آموزش هک اخلاقی: امنیت تهاجمی و تدافعی - آخرین آپدیت

سرفصل ها و درس ها

مقدمه Introduction

• مقدمه — برنامه کامل Introduction — Full Plan

• مرور کلی دوره Course Overview

• دستورالعمل‌های اخلاقی Ethical Guidelines

شروع با ارتباطات داده (شبکه) Let's Start with Data Communication(Networking)

• مرور کلی مدل OSI OSI Model Overview

• مرور کلی PDUها PDU's Overview

• پروتکل‌های TCP و UDP TCP and UDP

• چرا به شماره پورت نیاز داریم؟ Why we need a Port Number

• آدرس‌دهی IP در لایه شبکه Network Layer Ip Addressing

• توضیحات لایه Data Link Data Link Layer Explanation

• مرور کلی پورت‌ها و پروتکل‌ها Ports and protocols Overview

راه‌اندازی آزمایشگاه Lab Setup

• نصب VirtualBox و Extension Pack Installing VirtualBox and Extension

• نصب کالی لینوکس Installing Kali Linux

• نصب ماشین ویندوزی Installing Windows Machine

• رفع مشکلات منابع در VM ویندوز Windows VM Issue Resource

• نصب ماشین Meterpreter Installing Meterpreter Machine

سیستم دفاع شبکه Network Defense System

• دیواره آتش، IPS و IDS Firewall, IPS and IDS

• هانی‌پات (HoneyPot) و VPN HoneyPot and VPN

• درباره شناسایی و پاسخ شبکه (NDR) About Network Detection and Response

حملات مبتنی بر شبکه Network Based Attacks

• حمله DOS و DDOS به صورت عملی DOS and DDOS Attack in Practical

• حمله Man In the Middle با مسموم‌سازی ARP به صورت عملی Man In the Middle Attack with ARP Poisoning in Practical

• Packet Sniffing به صورت عملی Packet Sniffing in Practical

• بات‌نت و شناسایی بات‌نت به صورت عملی Botnet and Botnet Detections in Practical

ارزیابی آسیب‌پذیری Vulnerability Assessment

• مرور کلی ارزیابی آسیب‌پذیری Overview about Vulnerability Assessment

• اسکن شناسایی میزبان (Host Discovery) Host Discovery Scan

• اسکن کامل شبکه Complete Network Scan

• اسکن اپلیکیشن‌های وب Web Application Scan

• سایر اسکن‌ها و جمع‌بندی Other Scans and conclusion

چارچوب‌های امنیت سایبری Cyber Security Frame Works

• زنجیره کشت سایبری (Cyber Kill Chain) Cyber Kill chain

• چارچوب MITRE ATT&CK® MITRE ATT&CK®

مکانیزم‌های دفاع Endpoint Endpoint Defense Mechanisms

• موتورهای موجود در پلتفرم‌های حفاظتی Engines In Protection Platforms

• شناسایی و پاسخ Endpoint (EDR) Endpoint Detection and Response(EDR)

• کار عملی و بررسی کامل در Microsoft Defender ATP (EDR) Working in Microsoft Defender ATP(EDR) live and Complete Exploration.mp4

• جلوگیری از نشت داده‌ها (DLP) Data Loss Prevention(DLP)

• انواع بدافزارها Types of Malwares

توسعه مقدماتی بدافزار Basic Malware Development

• توسعه یک برنامه Reverse Shell ساده و هک ماشین ویندوز Develop a simple Reverse Shell program and hacking windows machine

• به‌دست آوردن فرمان و کنترل (C2) Getting Command and Control

• مقایسه Reverse shell در مقابل Blind Shell Reverse shell vs Blind Shell

شناخت بیشتر سیستم شما Let’s Learn More about your Machine

• پروسه و ترد (Thread) چیست؟ What is a Process and Threads

• ساخت فایل‌های DLL سفارشی و مرور کامل فایل‌های DLL Create your own dll files, Complete DLL files overview

• APIهای ویندوز و APIهای مورد استفاده در توسعه بدافزار API's in Windows and API used for Malware Development

• جمع‌آوری لاگ‌ها در ویندوز Log Collections in Windows

باینری‌ها، اسکریپت‌ها و کتابخانه‌های LOLBAS Living Off The Land Binaries, Scripts and Libraries

• سوءاستفاده از Rundll32.exe Abusing Rundll32.exe

• سوءاستفاده از Certutil.exe Abusing Certutil.exe

• سوءاستفاده از Mshta.exe Abusing Mshta.exe

• سوءاستفاده از Reg.exe Abusing Reg.exe

• سوءاستفاده از Wevutil.exe Abusing Wevutil.exe

• سوءاستفاده از Cmd.exe Abusing Cmd.exe

• سوءاستفاده از WMIC.exe Abusing WMIC.exe

• سوءاستفاده از Cscript و Wscript.exe Abusing Cscript and Wscript.exe

• سوءاستفاده از Bitsadmin.exe Abusing Bitsadmin.exe

• سایر LOLBASهای رایجی که توسط مهاجمان استفاده می‌شوند Other Common LOLBAS commonly abused by TA

• بحث کوتاه درباره حملات واقعی انجام شده با Lolbas Brief Discussion about the Real time Attacks caried out with Lolbas

نفوذ به خانه دشمن — دسترسی اولیه Get Into your Enemy Home – Initial Access

• پیلودهای Staged و Stageless Staged and Stageless payloads

• اکسپلویت Jenkins RCE برای دسترسی اولیه Exploiting Jenikins RCE for an Initial Access

• سرقت اعتبارنامه‌های کاربر از طریق حمله فیشینگ Compromising User Credentials through Phishing Attack

• آلوده کردن Endpoint یا سرور با استفاده از اسناد فیشینگ Compromising Endpoint or Server using Phishing Documents

• بهره‌برداری از VPNها برای دسترسی اولیه Leveraging VPN's for a Initial Access

• اکسپلویت آسیب‌پذیری FTP برای اجرای دستورات و دسترسی اولیه Exploiting FTP vulnerability command execution for a Initial Access

• فعال‌سازی RDP Enable RDP

• بهره‌برداری از سرویس‌های ریموت خارجی برای دسترسی اولیه Leveraging External Remote Service For a Initial Access

• حمله SQL RCE برای دسترسی اولیه SQL RCE for an Initial Access

• حمله زنجیره تأمین (Supply Chain) برای دسترسی اولیه Supply Chain Attack for Initial Access

• فعال‌سازی RDP در ماشین Enable RDP in Machine

توسعه بدافزار (سطح متوسط) Malware Development - Intermediate

• مرور کلی تزریق پروسه ریموت (Remote Process Injection) Remote Process Injection Overview

• توسعه کد تزریق پروسه ریموت Remote Process Injection code Development

• فرمان و کنترل از طریق تزریق پروسه ریموت Command and Control through Remote Process Injection

• مرور کلی تزریق DLL DLL Injection Overview

• توسعه کد تزریق DLL DLL injection Code Development

• فرمان و کنترل از طریق تزریق DLL Command and Control through DLL Injection

• مرور کلی Process Hollowing Process Hollowing Overview

• توسعه کد Process Hollowing Process Hollowing Code Development

• فرمان و کنترل از طریق Process Hollowing Command and Control through Process Hollowing

• حمله DLL Hijacking به صورت عملی DLL Hijacking Attack in Practical

• منابع تکمیلی Resource

ارسال Payloadهای تکمیلی به سیستم هدف Delivering Additional Payload in a Target Machine

• مرور کلی Cobalt Strike Cobalt Strike Overview

• رمزگشایی پیلود (Payload Decoding) Payload Decoding

• ارسال پیلود با استفاده از Certutil Delivering Payload using Certutil

• استفاده از اسکریپت‌ها و ماژول‌های Cobalt Strike Cobalt strike Script’s and modules Usage’s

• دریافت جزئیات بیشتر از ماشین هدف Get more details about the target Machine

• فعال‌سازی Peer-to-Peer Listener Peer-Peer Listener Activation

ارتقاء سطح دسترسی با توسعه کد مخرب سفارشی Privilege Escalation by Developing own Malicious code

• دور زدن کنترل دسترسی کاربر (UAC Bypass) User Access Control Bypassing

• مرور کلی حمله Named Pipe Impersonation Named Pipe Impersonation Attack Overview

• اجرای حمله Named Pipe Impersonation Named Pipe Impersonation Attack

• مرور کلی Access Token Access Token Overview

• توکن اصلی (Primary) و توکن جعل (Impersonate) Primary Token and Impersonate Token

• توسعه کد دستکاری Access Token Access Token Manipulation Code Development

• شناسایی دستکاری Access Token Detecting Access Token Manipulation

• دستکاری Access Token برای دسترسی به منابع Resource Access Token Manipulation

• جعل Parent PID (Spoofing) Parent PID Spoofing

• استفاده از SEImpersonatePrivileges و اتصال معکوس با nc SEImpersonatePrivileges and reverse connection using nc

• اکسپلویت مسیر سرویس بدون کوتیشن (Unquoted Service Path) Unquoted Service Path Exploitation

• بهره‌برداری از Always Install Elevated Always Install Elevated

• اکسپلویت سرویس‌های داخلی برای ارتقاء سطح دسترسی Exploiting Internal Services for a Privilege escalation

دسترسی به اعتبارنامه‌ها (Credentials) Credential Access

• مرور کلی LSASS LSASS Ovieview

• توسعه برنامه اختصاصی برای Dump کردن LSASS Develop your own program to dump LSASS

• دمپ کردن Lsass با استفاده از Taskmgr Dumping Lsass using Taskmgr

• دمپ کردن Lsass با استفاده از Comsvc Dumping Lsass using Comsvc

• دمپ کردن Lsass با استفاده از Procdump Dumping Lsass using Procdump

• دمپ کردن LSASS با استفاده از NanoDump Dumping LSASS using NanoDump

• دمپ Lsass با استفاده از LsassReflectDumping/Process Forking Lsass Dump using LsassReflectDumping/Process Forking

• استخراج اسرار با Mimikatz Dumping secrets with Mimikatz

• استخراج اطلاعات از دمپ Lsass Extract Lsass Dump Informations

• مرور کلی API حفاظت از داده‌ها (DPAPI) Overview about Data Protection API

• سرقت نام کاربری و رمز عبور مرورگر Stealing Browser Username and password

• دمپ اسرار کروم با استفاده از APC Injection Dump Chrome Secrets Using APC Injection

• دسترسی به اعتبارنامه‌ها با استفاده از LaZagne Credential Access using LaZange

• اصلاح کلید Wdigest Wdigest key Modification

• دمپ کردن SAM و System Hives Dumping SAM and System Hives

• کار با pypykatz Working with pypykatz

• استخراج Registry Hives با فراخوانی‌های سفارشی NT API و VSS Extracting Registry Hives with Custom NT API Calls and VSS

• منابع تکمیلی Resource

مکانیزم‌های ماندگاری (Persistence) Persistence Mechanism

• درباره ماندگاری (Persistence) About Persistence

• افزودن پیلود به کلید Registry Run Adding the payload to Registry Run key

• کار با پوشه Startup Working with Startup Folder

• افزودن ماندگاری از طریق WMI Adding a WMI Persistence

• افزودن تسک زمان‌بندی شده جدید Adding New Scheduled task

• افزودن سرویس‌های جدید Adding New Service’s

• افزودن حساب کاربری جدید Adding new user account

• دستکاری حساب‌های کاربری Manipulating the User accounts

• منابع تکمیلی Resource

دور زدن دفاعات Defense Evasion

• دور زدن آنتی‌ویروس MCAFEE با استفاده از کد VBS Bypassing MCAFEE Antivirus using VBS code

• توضیح کوتاه درباره Hooking Hooking with Brief Explanation

• دور زدن EDR با تکنیک‌های Detours API Hooking و توسعه برنامه Bypassing EDR using Detours API Hooking techniques with Program Development

• توضیح کوتاه درباره Unhooking Unhooking with Brief Explanation

• دور زدن EDR با Unhooking در ntdll و بارگذاری نسخه تازه Ntdll Bypassing EDR using Unhooking Hooked ntdll with loading fresh copy of Ntdll

• غیرفعال کردن رجیستری‌های Defender Kill Defender Registries

• افزودن استثنا (Exclusion) در Defender Add Exclusion in Defender

• استفاده از ابزار Antirootkit برای متوقف کردن سرویس‌های EDR و AV Antirootkit tool to kill EDR and AV services

• مرور کلی DLL SideLoading DLL SideLoading Overview

• ساخت DLL و اجرای Side Loading در اپلیکیشن هدف DLL Creation and Side Loading in Target Application

• دور زدن EDR از طریق DbgNexum Orchestration Bypassing EDR via DbgNexum Orchestration

• غیرفعال کردن Defender با استفاده از DISM Disable Defender using DISM

• دور زدن EDR و AV از طریق تکنیک‌های مبهم‌سازی خط فرمان (Commandline Obfuscation) Bypassing EDR and AV through Commandline Obfuscation Technique

• پچ کردن AMSI Patching AMSI

• پاک‌سازی لاگ‌های Event از سیستم Clear Events logs from the machine

اسکن شبکه داخلی و شناسایی Internal Network Scanning - Discovery

• شناسایی شبکه با استفاده از LOLBAS Network Discovery using LOLBAS

• اسکن شبکه با کنسول و GUI ابزار Advanced Ip Scanner Network Scanning with Advanced Ip Scanner Console and GUI

• شناسایی شبکه با Angry IP Scanner Network Discovery with Angry IP Scanner

• شناسایی شبکه با Netscan Network Discovery with Netscan

• ابزارهای Bloodhound و Sharphound Bloodhound and Sharphound

• پاسخ به حوادث برای ابزارهای شناسایی Incident Response for the Discovery Tools

حرکت عرضی (Lateral Movement) Lateral Movement

• اصلاح ماشین هدف برای فعال‌سازی Guest logon و غیرفعال کردن محدودیت UAC Modify the Target Machine to Enable Guest logon and Disable UAC restriction

• مرور کلی کتابخانه Impacket Overview about Impacket Library

• حرکت عرضی از طریق PsExec در کتابخانه Impacket و بررسی آن Lateral Movement through Impacket Library PsExec with Investigation

• حرکت عرضی با smbExec Lateral Movement with smbExec

• استفاده از AtExec(TaskScheduler) برای دور زدن EDR و مخفی‌تر شدن AtExec(TaskScheduler) to Bypass EDR's to get more stealthier

• فعال‌سازی ترمینال RDP برای حرکت عرضی Enable RDP Terminal for a Lateral Movement

• اصلاح قوانین دیواره آتش برای حرکت عرضی Modify Firewall rules for a lateral movement

• افزودن کاربر به گروه Remote Desktop Adding user to Remote Desktop Group

• حرکت عرضی از طریق Windows Remote Management Lateral Movement through Windows Remote Management

• منابع تکمیلی Resource

جمع‌آوری داده‌ها Collection

• جمع‌آوری اطلاعات حساس از ماشین Collecting Sensitive Information from the Machine

• کار با Winrar برای آرشیو کردن فایل‌ها Working with Winrar to archeive file

• سایر اپلیکیشن‌های شخص ثالث برای جمع‌آوری داده‌ها Other Third part application used for data collection

• پاسخ به حوادث برای مرحله جمع‌آوری Incident Response For a Collection

فرمان و کنترل (C2) Command and Control

• فرمان و کنترل از طریق XfreeRDP Command and Control Through XfreeRDP

• بررسی اتصال RDP در میزبان Investigating the RDP Connection on the host

• نصب بی‌صدا AnyDesk و استخراج ریموت AnyDeskID Anydesk Silent Installation with Grepping AnydeskID remotly

• دریافت تصویر دقیق از هدف Get Clear Picture about the Target

• ابزارهای شخص ثالث مورد استفاده برای C2C Third Party tools used for a C2C

• قوانین شناسایی برای ابزارهای RMM Detection rule for the RMM tools

• اقدامات واکنشی برای C2C Response Action for C2C

خروج داده‌ها (Exfiltration) Data Exfiltration

• پیکربندی Rcolne، Mega و خروج داده‌ها (بخش ۱) Configure Rcolne, Mega and Exfiltrate the data 1

• خروج تمامی داده‌های جمع‌آوری شده (بخش ۲) Exfiltrate all the collected data 2

• ابزار Stealbit برای خروج داده‌ها Stealbit tool for Exfiltration

• استفاده از Mega و Onedrive برای خروج داده‌ها Using Mega, Onedrive for Exfiltration

• بررسی داده‌های ارسالی در مرحله خروج Investigating Exiltration Data Sent

• پاسخ به حوادث برای خروج داده‌ها Incident Response for Exfiltration

تأثیرگذاری (Impact) Impact

• حذف Shadowcopy با استفاده از Vssadmin Shadowcopy deletion using Vssadmin

• حذف Shadowcopy با استفاده از WMIC Shadowcopy deletion using WMIC

• حذف Safeboot برای غیرقابل بازیابی کردن سیستم Safeboot Deletion to make system Unrecoverable

• استقرار باج‌افزار و کار با WMIC Ransomware Deployment and Working with WMIC

• نصب باج‌افزار Ransomware Installation

جمع‌بندی Conclusion

• دسترسی اولیه از طریق تروجان (Trojan) Initial Access via Trojan