BlueRever (Main)
Open in Telegram
1 814
Subscribers
-124 hours
-47 days
-1530 days
Data loading in progress...
Similar Channels
Tags Cloud
No data
Any problems? Please refresh the page or contact our support manager.
Incoming and Outgoing Mentions
---
---
---
---
---
---
Attracting Subscribers
September '26
September '26
+2
in 0 channels
August '26
+23
in 0 channels
Get PRO
July '26
+37
in 0 channels
Get PRO
June '26
+1 090
in 0 channels
Get PRO
May '260
in 0 channels
Get PRO
April '260
in 0 channels
Get PRO
March '260
in 0 channels
Get PRO
February '260
in 0 channels
Get PRO
January '260
in 0 channels
Get PRO
December '250
in 0 channels
Get PRO
November '250
in 0 channels
Get PRO
October '250
in 0 channels
Get PRO
September '250
in 0 channels
Get PRO
August '250
in 0 channels
Get PRO
July '250
in 2 channels
Get PRO
June '250
in 1 channels
Get PRO
May '250
in 0 channels
Get PRO
April '250
in 0 channels
Get PRO
March '250
in 1 channels
Get PRO
February '250
in 0 channels
Get PRO
January '250
in 0 channels
Get PRO
December '24
+72
in 0 channels
Get PRO
November '240
in 0 channels
Get PRO
October '240
in 0 channels
Get PRO
September '240
in 0 channels
Get PRO
August '24
+1
in 0 channels
Get PRO
July '24
+2
in 0 channels
Get PRO
June '24
+20
in 0 channels
Get PRO
May '24
+30
in 0 channels
Get PRO
April '24
+19
in 1 channels
Get PRO
March '24
+19
in 1 channels
Get PRO
February '24
+77
in 3 channels
Get PRO
January '24
+97
in 2 channels
Get PRO
December '23
+93
in 1 channels
Get PRO
November '23
+47
in 1 channels
Get PRO
October '23
+95
in 1 channels
Get PRO
September '23
+84
in 0 channels
Get PRO
August '23
+27
in 0 channels
Get PRO
July '23
+24
in 0 channels
Get PRO
June '23
+10
in 0 channels
Get PRO
May '23
+5
in 0 channels
Get PRO
April '23
+44
in 0 channels
Get PRO
March '23
+289
in 0 channels
| Date | Subscriber Growth | Mentions | Channels | |
| 08 September | 0 | |||
| 07 September | +1 | |||
| 06 September | 0 | |||
| 05 September | 0 | |||
| 04 September | +1 | |||
| 03 September | 0 | |||
| 02 September | 0 | |||
| 01 September | 0 |
Channel Posts
New CT Recon Source ⚡
Looking for a ridiculously fast way to discover subdomains?
Try crt.name:
https://crt.na
me/v1/search?apex=target.com
It returns the subdomains found in Certificate Transparency records along with the date they were first seen.
Need only the subdomains? 👇
curl -s "https://crt.name/v1/search?apex=target.com"| awk '{print $1}' | sort -u
Fast. Simple. No unnecessary hassle.
A useful addition to your subdomain reconnaissance workflow. 🔥| 2 | في عام ١٩٨٨، شنّ روبرت تيبان موريس أول هجوم موثّق بسبب ثغرة "تجاوز سعة المخزن المؤقت" buffer overflow.
تسبّب الهجوم، عن غير قصد، في تعطيل الإنترنت بالكامل.
تمّ تفكيك شبكة الإنترنت بالكامل وإعادة تشغيلها لإصلاح العطل.
كان موريس أول شخص يُدان بموجب قانون الاحتيال وإساءة استخدام الحاسوب لعام ١٩٨٦.
وهو الآن أستاذ علوم حاسوب في معهد ماساتشوستس للتكنولوجيا، وأحد مؤسسي حاضنة الأعمال واي كومبيناتور.
يصف RFC الصادر في تلك الحقبة بوضوح كيف تسبب الفيروس في تجاوز سعة الذاكرة في fingerd، وتمكن من تنفيذ برنامج صغير عشوائي.
لذا، يُعد هذا مثالًا تاريخيًا حقيقيًا على تجاوز سعة المخزن المؤقت في مكدس الذاكرة، مما أدى إلى اختطاف مسار التنفيذ.
3. ولكن لماذا تم "إيقاف" الإنترنت؟
هنا تكمن أهمية القصة.
سمحت ثغرة تجاوز سعة المخزن المؤقت للديدان بالعمل على جهاز مُعرّض للاختراق. بعد ذلك، كانت الديدان تنسخ نفسها وتبحث عن أجهزة أخرى.
لم تكن المشكلة الكارثية ببساطة:
تجاوز سعة المخزن المؤقت ← انقطاع الإنترنت
بل كانت أشبه بـ:
ثغرة أمنية ← تنفيذ ← نسخ ← إصابات جديدة ← نسخ واسع النطاق
كان موريس قد وضع آلية لمنع إعادة إصابة جهاز مُصاب بالفعل. لكنه مع ذلك سمح بإعادة إصابة بعض الأجهزة باحتمالية معينة، حتى لا يتمكن المسؤولون من الادعاء ببساطة أن جهازًا ما مُصاب بالفعل لمنع الديدان من مهاجمته.
أثبت هذا المنطق كارثيته: إذ يمكن للأجهزة تشغيل نسخ متعددة من الديدان، مما يستهلك مواردها لدرجة تجعلها بطيئة للغاية أو غير قابلة للاستخدام.
تأثر ما يقرب من 6000 جهاز من أصل 60000 جهاز متصل في ذلك الوقت، وفقًا لمكتب التحقيقات الفيدرالي وجامعة كورنيل.
4. وماذا عن برنامج sendmail؟
الأمر الأكثر إثارة للاهتمام هو أن دودة موريس لم تكن تعتمد فقط على ثغرة تجاوز سعة المخزن المؤقت.
استغلت الدودة أيضًا ميزة تصحيح الأخطاء في برنامج sendmail، والتي سمحت، في بعض الإعدادات، بتنفيذ الأوامر عن بُعد. يؤكد RFC 1135 أن الدودة استغلت كلاً من sendmail وfingerd.
لذا، تاريخيًا، يمكننا تلخيص آلية عملها كما يلي:
fingerd ← تجاوز سعة المخزن المؤقت ← تنفيذ التعليمات البرمجية
sendmail ← تصحيح الأخطاء ← تنفيذ الأوامر
rsh/rexec ← الثقة بين الأجهزة ← الانتشار
كلمات مرور ضعيفة ← الوصول إلى حسابات أخرى
ثم:
جهاز مخترق ← نسخة من الدودة ← البحث عن أجهزة جديدة ← انتشار متسارع.
هذا تحديدًا ما يجعل قضية موريس بالغة الأهمية لمن يدرس استغلال الثغرات الثنائية اليوم: لم تكن ثغرة تجاوز سعة المخزن المؤقت سوى أحد مكونات نظام الهجوم؛ بل كان التأثير الحقيقي نابعًا من ارتباطها بتنفيذ التعليمات البرمجية والانتشار الذاتي. | 68 |
| 3 | في أنظمة ويندوز الحديثة، تعتمد حماية KASLR على فكرة بسيطة ومهمة:
عدم ترك عناوين مكونات النواة (Kernel) ثابتة ومعروفة، بل جعلها عشوائية بحيث يصبح الوصول إلى المكان الصحيح داخل النواة أصعب بكثير.
لكن ماذا لو استطاع المهاجم الحصول على عنوان حقيقي من داخل النواة؟
هنا تظهر أهمية ما يُسمّى Kernel Address Leak.
الفكرة التي نراها في هذا النوع من الأبحاث تبدأ من معلومات يمكن الوصول إليها من User Mode، مثل كائنات النوافذ وواجهات Win32/Win32k، ثم محاولة ربطها بنظيراتها داخل النواة.
وبمجرد ظهور عناوين من الشكل:
"0xFFFF..."
يمكن أن تتحول المعلومة من مجرد رقم إلى تسريب لمعلومة مهمة عن تخطيط ذاكرة النواة.
وهنا تكمن فائدة تجاوز KASLR:
ليس الهدف بحد ذاته الحصول على صلاحيات أعلى، وإنما إزالة طبقة من عدم اليقين أمام استغلال ثغرة أخرى.
بمعنى آخر:
ثغرة → تسريب عنوان من النواة → معرفة موقع مكوّنات معينة → تقليل فعالية KASLR → تسهيل بناء سلسلة استغلال أخرى.
لذلك فإن وجود Kernel Address Leak لا يعني تلقائياً امتلاك صلاحيات SYSTEM، لكنه قد يكون قطعة مهمة جداً في سلسلة استغلال أكثر تعقيداً.
وهذا يوضح نقطة أراها مهمة جداً في مجال الـ Binary Exploitation:
أحياناً لا تكون المعلومة المسربة هي الاستغلال نفسه، لكنها قد تكون المعلومة التي تجعل الاستغلال ممكناً.
ومن هنا نفهم لماذا تُعدّ حماية العناوين العشوائية وآليات منع تسريب معلومات النواة جزءاً أساسياً من دفاع ويندوز ضد استغلال الثغرات.
#CyberSecurity #Windows #KASLR #Kernel #BinaryExploitation #ExploitDevelopment | 111 |
| 4 | لماذا يوجد خيار «تذكرني» عند تسجيل الدخول؟ وكيف تؤدي سرقة الـ Session إلى الاستيلاء على حسابك؟
عند تسجيل الدخول إلى معظم المواقع، يظهر خيار "تذكرني / Remember me". للوهلة الأولى يبدو الأمر مجرد وسيلة لتجنب كتابة كلمة المرور مراراً، لكن خلف هذا الخيار تعمل آلية برمجية مرتبطة بإدارة جلسة المستخدم (Session) وملفات (Cookies).
فهم هذه الآلية، كما توضح معايير OWASP الأمنية، مهم جداً؛ لأن امتلاك مهاجم لـ Session صالحة قد يمنحه القدرة على التصرف كأنه أنت، حتى لو كانت كلمة مرورك قوية وحسابك محمياً بالمصادقة الثنائية (2FA).
ما هي الـ Session أصلًا؟
بروتوكول HTTP بطبيعته لا يتذكر المستخدم بين الطلبات. عندما ترسل بيانات الدخول (اسم المستخدم وكلمة المرور)، يتحقق الخادم منها. بعد نجاح العملية، يحتاج الموقع إلى طريقة يعرف بها أن النقرات التالية قادمة منك.
لذلك ينشئ الموقع "جلسة" (Session) مرتبطة بحسابك، ويعطي المتصفح رمزاً أو معرفاً يوضع غالباً في Cookie. في الطلبات التالية، يرسل المتصفح هذا الـ Cookie تلقائياً، فيعرف الخادم هويتك دون طلب كلمة المرور مجدداً.
ما الفرق بين الدخول العادي وخيار "تذكرني"؟
- في الدخول العادي: يتم إنشاء Session Cookie، وهو غير مصمم للبقاء. بمجرد إغلاقك للمتصفح، تختفي الجلسة وتحتاج لتسجيل الدخول مجدداً.
- مع خيار "تذكرني": ينشئ الموقع Persistent Cookie لها مدة صلاحية أطول (أيام أو أشهر). هذا يسمح للموقع بالتعرف عليك حتى بعد إغلاق المتصفح وفتحه لاحقاً.
ملاحظة هامة: التصميم الصحيح لا يخزن كلمة مرورك في الـ Cookie أبداً، بل يخزن رمزاً عشوائياً (Token) يمكن للخادم من خلاله التعرف على جلستك.
أين تكمن المشكلة الأمنية؟ (Session Hijacking)
المشكلة أن هذا الرمز (Token) يصبح بمثابة "مفتاح مؤقت" لحسابك.
إذا حصل مهاجم على Session Cookie صالحة، يستطيع إرسال طلبات إلى الموقع باستخدامها، وسيتعامل الخادم معها على أنها صادرة منك شخصياً. وكلما كان عمر الجلسة أطول (بسبب خيار تذكرني)، كانت نافذة الاستغلال المتاحة للمهاجم أكبر.
كيف يمكن أن تصل الـ Session إلى المهاجم؟
لا يعني وجود خيار "تذكرني" أن الموقع مخترق، ولكن هناك عدة سيناريوهات لسرقة الجلسات:
1. ثغرات XSS: إذا كان الموقع مصاباً بثغرة Cross-Site Scripting، يمكن لكود جافاسكريبت خبيث قراءة الـ Cookie الخاص بك (عبر document.cookie) وسرقته.
2. الاتصال غير الآمن (HTTP): إذا أُرسل الـ Cookie عبر اتصال غير مشفر، يمكن للمهاجم الموجود على نفس الشبكة اعتراض البيانات.
3. البرمجيات الخبيثة (Malware): إصابة جهازك ببرمجية خبيثة قادرة على الوصول لبيانات المتصفح مباشرة (وهذا من أكثر السيناريوهات شيوعاً وخطورة).
4. Session Fixation: المهاجم لا يسرق جلستك، بل يجبرك على تسجيل الدخول باستخدام Session ID يعرفه هو مسبقاً.
5. التخزين السيء: قيام الموقع بتخزين الـ Token في أماكن مكشوفة مثل الـ URL أو سجلات التصفح.
ماذا عن المصادقة الثنائية (2FA)؟
هنا توجد نقطة مفصلية: الـ 2FA يحمي "عملية المصادقة" نفسها. بينما الجلسة (Session) الصالحة تعني للخادم أن عملية المصادقة قد تمت وانتهت بالفعل.
لذلك، إذا حصل المهاجم على Token صالح، فلن يطلب منه الموقع إدخال كود الـ 2FA، وسيتمكن من الدخول مباشرة.
كيف تُحمي التطبيقات من هذه الهجمات؟ (جانب المطورين)
التطبيق الآمن يعتمد على طبقات حماية متعددة وفقاً لتوصيات OWASP:
- خاصية HttpOnly: تمنع أكواد الجافاسكريبت من قراءة الـ Cookie، مما يقلل من خطورة ثغرات XSS.
- خاصية Secure: تجعل المتصفح يرسل الـ Cookie عبر اتصال HTTPS المشفر فقط.
- خاصية SameSite: تساعد في تقليل إرسال الجلسات في الطلبات القادمة من مواقع خارجية، كطبقة حماية ضد هجمات CSRF.
- تغيير الـ Session بعد الدخول: إنشاء جلسة جديدة كلياً بعد نجاح تسجيل الدخول لضرب هجمات Session Fixation.
- تسجيل الخروج الصحيح (Logout): لا يكفي حذف الـ Cookie من المتصفح، بل يجب أن يقوم الخادم (Server) بإبطال الجلسة من قواعد بياناته. | 139 |
| 5 | · الطبيعة: ثغرة رفع صلاحيات (EoP) في محرك الحماية من البرامج الضارة (Microsoft Malware Protection Engine)، تقييم خطورة 7.8 (عالٍ) .
· آلية التجاوز: تلتف على التصحيح السابق (RoguePlanet) عبر أسلوب استغلال مختلف، مما يعني أن التصحيح لم يعالج الجذر .
· الوضع الحالي: لم يصدر مايكروسوفت تصحيحاً رسمياً حتى الآن، لكن كود استغلال (PoC) متاح للعامة، ومن المتوقع أن يزداد الاستغلال .
· الحماية المؤقتة: إيقاف تشغيل Microsoft Defender يمنع نجاح الاستغلال، لكن هذا حل خطر ويُترك الجهاز مكشوفاً لهجمات أخرى. الإجراء الأكثر أماناً هو الحذر الشديد من تشغيل أي كود غير موثوق .
--- | 120 |
| 6 | ---
1. Cl0p يستغل PTC Windchill & FlexPLM (CVE-2026-12569)
الهندسة الدقيقة:
· نقطة الدخول: استغلال ثغرة CVE-2026-12569 وهي إلغاء تسلسل بيانات غير موثوقة (Deserialization of Untrusted Data) في منصتي PTC Windchill و FlexPLM، تسمح بتنفيذ أوامر عن بُعد بدون مصادقة، بتقييم خطورة 9.3 من 10 .
· السلسلة الهجومية: يدمج المهاجم ثغرة كشف معلومات غير موثقة في نقطة نهاية WSDL الخاصة بـ FlexPLM (تقييم 7.5) مع ثغرة RCE في سيرفليت تسجيل الدخول لـ Windchill، لتحقيق تنفيذ أوامر كامل .
· نشر الويب شيل: يتم نشر قذائف ويب بصيغة JSP بأسماء سداسية عشرية داخل مسار /Windchill/login/، مما يمنح وصولاً مستمراً للخادم المخترق .
· الاستيلاء على البيانات: يقوم المهاجم بجرد نظام الملفات، وإنشاء قوائم بالملفات (مثل flst.txt)، ثم تسريب البيانات الهندسية والتصميمية (مخططات، قوائم مواد، ملكية فكرية) قبل الابتزاز .
· الابتزاز: يتم إرسال رسائل ابتزاز ضخمة من حسابات مخترقة، بموضوع "تسرب بيانات خطير لوحدة Windchill PDMLink"، تطالب بفدية لمنع نشر البيانات .
· الأهداف: قطاعات الطيران، السيارات، التصنيع، وتجارة التجزئة .
· بيانات IoCs: عناوين IP محددة مثل 216.152.148.54، 216.152.151.204، 104.243.35.63، 5.180.41.35 .
· الإصلاح: تحديث إلى الإصدارات المصلحة فوراً (تم التصحيح في 17 يونيو)، وعزل الأنظمة المخترقة، وتغيير كلمات المرور، وإعادة تهيئة الأجهزة إن لزم .
---
2. HoneyMyte يطور الباب الخلفي CoolClient
التفاصيل التقنية للنسخة المطورة:
· التطور الرئيسي: ينشر الإصدار الجديد من الباب الخلفي CoolClient سائق نواة موقع رقمياً يعمل بعمق داخل نظام Windows، لإخفاء وجود البرامج الضارة، وحماية ملفاتها وإدخالات الريجستري من التفتيش أو الحذف، وتصفية معلومات الشبكة المختارة .
· التسليم: يتم تسليمه عبر الباب الخلفي PlugX، ويُستخدم كباب خلفي ثانوي إلى جانب PlugX و LuminousMoth .
· آلية التهرب: يقوم المهاجم بتكوين Microsoft Defender لتجاهل مجلد وملف محددين (مثل مجلد Windows Defender مزيف وملف defender.exe)، ثم ينسخ ملفات CoolClient فيه، ويعيد تسمية برنامج Sangfor شرعي إلى defender.exe ليتم تحميل الكود الخبيث .
· الاستمرارية: ينشئ مهمة مجدولة تُشغّل defender.exe تلقائياً عند بدء التشغيل بأعلى صلاحيات Windows، والتي تقوم بدورها بتحميل libngs.dll الخبيث لبدء سلسلة العدوى .
الوظائف الجديدة:
· مراقبة الحافظة: يلتقط محتويات الحافظة (مثل كلمات المرور المنسوخة) مع عنوان النافذة النشطة ووقتها، ويشفرها بـ XOR باستخدام المفتاح 0xAC ويخزنها في C:\ProgramData\AppxProvisioning.xml .
· اعتراض بيانات HTTP: يلتقط حركة المرور، ويسحب بيانات اعتماد المصادقة من رأس Proxy-Authorization: Basic، ثم يفك تشفير Base64 ويخزنها لإرسالها لاحقاً إلى خادم التحكم .
· أنماط المعاملات: يدعم الباب الخلفي أوامر متعددة من خلال معاملات مثل install (للتثبيت والاستمرارية)، work (لتشغيل الحمولة)، و passuac (لتجاوز UAC ورفع الصلاحيات) .
قائمة أوامر C2 التفصيلية:
· مجموعة التوجيه (0xFFAABBCC): إرسال إشارات، تحديث الطوابع الزمنية، تعداد الجلسات النشطة، ومعالجة الأوامر الواردة .
· مجموعة العمليات (0xFFAABBCD): إعداد نفق عكسي، إعداد وكيل عكسي، إدارة الملفات (حذف، قراءة، كتابة)، تشغيل/إيقاف keylogger، والحصول على بيانات الحافظة .
الوظائف الإضافية عبر الإضافات (Plugins):
· ServiceMgrS.dll: تعداد، إنشاء، حذف، تشغيل، إيقاف، وتعيين خدمات Windows للتشغيل التلقائي .
· FileMgrS.dll: قائمة كاملة لإدارة الملفات والمجلدات، بما في ذلك ضغط الملفات في ZIP، تنفيذ ملفات، بحث، وتعيين محركات شبكة .
· RemoteShellS.dll: يفتح غلاف cmd.exe مخفي للتحكم عن بُعد بالكامل .
---
3. ثغرات SonicWall SMA 1000 (CVE-2026-15409 & CVE-2026-15410)
التفاصيل:
· CVE-2026-15409: ثغرة تزوير طلب من جانب الخادم (SSRF) في واجهة Workplace، تقييم خطورة 10/10، تسمح للمهاجم بإجراء طلبات شبكة من الخادم المخترق .
· CVE-2026-15410: ثغرة حقن كود في وحدة التحكم الإدارية (AMC)، تقييم خطورة 7.2/10، تتطلب مصادقة لكن يمكن دمجها مع الأولى لتحقيق تنفيذ أوامر عن بُعد بدون مصادقة .
· الاستغلال: يجمع المهاجم بين SSRF لاختراق AMC، ثم يستغل RCE للحصول على صلاحيات جذرية على الجهاز .
· الاكتشاف: تم تأكيد الاستغلال الفعلي، وتمت إضافتها إلى قائمة CISA KEV .
· الإصلاح: الترقية إلى الإصدارات: 12.4.3-03453 أو 12.5.0-02835 فما فوق، مع إعادة تهيئة الأجهزة وتغيير كلمات المرور .
---
4. ShieldBreak: تجاوز تصحيح Microsoft Defender (CVE-2026-69414)
التفاصيل: | 118 |
| 7 | هجوم Cl0p يطال شركات كبرى (GE, Philips, Shell)
استغلت مجموعة Cl0p ثغرة خطيرة في برنامجي PTC Windchill و FlexPLM، واخترقت بيانات أكثر من 40 شركة. استخدم المهاجمون واجهة ويب خبيثة لفك تشفير خزائن بيانات الاعتماد داخل النظام.
· الشركات المتضررة: شل، فيليبس، جي إي، فيسيرف، زيبيرا تكنولوجيز.
· البيانات المسروقة: مخططات هندسية، رسومات، وخطط مشاريع بحجم يتراوح بين 1 جيجابايت وعدة تيرابايت لكل ضحية.
---
2. اختراق حكومة ولاية برلين
في 17 أغسطس، تم اختراق الشبكة الحكومية لولاية برلين عبر استغلال ثغرة في نظام هيئة التنمية العمرانية، مما أدى إلى تسريب بيانات "حساسة جداً".
· تم عزل هيئتين حكوميتين عن الشبكة الرئيسية، وما زال الموظفون يعملون دون اتصال بالإنترنت.
· التحقيقات تجري بمشاركة الشرطة الجنائية والمكتب الفيدرالي لأمن المعلومات.
---
3. هجمات على البنية التحتية الألمانية
أضافت مجموعات الاختراق أهدافاً جديدة في ألمانيا:
· LockBit 5 هاجمت شركة الطاقة Terra-Petra في 18 أغسطس، والبلدية الألمانية Verbandsgemeinde Rhein-Nahe في 16 أغسطس.
· MedusaLocker هاجمت شركة التكنولوجيا الألمانية Idex Group في 16 أغسطس.
---
4. حملة HoneyMyte APT ضد آسيا
قامت مجموعة التجسس HoneyMyte (Mustang Panda) بتحديث بابها الخلفي CoolClient، واستخدمت سائق نواة موقعاً رقمياً للاختباء في العمق، مستهدفةً حكومات وكيانات في باكستان وميانمار ومنغوليا والهند وروسيا.
استخدم المهاجمون PlugX لتوزيع الحمولة، وعدّلوا إعدادات Windows Defender لتجنب الكشف.
---
5. اختراق Levi Strauss عبر الهندسة الاجتماعية
تم اختراق 3 حسابات موظفين في شركة الملابس Levi Strauss عبر تقنيات الهندسة الاجتماعية، وتم سرقة بيانات الشركة دون تأثير على بيانات العملاء. يُشتبه بتورط مجموعة UNC6671 المتخصصة في التصيد الصوتي (Vishing).
---
6. ثغرات نشطة تُستغل اليوم
· CVE-2026-15409 و CVE-2026-15410 في أجهزة SonicWall SMA 1000: تسمح بالوصول الجذري وسرقة رموز MFA، ويُستغلها فريق INC Ransomware.
· CVE-2025-60710 في Windows Task Host: تتيح رفع الصلاحيات إلى SYSTEM، وتُستخدم في هجمات الفدية.
· CVE-2026-15748 في إضافة Forminator لووردبريس: تسمح برفع ملفات خبيثة وتنفيذ أوامر عن بُعد (تؤثر على أكثر من 600 ألف موقع).
· CVE-2026-69414 (ShieldBreak) في محرك حماية مايكروسوفت: ثغرة رفع صلاحيات بدون تصحيح رسمي حتى الآن. | 81 |
| 8 | تفصيل شامل لعملية اختراق LiteLLM وسلسلة التوريد، بالطريقة والتفاصيل التقنية الدقيقة:
---
1. نقطة الدخول (Initial Compromise)
لم يستهدف الهجوم LiteLLM مباشرة، بل بدأ باختراق أداة مسح الثغرات Trivy، المستخدمة في بيئات CI/CD .
· استخدمت مجموعة TeamPCP هويات مزورة و Commit وهمية لدفع نسخة خبيثة من Trivy إلى المستودعات الرسمية .
· هذه النسخة المخترقة انتشرت تلقائياً عبر GitHub Releases و Docker Hub و Amazon ECR .
---
2. سرقة توكن النشر (Token Theft)
بما أن LiteLLM يعتمد على Trivy في خط أنابيب البناء (CI/CD)، قامت النسخة المخترقة من Trivy بمسح ذاكرة Runner وسرقة توكن نشر PyPI الخاص بـ LiteLLM مباشرة من البيئة .
· لم يتم اختراق المستودع المصدر (Source Code Repository) بل تم سرقة التوكن الذي يسمح برفع حزم إلى PyPI.
---
3. نشر الحزم الخبيثة (Malicious Releases)
في 24 مارس 2026، وباستخدام التوكن المسروق، رفعت TeamPCP إصدارين خبيثين إلى PyPI:
· الإصدار 1.82.7: تم حقن الحمولة (Payload) المشفرة بـ Base64 مباشرة في ملف proxy_server.py، بحيث تُنفَّذ فقط عند استدعاء Proxy LiteLLM .
· الإصدار 1.82.8: استخدم أسلوباً أكثر خبثاً، وهو إضافة ملف .pth باسم litellm_init.pth في مجلد site-packages .
· ملفات .pth في بايثون تُنفَّذ تلقائياً عند كل بدء تشغيل للمفسر (Python Interpreter)، بغض النظر عن استيراد LiteLLM .
· هذا يعني أن أي أمر بايثون يُشغّل على الجهاز المخترق (مثل pip install أو حتى أمر بسيط python -c "print('hi')") يُفعّل الحمولة .
· حتى بعد إزالة الحزمة، يبقى ملف .pth في النظام ويستمر في تنفيذ الحمولة .
---
4. آلية الحمولة (Payload Mechanics)
الحمولة تعمل في ثلاث مراحل رئيسية :
أ. جمع البيانات (Data Collection):
تقوم بمسح شامل للقرص والبيئة بحثاً عن:
· مفاتيح SSH وجميع التكوينات المرتبطة .
· بيانات اعتماد AWS (بما في ذلك استعلام مباشر لـ Instance Metadata Service للحصول على صلاحيات IAM اللحظية) .
· مفاتيح Kubernetes (Service Account Tokens و ~/.kube/config) .
· ملفات البيئة (.env, .env.production) بعمق يصل إلى 6 مستويات في المسارات الشائعة .
· مفاتيح APIs لـ OpenAI, Anthropic, Azure .
· بيانات Git و Docker و NPM و Cryptocurrency Wallets .
ب. التشفير والإرسال (Encryption & Exfiltration):
· تُجمع البيانات وتُشفَّر بمفتاح جلسة عشوائي باستخدام AES-256-CBC .
· يُشفر مفتاح الجلسة نفسه باستخدام مفتاح RSA عام بطول 4096 بت مدمج في الحمولة .
· تُعبأ البيانات في ملف tpcp.tar.gz وتُرسل عبر HTTPS إلى النطاق المزيف models.litellm.cloud، الذي سُجّل قبل يوم واحد من الهجوم .
ج. الاستمرارية والانتشار (Persistence & Lateral Movement):
· تُثبّت باباً خلفياً (Backdoor) على شكل خدمة نظام (Systemd) مُسماة "System Telemetry Service" في ~/.config/sysmon/sysmon.py، وتتواصل مع خادم تحكم (checkmarx.zone) لاستقبال أوامر إضافية .
· إذا توفر توكن Kubernetes، تنشر الحمولة جراباً مميزاً (Privileged Pod) على كل عقدة في الكلاستر، مما يسمح بالوصول للقرص المضيف ونشر الباب الخلفي على البنية التحتية بأكملها .
---
5. مدة النافذة الزمنية (Time Window)
استمرت الحزم الخبيثة على PyPI لمدة 40 دقيقة فقط .
رغم ذلك، بسبب التشغيل الآلي (Automatic Updates) في بيئات CI/CD، تم سحب الحزم وتنفيذها في مئات الآلاف من الأنظمة خلال هذه الفترة القصيرة .
---
6. حجم الأثر (Blast Radius)
وفقاً لتحليل Hudson Rock و CloudSEK:
· 153 جيجابايت من البيانات المسروقة، تحتوي على 433,909 ملف .
· 118,829 نسخة من بيئات CI/CD تعود لـ 2,488 نطاق شركة .
· شركات كبرى مثل Samsung, Cisco, AWS, Nvidia, Salesforce, Siemens ظهرت في البيانات المسروقة .
---
7. الملاحظات الخطيرة
· بعض المفاتيح المسروقة ظلت صالحة للاستخدام لمدة 5 أشهر بعد الهجوم، على الرغم من إعلان بعض الشركات عن تدويرها .
· نسبة كبيرة من البيانات لا تحتوي على معلومات هوية (مثل بريد إلكتروني للشركة)، مما يجعل إبلاغ الضحايا أمراً شبه مستحيل .
· تم إخفاء الحمولة بطبقات متعددة من Base64، واجتازت جميع فحوصات التكامل (Hash Matching) لأنها رُفعت بتوكن شرعي .
---
8. الاكتشاف (Discovery)
تم اكتشاف الحمولة عن طريق الخطأ عندما تسبب ملف .pth في حدوث انفجار عمليات (Fork Bomb) على جهاز أحد الباحثين، مما أدى إلى تجميد النظام، وبعد التحليل اكتشف الحزمة الخبيثة وأبلغ عنها .
---
ملاحظة تنفيذية: المعلومات مبنية على التحليل التقني الصادر في أغسطس 2026 بعد تحليل الأرشيف المسروق. أي مفاتيح أو بيانات كانت موجودة في بيئة LiteLLM خلال 24 مارس 2026 تعتبر مكشوفة. | 133 |
| 9 | +9 API Bug Bounty.pdf | 197 |
| 10 | Here’s a collection of valuable PDFs and practical guides on cybersecurity and bug bounty hunting, I’ve put these together to help u sharp your skills, learn advanced web security concepts, and step up your hunting game. Hope you find them helpful | 140 |
| 11 | عمرك فكرت إزاي Google Authenticator بيطلعلك كود شغال وأنت عامل Airplane Mode؟
يعني بدون انترنت، بدون شبكة، وموبايلك -أوفلاين- حرفيًا مش بيتواصل مع أي Server
ومع ذلك أول ما تكتب الـ 6 أرقام، الموقع يعرف فورًا إن الكود صح!
طب السيرفر عرف منين الكود اللي ظهر عندك؟
الفكرة أذكى وأبسط مما تتخيل.
أول مرة بتعمل Setup للـ Authenticator وتمسح الـ QR Code، بيتم مشاركة Secret Key بين التطبيق والسيرفر.
بعد كده محدش محتاج يبعت أكواد لحد.
الموبايل والسيرفر عندهم حاجتين مشتركين:
نفس الـ Secret Key + نفس الوقت تقريبًا.
كل 30 ثانية، الاتنين بيعملوا نفس العملية الحسابية باستخدام الـ Secret والوقت الحالي، وبيوصلوا بشكل مستقل لنفس الـ 6 أرقام.
يعني لما يظهر عندك مثلًا:
389 125
السيرفر مبعتش الكود لموبايلك، وموبايلك مبعتش الكود للسيرفر.
الاتنين حسبوه لوحدهم، ووصلوا لنفس النتيجة.
التقنية دي اسمها TOTP — Time-based One-Time Password، وهي مبنية على معيار RFC 6238. وقبلها كان فيه HOTP، والفرق الأساسي إن HOTP بيعتمد على Counter، بينما TOTP بيستخدم الوقت.
وده السبب إن Google Authenticator يقدر يولد أكواد Google وGitHub وغيرها حتى لو الموبايل Offline تمامًا.
أحيانًا أفضل طريقة تخلي جهازين يتفقوا على معلومة، إنك متبعتش المعلومة بينهم أصلًا. | 197 |
| 12 | لأول مرة، نجح علماء في تصميم فيروسات بمساعدة الذكاء الاصطناعي، في خطوة علمية تفتح أبواباً هائلة للبحث، لكنها تثير في الوقت نفسه مخاوف بيولوجية كبيرة.
الفكرة ببساطة أن نماذج الذكاء الاصطناعي أصبحت قادرة على تحليل البنية الجينية والتنبؤ بكيفية تطور بعض الفيروسات أو تعديل خصائصها. هذا قد يساعد العلماء على فهم الأمراض بشكل أسرع، وتطوير لقاحات وعلاجات أكثر دقة.
لكن الجانب المقلق هو أن هذه الأدوات نفسها قد تُستخدم بشكل غير آمن أو خارج الأطر البحثية المنظمة، وهو ما أعاد النقاش حول ضرورة وضع ضوابط صارمة على استخدام الذكاء الاصطناعي في المجالات الحيوية الحساسة.
برأيكم، هل فوائد الذكاء الاصطناعي في الأبحاث الطبية أكبر من مخاطره البيولوجية المحتملة؟
#الذكاء_الاصطناعي #التقنية #العلوم #الفيروسات #الأمن_البيولوجي #الأبحاث_العلمية | 183 |
| 13 | 🎞️الإختراق عبر صورة
🚨 برمجية خبيثة جديدة تستغل صورة باندا مولدة بالذكاء الاصطناعي لاستهداف أنظمة Linux.
كشف باحثون في الأمن السيبراني عن Koske، وهي برمجية خبيثة تستخدم ملفًا من نوع Polyglot، حيث يبدو الملف كصورة عادية، بينما يحتوي في الوقت نفسه على تعليمات برمجية يمكن تنفيذها في ظروف محددة.
وبحسب التحليل، تستهدف البرمجية الخوادم التي تعمل بنظام Linux، خاصة تلك التي تحتوي على JupyterLab مكشوف على الإنترنت. وبعد نجاح الإصابة، تبدأ بتحميل برمجيات تعدين العملات الرقمية مع استخدام آليات متقدمة للحفاظ على استمراريتها داخل النظام.
ورغم تداول معلومات تفيد بأن البرمجية تعتمد على الذكاء الاصطناعي لتعديل نفسها أثناء التنفيذ، إلا أن ما أكدته التحليلات حتى الآن هو أن الذكاء الاصطناعي استُخدم على الأرجح في تطوير أجزاء منها، وليس كعامل ذاتي يعمل داخل الجهاز المصاب.
ننصح مسؤولي الأنظمة ومستخدمي Linux بالتحقق من الخدمات المكشوفة على الإنترنت، وتقييد الوصول إلى JupyterLab، وعدم الوثوق بأي ملف لمجرد أنه يبدو كصورة.
#CyberSecurity #Linux #Malware #ThreatIntel #hackersdz | 239 |
| 14 |  ☣️ BlueVenom — C2 & Payload Generator
BlueVenom هو إطار عمل متقدم للأمن السيبراني والـRed Teaming، يجمع بين C2 (Command & Control) وPayload Generation في منصة واحدة.
يدعم المشروع بناء حمولات متعددة المنصات مثل:
🪟 Windows
🐧 Linux / Termux
🤖 Android
ويضم لوحة تحكم C2 لإدارة الأجهزة المتصلة، استقبال النتائج، إرسال الأوامر، ومتابعة الأحداث بشكل مباشر.
كما يتضمن المشروع:
• 🌐 قنوات اتصال متعددة مثل TCP وHTTP/HTTPS وUDP
• 🔗 إمكانية التواصل بين الأجهزة عبر BlueNet
• 🧠 تكامل مع الذكاء الاصطناعي لتحليل CVE والـExploits
• 🛡 تقنيات Obfuscation وEvasion
• ⚙️ Cross-Compilation بين Windows وLinux
• 📱 أدوات متخصصة لبناء واختبار حمولات Android
باختصار، BlueVenom يحاول جمع دورة عمل الـRed Teaming من بناء الـPayload إلى الاتصال والإدارة داخل إطار واحد.
🔗 GitHub:
https://github.com/blue24bluer/bluevenom
Developed by @blue24bluer | 249 |
| 15 | في البوستين اللي فاتوا اتفقنا على قاعدة ذهبية:
الـ Hashing طريق في اتجاه واحد، ومستحيل نعمله Decryption ونرجعه للباسورد الأصلي.
طيب سؤال منطقي جداً...
لما قاعدة بيانات بتتسرب والهاكرز بياخدوا الـ Hashes، بنسمع إنهم "كسروا" الباسوردات وقدروا يدخلوا على الحسابات!
عملوها إزاي طالما الـ Hash مابيرجعش لأصله؟ سحر؟
أكيد لأ.. السر هنا في أدوات كسر كلمات المرور (Password Cracking)، وأشهرهم وأعرقهم على الإطلاق: John the Ripper.
إيه هو John the Ripper؟ وإزاي بيشتغل؟
John مش بيفك التشفير، ولا بيعمل عملية حسابية عكسية للـ Hash...
John ببساطة بيعمل نفس اللي السيرفر بتاعك بيعمله بالظبط لما تيجي تعمل Login: بيخمن ويقارن!
تعالى نشوف الطريقة خطوة بخطوة:
الهاكر بيدي لـ John الـ Hash المسروق من قاعدة البيانات.
الهاكر بيدي لـ John ملف نصي فيه ملايين الكلمات (بيتسمى Wordlist أو Dictionary).
أداة John بتاخد أول كلمة من الملف، وتعملها Hash بنفس الخوارزمية اللي الموقع استخدمها.
تقارن الـ Hash اللي هي لسه مطلعاه بالـ Hash المسروق.
لو مفيش تطابق؟ ترمي الكلمة وتدخل على اللي بعدها.
لو فيه تطابق؟ Bingo! 🎯 كده John عرف إن الكلمة دي هي الباسورد الأصلي، وبيطلعها للهاكر على الشاشة.
يعني John بيعتمد على "التجربة والخطأ" بسرعة رهيبة جداً.
طيب، John بيجيب الكلمات اللي بيخمنها دي منين؟
عنده 3 طرق أساسية ومرعبة:
1. هجوم القاموس (Dictionary Attack):
الهاكرز مش بيجربوا حروف عشوائية في البداية، بيستخدموا قواميس مسربة جاهزة. أشهرهم ملف اسمه rockyou.txt، وده ملف اتسرب سنة 2009 فيه أكتر من 14 مليون باسورد حقيقي الناس بتستخدمهم (زي 123456، password، iloveyou).
John بيمسك القاموس ده ويجربه كلمة كلمة.
2. هجوم القواعد (Rule-Based Attack):
John ذكي جداً، وعارف إن المستخدمين بيحاولوا يتذاكوا.
لو الباسورد بتاعك ahmed والموقع طلب حرف كابيتال ورقم، المستخدم غالباً هيخليه Ahmed123.
John بياخد الكلمات اللي في القاموس ويطبق عليها "قواعد" (Rules). يعني يخلي أول حرف كابيتال، يضيف 123 في الآخر، يضيف @.. وهكذا. فبيوسع دايرة التخمين بذكاء.
3. القوة العمياء (Brute Force):
لو الباسورد مش في القاموس خالص، John بيبدأ يجرب كل الاحتمالات الممكنة.
a, b, c... aa, ab, ac... لحد ما يوصل للباسورد.
بس الطريقة دي بتاخد وقت طويل جداً لو الباسورد طويل ومعقد.
هنا بقى هتعرف قيمة اللي شرحناه في البوست اللي فات!
فاكر لما قلنا إننا مش بنستخدم SHA256 عشان سريع؟
لو الموقع بيستخدم SHA256 (بدون Salt)، أداة John تقدر تجرب ملايين أو مليارات الكلمات في الثانية الواحدة على جهاز كمبيوتر عادي! يعني القاموس كله هيخلص في لمح البصر.
وفاكر لما قلنا إننا لازم نستخدم خوارزميات بطيئة زي bcrypt أو Argon2؟
لما John بيحاول يكسر Hash معمول بـ bcrypt، الخوارزمية بتجبره إنه ياخد وقت طويل (مثلاً نص ثانية) عشان يعمل Hash لكلمة واحدة بس.
تخيل لو John عايز يجرب مليون كلمة، وكل كلمة بتاخد نص ثانية.. الموضوع هياخد أيام وشهور، وهنا الهاكر بييأس!
وفاكر الـ Salt اللي بيضاف لكل مستخدم؟
ده بيخلي John ما يقدرش يكسر باسوردات كل المستخدمين مع بعض (Rainbow Tables)، وبيضطره يعيد عملية التخمين لكل مستخدم من الصفر، وده بيضاعف الوقت المطلوب بشكل خرافي. | 245 |
| 16 | هو ليه المواقع مبتخزنش الـ Password بتاعك زي ما كتبته؟
تخيل إنك عملت أول موقع ليك.
المستخدم دخل وسجل حساب جديد، وكتب كلمة المرور:
MyPassword123
أنت استقبلت البيانات، وروحت خزنتها في قاعدة البيانات زي ما هي.
في اللحظة دي ممكن تحس إن كل حاجة تمام... لكن الحقيقة إنك عملت واحدة من أخطر الغلطات الأمنية.
ليه؟
تخيل إن بعد فترة موقعك اتعرض لاختراق، والهاكر قدر يحمل نسخة من قاعدة البيانات.
لو أنت مخزن كلمات المرور بالشكل العادي، هيلاقي قدامه حاجة زي كده:
Ahmed → 123456
Ali → password
Sara → MyPassword123
ببساطة... بقى معاه كلمات مرور كل المستخدمين.
وهنا هتكتشف إن المشكلة مش في إن الموقع اخترق، لأن أي نظام في العالم ممكن يتعرض للاختراق.
المشكلة الحقيقية هي:
لو قاعدة البيانات اتسرقت... هل المهاجم يقدر يعرف الـ Password ولا لأ؟
علشان كده إستخدمنا ال،Hashing.
بدل ما السيرفر يخزن كلمة المرور نفسها، بياخدها ويمررها على دالة اسمها Hash Function.
لو المستخدم كتب:
MyPassword123
ممكن الناتج يبقى حاجة بالشكل ده:
8f434346648f6b96df89dda901c5176b...
وده اللي بيتخزن في قاعدة البيانات.
طيب... لو السيرفر نسي كلمة المرور، هيعرف المستخدم بعد كدا إزاي؟
الإجابة بسيطة جدًا.
لما المستخدم يعمل Login ويكتب:
MyPassword123
السيرفر مش بيحاول يجيب كلمة المرور الأصلية.
هو بيعمل لها Hash مرة تانية.
لو الناتج طلع مطابق للـ Hash الموجود في قاعدة البيانات، يبقى المستخدم كتب نفس كلمة المرور، فيسمح له بالدخول.
يعني عملية الـ Login عبارة عن مقارنة بين ال hash المتسجل في قاعدة اللبيانات ومابين ال Hash الل اتعمل من كلمة المرور في وقت ال login، يعني مش مقارنة بين كلمتين مرور.
طيب... هل أقدر أرجع كلمة المرور من الـ Hash؟
لأ.
وده أهم فرق بين الـ Hashing والـ Encryption.
الـ Encryption معمول علشان تقدر تفك التشفير وترجع البيانات الأصلية.
أما الـ Hashing فهو طريق في اتجاه واحد.
يعني تقدر تحول كلمة المرور إلى Hash، لكن مستحيل ترجع الـ Hash إلى كلمة المرور الأصلية.
طيب... لو اتنين كتبوا نفس كلمة المرور؟
مثلاً الاتنين كتبوا:
123456
لو استخدمنا Hash بس، هيطلع نفس الـ Hash للمستخدمين الاتنين.
وده بيساعد المهاجم جدًا.
علشان كده السيرفر بيضيف قيمة عشوائية اسمها Salt قبل ما يعمل Hash.
وبالتالي حتى لو اتنين كتبوا نفس كلمة المرور، هيطلع لكل واحد Hash مختلف تمامًا.
طيب... ليه منستخدمش SHA256 وخلاص؟
لأن SHA256 سريع جدًا.
وده ممتاز لو بتتحقق من سلامة الملفات أو البيانات.
لكن سيئ جدًا لتخزين كلمات المرور.
لأن المهاجم يقدر يجرب ملايين كلمات المرور في الثانية.
علشان كده المواقع بتستخدم خوارزميات معمولة مخصوص لكلمات المرور زي:
bcrypt
أو
Argon2
أو
scrypt
الخوارزميات دي بطيئة عمدًا، وده بيخلي هجمات الـ Brute Force أصعب بكتير.
الخلاصة...
لما تعمل نظام تسجيل مستخدمين، عمرك ما تخزن الـ Password زي ما كتبه المستخدم.
خزن الـ Hash فقط، واستخدم خوارزمية مخصصة زي bcrypt أو Argon2.
وأكبر غلطة بيقع فيها معظم الناس إنهم فاكرين إن الـ Hashing مجرد نوع من أنواع الـ Encryption.
لكن الحقيقة إن الـ Hashing مش معمول علشان تخفي البيانات وتسترجعها بعدين، هو معمول علشان ما تقدرش تسترجعها أصلًا. | 211 |
| 17 | زاي بيتم تخزين الباسورد فعلا؟
تخيل إنك فتحت جدول الـ Users في قاعدة البيانات، وبصيت في عمود اسمه PasswordHash.
بدل ما تلاقي الباسورد بشكل واضح زي:
Ahmed@123
لقيت حاجة بالشكل ده:
$argon2id$v=19$m=65536,t=3,p=4$VGVzdFNhbHQ$RmluYWxIYXNo
أول رد فعل طبيعي: إيه الداتا الغريبة دي؟ 😂
هل السطر ده كله هو الـ Hash؟ ولا فيه أجزاء تانية متخزنة معاه؟ وهل لو حد سرقه يقدر يفكه ويرجع الباسورد؟
علشان نفهم ده، لازم نبدأ من الأول.
يعني إيه Hashing؟
الـ Hashing عبارة عن عملية رياضية بتاخد Input وتطلع منه قيمة اسمها Hash.
مثلًا ندخل:
Ahmed@123
فنحصل على قيمة بالشكل ده:
f37a8c46...
ولو غيرنا حرف واحد فقط:
Ahmed@124
الناتج هيتغير بشكل كبير جدًا:
8e019fa2...
وده من خصائص الـ Cryptographic Hash Functions، وبيتسمى Avalanche Effect: تغيير صغير جدًا في الـ Input يعمل تغيير كبير جدًا في الـ Output.
هل الـ Hashing هو Encryption؟
لأ، ودي واحدة من أهم النقط.
الـ Encryption بيكون بالشكل ده:
Original Data → Encryption (Key) → Encrypted Data → Decryption (Key) → Original Data
يعني لو معاك الـ Key الصحيح، تقدر ترجع الداتا الأصلية. بنستخدمه لما نحتاج نخفي الداتا لكن نرجعها بعدين، زي بيانات الكروت البنكية أو الـ API credentials.
أما الـ Hashing:
Password → Hash Function → Hash
مفيش Decryption Function، ومفيش Key ترجع بيه الباسورد الأصلي.
طب ليه مينفعش نرجع الباسورد من الـ Hash؟
فيه ناس بتتخيل إن الـ Hash عبارة عن باسورد متشفر، وإننا لو عرفنا الطريقة الصح هنفكه. لكن ده مش اللي بيحصل.
الـ Hash Function بتاخد Input بأي حجم — حرف واحد، جملة، أو حتى ملف حجمه 5 GB — وفي الآخر بتطلع Output ثابت الحجم. مثلًا SHA-256 دايمًا بتطلع 256 bit (32 byte)، بنعرضها غالبًا كـ 64 حرف hexadecimal.
يعني عندك عدد احتمالات ضخم جدًا من الـ Inputs، بتتحول لمساحة Outputs محدودة وثابتة. ده معناه إن معلومات الـ Input مش متخزنة جوه الـ Hash كنسخة مضغوطة. الـ Hash مجرد نتيجة نهائية لعمليات رياضية كثيرة.
ونظريًا ممكن اتنين Input مختلفين يطلعوا نفس الـ Hash، وده اسمه Collision:
Hash(Input A) = Hash(Input B) رغم إن Input A ≠ Input B
علشان كده مفيش عملية عكسية مؤكدة تقولك "ده كان الباسورد الأصلي". | 182 |
| 18 | زاي بيتم تخزين الباسورد فعلا؟
تخيل إنك فتحت جدول الـ Users في قاعدة البيانات، وبصيت في عمود اسمه PasswordHash.
بدل ما تلاقي الباسورد بشكل واضح زي:
Ahmed@123
لقيت حاجة بالشكل ده:
$argon2id$v=19$m=65536,t=3,p=4$VGVzdFNhbHQ$RmluYWxIYXNo
أول رد فعل طبيعي: إيه الداتا الغريبة دي؟ 😂
هل السطر ده كله هو الـ Hash؟ ولا فيه أجزاء تانية متخزنة معاه؟ وهل لو حد سرقه يقدر يفكه ويرجع الباسورد؟
علشان نفهم ده، لازم نبدأ من الأول.
يعني إيه Hashing؟
الـ Hashing عبارة عن عملية رياضية بتاخد Input وتطلع منه قيمة اسمها Hash.
مثلًا ندخل:
Ahmed@123
فنحصل على قيمة بالشكل ده:
f37a8c46...
ولو غيرنا حرف واحد فقط:
Ahmed@124
الناتج هيتغير بشكل كبير جدًا:
8e019fa2...
وده من خصائص الـ Cryptographic Hash Functions، وبيتسمى Avalanche Effect: تغيير صغير جدًا في الـ Input يعمل تغيير كبير جدًا في الـ Output.
هل الـ Hashing هو Encryption؟
لأ، ودي واحدة من أهم النقط.
الـ Encryption بيكون بالشكل ده:
Original Data → Encryption (Key) → Encrypted Data → Decryption (Key) → Original Data
يعني لو معاك الـ Key الصحيح، تقدر ترجع الداتا الأصلية. بنستخدمه لما نحتاج نخفي الداتا لكن نرجعها بعدين، زي بيانات الكروت البنكية أو الـ API credentials.
أما الـ Hashing:
Password → Hash Function → Hash
مفيش Decryption Function، ومفيش Key ترجع بيه الباسورد الأصلي.
طب ليه مينفعش نرجع الباسورد من الـ Hash؟
فيه ناس بتتخيل إن الـ Hash عبارة عن باسورد متشفر، وإننا لو عرفنا الطريقة الصح هنفكه. لكن ده مش اللي بيحصل.
الـ Hash Function بتاخد Input بأي حجم — حرف واحد، جملة، أو حتى ملف حجمه 5 GB — وفي الآخر بتطلع Output ثابت الحجم. مثلًا SHA-256 دايمًا بتطلع 256 bit (32 byte)، بنعرضها غالبًا كـ 64 حرف hexadecimal.
يعني عندك عدد احتمالات ضخم جدًا من الـ Inputs، بتتحول لمساحة Outputs محدودة وثابتة. ده معناه إن معلومات الـ Input مش متخزنة جوه الـ Hash كنسخة مضغوطة. الـ Hash مجرد نتيجة نهائية لعمليات رياضية كثيرة.
ونظريًا ممكن اتنين Input مختلفين يطلعوا نفس الـ Hash، وده اسمه Collision:
Hash(Input A) = Hash(Input B) رغم إن Input A ≠ Input B
علشان كده مفيش عملية عكسية مؤكدة تقولك "ده كان الباسورد الأصلي".
لو حابب تكمل المقال هتلاقيه في اول كومنت بشكل منظم بناءا علي طلبكم <3 | 3 |
| 19 |  خخخخ | 255 |
| 20 | هنا يتدخل علم البيانات (Data Science). بينما ينظر CVSS إلى الخطورة التقنية، ينظر EPSS إلى "الاحتمالية المستقبلية" بناءً على نماذج التعلم الآلي.
- الآلية: يحلل النظام بيانات التهديدات الحالية، ونشاط الويب المظلم، ونوع الثغرة، ليخرج بنسبة مئوية (مثلاً 85%).
- المعنى: تعني النسبة أن هناك احتمالية 85% أن يقوم المهاجمون بتطوير أداة لاستغلال هذه الثغرة خلال الـ 30 يوماً القادمة. هذا يساعد المؤسسات الضخمة على إدارة ترقيع آلاف الأجهزة بذكاء، والبدء بالأكثر عرضة للاستهداف أولاً.
تاسعاً وعاشراً: إثبات المفهوم (PoC) مقابل كود الاستغلال (Exploit)
يخلط الكثيرون بين المصطلحين، لكن الفرق التقني شاسع:
- إثبات المفهوم (PoC): هو كود يكتبه باحث أمني لإثبات أن الثغرة موجودة فعلاً. غالباً ما يكون كوداً غير ضار، مهمته فقط إحداث خلل بسيط أو إظهار رسالة تفيد بإمكانية الوصول. هدفه تنبيه الشركات لإصلاح الخلل.
- كود الاستغلال (Exploit): هو تسليح للثغرة (Weaponization). يتم كتابته من قبل مهاجمين أو فرق اختبار الاختراق المتقدمة (Red Teams) بهدف اختراق النظام فعلياً، كالحصول على جلسة تحكم عن بعد (Reverse Shell) أو استخراج قواعد البيانات.
---
خريطة توضيحية لتدفق المعلومات (دورة حياة الثغرة):
[المطور يرتكب خطأ برمجي] -> يُصنف كـ (CWE)
|
[يتم اكتشاف الخطأ في برنامج معين] -> يُمنح معرف (CVE) ويُحدد المنتج المتأثر بـ (CPE)
|
[تُحلل الثغرة رسمياً] -> تُدرج في (NVD) وتُمنح درجة خطورة (CVSS)
|
[الباحثون يدرسون الثغرة] -> يتم نشر كود مبدئي (PoC)
|
[نماذج الذكاء الاصطناعي تحلل الموقف] -> تُمنح الثغرة نسبة توقع هجوم (EPSS)
|
[المهاجمون يطورون سلاحاً] -> يتحول الـ PoC إلى (Exploit) باستخدام أساليب (CAPEC)
|
[رصد هجمات حقيقية في العالم] -> تُدرج الثغرة فوراً في قائمة الطوارئ (KEV)
---
خلاصة تطبيقية للقراءة التحليلية:
عندما تستلم تقريراً عن ثغرة وتجد البيانات التالية:
- ID: CVE-2024-1234
- CVSS: 9.8 (Critical)
- EPSS: 2%
- KEV: False
التحليل الأمني الصحيح:
هذه الثغرة خطيرة جداً من الناحية التقنية (9.8) ويمكن استغلالها بسهولة وعن بعد. ولكن، نماذج التهديد تشير إلى أن احتمالية استغلالها من قبل المهاجمين حالياً منخفضة جداً (2%)، ولم يتم رصد أي هجوم حقيقي يستخدمها حتى الآن (KEV: False).
لذلك، يجب ترقيعها بالتأكيد، ولكن يمكن جدولتها ضمن خطة التحديثات الأسبوعية، ولا تستدعي إيقاف خوادم الشركة لإجراء ترقيع طارئ في منتصف الليل.
الفهم الدقيق لهذه المصطلحات هو ما يفصل بين الإدارة العشوائية للثغرات، وبين إدارة المخاطر المبنية على الاستخبارات الدقيقة. | 277 |
