Offensive SIEM

تقنيات عملية للاستفادة من SIEM كأداة استكشاف هجومية، مما يساعد المدافعين على التفكير كالمهاجمين لتقوية الأمان من الداخل.

Queries

انظر أعلاه - ملف queries.md.

سيستمر التحديث عند الحاجة. الفكرة هي الحصول على تغطية طبقة فوق طبقة باستخدام event.codes/event.providers مختلفة.

• تم إصدار استعلامات لـ PATHS البيئية، وبرامج تشغيل Kernel، ونصوص تسجيل الدخول/بدء التشغيل وغيرها خلال فبراير 2026!
• تم إصدار استعلامات لمكتبات OpenSSL والمهام المجدولة / الخدمات ذات مسارات الملفات التنفيذية المفقودة خلال مارس 2026!

Vulnerability Management

استعلامات لإدارة الثغرات في الملف: vulnerabilitymanagement.md

يمنحك فكرة عن كيفية التعداد

• إصدار نظام تشغيل Windows وحالة البناء
• قواعد تقليل سطح الهجوم (ASR) والعثور على الأخطاء التكوينية
• استثناءات Windows Defender والعثور على الأخطاء التكوينية
• قواعد Windows Applocker والعثور على الأخطاء التكوينية

راسلنا إذا/عندما تجد شيئًا

نأمل أن تكون قد أعجبتك العرض التقديمي. راسلنا إذا (سأقول عندما) تجد ثغرات باستخدام هذه الطريقة. رسالة بسيطة مثل "أحد استعلاماتكم اصطاد شيئًا جيدًا".. أكثر من كافية :) قم بذلك عبر الالتزام بملف ping.md أو تواصل معنا بطرق بديلة! سنكون سعداء بمشاركة نجاحك!

معلومات عامة

سيساعدك المستودع على تبني عقلية هجومية. المستودع مخصص لمشاركة المواد والاستعلامات التي تحدثنا عنها في عرضنا التقديمي:

Offensive SIEM - When The Blue Team Switches Perspective

SEC-T سبتمبر 2025 ⭐ https://www.youtube.com/watch?v=5nfL_4ek4dY

x33fcon محادثة محدثة يونيو 2026 تغطي بعض المجالات الجديدة ⭐ https://youtu.be/dD_7AdEoj0k?is=CMp22Q9evBcqZe7L

لقد أدرجنا الأجزاء الأكثر إثارة للاهتمام المتعلقة بـ ACL ولدينا نصائح وحيل.

تحقق من الندوات الرائعة حول تصعيد الصلاحيات المحلية في Windows والأخطاء التكوينية لنقاط نهاية Windows والتي ستساعدك بشكل أكبر. هناك المزيد من المجالات للنظر فيها.. هذه مجرد نقطة البداية. إذا قمت ببناء استعلامات جيدة في مجالات أخرى - يرجى مشاركتها معنا حتى يتمكن المزيد من المجتمع من استخدامها.

الاستعلامات التي تحمل علامة ⭐ ذات صلة عالية إضافية. المواضيع أدناه التي تحمل علامة ⭐ هي محتوى جيد حقًا.

Webinars

Oddvar Moes Windows Client Privilege Escalation ⭐

يجب مشاهدتها، خاصة ACL للملفات التنفيذية والخدمات والمهام المجدولة.

• https://www.youtube.com/watch?v=EG2Mbw2DVnU

Spencers Windows Endpoint Misconfigs ⭐

الموضوع 2 (برامج مثبتة/مهيأة بشكل غير آمن) والموضوع 5 (خدمات ومهام غير آمنة)

• https://go.spenceralessi.com/windowsmisconfigsreplay

password: P3yGQ+1y

• https://www.youtube.com/watch?v=JWopwNVP_to

أخرى متعلقة بتصعيد الصلاحيات في Windows.

• https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md
• https://sushant747.gitbooks.io/total-oscp-guide/content/privilege_escalation_windows.html
• https://www.absolomb.com/2018-01-26-Windows-Privilege-Escalation-Guide/

DLL Hijacking

• https://itm4n.github.io/windows-dll-hijacking-clarified/

إدخالات PATH والمجلدات القابلة للكتابة من قبل المستخدم في PATH النظام --> DLL Hijacking

• https://www.expressvpn.com/blog/cybersecurity-lessons-a-path-vulnerability-in-windows/
• https://www.praetorian.com/blog/red-team-local-privilege-escalation-writable-system-path-privilege-escalation-part-1/

SCCM / Software Center ⭐

• https://blog.nviso.eu/2022/05/31/cve-farming-through-software-center-a-group-effort-to-flush-out-zero-day-privilege-escalations/

قراءة مثيرة للاهتمام حول عدد البرامج المهيأة بشكل خاطئ التي تم العثور عليها ومن المحتمل أن تجد نفس النسبة باستخدام Offensive SIEM!

حذف الملفات التعسفي --> تصعيد الصلاحيات المحلية

• https://cicada-8.medium.com/were-going-the-wrong-way-how-to-abuse-symlinks-and-get-lpe-in-windows-0c598b99125b
• https://cloud.google.com/blog/topics/threat-intelligence/arbitrary-file-deletion-vulnerabilities/
• https://github.com/ZeroMemoryEx/CVE-2025-68921
• https://xmcyber.com/blog/jumpshot-xm-cyber-uncovers-critical-local-privilege-escalation-cve-2025-34352-in-jumpcloud-agent/
• https://www.youtube.com/watch?v=EG2Mbw2DVnU من الدقيقة: 34.45 (Intel Trusted Connect Service client)
• https://www.zerodayinitiative.com/blog/2022/3/16/abusing-arbitrary-file-deletes-to-escalate-privilege-and-other-great-tricks
• https://www.mdsec.co.uk/2026/02/total-recall-retracing-your-steps-back-to-nt-authoritysystem/

عمليات ملفات أخرى

• https://troopers.de/downloads/troopers19/TROOPERS19_AD_Abusing_privileged_file_operations.pdf

نصوص تسجيل الدخول

• https://offsec.blog/hidden-menace-how-to-identify-misconfigured-and-dangerous-logon-scripts/
• https://cyberthreatperspective.buzzsprout.com/1731753/episodes/13343207-episode-54-misconfigured-and-dangerous-logon-scripts
• https://offsec.blog/wp-content/uploads/2024/06/How-to-Harden-Active-Directory-to-Prevent-Cyber-Attacks.pdf

برامج تشغيل Kernel وتصعيد الصلاحيات

• https://www.youtube.com/watch?v=U36hAneQeZM

OpenSSLs openssl.cnf وتصعيد الصلاحيات

• https://labs.infoguard.ch/advisories/cve-2025-13176_eset-inspect_edr_local-privilege-escalation/
• https://blog.mirch.io/2019/06/10/cve-2019-12572-pia-windows-privilege-escalation-malicious-openssl-engine/
• https://blog.pentryx.ch/local-privilege-escalation-in-lenovo-udc-19dc86d72142?gi=0fe882ea2355
• https://www.triskelelabs.com/blog/cve-2025-2272-forcepoint-endpoint-dlp-privilege-escalation
• https://hackerone.com/reports/622170

ثغرة مثبت/مزيل تثبيت NSIS

• https://blog.amberwolf.com/blog/2026/april/next-next-system/

ثغرة DotLocal Redirection

• https://web.archive.org/web/20230721193548/https://research.nccgroup.com/2023/07/03/technical-advisory-nullsoft-scriptable-installer-system-nsis-insecure-temporary-directory-usage/
• https://blog.amberwolf.com/blog/2026/april/next-next-system/
• https://youtu.be/Ik1xpsQEVwI?si=P7G1kmnSKdFldCAG
• https://heegong.github.io/posts/Advaned-Installer-Local-Privilege-Escalation-Vulnerability/
• https://www.synaptics.com/sites/default/files/nr-154525-tc-synaptics_displaylink_windows_driver_security_brief_-_oct2023.pdf
• https://github.com/wixtoolset/issues/security/advisories/GHSA-7wh2-wxc7-9ph5

أمثلة على مجالات مثيرة للاهتمام للنظر فيها لم نغطها في العرض التقديمي ولكن لدينا استعلامات لبعضها.

• كلمات مرور ضعيفة في command_line - لا تتبع أفضل الممارسات / السياسات
• كلمات مرور ضعيفة أو معلومات حساسة في نصوص powershell الإدارية scriptblock event code: 4104. ابحث عن السلاسل: "SecureString","PSCredential","Password", "passwd"......
• كلمات مرور ضعيفة في registry - لا تتبع أفضل الممارسات / السياسات
• إنشاء/حذف ملفات نموذجية تحتوي على معلومات حساسة مثل passwords.txt، passwords.xslx، unattend.xml إلخ.
• AlwaysInstallElevated في Registry، Autologons (تحقق مما إذا كانت كلمات المرور مضبوطة)
• Windows Privileges - انظر إلى 4672 (تسجيل دخول بصلاحيات خاصة) و 4704/4705 (تعيين/إزالة الحقوق)
• Event code 5136 و 5137، كائنات AD.. انظر في الحقول: description، info و adminComment، إذا كانت تحتوي على أي كلمات مرور نصية واضحة.
• استخدام أحداث إنشاء العمليات والبحث عن sc.exe الذي يضبط واصف أمان الخدمات باستخدام sdset أو حدث sysmons registry event code 13 والتحقق من قيمة ACL (بصيغة ثنائية من SDDL) وتحويلها إلى ACL قابل للقراءة للبحث عن أذونات ACL ضعيفة مضبوطة على الخدمة نفسها.
• لا تفترض أن Program Files والمجلدات المحمية الإدارية المماثلة لديها دائمًا ACLs (قوائم التحكم في الوصول) صحيحة. يحدث أن التطبيقات تضبط أذونات افتراضية غير صحيحة وتكون متساهلة للغاية. CWE-732، CWE-284، CWE-276
• SeImpersonatePrivilege token على حسابات "Network Service أو Local Service" التي تشغل عمليات في مسارات قابلة للكتابة من قبل المستخدم --> هجوم شبيه بـ Potato للحصول على SYSTEM
• إلخ..

أنواع أخرى من الثغرات

• ابحث في سجلات خادم الويب عن معاملات (language=en.html) تُظهر تضمين الملفات لاختبار LFI/RFI
• ابحث في سجلات التطبيقات عن أخطاء متعلقة بـ SQL تُظهر أخطاء على أحرف خاطئة..
• سمات AD (مثال event.code:"5136" و Attribute:"msDS-KeyCredentialLink") التي يتم إساءة استخدامها بشكل شائع. ابحث عن الأخطاء التكوينية وقوِّ AD.
• Linux إلخ.. إلخ..