إنتقل إلى المحتوى الرئيسي

الأسبوع 6 — الهندسة الاجتماعية

الأهداف التعليمية​

  • فهم الروافع النفسية التي يستغلها المهاجم.
  • بناء حملة تصيّد احتيالي واقعية، ضمن إطار مصرَّح به.
  • استخدام SET (Social Engineer Toolkit) وBeEF (Browser Exploitation Framework) دون تجاوز الخط الأحمر.

الروافع الست للتأثير​

تعتمد الهندسة الاجتماعية على آليات معرفية حدّدها Cialdini:

  • السلطة («الإدارة هي من تطلب ذلك»).
  • الاستعجال («خلال 30 دقيقة»).
  • المعاملة بالمثل («لقد قدّمنا لك X، هل يمكنك...»).
  • الدليل الاجتماعي («زملاؤك أكدوا ذلك بالفعل»).
  • الندرة («الفرصة الأخيرة»).
  • الودّ / الاتساق.

السيناريو الفعّال يجمع بين اثنتين أو ثلاث روافع، أبدًا رافعة واحدة فقط.

الإطار الأخلاقي — غير قابل للتفاوض​

  • لا حملة بدون تفويض خطي موقّع من الإدارة.
  • لا رسالة تستهدف صحة الشخص أو فقدانه لعزيز أو وضعه العائلي.
  • إحاطة ختامية إلزامية للأشخاص الذين وقعوا في الفخ، دون أي وصم فردي.
  • حذف البيانات المجمَّعة في نهاية التفويض، عند الطلب.

SET وBeEF​

  • SET يؤتمت سيناريوهات كلاسيكية: استنساخ بوابة، ملف PDF مفخّخ، ناقل credential harvester. مفيد للمختبر، ويجب التعامل معه بحذر مع موظفين حقيقيين.
  • BeEF يُدخل hook بلغة JavaScript في جهة المتصفح لاستكشاف ما يمكن للمهاجم فعله بعد النقر. يُستخدم لإظهار الأثر، لا للتجسس.
# تشغيل BeEF محليًا (في المختبر فقط).
sudo beef-xss

TP1 — للتسليم هذا الأسبوع​

المُخرَج المتوقَّع، بناءً على الاستطلاع الذي بدأ في الأسبوع 4:

  • رسم خريطة لشبكة المختبر (المضيفون، الخدمات، الإصدارات).
  • ثلاث ثغرات مرتَّبة حسب الأولوية مع التبرير (CVSS + EPSS + KEV).
  • خطة هجوم لكل واحدة منها، دون استغلال فعلي بعد.

الصيغة: Markdown أو PDF، بما يقارب 6 إلى 10 صفحات. يُسلَّم عبر الفصل الافتراضي.