المهم فى الامر ان وجدت رقم اى بى غريب ... وتتاكد من ذلك برقم المنفذ .. وهو الذى ياتى بعد النقطتين التى فوق بعض ... مثال
Foreign Adress State
212.100.97.50:12345 Established
انظر الى رقم .. الاى . بى ... ورقم المنفذ .. رقم الاى بى غريب .. ورقم المنفذ هو منفذ لبرنامج تجسس .. وحاله الاتصال تام مع جهازك.. اى انه بالفعل يوجد شخص الان فى داخل جهازك يتجسس عليك ... اكتب رقم المنفذ ... وهو ...البورت ... 12345 .... ثم اتجه الى قائمه البورتات الموجود فى الموقع تحت عنوان ارقام البورتات المستخدمه فى برامج التجسس وابحث عن اسم البرنامج لكى تعرف الملف المصاب به جهازك لتنظيفه
مع ملاحظه انه فى حاله انزالك لبرنامج او استخدام اى برامج تشات ..سوف تجد رقم الاى بى اما الخاص بالموقع الذى تقم بانزال البرنامج منه .. او رقم الاى بى الخاص بالشخص الذى تتحدث اليه .. وكما سبق ان قلنا فهذه احدى الطرق التى تستخدم لمعرفه رقم الاى . بى ... لاى جهاز يستخدم برامج التشات
اشهر برامج التجسس وارقام المنافذ المستخدمه؟؟؟
قائمه باشهر برامج التجسس .. مع ارقام المنافذ .. البورتات
21 TCP Blade Runner, Doly Trojan, Fore, FTP trojan, Invisible FTP, Larva, WebEx, WinCrash
23 TCP Tiny Telnet Server
25 TCP Antigen, Email Password Sender, Haebu Coceda, Kuang2,
ProMail trojan, Shtrilitz, Stealth, Tapiras, Terminator, WinPC, WinSpy
31 TCP Agent 31, Hackers Paradise, Masters Paradise
41 TCP DeepThroat
53 TCP DNS
58 TCP DMSetup
79 TCP Firehotcker
80 TCP Executor
110 TCP ProMail trojan
121 TCP JammerKillah
129 TCP Password Generator Protocol
137 TCP Netbios name (DoS attacks)
138 TCP Netbios datagram (DoS attacks)
139 TCP Netbios session (DoS attacks)
421 TCP TCP Wrappers
456 TCP Hackers Paradise
531 TCP Rasmin
555 TCP Ini-Killer, Phase Zero, Stealth Spy
666 TCP Attack FTP, Satanz Backdoor
911 TCP Dark Shadow
999 TCP DeepThroat
1001 TCP Silencer, WebEx
1011 TCP Doly Trojan
1012 TCP Doly Trojan
1024 TCP NetSpy
1027 TCP ICQ
1029 TCP ICQ
1032 TCP ICQ
1045 TCP Rasmin
1080 TCP Used to detect Wingate sniffers.
1090 TCP Xtreme
1170 TCP Psyber Stream Server, Voice
1234 TCP Ultors Trojan
1243 TCP BackDoor-G, SubSeven
1245 TCP VooDoo Doll
1349 UDP BO DLL
1492 TCP FTP99CMP
1600 TCP Shivka-Burka
1807 TCP SpySender
1981 TCP Shockrave
1999 TCP BackDoor
2001 TCP Trojan Cow
2023 TCP Ripper
2115 TCP Bugs
2140 TCP Deep Throat, The Invasor
2565 TCP Striker
2583 TCP WinCrash
2801 TCP Phineas Phucker
2989 UDP Rat
3024 TCP WinCrash
3129 TCP Masters Paradise
3150 TCP Deep Throat, The Invasor
3700 TCP al of Doom
4092 TCP WinCrash
4567 TCP File Nail
4590 TCP ICQTrojan
5000 TCP Bubbel, Back Door Setup, Sockets de Troie
5001 TCP Back Door Setup, Sockets de Troie
5321 TCP Firehotcker
5400 TCP Blade Runner
5401 TCP Blade Runner
5402 TCP Blade Runner
5555 TCP ServeMe
5556 TCP BO Facil
5557 TCP BO Facil
5569 TCP Robo-Hack
5742 TCP WinCrash
6400 TCP The Thing
6670 TCP DeepThroat
6771 TCP DeepThroat
6776 TCP BackDoor-G, SubSeven
6939 TCP Indoctrination
6969 TCP GateCrasher, Priority
7000 TCP Remote Grab
7300 TCP NetMonitor
7301 TCP NetMonitor
7306 TCP NetMonitor
7307 TCP NetMonitor
7308 TCP NetMonitor
7789 TCP Back Door Setup, ICKiller
9872 TCP al of Doom
9873 TCP al of Doom
9874 TCP al of Doom
9875 TCP al of Doom
9989 TCP iNi-Killer
10067 TCP al of Doom
10167 TCP al of Doom
10520 TCP Acid Shivers
10607 TCP Coma
11000 TCP Senna Spy
11223 TCP Progenic trojan
12076 TCP GJamer
12223 TCP Hack´99 KeyLogger
12345 TCP GabanBus, NetBus, Pie Bill Gates, X-bill
12346 TCP GabanBus, NetBus, X-bill
12361 TCP Whack-a-mole
12362 TCP Whack-a-mole
12631 TCP WhackJob
13000 TCP Senna Spy
16969 TCP Priority
20000 TCP Millennium
20001 TCP Millennium
20034 TCP NetBus 2 Pro
21544 TCP GirlFriend
22222 TCP Prosiak
23456 TCP Evil FTP, Ugly FTP
26274 UDP Delta Source
29891 UDP The Unexplained
30029 TCP AOL Trojan
30100 TCP NetSphere
30101 TCP NetSphere
30102 TCP NetSphere
30303 TCP Sockets de Troie
31337 TCP Baron Night, BO client, BO2, Bo Facil
31337 UDP BackFire, Back Orifice, DeepBO
31338 TCP NetSpy DK
31338 UDP Back Orifice, DeepBO
31339 TCP NetSpy DK
31666 TCP BOWhack
31789 TCP Hack'A'Tack
33333 TCP Prosiak
34324 TCP BigGluck, TN
40412 TCP The Spy
40421 TCP Agent 40421, Masters Paradise
40422 TCP Masters Paradise
40423 TCP Masters Paradise
40425 TCP Masters Paradise
40426 TCP Masters Paradise
47262 UDP Delta Source
50505 TCP Sockets de Troie
50766 TCP Fore
53001 TCP Remote Windows Shutdown
54321 TCP School Bus
60000 TCP Deep Throat
الطريقة الرابعة
تستطيع أن تعرف إذا كان جهازك مخترقاً من خلال معرفة التغيرات التي يحدثها الهاكرز في نظام التشغيل مثل فتح وغلق الشاشة تلقائياً أو وجود ملفات جديدة لم يدخلها أحد أو مسح ملفات كانت موجودة أو فتح مواقع إنترنت أو إعطاء أمر للطابعة بالإضافة إلى العديد من التغيرات التي تشاهدها وتعرفها وتعلم من خلالها عن وجود متطفل يستخدم جهازك ..
هذه الطريقة تستطيع من خلالها أن تعرف هل دخل أحد المتطفلين إلى جهازك أم أن جهازك سليم منهم ..
افتح قائمة (Start) و منها اختر أمر (Run).
اكتب التالي : system.ini
ستظهر لك صفحة فاذهب للسطر الخامس فيها فإذا وجدت أن السطر مكتوب هكذا :
user. exe=user. exe
فاعلم أن جهازك لم يتم اختراقه من قبل الهاكرز.
أما إذا وجدت السطر الخامس مكتوب هكذا
user. exe=user. exe *** *** ***
فاعلم أن جهازك قد تم اختراقه من أحد الهاكرز.
__________________
كيفية كشف وجود بعض برامج الهكرز وازالتها يدويا
برنامج الإختراق الباك دور ( BackDoor )
وهو أيضا يحتاج إلى خادم لتشغيله. ويوجد إصدارين من هذا البرنامج.
للتخلص من الإصدار الأول قم مباشرة بإلغاء الملفات التالية إذا كانت موجودة على جهازك :
DATA2.EXE
TINURAK.EXE
WATCHING.DLL
وللتخلص من الإصدار الثاني قم مباشرة بإلغاء الملفات التالية إذا كانت موجودة على جهازك :
WINDOW.EXE
NODLL.EXE
SERVER_33.DLL
--------------------------------------------------------------------
( BO2k2000 ) الباك اورفيس
برنامج الباك أورفيس يعمل على الويندوز 95 والويندوز 98 فقط وحجم السيرفر الخاص به صغير نسبيا - تقريباً 120 كيلوبايت فقط
والمنفذ الذي يستخدمه الباك اورفيس هو 31337 فقط
والتخلص منه يكون بالخطوات التالية :
قم بتشغيل محرر التسجيل عن طريق أبدأ ثم تشغيل ثم أكتب
Regedit ( شكل 1 )
ثم قم بالذهاب الى المفتاح التالي :
HKEY_LOCAL_MACHINE
( شكل 2 )
ثم اختار منها بالترتيب
Software
Microsoft
Windows
CurrentVersion
RunService
قم بالبحث في القائمة اليمنى عن أي ملف يثير الشبهة لديك (بحيث لا يكون لأحد البرامج الموجودة في جهازك ) وأنقر عليه نقرتين لتجد مكان الملف في جهازك وتأكد من أن حجمه حوالى 120 كيلوبايت فأذا وجدته قم بمسحه وأعادة تشغيل جهازك
ثم أذهب للمجلد التالي
C:WindowsSystem
وقم بالبحث هناك عن أسم السيرفر وسيكون بنفس الأسم الذي وجدته في محرر التسجيل وقم بحذفه تماما من الجهاز وستجد ملفاً آخرا أسمه
Windll.dll
قم بحذفه هو أيضا لأنه تابع لباك أورفيس
بعد حذفك للملفات قم بأيقاف تشغيل جهازك نهائيا وفصله من الكهرباء أيضا
----------------------------------------------------------------------
( Sub7 ) برنامج الإختراق السب سيفن
برنامج السب سفن هو من أشهر برامج الأختراق وأكثرها قدرة على التحكم في جهاز الضحية ولهذا فالسيرفر الخاص به خطير جدا ولابد من التأكد من عدم وجوده بجهازك
يقوم السيرفر الخاص بالسب سفن بوضع الملفات التالية في مجلد الويندوز الخاص بك
Kernel.dl
Rundll16.exe
Movokh_32.dll
Watching.dll
Nodll.exe
مع العلم أنه يمكن تغيير أسماء الملفات السابقة من قبل المخترق
:كما يقوم بأنشاء القيم التالية في سجل الويندوز لديك
HKEY_LOCAL_MACHINESoftwareCLASSES.dl HKEY_LOCAL_MACHINESoftwareMicrosoftDirectXMediaKER
NEL16="KERNEL16.DL" HKEY_LOCAL_MACHINESoftwareCLASSES.dl@=exefile
أيضا يقوم السيرفر بأضافة أوامر للملفات التالية
System.ini ===>Shell=Explorer.exe rundll16.exe
Win.ini ====> Run=????.exe Or Load=????.exe
والمنافذ التي يقوم بأختراق جهازك عن طريقها هي 6711 و 6776 أو أي رقم يتراوح ما بين 1243 و 1999 وذلك بحسب رغبة المخترق
:وطريقة التخلص منه كالتالي
قم بالذهاب الى الملفين
System.ini
Win.ini
عن طريق الخطوات : أبدأ- تشغيل - ثم أكتب في مربع التشغيل
msconfig
بالنسبة لملف الوين فقط قم بالبحث عن الأوامر التالية :
Load=???.exe
Load=???.dll
Run=???.exe
وعلامات الأستفهام ترمز الى اسم السيرفر وقد تكون أي شئ
ثم أذهب الى الملف النظام وفي السطر الخامس تقريبا ستجد شيئاً كالتالي
Shell=Explorer.exe
وأذا وجدت السطر مكتوبا بطريقة غير السابق قم بتعديله ليصبح كالسابق وقد يكون هكذا اسمه
Shell=Explorer.exe ???.dll
وعلامات الأستفهام ترمز لأسم السيرفر فقط قم أنت بتعديل السطر الى
Shell=Explorer.exe
بعد ذلك أذهب الى محرر التسجيل عن طريق الخطوات
أبدا ثم تشغيل ثم أكتب في مربع النص التالي
Regedit
وأذهب الى المفتاح التالي
HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
CurrentVersion
Run
وستجد على القائمة اليمنى أسم السيرفر وستعرفه بالطبع لأنه سيكون بنفس الأسم الذي وجدته سابقاً في ملف النظام فقط قم بمسح القيم التي ترمز الى السيرفر بالنقر على زر الحذف
والآن قم بأعادة تشغيل جهازك وأذهب الى مجلد الويندوز وقم بحذف السيرفر وسيكون اسمه معروفا لك الآن
---------------------------------------------------------------------
The FreeLinl برنامج الإختراق
وهو يعتبر دودة مشفرة يعمل تحت أي وندوز تدعم لغة
VB scripting
حتى وندوز 98 و وندوز 2000 ومعظم طرق دخوله إلى جهازك عن طريق البريد الألكتروني ويكون عنوان المرسل كالتالي هو
Check this
وتكون الرسالة المصاحبة لهذا العنوان هي :
Have fun with these links. Bye
فإذا قمت بالدخول علية فأنة يقوم مباشرة بتحميل ملفين على جهازك هما :
c:windowslinks.vbs c:windowssystemrundll.vbs
أيضا يضيف الجزء التالي إلى جهازك في سجل الويندوز
HKEY_LOCAL_MACHINESoftwaremicrosoftwindowsCurrentV ersionRunRundll
=RUNDLL.VBS
وبعد التمكن من جهازك سوف يعرض على الشاشة صندوق صغير بالعنوان التالي
Free XXX links
وتحت العنوان تظهر الرسالة التالية:
This will add a shortcut to free XXX links on your desktop Do you want to continue?
ثم سوف يقوم هذا البرنامج بالبحث عن برامج المحادثة مثلmirc
MIRC32.exe Pirch98.exe
وسوف يقوم بتعديل الملفات التالية :
SCRIPT.INI EVENTS.INI
وذلك حتى يتمكن من إرسال
LINKS.VBS
إلى أجهزة أخرى أثناء عملية المحادثات بين المستخدمين
والأسماء المستعارة لهذا البرنامج التي يتخفى بها هي
VBS Freelink
كيف تعرف أن هذا البرنامج موجود في جهازك وطريقة التخلص منه
أولا : قم بالبحث عن الملفات التالية
LINKS.
VBS RUNDLL.
VBS
و قد تحتاج هنا إلى تشغيل جهازك في الوضع الآمن لحذف هذه الملفات تماما
ثانيا : قم بإلغاء تلك الملفات من جميع السواقات التي على جهازك.
ثالثا : قم بحذف الجزء التالي من محرر التسجيل لديك عن طريق أبدأ ثم تشغيل ثم تكتب في المربع
Regedit
وستجد القيمة التالية فيه فقط قم بمسحها تماما
HKEY_LOCAL_MACHINE
Software
microsoft
windows
CurrentVersion
RunRundll
=RUNDLL.VBS
بعد ذلك قم بأعادة تشغيل الويندوز
---------------------------------------------------------------------
برنامج Happy99
وهو أيضا يضع خادم له داخل جهازك تحت اسم
SKA.EXE
وعند تنفيذه يظهر لك صندوق صغير يعرض به العاب نارية وأثناء عرض هذه الألعاب النارية يقوم بتحميل خادمة على جهازك دون أن تلاحظ ذلك. ثم يقوم بتغير الملف
WSOCK32.DLL
ويحتفظ بالملف الأصلي تحت اسم
WSOCK32.SKA
ويقوم أيضا بوضع نفسه داخل سجل الويندوز ليتمكن من العمل كلما قمت بتشغيل جهازك. أيضا سوف يقوم بإرسال بريد ألكتروني إلى كل مستخدم أو شركة أخبار قمت بمراسلتهم مرفقا هذه الرسالة بالبرنامج نفسه
Happy99
وهذا واحد من البرامج القليلة التي تستطيع نشر نفسها بنفسها
الأسماء المستعارة لهذا البرنامج هي :
win32.ska ska wsocks.ska ska.exe
كيفية التخلص منة:
قم بالبحث عن الملفات التالية في المجلد التالي :
C:Windowssystem
SKS.EXE SKA.DLL WSOCK32.SKA
إذا وجدته فهو قد اخترق جهازك. قم مباشرة بإلغاء الملفات التالية :
SKA.EXE SKA.DLL WSOCK32.DLL
بعد ذلك قم بإعادة تسمية الملف
WSOCK32.SKA
إلى الاسم التالي
WSOCK32.DLL
---------------------------------------------------------------------
K2Ps برنامج الإختراق
فقط يستطيع التمكن من وندوز 95 و وندوز 98 وقد انتشر عن طريق البريد الإلكتروني تحت اسم
K2PS.EXE
حيث تقول رسالة هذا البريد الذي قد يصل إلى أي شخص أن هناك فيروس اسمه
TX-500
وأنه هو برنامج مضاد لهذا الفيروس. طبعا كما تعرف هذه كانت مجرد كذبة ليتمكن من الدخول وسرقة معلومات اشتراكك مع مقدم خدمة الإنترنت بالإضافة إلى كلمة السر الخاصة بك ثم التحكم به وبالبريد الإلكتروني لك. وأيضا يمكنه تغيير كلمة السر الخاصة بك. والطريقة المفضلة إذا أحسست بهذا التغير قم مباشرة بتغير كلمة السر ثم قم بإلغاء الملفات التالية
K2PS.EXE K2PS.CFG
قم بتشغيل محرر التسجيل عن طريق أبدأ ثم تشغيل ثم أكتب
Regedit
ثم أذهب إلى القيمة التالية وقم بمسحها
HKEY_LOCAL_MACHINE
Software
Microsoft
Window
CurrentVersion
C:
WINDOWSSYSTEMK2PS.EXE
--------------------------------------------------------------------
برنامج Paradise
وهو أقوى من برنامج
Back Orifice
ويحتاج أيضا إلى خادم يسمى
agent.exe
ويستطيع إلغاء ملفات وإنشائهم ويستطيع فتح وغلق النوافذ على جهازك ويستطيع عمل محادثة معك
chatting
ويستطيع عمل أشياء أخرى.
كيفية التخلص منة :
يمكنك التخلص منة باستخدام البرنامج
The cleaner
----------------------------------------------------------------------
__________________
برنامج ProMail
انتشر كثيرا هذا البرنامج بطريقة
freeware و shareware
وقد انتشر تحت هذا الاسم
proml121.zip
وهو ملف غير مضغوط داخل هذا الملف
promail.exe
فإذا قمت بتحميلة على جهازك وقمت بعد تحميلة بالاشتراك مع أي شركة لخدمات البريد الإلكترونية فان جميع المعلومات التي أعطيتها لهذه الشركة إضافة إلى كلمة السر الخاصة بك يقوم هذا البرنامج بإرسالها إلى عنوان بريدي آخر غير معروف إي بطريقة عشوائية فكلما قمت بعملية اشتراك مع أي شركة أخرى لخدمات البريد الإلكتروني فان البرنامج يقوم بنفس العملية السابقة. :كيفية التخلص منة إذا كان لديك هذا البرنامج
Promail
قم مباشرة بإلغائه
---------------------------------------------------------------------
هذه مساهمة من الاخ leo وضعتها هنا بعد موافقته
Net Bus - النسخة قبل 2000
هو الأكثر انتشارا على الشبكة .حجمه 470 كيلو بايت يستخدم المنافذ 12345 و المنافذ 12346و هو يمكن المخترق من السيطرة شبه الكاملة على جهازك .
طريقة التخلص من الملف:
1- من قائمة البداية Start اختر Run و اكتبRegedit
2- من القائمة على اليسار اختر HKEY_LOCAL_Machine ثم Software ثم Microsoft ثم Windows ثم Current Version ثم Run services
3- ابحث في القائمة على اليمين عن
NBsvr.exe
( هذا هو اسم الملف في الغالب) هكذا أنت على علم أن جهازك مصاب .. و عليك بالعلاج التالي .وحتى و ان لم تجد الملف السابق اكمل الخطوات التالية.
4- انتقل إلى HKEY_LOCAL_USER ثم ابحث عن مجلد اسمه
NetBus Server
اضغط على المجلد بزر الفأرة الأيمن اختر
DELETE
5- اختر إعادة تشغيل الجهاز بوضع دوس DOS
6- اكتب Cd Windows
ثم إدخال Enter
لتنتقل إلى مجلد windows
ثم اكتب CD system
ثم إدخال Enter
لتنتقل إلى مجلد النظام و من ثم اكتب
Del NBSvr.exe
ثم إدخال لحذف الملف
، Del NBHelp.dll
و أخيرا أكتب Del Log.txt
ثم إدخال لحذف الملف كذلك . اعد تشغيل جهازك .
-------------------------------------------------------------------
Heack'a Tack'a
يستخدم بروتوكل FTP مما يصعب الوصول إليه.يستخدم المنافذ رقم 31785 و 31787 و 31789 و 31791 .
طريقة التخلص من الملف:
1- من قائمة البداية Start اختر Run و اكتبRegedit
2- من القائمة على اليسار اختر HKEY_LOCAL_MACHINE ثم Software ثم Microsoft ثم Windows ثم Current Version ثم Run أو أحيانا Run
3- ابحث عن
Explorer32
و الذي يوافق المسار C:\\WINDOWS\\Expl32.exe و قم بحذفه
-------------------------------------------------------------------
NetSphere
يستخدم المنافذ TCP 30100 - TCP 30101-TCP 30102
طريقة التخلص من الملف:
1- من قائمة البداية Start اختر Run و اكتبRegedit
2- من القائمة على اليسار اختر HKEY_LOCAL_MACHINE ثم Software ثم Microsoft ثم Windows ثم Current Version ثم Run
3-ابحث في الجهة اليمنى عن c:\\windows\\system\\nssx.exe
4- احذف هذا الملف . و اعد تشغيل الجهاز بواسطة الضغط على CTRL+ALT+DELETE.
__________________
الأربعاء أكتوبر 29, 2008 11:46 am
