Throwback محاكاة كاملة لاختراق شركة من الصفر: تبدأ بتسميم بروتوكولات اسم الشبكة (LLMNR/NBT-NS) لسرقة Hashes، تجمع بيانات الموظفين من LinkedIn، تبني Phishing Campaign حقيقي بإيميل مخترق، وتستخدم Empire C2 عشان تتحكم في الأجهزة المصابة وتعمل Kerberoasting. بعدين تحوّل سيرفر الإنتاج لنقطة Pivot عشان تدخل شبكة داخلية معزولة فيها الـ Domain Controller.
وصول كامل للـ Domain Controller عبر سلسلة Phishing → C2 → Pivoting → AD
تشغيل Responder لتسميم طلبات الشبكة الوهمية، وصيد NTLMv2 hashes من أجهزة بتدور على موارد مش موجودة. بعدين تكسرها بـ Hashcat.
Responder -I tun0 -rdwhashcat -m 5600جمع بيانات الموظفين من LinkedIn، وبناء إيميلات محتملة بأداة توليد الأنماط، والوصول لدليل الشركة بحساب Guest.
LinkedIn OSINTEmail pattern generationرش كلمات السر بـ Hydra على الحسابات المكتشفة، لحد ما توصل لحساب موظف شرعي تستخدمه كمصدر موثوق للـ Phishing.
Hydra sprayCompromised mailboxإيميل تصيّد بمرفق Excel خبيث (VBA Macro) يتنكر إنه من مصدر موثوق. بمجرد فتحه بيشغّل Metasploit reverse shell.
XLSM Macro (Auto_Open)Meterpreter sessionsنشر Empire C2 Framework (بواجهة Starkiller)، بناء Listener وStager، وتنفيذ Kerberoasting بموديول Rubeus لسرقة وكسر كلمات سر حسابات الخدمة.
Empire + StarkillerRubeus Kerberoastingتحويل سيرفر الإنتاج المخترق لنقطة Pivot: autoroute في Meterpreter + SOCKS4 proxy للوصول لشبكة 10.200.15.0/24 الداخلية.
autoroute + SOCKS410.200.15.0/24استكشاف الشبكة الداخلية (Ping sweep, ARP, DNS)، اكتشاف علاقة Trust بين Domains، رش كلمات سر تاني، وSSH للـ Domain Controller مباشرة.
Bidirectional Domain TrustSSH to THROWBACK-DC01Full Domain Compromise 🏆| الأمر | الوصف | المرحلة |
|---|---|---|
| sudo responder -I tun0 -rdw -v | تسميم LLMNR/NBT-NS وصيد الـ hashes | Poisoning |
| hashcat -m 5600 -a 0 hash.txt rockyou.txt | كسر NTLMv2 hash المسروق | Crack |
| hydra -L users.txt -p ‘Pass123’ smtp://target | Password spraying على حسابات الموظفين | Spray |
| Auto_Open() VBA macro → mshta.exe | تنفيذ تلقائي لمرفق Excel الخبيث | Phishing |
| run autoroute -s 10.200.15.0/24 | فتح route داخل Meterpreter للشبكة الداخلية | Pivot |
| use auxiliary/server/socks4a | تشغيل SOCKS4 proxy على THROWBACK-PROD | Pivot |
| Invoke-Kerberoast -OutputFormat Hashcat | سرقة TGS Tickets لحسابات الخدمة (Empire module) | Kerberoast |
| 1..255 | % {ping -n 1 -w 60 10.200.15.$_} | Ping sweep داخل الشبكة الداخلية من PowerShell | Recon |
Responder + Hashcat لكسر أول NTLMv2 hash
LinkedIn OSINT وتوليد إيميلات محتملة
Hydra spray + مرفق Excel خبيث بـ VBA Macro
نشر Empire/Starkiller وسرقة حسابات الخدمة
autoroute + SOCKS4 proxy للشبكة الداخلية
اكتشاف علاقة Trust بين الدومينات
Password spray تاني + SSH لـ THROWBACK-DC01