[درس] ما هي الخطوات العملية لمعرفة إذا ما كان الجهاز مخترق أم لا؟

[king sabri]

Up Up

للفائده و لي رجعه لأني قاعد أذاكر الأن

طبعا إنته عارف إن موضوع جميل و أجمل مافيه إنه للنقاش خلي الناس تحرك الجزء إللي ما يتحرك من جسمها

تحياتي يا بطل و راجع إن شاء الله قريبا إدعيلي

[calemerro]

[QUOTE=باحث عن المعرفة;717246]جزاكم الله خيراً إخواني على تفاعلكم. سأحاول إن شاء الله غداً إضافة تتمة الشرح.[/QUOTE[/I]
بارك الله فيك اخي على المعلومات القيمة لكن والله العظيم انا صحيح ما فهمت ولا شيء واسال الله ان يزدنا ويزدكمعلما شكررررررررررررررررا

[باحث عن المعرفة]

اعتذر من الجميع على تأخري في اتمام الموضوع وإن شاء الله لي عودة قريبة لذلك.

qpb هلّا وضعت محتويات الملف او اسمه في بعض المرات عملية uninstall تترك ملفات كما ذكرت وهذا أمر عادي.

إخواني جليد من نار Tech_Admin و youandmeit بارك الله فيكم على مروركم

إخي king sabri وفقك الله في مذاكرتك

أخي calemerro نحن هنا لنتعلم وهذه الأمور لم تكن معلومة لي من قبل ولكن الله أعانني على فهمها فإن كان عندك سؤال فلا تتردد الهدف هو أن نتعلّم.

[yasserxpnew]

مستنينك يا معلم....

[Bahaa Hamam]

شرح رائع وبارده مستنيك

[باحث عن المعرفة]

نكمل اليوم إن شاء الله الدرس الأخير من هذه السلسة.

نبدأ إن شاء الله بالتعرف على الأداة openfiles هذه الأداة بدأ ظهورها في ويندوز اكس بي وهي تسمح للمستخدم بمعرفة الملفات المفتوحة في النظام واسم العمليات ومسار الملف. نظراً لأن الأداة تظهر كل الملفات المفتوحة وهو ما يؤدي إلى استهلاك كبير لمواد النظام فإن الحالة الإفتراضية لها هو غير مفعّل لتفعيلها نستخدم الأمر التالي:

openfiles /local on

بعد تنفيذ الأمر أعلاه نحتاج إلى إعادة تشغيل النظام ومن ثمّ نستخدم الأمر openfiles بخاصية استعلام تفصيلي.

openfiles /query /v

سيظهر الأمر المستخدم الذي تعمل العمليات من خلاله والملفات التي تستخدمها هذه العمليات. هذا مهم في عملية البحث عن اختراق أو برمجيات ضارّة.

للتوّقف عن استخدامها نقوم بالآتي:

openfiles /local off

الأمر الآخر هو find ذكرنا هذا الأمر مسبقاً ولكن لم نتعرض إلى فائدته. طبعاً هذا الأمر يقوم بنفس اداء الأداة More وهو ما يجعله في مفيداً جداً خصوصاً عندما تكون مخرجات أمر من الأوامر مثل wmic أو netstat طويلة ونحن مهتمون فقط بمخرج واحد مثلاً الحالة التالية:

netstat –nao 1 | find "8080"

حيث سيقوم هذا الامر بإظهار العمليات المتصلة من خلال المنفذ 8080 بفارق زمني ثانية واحدة حيث ستظل النتائج تظهر بشكل متجدد كل ثانية.

الأمر find بالطريقة الإفتراضية حساس لحالة الحرف مثل reply تختلف عن Reply لجعله يتعامل بدون حساسية لحالة الحرف نضيف /i بحيث يصبح الأمر هكذا:

find /i

الأمر netsh

هذا الأمر له استخدامات عديدة في الشبكة سنتعرض هنا فقط لما له علاقة بموضوعنا (خطوات عملية لمعرفة اذا كان الحاسوب مخترقاً أم لا).

لمعرفة جميع المنافذ المفتوحة في النظام نستخدم الأمر التالي

netsh firewall show port

مثال على المخرجات

netsh firewall show port

Port configuration for Domain profile:
Port   Protocol  Mode     Name
-------------------------------------------------------------------
139    TCP       Enable   NetBIOS Session Service
445    TCP       Enable   SMB over TCP
137    UDP       Enable   NetBIOS Name Service
138    UDP       Enable   NetBIOS Datagram Service
3389   TCP       Enable   Remote Desktop

Port configuration for Standard profile:
Port   Protocol  Mode     Name
-------------------------------------------------------------------
139    TCP       Enable   NetBIOS Session Service
445    TCP       Enable   SMB over TCP
137    UDP       Enable   NetBIOS Name Service
138    UDP       Enable   NetBIOS Datagram Service
3389   TCP       Enable   Remote Desktop

هذا الجزء متعلق بالدومين (اذا كان الحاسوب جزءاً من دومين)
Port configuration for Domain profile

والآخر هو الجزء العادي
Port configuration for Standard profile

لإغلاق منفذ من سطر الأوامر نستخدم الأمر Netsh كالتالي:

netsh firewall delete portopening tcp 3389

حيث سيقوم بإغلاق منفذ tcp الخاص ب remote desktop.

يمكن استخدام الأمر netsh بنفس طريقة استخدام wmic حيث تنفيذ netsh سيؤدي إلى فتح سطر أوامر netsh.

انتهى بحمد الله وفضله.

إن كان لديكم أي أسئلة أو استفسارات فلا تتردوا. حياكم الله وبارك فيكم.

[sanx]

مشكور يا غالي

[جليد من نار]

اكمل ماشاء الله عليك كلنا متابعون وندعو لك

سلااااااااااامي

[جليد من نار]

من الغد سأبدا بالاسئله اليوم جالس اقرا واطبق

ادامك الله للخير


اشوفك بخير

[باحث عن المعرفة]

في انتظار أسئلتك أخي

[العصفور الجريح]

أخي هل لك ان تشرح ما بجهازي من خلال الصور المرفقة ؟

[باحث عن المعرفة]

اعتذر من الأخ العصفور الجريح فلم أشاهد ردّه إلّا اليوم.

حسب الشاشة الأولى أخي الكريم فالجدار النّاري لديك في حالة OFF وهو إمّا لأنّك قمت بتعطيله أو تستخدم برنامج جدار ناري خارجي قام بتعطيله إن لا هذا ولا ذاك فعندك مشكلة.

في الصورة الثانية
هل انت تستخدم ATK HotKey؟ سبب السؤال هو ASLDRSvr.exe إذا لم تكن تستخدمه فيفضّل عمل مسح شامل على الحاسب.

[جليد من نار]

ما شاء الله عليك ولو يمضي عامين او ثلاث وكأنها كتبت اليوم

دمت بحفظ ارحمن

سلاااااااامي