Offensive SIEM

تقنيات عملية لاستخدام SIEM كأداة استكشاف هجومية، مما يساعد المدافعين على التفكير كالمهاجمين لتقوية الأمن من الداخل.

Queries

انظر أعلاه - ملف queries.md.

سيستمر التحديث عند الحاجة. الفكرة هي الحصول على تغطية طبقة فوق طبقة باستخدام event.codes/event.providers مختلفة.

• تم إصدار استعلامات لـ PATHS البيئية، وبرامج تشغيل Kernel، ونصوص تسجيل الدخول/بدء التشغيل وغيرها خلال فبراير 2026!
• تم إصدار استعلامات لمكتبات OpenSSL والمهام المجدولة / الخدمات ذات مسارات الملفات التنفيذية المفقودة خلال مارس 2026!

Vulnerability Management

استعلامات لإدارة الثغرات في الملف: vulnerabilitymanagement.md

يمنحك فكرة عن كيفية التعداد

• إصدار نظام تشغيل Windows وحالة البناء
• قواعد تقليل سطح الهجوم (ASR) والعثور على الأخطاء في التكوين
• استثناءات Windows Defender والعثور على الأخطاء في التكوين
• قواعد Windows Applocker والعثور على الأخطاء في التكوين

راسلنا إذا/عندما تجد شيئًا

نأمل أن تكون قد أعجبتك العرض التقديمي. راسلنا إذا (سأقول عندما) تجد ثغرات باستخدام هذه الطريقة. رسالة بسيطة مثل "أحد استعلاماتك اصطاد شيئًا جيدًا".. أكثر من كافية :) قم بذلك من خلال الالتزام بملف ping.md أو اتصل بنا بطرق بديلة! سنكون سعداء بمشاركة نجاحك!

معلومات عامة

سيساعدك المستودع في امتلاك عقلية هجومية. المستودع مخصص لمشاركة المواد والاستعلامات التي تحدثنا عنها في عرضنا التقديمي:

Offensive SIEM - When The Blue Team Switches Perspective

SEC-T سبتمبر 2025 ⭐ https://www.youtube.com/watch?v=5nfL_4ek4dY

x33fcon محادثة محدثة يونيو 2026 تغطي بعض المجالات الجديدة ⭐ https://youtu.be/dD_7AdEoj0k?is=CMp22Q9evBcqZe7L

لقد قمنا بتضمين الأجزاء الأكثر إثارة للاهتمام المتعلقة بـ ACL ولدينا نصائح وحيل.

تحقق من الندوات الرائعة حول تصعيد الامتيازات المحلية في Windows والأخطاء في تكوين نقاط النهاية في Windows والتي ستساعدك بشكل أكبر. هناك المزيد من المجالات للنظر فيها.. هذه مجرد نقطة البداية. إذا قمت ببناء استعلامات جيدة في مجالات أخرى - يرجى مشاركتها معنا حتى يتمكن المزيد من المجتمع من استخدامها.

الاستعلامات التي تحمل علامة ⭐ ذات صلة عالية إضافية. المواضيع أدناه التي تحمل علامة ⭐ هي محتوى جيد حقًا.

Webinars

Oddvar Moes Windows Client Privilege Escalation ⭐

يجب مشاهدتها، خاصة ACL للملفات التنفيذية والخدمات والمهام المجدولة.

• https://www.youtube.com/watch?v=EG2Mbw2DVnU

Spencers Windows Endpoint Misconfigs ⭐

الموضوع 2 (برامج مثبتة/مهيأة بشكل غير آمن) والموضوع 5 (خدمات ومهام غير آمنة)

• https://go.spenceralessi.com/windowsmisconfigsreplay

password: P3yGQ+1y

• https://www.youtube.com/watch?v=JWopwNVP_to

أخرى متعلقة بتصعيد الامتيازات في Windows.

• https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md
• https://sushant747.gitbooks.io/total-oscp-guide/content/privilege_escalation_windows.html
• https://www.absolomb.com/2018-01-26-Windows-Privilege-Escalation-Guide/

DLL Hijacking

• https://itm4n.github.io/windows-dll-hijacking-clarified/

إدخالات PATH والمجلدات القابلة للكتابة من قبل المستخدم في PATH النظام --> DLL Hijacking

• https://www.expressvpn.com/blog/cybersecurity-lessons-a-path-vulnerability-in-windows/
• https://www.praetorian.com/blog/red-team-local-privilege-escalation-writable-system-path-privilege-escalation-part-1/

SCCM / Software Center ⭐

• https://blog.nviso.eu/2022/05/31/cve-farming-through-software-center-a-group-effort-to-flush-out-zero-day-privilege-escalations/

قراءة مثيرة للاهتمام حول عدد البرامج المهيأة بشكل خاطئ التي تم العثور عليها وستجد على الأرجح نفس النسبة باستخدام Offensive SIEM!

حذف الملفات التعسفي --> تصعيد الامتيازات المحلية

• https://cicada-8.medium.com/were-going-the-wrong-way-how-to-abuse-symlinks-and-get-lpe-in-windows-0c598b99125b
• https://cloud.google.com/blog/topics/threat-intelligence/arbitrary-file-deletion-vulnerabilities/
• https://github.com/ZeroMemoryEx/CVE-2025-68921
• https://xmcyber.com/blog/jumpshot-xm-cyber-uncovers-critical-local-privilege-escalation-cve-2025-34352-in-jumpcloud-agent/
• https://www.youtube.com/watch?v=EG2Mbw2DVnU من الدقيقة: 34.45 (Intel Trusted Connect Service client)
• https://www.zerodayinitiative.com/blog/2022/3/16/abusing-arbitrary-file-deletes-to-escalate-privilege-and-other-great-tricks
• https://www.mdsec.co.uk/2026/02/total-recall-retracing-your-steps-back-to-nt-authoritysystem/

عمليات ملفات أخرى

• https://troopers.de/downloads/troopers19/TROOPERS19_AD_Abusing_privileged_file_operations.pdf

نصوص تسجيل الدخول

• https://offsec.blog/hidden-menace-how-to-identify-misconfigured-and-dangerous-logon-scripts/
• https://cyberthreatperspective.buzzsprout.com/1731753/episodes/13343207-episode-54-misconfigured-and-dangerous-logon-scripts
• https://offsec.blog/wp-content/uploads/2024/06/How-to-Harden-Active-Directory-to-Prevent-Cyber-Attacks.pdf

برامج تشغيل Kernel وتصعيد الامتيازات

• https://www.youtube.com/watch?v=U36hAneQeZM

OpenSSLs openssl.cnf وتصعيد الامتيازات

• https://labs.infoguard.ch/advisories/cve-2025-13176_eset-inspect_edr_local-privilege-escalation/
• https://blog.mirch.io/2019/06/10/cve-2019-12572-pia-windows-privilege-escalation-malicious-openssl-engine/
• https://blog.pentryx.ch/local-privilege-escalation-in-lenovo-udc-19dc86d72142?gi=0fe882ea2355
• https://www.triskelelabs.com/blog/cve-2025-2272-forcepoint-endpoint-dlp-privilege-escalation
• https://hackerone.com/reports/622170

ثغرة مثبت/مزيل تثبيت NSIS

• https://blog.amberwolf.com/blog/2026/april/next-next-system/

ثغرة DotLocal Redirection

• https://web.archive.org/web/20230721193548/https://research.nccgroup.com/2023/07/03/technical-advisory-nullsoft-scriptable-installer-system-nsis-insecure-temporary-directory-usage/
• https://blog.amberwolf.com/blog/2026/april/next-next-system/
• https://youtu.be/Ik1xpsQEVwI?si=P7G1kmnSKdFldCAG
• https://heegong.github.io/posts/Advaned-Installer-Local-Privilege-Escalation-Vulnerability/
• https://www.synaptics.com/sites/default/files/nr-154525-tc-synaptics_displaylink_windows_driver_security_brief_-_oct2023.pdf
• https://github.com/wixtoolset/issues/security/advisories/GHSA-7wh2-wxc7-9ph5

مثال على المجالات المثيرة للاهتمام للنظر فيها والتي لم نغطها في العرض التقديمي ولكن لدينا استعلامات لبعضها.

• كلمات مرور ضعيفة في command_line - لا تتبع أفضل الممارسات / السياسات
• كلمات مرور ضعيفة أو معلومات حساسة في نصوص powershell الإدارية scriptblock event code: 4104. ابحث عن السلاسل: "SecureString","PSCredential","Password", "passwd"......
• كلمات مرور ضعيفة في registry - لا تتبع أفضل الممارسات / السياسات
• إنشاء/حذف ملفات نموذجية تحتوي على معلومات حساسة مثل passwords.txt، passwords.xslx، unattend.xml إلخ.
• AlwaysInstallElevated في Registry، Autologons (تحقق مما إذا تم تعيين كلمات المرور)
• امتيازات Windows - انظر إلى 4672 (تسجيل الدخول بامتيازات خاصة) و 4704/4705 (تعيين/إزالة الحقوق)
• Event code 5136 و 5137، كائنات AD.. انظر في الحقول: description، info و adminComment، إذا كانت تحتوي على أي كلمات مرور نصية واضحة.
• استخدام أحداث إنشاء العمليات والبحث عن sc.exe الذي يعين واصف أمان الخدمات باستخدام sdset أو sysmons registry event code 13 والتحقق من قيمة ACL (بالتنسيق الثنائي لـ SDDL) وتحويلها إلى ACL قابل للقراءة للبحث عن أذونات ACL ضعيفة معينة على الخدمة نفسها.
• لا تفترض أن Program Files والمجلدات المشابهة المحمية إداريًا لديها دائمًا ACLs (قوائم التحكم في الوصول) الصحيحة. يحدث أن التطبيقات تعين أذونات افتراضية غير صحيحة وتكون متساهلة للغاية. CWE-732، CWE-284، CWE-276
• رمز SeImpersonatePrivilege على حسابات "Network Service أو Local Service" التي تشغل عمليات في مسارات قابلة للكتابة من قبل المستخدم --> هجوم شبيه بـ Potato للحصول على SYSTEM
• المهام المجدولة التي تشغل نصوصًا من Network Shares وتنفذها كـ Domain Admin حيث يكون النص نفسه قابلًا للكتابة من قبل المستخدمين العاديين / نطاق واسع من المستخدمين.
• إلخ..