Reel - بالعربي
حل Reel بالعربي
مقدمة لازمة جدا, الموضوع اخد مني حوالي يومين و نص, الموضوع صعب عم حذرك من هلق ضب غراضك, جيب مأونة لكم يوم لقدام, nishang, powershell, reverse shells, cve, encrypt/decrypt ... etc اي شي تحتاجه للنجاة, رايحين الغابة يا صديقي.
Recon
NMAP
عنا شوية شغلات مثيرة للاهتمام اولها SMTP لان هاد البروتوكول بستخدم بالايميلات و هاد بشير ان في عنا Email Phishing او التصيد عبر البريد الإلكتروني - مجرد نظرية تانيا عنا FTP فيه مجلد باسم documents مع الدخول ك anonymous و اخيرا في SSH
FTP
1- نتصل بال FTP
ادخل باسم المستخدم و كلمة السر anonymous/anonymous
2- مندخل للمجلد و منزل كلشي ب mget
نزلنا الملفات, هلق منتحقق منها
Checking the files
الكلام هون مثير للاهتمام بسبب شغلتين rtf format & email me السبب كلاتي: 1- email me بتعني ان نظريتي تبعيت ال email phishing صحيحة و ارسال rtf fromat بتدعمها للسبب 2 2- rtf format بتشير لنوع من انواع الفيروسات الخبيثة الي بتم حقنها بملفات متل ملفات ال word, pdf .. etc
نشوف البقية: 1- Windows Event Forwarding.docx مافيه شي 2- AppLocker.docx هيدا فيه رسالة ذاكرة شوية انواع من الملفات
AppLocker procedure to be documented - hash rules for exe, msi and scripts (ps1,vbs,cmd,bat,js) are in effect
Checking the metadata
لحد الان ما معنا شي بإيدينا بحيث نستخدمه, ففكرت اني اعمل email enumeration عن طريق ال SMTP بس هاد مرهق. حسب "نصل أوكام" او "مبدأ أوكام" بقلك بالمعنى الحرفي لكلامه : أبسط تفسير هو الأفضل عادة
Occam’s razor - the simplest explanation is usually the best one.
بطريقة اخرى هاد بعني الحل الأبسط هو الصح عادة, فقلت طيب خلينا نشوف ال metadata بواسطتها ممكن نعرف معلومات عن الملف نفسه, رح استخدم اداة exiftool
في شوية معلومات مهمة و اهمها هو الايميل, انا تحققت من الملفين التانيين, مافي شي مهم.
Check the founded email
قبل ما نكمل بخطتنا الشريرة و نبدأ مع ملف ال rtf, بدي اتأكد ان الايميل هاد موجود عن طريق ال SMTP
مكان كلمة domain حط اي دومين ما ضروري حقيقي, اي شي مكان كلمة email حط اي ايميل كمان, بس خلي العلامتين هدول <>
الرد 250 OK بعني ان الايميل موجود, لو جربنا ايميل ما موجود رح يكون الرد 550 Unknown user
طيب بما انو اتحققنا من انو الايميل موجود, خلينا نعمل الحيلة اللطيفة تبعيت ال rtf file
Exploit
CVE-2017-0199
ازا بحثت عن شي متعلق بال RTF melicouse file رح تلاقي cve-2017-0199 في كتير ناس شارحتها بالانجلش سواء محللتها او كيف تستغل اصلا, خطوات الاستغلال كلاتي:
1- اتجهز البايلود انا استخدمت ال revrse shell ال اسمه Invoke-PowerShellTcp.ps1 و الي هو كمان قسم من تجميعة nishang, طبعا لازم تعدل عليه و اضيف باخر السكريبت الاتي:
طبعا عدل على ال IP و ال Port ,هاد الملف الي رح ينحط مع ملف ال HTA 2- تعمل ملف hta و هاد الي هو الملف الخبيث او الضار الي اما رح يحمل ملف من شي محل, ينفذ كود او شغلات تانية, بتعملو ب سكريبت اسمه Out-HTA.ps1 و الي هو جزء من تجميعة nishang هو انت رح تختار شو رح يسوي ملف ال hta انا اخترت PayloadURL هي رح تاخد منك الرابط تبع البايلود و تحمله و تشغله على جهاز الهدف في طرق تانية متل انك تحط البايلود على طول او انك اضيف خيارات تانية, بس من تجارب الي سابقة بس حطيت بايلود و رح تبعته احيانا بصير مشاكل, متل مرة عم استغل ثغرة بموقع و عم ابعت بايلود كان الموضوع RCE صار يحصل نوع من ال encoding و يخرب السكريبت و انجبرت امر بقصة طويلة من ال encoding, decoding, و تقسيم البايلود 3- تعمل ملف rtf ب cve-2017-0199_toolkit.py و تدمج معه ملف ال hta
طبعا اكيد عدل هون ال link او رابط الملف و حط الرابط العندك و حط اسم الملف متل ماهو عندك 4- انك تشغل HTTP server عندك و انا اخترت SimpleHTTPServer سلسل و سريع و مهضوم
5- تشغل listener او بالعربي متنصت اي اداة شغلتها تتنصت على الport/المنفذ الي رح يرجع يتصل عليه ال reverse shell انا رح استخدام ال swiss army knife تبعيتنا Netcat
6- المفروض كلشي جاهز, هلق بتبعت الايميل باداة sendEmail
7- المفروض تكون حصلت reverse shell و ازا ما حصلت فقلي ليش انت عايش؟
Post-Exploit
Got Access & Decrypt credentials
اخدت Access و رحت لل Desktop جبت الفلاج و لقيت هنيك cred.xml جواها في
اسم مستخدم Tom و كلمة سر مشفرة . هي عبارة عن PSCredential و الي هي متل object و بكون فيها ال security credentials يعني متل اسم المستخدم و الباسورد. (لمعلومات اكثر اضغط هنا)
لتفك التشفير استخدم الامر :
هيك حصلنا او creds و هاد امر لطيف جدا
CREDS: Tom:1ts-mag1c!!!
هلق فينا ندخل فيهم ب ssh
SSH with Tom and start Enum
طبعا بما اننا مع صلاحيات جديدة و في ssh يعني في scp فسهل انو نرفع ملفات للماشين و ننزل منها ملفات, فرح نبدأ بجمع المعلومات او ال enum انا استخدمت SharpHound + BloodHound
1- ارفع sharphound.ps1
3- شغل sharphound
4- نزل الملف لجهازك, نفذ الامر هاد من جهاز ما من جهاز الهدف او الماشين
طبعا بحثت عن المستخدمين الي اخترقناهم من قبل nico , tom و عملتهم بالجمجمة اللطيفة الي شايفها على توم "Mark user as owned" اضغط على المستخدم tom بعدها Node Info و بعدها First Degree Object Control
متل ما شايفين tom عنده اذون writeowner على claire
هاد بعني ان فينا نعمل abuse للأذونات هي و ناخد access او نوصل للمستخدم claire, بس انا فتى كسول و محتاج سبب لأعمل هيك يعني بالله عليك انك تدخل على مستخدم تاني امر حلو "Bravoo" بس ماشي محفز جدا
اعمل بحث على Claire
متل ما شايف claire عندها كمان اذونات على ال security group الي اسمها BACKUP_ADMINS
اذا ضفنا نفسنا للمجموعة ف رح ناخد اذونات على ملفات ال backup برامج لل backup و ما الى ذلك
First trying to privesc - Failed
حاولت اني اطبق نفس التكنيك الي عملناه على nico بس ما نفع
Privesc to Claire - WriteOwner Abuse
اول شي منرفع powerview.ps1 و منعمللها استدعاء او منشغلها
تاني شي منعرف متغيرين و منحط فيهم كلمة السر و اسم المسخدم بالشكل التالي:
هون بتخلي ال owner identity تبعيت claire هو tom
هلق بتعطي لنفسك حقوق تغير كلمة السر تبعيت claire
اعمل متغير تاني حط فيه كلمة السر الي رح تكون هي تبعيت المستخدم claire
اخر شي تعمل set لكلمة السر للمستخدم claire
, و هي عنا creds جديدة
CREDS: claire:cl@Ir3Changed
و هلق بسهولة كل الي عليك انك تعمل ssh ل claire
SSH with Claire
نحن بالاصل منعرف ان claire عندها أذونات على ال bakcup_admins بس هي ما من ضمن المجموعة كيف نعرف ؟ سهل منستخدم powerview منطلع ال domain group و منفلتره حسب ال member identity و منعمل pipe و منعمل select لل sam account name هي عبارة عن Active Directory Enum 101
متل ما شايف ماموجود الجروب backup_admins
في طريقة تانية ب cmdlet اسمها net
ما مذكور اسم claire
Get Claire in Backup_Admins group
هون رح نحط كلمة السر و المستخدمة بمتغيرات متل ما عملنا مع توم
و هون باستخدام powerview رح نضيف claire لل Backup_Admins
كرمال التأكد
Privesc to Administrator
نحن قلنا انو حصولنا على الاذون من ال backup_admins group او ان نكون من المستخدمين جوا هي المجموعة رح يسمحلنا نطلع على ملفات backup و برامج و اشياء أخرى, فأول شي يجي ببالي اني ادور على هيك شي و وين مكان احلى من ال Desktop تبع الادمن
متل ما شايفين هون في كتير ملفات backups و في طريقة معروفة بالمجال و في ادوات الها و هي البحث الاتوماتيكي و في طرق باستخدام اوامر لينكس متل تعمل cat بعدها grep لكلمات معينة, نفس الشي بتعمله ازا عم تسوي web bug hunting و عندك مثلا js files او متل ما انا شرحت بالفقرة تبعيت ال IoT Pentest باكاديمية cybersky , كيف ممكن تبحث عن مستخدمين و hardcoded passwords جوا ال Firmware
استخدم الامر التالي
SSH with Administrator
The End
ملاحظة : حاول تخلي كلشي مرتب كلاتي:
هي كانت ماشين لطيفة ما صعبة كتير بس ممتعة, احب اقلك اني اخترقت كل المستخدمين الموجودين و الامر بالنسبة الي كان سهل جدا ف حابب اشوف الشباب الي رح يلعبوا هي عم يخترقو غير users و يلاقو طرق تانية و يبعتولي ياها, حطيت معلومات التواصل تحت.
Happy Hacking MHZ-Cyber
Contact Info
Last updated
Was this helpful?