Weak credentials lead to access to admin panel (Deep Recon) (Arabic)

بسم الله الرحمن الرحيم

وأنا شغال على برنامجي في البق باونتي، كنت أسوي ريكون زي العادة. ما كنت أستهدف دومين معين، بس أحب دايم أروح أعمق من الأدوات التلقائية، وأدور على أصول مخفية أو نسيها الفريق التقني.

بالبداية شفت صفحة تسجيل دخول عادية، بس اللي صار بعدها ما كان عادي أبدًا. ببيانات دخول ضعيفة قدرت أوصل للوحة تحكم الأدمن وأتحكم بالنظام كامل.
في هذا الرايت أب بشرح كيف بدأت من الريكون، وكيف وصلت للإدارة الكاملة للنظام.

مرحلة الريكون

أنا دايم أول خطوة في الريكون أجمع كلمات مفتاحية لها علاقة باسم الشركة. مثلاً لو أشتغل على شركة زي BMW، أكتب كلمات مثل:
bmw, mini, bmw-, rolls-royce، وأجمع اللي أقدر عليه.

بعدها أستخدم موقع اسمه SecurityTrails، يتيح لك تبحث عن ساب دومينات بكلمات مفتاحية — وهذي ميزة قوية جداً وقت الريكون.

وأنا أبحث بالكلمات، طلع لي موقع أول مرة أشوفه. فتحته ولقيت صفحة تسجيل دخول فيها شعار الشركة، وهنا عرفت إن الموقع تابع فعلاً لهم. وهذي كانت نهاية مرحلة الريكون.

بعد ما خلصت مرحلة الريكون، دخلت على مرحلة التجربة. بالبداية فتحت السورس كود للصفحة، وجربت أشوف إذا فيه روابط أرشيفية أو أي شي مفيد بـ Wayback URLs أو Google Dorking أو حتى محركات ثانية، بس للأسف ما حصلت شي يستاهل.

جربت برضو أرسل كم بايلود SQL Injection، يمكن يكون فيه شي بسيط — بس ما مشي معي.

قلت خل أجرب شي ما أؤمن فيه عادة، بس قلت ليه لا؟
جربت أسوي user enumeration يدوي، وأشوف إذا أقدر أميز بين يوزرات موجودة أو لا.

جربت أول شي يوزر admin، ورد عليّ الموقع بـ:
"Your password is incorrect"

وجربت اسم عشوائي مثل rood ورد بـ:
"Username not found"

هنا تأكدت إن يوزر admin فعلاً موجود.

هجوم تخمين الباسورد (Brute Force)

بعد ما عرفت إن admin موجود، قررت أجرب أخمن الباسورد. استخدمت أداة Burp Suite Intruder، ومعاها لستة جاهزة فيها 1000 باسورد شائع — هذي هي.

شغلت الإنترودر وتركت الجهاز لأني كان عندي شغل وطلعت من البيت.

رجعت بعدها بكم ساعة، نسيت أصلاً إني مشغل الإنترودر، وقلت خل أجرب أفتح صفحة الدخول بس على بورت ثاني —
الموقع كان يشتغل على بورت 8080.

فتحت الصفحة، وانصدمت… لوحة الأدمن مفتوحة قدامي بدون ما يطلب تسجيل دخول

رجعت على Burp وشفت إن فيه رد مختلف من ضمن التخمينات — الباسورد اللي ضبط هو: hello1

يعني عندي الحين بيانات دخول شغالة:
admin : hello1

وهنا بدأ الجد

بعد ما سجلت دخول كـ Admin، اكتشفت إني أقدر أتحكم بالنظام بشكل كامل تقريبًا. الأشياء اللي قدرت أوصل لها كانت كثيرة، وهذي أهمها:

1. إدارة المستخدمين — أقدر أشوف كل المستخدمين وأغير الباسورد حق أي واحد.
2. مركز الاستشارات — فيه بيانات عملاء، وبعضها يحتوي على معلومات حساسة (PII).
3. طلبات النظام — أقدر أشوف كل الطلبات وأتعامل معها سواء من داخل النظام أو من العملاء.
4. التقارير والإحصائيات — عندي صلاحية تصفح وتحميل تقارير حساسة فيها معلومات عن سير العمل وتحليلات.
5. اللوجستيات والمخزون — أتحكم بكل شي له علاقة بالشحن، الطلبات، الجرد، والمخزون.
6. الوصول إلى اللوقات (Logs) — أشوف السجلات الداخلية للنظام، واللي ممكن تحتوي معلومات عن أخطاء أو حتى نشاطات حساسة.

يعني بكل بساطة، عندي صلاحيات إدارية كاملة على النظام، وأي شخص يستغل هالثغرة يقدر:

• يسرق بيانات عملاء
• يتلاعب بالتقارير أو التحليلات
• يخرب نظام المخزون أو الشحن
• يضرب سمعة الشركة أو يسبب خسائر مادية

وهذا النوع من الوصول حسب تصنيف الشركة يعتبر High Impact لأن فيه بيانات حساسة وتحكم كامل.

و بس اتمنى تكونو استفدتو.