جمع بيانات الاعتماد
تفريغ الأسرار
جمع بيانات الاعتماد درس مجاني في Ethical Hacking Academy على CoddyKit. هذا هو الدرس 4 من أصل 4. يمكنك قراءة الدرس كاملاً أدناه مجاناً — ثم تمرن عليه مباشرة في المتصفح باستخدام محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7. هذا الدرس جزء من مسار التعلم في Ethical Hacking Academy، وتقدمك يتزامن عبر الويب وتطبيق CoddyKit. تتضمن دورة Ethical Hacking Academy 4 دروس في المجموع.
لماذا نجمع بيانات الاعتماد؟
حتى بعد الوصول إلى SYSTEM، غالبًا ما تكون الجائزة الحقيقية هي بيانات الاعتماد — تجزئات كلمات المرور، وكلمات المرور بنص واضح، والتذاكر التي تتيح لك التحرك جانبيًا والوصول إلى النطاق. يحوّل جمع بيانات الاعتماد جهازًا واحدًا إلى الشبكة بأكملها.
قاعدة بيانات SAM
توجد تجزئات الحسابات المحلية في خلية السجل SAM، وهي مشفّرة باستخدام مفتاح موجود في خلية SYSTEM. مع الوصول إلى SYSTEM، يمكنك تفريغ كلتيهما واستخراج تجزئات NTLM دون اتصال.
reg save HKLM\SAM sam.save
reg save HKLM\SYSTEM system.save
# then: secretsdump.py -sam sam.save -system system.save LOCALذاكرة LSASS
تحتفظ عملية LSASS ببيانات اعتماد المستخدمين الذين سجّلوا الدخول في الذاكرة — وغالبًا ما تشمل كلمات مرور بنص واضح أو تجزئات NTLM قابلة لإعادة الاستخدام وتذاكر Kerberos. ويُعد تفريغ LSASS إجراء جمع البيانات الأعلى قيمة.
rundll32 comsvcs.dll, MiniDump <lsass_pid> C:\Temp\lsass.dmp fullMimikatz
تُعد Mimikatz أداة استخراج بيانات الاعتماد الأشهر. تستخرج sekurlsa::logonpasswords بيانات الاعتماد من LSASS؛ كما يمكنها استخراج التذاكر، وتنفيذ تمرير التجزئة، وتفريغ SAM.
privilege::debug
sekurlsa::logonpasswords
lsadump::samتمرير التجزئة
غالبًا لا تحتاج إلى كسر التجزئة — إذ تقوم تقنية pass-the-hash بالمصادقة باستخدام تجزئة NTLM مباشرة. ولهذا يكفي تفريغ التجزئات للتحرك جانبيًا عبر الأجهزة التي تشترك في بيانات اعتماد المسؤول المحلي.
pth-winexe -U "admin%aad3b...:31d6c..." //10.0.0.6 cmd
# or evil-winrm -i host -u admin -H <NThash>بيانات اعتماد النطاق المخزنة مؤقتًا
تخزّن الأجهزة المنضمة إلى النطاق عمليات تسجيل الدخول الأخيرة مؤقتًا (MSCache/DCC2)، حتى يتمكن المستخدمون من تسجيل الدخول دون اتصال. ويمكن تفريغ هذه التجزئات المخزنة مؤقتًا وكسرها دون اتصال (ببطء)، مما يكشف كلمات مرور النطاق.
secretsdump.py -system system.save -security security.save LOCALبيانات الاعتماد المحفوظة والمخزنة
يخزن Windows بيانات الاعتماد في Credential Manager / Vault وفي كتل محمية بواسطة DPAPI (مثل بيانات RDP المحفوظة، وكلمات مرور المتصفح، وشبكات Wi-Fi). مع SYSTEM والمفاتيح الرئيسية، يمكنك فك تشفير هذه البيانات.
cmdkey /list
vaultcmd /listcreds
mimikatz: dpapi::cred /in:<blob>سرقة تذاكر Kerberos
في Active Directory، تُصدّر sekurlsa::tickets في Mimikatz تذاكر Kerberos من نوع TGT/TGS. تتيح التذاكر المسروقة استخدام pass-the-ticket، كما يمكن أن تؤدي تذكرة TGT لمسؤول نطاق إلى إنشاء استمرارية عبر Golden/Silver Ticket.
sekurlsa::tickets /exportالملفات والبرامج النصية التي تحتوي على أسرار
لا تغفل المكاسب السهلة: فالبرامج النصية وملفات الإعدادات وسجل الأوامر قد تكون مليئة ببيانات اعتماد بنص واضح. وغالبًا ما تحتوي محفوظات PowerShell والملفات غير التفاعلية وسلاسل الاتصال في IIS web.config على كلمات مرور.
type %APPDATA%\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt
findstr /si "password connectionString" *.configالتنظيف وOPSEC
يراقب EDR تفريغ LSASS بدرجة كبيرة، وقد يمنعه Defender Credential Guard. أثناء العمليات، فضّل الأساليب المتخفية، ونظّف ملفات التفريغ، ووثّق ما تم الوصول إليه في التقرير.
الأخلاقيات والتفويض
يكشف جمع بيانات الاعتماد أكثر أسرار المؤسسة حساسية. تعامل مع بيانات الاعتماد المفرغة بأمان، ولا تخرجها أبدًا عن نطاق العمل، ولا تعمل إلا بموجب تفويض كتابي صريح.
اختبار سريع
اختبر معرفتك بجمع بيانات الاعتماد.
مراجعة
لقد تعلمت جمع بيانات الاعتماد:
- فرّغ SAM للحصول على التجزئات المحلية، وفرّغ LSASS للحصول على المستخدمين الذين سجّلوا الدخول والتذاكر
- تستخرج Mimikatz كلمات المرور والتجزئات وتذاكر Kerberos
- يتيح Pass-the-hash / pass-the-ticket التحرك جانبيًا دون كسر التجزئات
- تحقق من Credential Manager وDPAPI وملفات الإعدادات/السجل بحثًا عن الأسرار
وبذلك يكتمل مقرر تصعيد الصلاحيات في Windows.
الأسئلة الشائعة
هل درس «جمع بيانات الاعتماد» مجاني؟
نعم — نص درس «جمع بيانات الاعتماد» كامل متاح مجاناً هنا على الويب. لتمرينه بشكل تفاعلي (محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7) وفتح باقي دورة Ethical Hacking Academy، انتقل إلى CoddyKit PRO. تتضمن دورة Ethical Hacking Academy 4 دروس في المجموع.
ماذا ستتعلم في «جمع بيانات الاعتماد»؟
تفريغ الأسرار تتمرن على Ethical Hacking Academy مع أكواد عملية تشغلها مباشرة في المتصفح، ومدرس ذكاء اصطناعي متاح 24/7 يجيب على أسئلتك أثناء عملك.
هل أحتاج إلى خبرة سابقة لأبدأ Ethical Hacking Academy؟
لا تُشترط خبرة سابقة. Ethical Hacking Academy على CoddyKit منظم للمبتدئين حتى المتقدمين، لذا يمكنك البدء من هنا أو من البداية والتقدم بسرعتك الخاصة. هذا هو الدرس 4 من أصل 4.
كم من الوقت يستغرق درس «جمع بيانات الاعتماد»؟
معظم دروس CoddyKit تستغرق حوالي 5–10 دقائق. كل منها موجز وتفاعلي، لذا تحرز تقدماً مستمراً وتستأنف من حيث توقفت عبر الويب والتطبيق.
هل يمكنني كتابة وتشغيل أكواد في درس Ethical Hacking Academy هذا؟
نعم. كل درس في Ethical Hacking Academy يتضمن محرر أكواد مدمج، لذا تكتب وتشغل أكواداً حقيقية مباشرة في متصفحك وتحصل على تعليقات فورية من الذكاء الاصطناعي — بدون إعداد محلي.
جميع الدروس في هذه الدورة
- تعداد Windows
- إعدادات الخدمات الخاطئة
- انتحال الرموز
- جمع بيانات الاعتماد