Common Protocols — Husein Sulaiman

ثغرة في Windows Print Spooler عبر SMB share اسمه print$. المهاجم يرفع driver ملغوم — كل جهاز يحمّله يُصاب. يؤدي لـ RCE وPrivilege Escalation لـ SYSTEM.

SMB print$ RCE PRIVESC Windows

NTLM Relay

HIGH

SMB Signing Disabled

لو SMB signing مش مفعّل، المهاجم يمسك NTLM credentials ويعيد إرسالها لسيرفر ثاني. يدخل بدون ما يعرف الباسورد. يكتشف بـ "signing not required" في Nmap.

SMB MITM NO PASSWORD Windows

vsFTPd Backdoor

CRITICAL

CVE-2011-2523

إصدار vsFTPd 2.3.4 يحتوي على backdoor مزروع في الكود المصدري. لو أرسلت ":)" في اليوزرنيم يفتح shell على Port 6200. من أشهر الثغرات على Metasploitable.

FTP PORT 21 BACKDOOR RCE

FTP Bounce Attack

MEDIUM

RFC 959 Abuse

يستخدم FTP server كـ proxy للوصول لخدمات داخلية. المهاجم يطلب من السيرفر يتصل بجهاز ثاني بدلاً منه — يتجاوز الـ Firewall.

FTP Active Mode PORT SCAN BYPASS FW

BlueKeep

CRITICAL

CVE-2019-0708

ثغرة في RDP على Windows 7/Server 2008. تسمح بتنفيذ كود عن بعد بدون authentication — wormable مثل EternalBlue. تأثر ملايين الجهاز.

RDP PORT 3389 RCE WORMABLE

Shellshock

CRITICAL

CVE-2014-6271

ثغرة في Bash shell على Linux. لو السيرفر يستخدم Bash في CGI scripts، المهاجم يحقن أوامر عبر HTTP headers ويحصل على RCE مباشرة.

Bash HTTP/CGI RCE Linux

WannaCry

CRITICAL

Ransomware — Uses EternalBlue

أشهر هجوم ransomware في التاريخ (2017). استخدم EternalBlue للانتشار تلقائياً بين الأجهزة وتشفير الملفات. أصاب أكثر من 200,000 جهاز في 150 دولة.

SMB v1 RANSOMWARE WORM Windows

Pass-the-Hash

HIGH

NTLM Authentication Abuse

بعد ما تسرق NTLM hash من الجهاز، تقدر تستخدمه مباشرة للدخول بدون ما تعرف الباسورد الفعلي. Windows يقبل الـ hash كـ authentication.

SMB NTLM NO PASSWORD Windows

DNS Zone Transfer

HIGH

AXFR — allow-transfer = any

لو السيرفر مضبوط على allow-transfer = any، أي شخص يطلب نسخة كاملة من كل DNS records. يكشف كل الأجهزة الداخلية: dc1, dc2, vpn, wsus, workstations دفعة وحدة.

DNS PORT 53 INFO DISCLOSURE NETWORK MAP

DNS Cache Poisoning

CRITICAL

CVE-2008-1447 — Kaminsky Attack

حقن IP مزيف في الـ DNS cache. المستخدمين يُوجَّهون لسيرفر المهاجم بدلاً من الحقيقي. يُستخدم للـ phishing وMITM على نطاق واسع.

DNS MITM REDIRECT PHISHING

NFS Privilege Escalation

CRITICAL

no_root_squash Misconfiguration

لو no_root_squash مفعّل، root على الـ client = root على السيرفر. المهاجم يـ mount الـ share ويقرأ id_rsa لـ root ثم يدخل عبر SSH كـ root مباشرة.

NFS PORT 2049 PRIVESC Linux

SMTP Open Relay

HIGH

mynetworks = 0.0.0.0/0

سيرفر SMTP يقبل إرسال إيميلات لأي شخص بدون authentication. يُستخدم لـ Mail Spoofing وSpear Phishing بانتحال هوية المدير أو IT Department.

SMTP PORT 25 SPOOFING PHISHING

IMAP Debug Leak

CRITICAL

auth_debug_passwords = yes

إعداد debug يسجل كل باسورد كامل في /var/log/mail.log. لو وصلت للجهاز وقرأت الـ log = عندك كل credentials الشركة كاملة.

IMAP POP3 CRED LEAK Dovecot

SEVERITY:

CRITICAL — RCE / Wormable

HIGH — Auth Bypass / Relay

MEDIUM — Info Disclosure