update -y && apt upgrade -y
apt install curl wget git -y
git clone https://github.com/blue24bluer/BCarding
cd BCarding
bash BCarding.py
````
---
## 🔐 التفعيل
> ⚠️ تنبيه: لا يمكن تشغيل الأداة إلا بعد موافقة الأدمن blue24bluer.
> يجب شراء كلمة السر الخاصة بالتفعيل بعد الدفع.
---
* Updates :
- تعديل الادوات المحليه الخاصه بالcode
- استبدال python بـGolang محليا للسرعه
- تخفيف الموارد و ضبط السرعه
- حل المشاكل السابقه في إصدار 3.0
- سماح المستخدمين بالتجربه المجانيه فقط 10 مرات
---
## 📞 الدعم الفني
لل | 194 |
| 8 | AL3NQA2 — أداة لتحليل مواقع الويب واكتشاف المعلومات المخفية
AL3NQA2 هي أداة مفتوحة المصدر تعمل من خلال الطرفية Terminal، ومصممة لمختبري الاختراق، الباحثين الأمنيين، وطلاب الأمن السيبراني.
تساعد الأداة على تحليل صفحات ومواقع الويب والبحث عن معلومات قد تكون مكشوفة داخل كود الصفحة أو الملفات المرتبطة بها.
ماذا تستطيع الأداة اكتشافه؟
تحتوي AL3NQA2 على عدة أوضاع للفحص:
Passwords & Secrets: البحث عن كلمات مرور، API Keys، Tokens وغيرها من البيانات الحساسة الموجودة بشكل مكشوف.
APIs: اكتشاف مسارات API وBearer Tokens الظاهرة داخل صفحات الموقع.
Comments: استخراج التعليقات الموجودة داخل HTML وكود المصدر.
All-in-One: تشغيل جميع عمليات الفحص معًا.
AI Detection: البحث عن بعض الآثار التي قد تشير إلى استخدام أدوات الذكاء الاصطناعي في إنشاء الكود.
Tree Crawling: الانتقال عبر الروابط الداخلية وفحص صفحات إضافية ضمن نفس الموقع.
Proxy: إمكانية تمرير الاتصال عبر Proxy مثل Burp Suite.
Export: حفظ نتائج الفحص بصيغ TXT أو Markdown أو HTML أو XML.
كما تحتوي الأداة على وضع تفاعلي Interactive Mode، لذلك لا تحتاج إلى حفظ جميع الأوامر لاستخدامها.
طريقة التحميل والتشغيل
تحتاج فقط إلى Python 3.x.
1. تحميل المشروع
افتح Terminal واكتب:
git clone https://github.com/blue24bluer/ALN3NQA.git
ثم ادخل إلى المجلد:
cd ALN3NQA
2. تشغيل الأداة
شغّل:
python AL3NQA2.py
ستظهر لك القائمة التفاعلية، ومن خلالها تستطيع تحديد الموقع ونوع الفحص والإعدادات الأخرى.
الأداة تقوم بفحص وتثبيت المتطلبات اللازمة عند تشغيلها، ومن ضمنها:
requests
beautifulsoup4
colorama
الاستخدام السريع
يمكن أيضًا تشغيل الأداة مباشرة من خلال الأوامر.
مثلاً لفحص موقع كامل وحفظ النتيجة بصيغة HTML:
python AL3NQA2.py --url http://example.com --mode S --save html
لفحص واجهات API فقط:
python AL3NQA2.py --url http://example.com --mode A
ولتفعيل فحص آثار الكود المولّد بالذكاء الاصطناعي مع الزحف داخل الروابط:
python AL3NQA2.py --url http://example.com --isai --tree true
ويمكن أيضًا استخدام Proxy مثل Burp Suite:
python AL3NQA2.py --url http://example.com --proxy http://127.0.0.1:8080
أهم الخيارات
--url رابط الموقع المستهدف
--mode نوع الفحص
--timeout مهلة الاتصال
--thread عدد العمليات المتزامنة
--packet-in-sec الحد الأقصى للطلبات في الثانية
--tree تفعيل الزحف للروابط الداخلية
--save حفظ النتائج
--isai تفعيل اكتشاف آثار AI
--proxy استخدام HTTP/HTTPS Proxy
الخلاصة
AL3NQA2 توفر طريقة بسيطة وسريعة لفحص بنية مواقع الويب والبحث عن المعلومات المكشوفة داخل صفحات الموقع وكود المصدر.
وهي مناسبة للتعلم، الاختبارات الأمنية، CTF، وأعمال Bug Bounty عند استخدامها على الأنظمة التي لديك تصريح باختبارها.
المشروع مفتوح المصدر ومتاح على GitHub:
ALN3NQA2 على GitHub | 179 |
| 9 |  لا يوجد نص... | 214 |
| 10 |  اعتبروها هديه بسبب الانقطاع الطويل الي جرا
استخدموها على BlueStore
For the first three people only
الي اخذها يرسل لي سكرين شوت | 308 |
| 11 |  New CT Recon Source ⚡
Looking for a ridiculously fast way to discover subdomains?
Try crt.name:
https://crt.na
me/v1/search?apex=target.com
It returns the subdomains found in Certificate Transparency records along with the date they were first seen.
Need only the subdomains? 👇
curl -s "https://crt.name/v1/search?apex=target.com"| awk '{print $1}' | sort -u
Fast. Simple. No unnecessary hassle.
A useful addition to your subdomain reconnaissance workflow. 🔥 | 299 |
| 12 | في عام ١٩٨٨، شنّ روبرت تيبان موريس أول هجوم موثّق بسبب ثغرة "تجاوز سعة المخزن المؤقت" buffer overflow.
تسبّب الهجوم، عن غير قصد، في تعطيل الإنترنت بالكامل.
تمّ تفكيك شبكة الإنترنت بالكامل وإعادة تشغيلها لإصلاح العطل.
كان موريس أول شخص يُدان بموجب قانون الاحتيال وإساءة استخدام الحاسوب لعام ١٩٨٦.
وهو الآن أستاذ علوم حاسوب في معهد ماساتشوستس للتكنولوجيا، وأحد مؤسسي حاضنة الأعمال واي كومبيناتور.
يصف RFC الصادر في تلك الحقبة بوضوح كيف تسبب الفيروس في تجاوز سعة الذاكرة في fingerd، وتمكن من تنفيذ برنامج صغير عشوائي.
لذا، يُعد هذا مثالًا تاريخيًا حقيقيًا على تجاوز سعة المخزن المؤقت في مكدس الذاكرة، مما أدى إلى اختطاف مسار التنفيذ.
3. ولكن لماذا تم "إيقاف" الإنترنت؟
هنا تكمن أهمية القصة.
سمحت ثغرة تجاوز سعة المخزن المؤقت للديدان بالعمل على جهاز مُعرّض للاختراق. بعد ذلك، كانت الديدان تنسخ نفسها وتبحث عن أجهزة أخرى.
لم تكن المشكلة الكارثية ببساطة:
تجاوز سعة المخزن المؤقت ← انقطاع الإنترنت
بل كانت أشبه بـ:
ثغرة أمنية ← تنفيذ ← نسخ ← إصابات جديدة ← نسخ واسع النطاق
كان موريس قد وضع آلية لمنع إعادة إصابة جهاز مُصاب بالفعل. لكنه مع ذلك سمح بإعادة إصابة بعض الأجهزة باحتمالية معينة، حتى لا يتمكن المسؤولون من الادعاء ببساطة أن جهازًا ما مُصاب بالفعل لمنع الديدان من مهاجمته.
أثبت هذا المنطق كارثيته: إذ يمكن للأجهزة تشغيل نسخ متعددة من الديدان، مما يستهلك مواردها لدرجة تجعلها بطيئة للغاية أو غير قابلة للاستخدام.
تأثر ما يقرب من 6000 جهاز من أصل 60000 جهاز متصل في ذلك الوقت، وفقًا لمكتب التحقيقات الفيدرالي وجامعة كورنيل.
4. وماذا عن برنامج sendmail؟
الأمر الأكثر إثارة للاهتمام هو أن دودة موريس لم تكن تعتمد فقط على ثغرة تجاوز سعة المخزن المؤقت.
استغلت الدودة أيضًا ميزة تصحيح الأخطاء في برنامج sendmail، والتي سمحت، في بعض الإعدادات، بتنفيذ الأوامر عن بُعد. يؤكد RFC 1135 أن الدودة استغلت كلاً من sendmail وfingerd.
لذا، تاريخيًا، يمكننا تلخيص آلية عملها كما يلي:
fingerd ← تجاوز سعة المخزن المؤقت ← تنفيذ التعليمات البرمجية
sendmail ← تصحيح الأخطاء ← تنفيذ الأوامر
rsh/rexec ← الثقة بين الأجهزة ← الانتشار
كلمات مرور ضعيفة ← الوصول إلى حسابات أخرى
ثم:
جهاز مخترق ← نسخة من الدودة ← البحث عن أجهزة جديدة ← انتشار متسارع.
هذا تحديدًا ما يجعل قضية موريس بالغة الأهمية لمن يدرس استغلال الثغرات الثنائية اليوم: لم تكن ثغرة تجاوز سعة المخزن المؤقت سوى أحد مكونات نظام الهجوم؛ بل كان التأثير الحقيقي نابعًا من ارتباطها بتنفيذ التعليمات البرمجية والانتشار الذاتي. | 253 |
| 13 | في أنظمة ويندوز الحديثة، تعتمد حماية KASLR على فكرة بسيطة ومهمة:
عدم ترك عناوين مكونات النواة (Kernel) ثابتة ومعروفة، بل جعلها عشوائية بحيث يصبح الوصول إلى المكان الصحيح داخل النواة أصعب بكثير.
لكن ماذا لو استطاع المهاجم الحصول على عنوان حقيقي من داخل النواة؟
هنا تظهر أهمية ما يُسمّى Kernel Address Leak.
الفكرة التي نراها في هذا النوع من الأبحاث تبدأ من معلومات يمكن الوصول إليها من User Mode، مثل كائنات النوافذ وواجهات Win32/Win32k، ثم محاولة ربطها بنظيراتها داخل النواة.
وبمجرد ظهور عناوين من الشكل:
"0xFFFF..."
يمكن أن تتحول المعلومة من مجرد رقم إلى تسريب لمعلومة مهمة عن تخطيط ذاكرة النواة.
وهنا تكمن فائدة تجاوز KASLR:
ليس الهدف بحد ذاته الحصول على صلاحيات أعلى، وإنما إزالة طبقة من عدم اليقين أمام استغلال ثغرة أخرى.
بمعنى آخر:
ثغرة → تسريب عنوان من النواة → معرفة موقع مكوّنات معينة → تقليل فعالية KASLR → تسهيل بناء سلسلة استغلال أخرى.
لذلك فإن وجود Kernel Address Leak لا يعني تلقائياً امتلاك صلاحيات SYSTEM، لكنه قد يكون قطعة مهمة جداً في سلسلة استغلال أكثر تعقيداً.
وهذا يوضح نقطة أراها مهمة جداً في مجال الـ Binary Exploitation:
أحياناً لا تكون المعلومة المسربة هي الاستغلال نفسه، لكنها قد تكون المعلومة التي تجعل الاستغلال ممكناً.
ومن هنا نفهم لماذا تُعدّ حماية العناوين العشوائية وآليات منع تسريب معلومات النواة جزءاً أساسياً من دفاع ويندوز ضد استغلال الثغرات.
#CyberSecurity #Windows #KASLR #Kernel #BinaryExploitation #ExploitDevelopment | 208 |
| 14 | لماذا يوجد خيار «تذكرني» عند تسجيل الدخول؟ وكيف تؤدي سرقة الـ Session إلى الاستيلاء على حسابك؟
عند تسجيل الدخول إلى معظم المواقع، يظهر خيار "تذكرني / Remember me". للوهلة الأولى يبدو الأمر مجرد وسيلة لتجنب كتابة كلمة المرور مراراً، لكن خلف هذا الخيار تعمل آلية برمجية مرتبطة بإدارة جلسة المستخدم (Session) وملفات (Cookies).
فهم هذه الآلية، كما توضح معايير OWASP الأمنية، مهم جداً؛ لأن امتلاك مهاجم لـ Session صالحة قد يمنحه القدرة على التصرف كأنه أنت، حتى لو كانت كلمة مرورك قوية وحسابك محمياً بالمصادقة الثنائية (2FA).
ما هي الـ Session أصلًا؟
بروتوكول HTTP بطبيعته لا يتذكر المستخدم بين الطلبات. عندما ترسل بيانات الدخول (اسم المستخدم وكلمة المرور)، يتحقق الخادم منها. بعد نجاح العملية، يحتاج الموقع إلى طريقة يعرف بها أن النقرات التالية قادمة منك.
لذلك ينشئ الموقع "جلسة" (Session) مرتبطة بحسابك، ويعطي المتصفح رمزاً أو معرفاً يوضع غالباً في Cookie. في الطلبات التالية، يرسل المتصفح هذا الـ Cookie تلقائياً، فيعرف الخادم هويتك دون طلب كلمة المرور مجدداً.
ما الفرق بين الدخول العادي وخيار "تذكرني"؟
- في الدخول العادي: يتم إنشاء Session Cookie، وهو غير مصمم للبقاء. بمجرد إغلاقك للمتصفح، تختفي الجلسة وتحتاج لتسجيل الدخول مجدداً.
- مع خيار "تذكرني": ينشئ الموقع Persistent Cookie لها مدة صلاحية أطول (أيام أو أشهر). هذا يسمح للموقع بالتعرف عليك حتى بعد إغلاق المتصفح وفتحه لاحقاً.
ملاحظة هامة: التصميم الصحيح لا يخزن كلمة مرورك في الـ Cookie أبداً، بل يخزن رمزاً عشوائياً (Token) يمكن للخادم من خلاله التعرف على جلستك.
أين تكمن المشكلة الأمنية؟ (Session Hijacking)
المشكلة أن هذا الرمز (Token) يصبح بمثابة "مفتاح مؤقت" لحسابك.
إذا حصل مهاجم على Session Cookie صالحة، يستطيع إرسال طلبات إلى الموقع باستخدامها، وسيتعامل الخادم معها على أنها صادرة منك شخصياً. وكلما كان عمر الجلسة أطول (بسبب خيار تذكرني)، كانت نافذة الاستغلال المتاحة للمهاجم أكبر.
كيف يمكن أن تصل الـ Session إلى المهاجم؟
لا يعني وجود خيار "تذكرني" أن الموقع مخترق، ولكن هناك عدة سيناريوهات لسرقة الجلسات:
1. ثغرات XSS: إذا كان الموقع مصاباً بثغرة Cross-Site Scripting، يمكن لكود جافاسكريبت خبيث قراءة الـ Cookie الخاص بك (عبر document.cookie) وسرقته.
2. الاتصال غير الآمن (HTTP): إذا أُرسل الـ Cookie عبر اتصال غير مشفر، يمكن للمهاجم الموجود على نفس الشبكة اعتراض البيانات.
3. البرمجيات الخبيثة (Malware): إصابة جهازك ببرمجية خبيثة قادرة على الوصول لبيانات المتصفح مباشرة (وهذا من أكثر السيناريوهات شيوعاً وخطورة).
4. Session Fixation: المهاجم لا يسرق جلستك، بل يجبرك على تسجيل الدخول باستخدام Session ID يعرفه هو مسبقاً.
5. التخزين السيء: قيام الموقع بتخزين الـ Token في أماكن مكشوفة مثل الـ URL أو سجلات التصفح.
ماذا عن المصادقة الثنائية (2FA)؟
هنا توجد نقطة مفصلية: الـ 2FA يحمي "عملية المصادقة" نفسها. بينما الجلسة (Session) الصالحة تعني للخادم أن عملية المصادقة قد تمت وانتهت بالفعل.
لذلك، إذا حصل المهاجم على Token صالح، فلن يطلب منه الموقع إدخال كود الـ 2FA، وسيتمكن من الدخول مباشرة.
كيف تُحمي التطبيقات من هذه الهجمات؟ (جانب المطورين)
التطبيق الآمن يعتمد على طبقات حماية متعددة وفقاً لتوصيات OWASP:
- خاصية HttpOnly: تمنع أكواد الجافاسكريبت من قراءة الـ Cookie، مما يقلل من خطورة ثغرات XSS.
- خاصية Secure: تجعل المتصفح يرسل الـ Cookie عبر اتصال HTTPS المشفر فقط.
- خاصية SameSite: تساعد في تقليل إرسال الجلسات في الطلبات القادمة من مواقع خارجية، كطبقة حماية ضد هجمات CSRF.
- تغيير الـ Session بعد الدخول: إنشاء جلسة جديدة كلياً بعد نجاح تسجيل الدخول لضرب هجمات Session Fixation.
- تسجيل الخروج الصحيح (Logout): لا يكفي حذف الـ Cookie من المتصفح، بل يجب أن يقوم الخادم (Server) بإبطال الجلسة من قواعد بياناته. | 187 |
| 15 | · الطبيعة: ثغرة رفع صلاحيات (EoP) في محرك الحماية من البرامج الضارة (Microsoft Malware Protection Engine)، تقييم خطورة 7.8 (عالٍ) .
· آلية التجاوز: تلتف على التصحيح السابق (RoguePlanet) عبر أسلوب استغلال مختلف، مما يعني أن التصحيح لم يعالج الجذر .
· الوضع الحالي: لم يصدر مايكروسوفت تصحيحاً رسمياً حتى الآن، لكن كود استغلال (PoC) متاح للعامة، ومن المتوقع أن يزداد الاستغلال .
· الحماية المؤقتة: إيقاف تشغيل Microsoft Defender يمنع نجاح الاستغلال، لكن هذا حل خطر ويُترك الجهاز مكشوفاً لهجمات أخرى. الإجراء الأكثر أماناً هو الحذر الشديد من تشغيل أي كود غير موثوق .
--- | 153 |
| 16 | ---
1. Cl0p يستغل PTC Windchill & FlexPLM (CVE-2026-12569)
الهندسة الدقيقة:
· نقطة الدخول: استغلال ثغرة CVE-2026-12569 وهي إلغاء تسلسل بيانات غير موثوقة (Deserialization of Untrusted Data) في منصتي PTC Windchill و FlexPLM، تسمح بتنفيذ أوامر عن بُعد بدون مصادقة، بتقييم خطورة 9.3 من 10 .
· السلسلة الهجومية: يدمج المهاجم ثغرة كشف معلومات غير موثقة في نقطة نهاية WSDL الخاصة بـ FlexPLM (تقييم 7.5) مع ثغرة RCE في سيرفليت تسجيل الدخول لـ Windchill، لتحقيق تنفيذ أوامر كامل .
· نشر الويب شيل: يتم نشر قذائف ويب بصيغة JSP بأسماء سداسية عشرية داخل مسار /Windchill/login/، مما يمنح وصولاً مستمراً للخادم المخترق .
· الاستيلاء على البيانات: يقوم المهاجم بجرد نظام الملفات، وإنشاء قوائم بالملفات (مثل flst.txt)، ثم تسريب البيانات الهندسية والتصميمية (مخططات، قوائم مواد، ملكية فكرية) قبل الابتزاز .
· الابتزاز: يتم إرسال رسائل ابتزاز ضخمة من حسابات مخترقة، بموضوع "تسرب بيانات خطير لوحدة Windchill PDMLink"، تطالب بفدية لمنع نشر البيانات .
· الأهداف: قطاعات الطيران، السيارات، التصنيع، وتجارة التجزئة .
· بيانات IoCs: عناوين IP محددة مثل 216.152.148.54، 216.152.151.204، 104.243.35.63، 5.180.41.35 .
· الإصلاح: تحديث إلى الإصدارات المصلحة فوراً (تم التصحيح في 17 يونيو)، وعزل الأنظمة المخترقة، وتغيير كلمات المرور، وإعادة تهيئة الأجهزة إن لزم .
---
2. HoneyMyte يطور الباب الخلفي CoolClient
التفاصيل التقنية للنسخة المطورة:
· التطور الرئيسي: ينشر الإصدار الجديد من الباب الخلفي CoolClient سائق نواة موقع رقمياً يعمل بعمق داخل نظام Windows، لإخفاء وجود البرامج الضارة، وحماية ملفاتها وإدخالات الريجستري من التفتيش أو الحذف، وتصفية معلومات الشبكة المختارة .
· التسليم: يتم تسليمه عبر الباب الخلفي PlugX، ويُستخدم كباب خلفي ثانوي إلى جانب PlugX و LuminousMoth .
· آلية التهرب: يقوم المهاجم بتكوين Microsoft Defender لتجاهل مجلد وملف محددين (مثل مجلد Windows Defender مزيف وملف defender.exe)، ثم ينسخ ملفات CoolClient فيه، ويعيد تسمية برنامج Sangfor شرعي إلى defender.exe ليتم تحميل الكود الخبيث .
· الاستمرارية: ينشئ مهمة مجدولة تُشغّل defender.exe تلقائياً عند بدء التشغيل بأعلى صلاحيات Windows، والتي تقوم بدورها بتحميل libngs.dll الخبيث لبدء سلسلة العدوى .
الوظائف الجديدة:
· مراقبة الحافظة: يلتقط محتويات الحافظة (مثل كلمات المرور المنسوخة) مع عنوان النافذة النشطة ووقتها، ويشفرها بـ XOR باستخدام المفتاح 0xAC ويخزنها في C:\ProgramData\AppxProvisioning.xml .
· اعتراض بيانات HTTP: يلتقط حركة المرور، ويسحب بيانات اعتماد المصادقة من رأس Proxy-Authorization: Basic، ثم يفك تشفير Base64 ويخزنها لإرسالها لاحقاً إلى خادم التحكم .
· أنماط المعاملات: يدعم الباب الخلفي أوامر متعددة من خلال معاملات مثل install (للتثبيت والاستمرارية)، work (لتشغيل الحمولة)، و passuac (لتجاوز UAC ورفع الصلاحيات) .
قائمة أوامر C2 التفصيلية:
· مجموعة التوجيه (0xFFAABBCC): إرسال إشارات، تحديث الطوابع الزمنية، تعداد الجلسات النشطة، ومعالجة الأوامر الواردة .
· مجموعة العمليات (0xFFAABBCD): إعداد نفق عكسي، إعداد وكيل عكسي، إدارة الملفات (حذف، قراءة، كتابة)، تشغيل/إيقاف keylogger، والحصول على بيانات الحافظة .
الوظائف الإضافية عبر الإضافات (Plugins):
· ServiceMgrS.dll: تعداد، إنشاء، حذف، تشغيل، إيقاف، وتعيين خدمات Windows للتشغيل التلقائي .
· FileMgrS.dll: قائمة كاملة لإدارة الملفات والمجلدات، بما في ذلك ضغط الملفات في ZIP، تنفيذ ملفات، بحث، وتعيين محركات شبكة .
· RemoteShellS.dll: يفتح غلاف cmd.exe مخفي للتحكم عن بُعد بالكامل .
---
3. ثغرات SonicWall SMA 1000 (CVE-2026-15409 & CVE-2026-15410)
التفاصيل:
· CVE-2026-15409: ثغرة تزوير طلب من جانب الخادم (SSRF) في واجهة Workplace، تقييم خطورة 10/10، تسمح للمهاجم بإجراء طلبات شبكة من الخادم المخترق .
· CVE-2026-15410: ثغرة حقن كود في وحدة التحكم الإدارية (AMC)، تقييم خطورة 7.2/10، تتطلب مصادقة لكن يمكن دمجها مع الأولى لتحقيق تنفيذ أوامر عن بُعد بدون مصادقة .
· الاستغلال: يجمع المهاجم بين SSRF لاختراق AMC، ثم يستغل RCE للحصول على صلاحيات جذرية على الجهاز .
· الاكتشاف: تم تأكيد الاستغلال الفعلي، وتمت إضافتها إلى قائمة CISA KEV .
· الإصلاح: الترقية إلى الإصدارات: 12.4.3-03453 أو 12.5.0-02835 فما فوق، مع إعادة تهيئة الأجهزة وتغيير كلمات المرور .
---
4. ShieldBreak: تجاوز تصحيح Microsoft Defender (CVE-2026-69414)
التفاصيل: | 157 |
| 17 | هجوم Cl0p يطال شركات كبرى (GE, Philips, Shell)
استغلت مجموعة Cl0p ثغرة خطيرة في برنامجي PTC Windchill و FlexPLM، واخترقت بيانات أكثر من 40 شركة. استخدم المهاجمون واجهة ويب خبيثة لفك تشفير خزائن بيانات الاعتماد داخل النظام.
· الشركات المتضررة: شل، فيليبس، جي إي، فيسيرف، زيبيرا تكنولوجيز.
· البيانات المسروقة: مخططات هندسية، رسومات، وخطط مشاريع بحجم يتراوح بين 1 جيجابايت وعدة تيرابايت لكل ضحية.
---
2. اختراق حكومة ولاية برلين
في 17 أغسطس، تم اختراق الشبكة الحكومية لولاية برلين عبر استغلال ثغرة في نظام هيئة التنمية العمرانية، مما أدى إلى تسريب بيانات "حساسة جداً".
· تم عزل هيئتين حكوميتين عن الشبكة الرئيسية، وما زال الموظفون يعملون دون اتصال بالإنترنت.
· التحقيقات تجري بمشاركة الشرطة الجنائية والمكتب الفيدرالي لأمن المعلومات.
---
3. هجمات على البنية التحتية الألمانية
أضافت مجموعات الاختراق أهدافاً جديدة في ألمانيا:
· LockBit 5 هاجمت شركة الطاقة Terra-Petra في 18 أغسطس، والبلدية الألمانية Verbandsgemeinde Rhein-Nahe في 16 أغسطس.
· MedusaLocker هاجمت شركة التكنولوجيا الألمانية Idex Group في 16 أغسطس.
---
4. حملة HoneyMyte APT ضد آسيا
قامت مجموعة التجسس HoneyMyte (Mustang Panda) بتحديث بابها الخلفي CoolClient، واستخدمت سائق نواة موقعاً رقمياً للاختباء في العمق، مستهدفةً حكومات وكيانات في باكستان وميانمار ومنغوليا والهند وروسيا.
استخدم المهاجمون PlugX لتوزيع الحمولة، وعدّلوا إعدادات Windows Defender لتجنب الكشف.
---
5. اختراق Levi Strauss عبر الهندسة الاجتماعية
تم اختراق 3 حسابات موظفين في شركة الملابس Levi Strauss عبر تقنيات الهندسة الاجتماعية، وتم سرقة بيانات الشركة دون تأثير على بيانات العملاء. يُشتبه بتورط مجموعة UNC6671 المتخصصة في التصيد الصوتي (Vishing).
---
6. ثغرات نشطة تُستغل اليوم
· CVE-2026-15409 و CVE-2026-15410 في أجهزة SonicWall SMA 1000: تسمح بالوصول الجذري وسرقة رموز MFA، ويُستغلها فريق INC Ransomware.
· CVE-2025-60710 في Windows Task Host: تتيح رفع الصلاحيات إلى SYSTEM، وتُستخدم في هجمات الفدية.
· CVE-2026-15748 في إضافة Forminator لووردبريس: تسمح برفع ملفات خبيثة وتنفيذ أوامر عن بُعد (تؤثر على أكثر من 600 ألف موقع).
· CVE-2026-69414 (ShieldBreak) في محرك حماية مايكروسوفت: ثغرة رفع صلاحيات بدون تصحيح رسمي حتى الآن. | 117 |
| 18 | تفصيل شامل لعملية اختراق LiteLLM وسلسلة التوريد، بالطريقة والتفاصيل التقنية الدقيقة:
---
1. نقطة الدخول (Initial Compromise)
لم يستهدف الهجوم LiteLLM مباشرة، بل بدأ باختراق أداة مسح الثغرات Trivy، المستخدمة في بيئات CI/CD .
· استخدمت مجموعة TeamPCP هويات مزورة و Commit وهمية لدفع نسخة خبيثة من Trivy إلى المستودعات الرسمية .
· هذه النسخة المخترقة انتشرت تلقائياً عبر GitHub Releases و Docker Hub و Amazon ECR .
---
2. سرقة توكن النشر (Token Theft)
بما أن LiteLLM يعتمد على Trivy في خط أنابيب البناء (CI/CD)، قامت النسخة المخترقة من Trivy بمسح ذاكرة Runner وسرقة توكن نشر PyPI الخاص بـ LiteLLM مباشرة من البيئة .
· لم يتم اختراق المستودع المصدر (Source Code Repository) بل تم سرقة التوكن الذي يسمح برفع حزم إلى PyPI.
---
3. نشر الحزم الخبيثة (Malicious Releases)
في 24 مارس 2026، وباستخدام التوكن المسروق، رفعت TeamPCP إصدارين خبيثين إلى PyPI:
· الإصدار 1.82.7: تم حقن الحمولة (Payload) المشفرة بـ Base64 مباشرة في ملف proxy_server.py، بحيث تُنفَّذ فقط عند استدعاء Proxy LiteLLM .
· الإصدار 1.82.8: استخدم أسلوباً أكثر خبثاً، وهو إضافة ملف .pth باسم litellm_init.pth في مجلد site-packages .
· ملفات .pth في بايثون تُنفَّذ تلقائياً عند كل بدء تشغيل للمفسر (Python Interpreter)، بغض النظر عن استيراد LiteLLM .
· هذا يعني أن أي أمر بايثون يُشغّل على الجهاز المخترق (مثل pip install أو حتى أمر بسيط python -c "print('hi')") يُفعّل الحمولة .
· حتى بعد إزالة الحزمة، يبقى ملف .pth في النظام ويستمر في تنفيذ الحمولة .
---
4. آلية الحمولة (Payload Mechanics)
الحمولة تعمل في ثلاث مراحل رئيسية :
أ. جمع البيانات (Data Collection):
تقوم بمسح شامل للقرص والبيئة بحثاً عن:
· مفاتيح SSH وجميع التكوينات المرتبطة .
· بيانات اعتماد AWS (بما في ذلك استعلام مباشر لـ Instance Metadata Service للحصول على صلاحيات IAM اللحظية) .
· مفاتيح Kubernetes (Service Account Tokens و ~/.kube/config) .
· ملفات البيئة (.env, .env.production) بعمق يصل إلى 6 مستويات في المسارات الشائعة .
· مفاتيح APIs لـ OpenAI, Anthropic, Azure .
· بيانات Git و Docker و NPM و Cryptocurrency Wallets .
ب. التشفير والإرسال (Encryption & Exfiltration):
· تُجمع البيانات وتُشفَّر بمفتاح جلسة عشوائي باستخدام AES-256-CBC .
· يُشفر مفتاح الجلسة نفسه باستخدام مفتاح RSA عام بطول 4096 بت مدمج في الحمولة .
· تُعبأ البيانات في ملف tpcp.tar.gz وتُرسل عبر HTTPS إلى النطاق المزيف models.litellm.cloud، الذي سُجّل قبل يوم واحد من الهجوم .
ج. الاستمرارية والانتشار (Persistence & Lateral Movement):
· تُثبّت باباً خلفياً (Backdoor) على شكل خدمة نظام (Systemd) مُسماة "System Telemetry Service" في ~/.config/sysmon/sysmon.py، وتتواصل مع خادم تحكم (checkmarx.zone) لاستقبال أوامر إضافية .
· إذا توفر توكن Kubernetes، تنشر الحمولة جراباً مميزاً (Privileged Pod) على كل عقدة في الكلاستر، مما يسمح بالوصول للقرص المضيف ونشر الباب الخلفي على البنية التحتية بأكملها .
---
5. مدة النافذة الزمنية (Time Window)
استمرت الحزم الخبيثة على PyPI لمدة 40 دقيقة فقط .
رغم ذلك، بسبب التشغيل الآلي (Automatic Updates) في بيئات CI/CD، تم سحب الحزم وتنفيذها في مئات الآلاف من الأنظمة خلال هذه الفترة القصيرة .
---
6. حجم الأثر (Blast Radius)
وفقاً لتحليل Hudson Rock و CloudSEK:
· 153 جيجابايت من البيانات المسروقة، تحتوي على 433,909 ملف .
· 118,829 نسخة من بيئات CI/CD تعود لـ 2,488 نطاق شركة .
· شركات كبرى مثل Samsung, Cisco, AWS, Nvidia, Salesforce, Siemens ظهرت في البيانات المسروقة .
---
7. الملاحظات الخطيرة
· بعض المفاتيح المسروقة ظلت صالحة للاستخدام لمدة 5 أشهر بعد الهجوم، على الرغم من إعلان بعض الشركات عن تدويرها .
· نسبة كبيرة من البيانات لا تحتوي على معلومات هوية (مثل بريد إلكتروني للشركة)، مما يجعل إبلاغ الضحايا أمراً شبه مستحيل .
· تم إخفاء الحمولة بطبقات متعددة من Base64، واجتازت جميع فحوصات التكامل (Hash Matching) لأنها رُفعت بتوكن شرعي .
---
8. الاكتشاف (Discovery)
تم اكتشاف الحمولة عن طريق الخطأ عندما تسبب ملف .pth في حدوث انفجار عمليات (Fork Bomb) على جهاز أحد الباحثين، مما أدى إلى تجميد النظام، وبعد التحليل اكتشف الحزمة الخبيثة وأبلغ عنها .
---
ملاحظة تنفيذية: المعلومات مبنية على التحليل التقني الصادر في أغسطس 2026 بعد تحليل الأرشيف المسروق. أي مفاتيح أو بيانات كانت موجودة في بيئة LiteLLM خلال 24 مارس 2026 تعتبر مكشوفة. | 162 |
| 19 | +9 API Bug Bounty.pdf | 232 |
| 20 | Here’s a collection of valuable PDFs and practical guides on cybersecurity and bug bounty hunting, I’ve put these together to help u sharp your skills, learn advanced web security concepts, and step up your hunting game. Hope you find them helpful | 150 |
