Love
Sobre esta maquina: HTB
Sistema Operativo: Windows
Skills Usados:
Server Side Request Forgery (SSRF)
Exploiting Voting System
Abusing AlwaysInstallElevated (msiexec/msi file)
Metodologia:
Hacemos el primer reconocimiento con nmap:
//
> nmap -T4 -sS -Pn -n -p- --open 10.10.10.239 -oN First_scan
Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-05-01 11:14 EDT
PORT STATE SERVICE
80/tcp open http
135/tcp open msrpc
139/tcp open netbios-ssn
443/tcp open https
445/tcp open microsoft-ds
3306/tcp open mysql
5000/tcp open upnp
5040/tcp open unknown
5985/tcp open wsman
5986/tcp open wsmans
7680/tcp open pando-pub
47001/tcp open winrm
49664/tcp open unknown
49665/tcp open unknown
49666/tcp open unknown
49667/tcp open unknown
49668/tcp open unknown
49669/tcp open unknown
49670/tcp open unknownHacemos escaneo con Script e identificación de versiones de los puertos abiertos:
Vemos que corre por el puerto 80 :
Observamos que tecnologias se usaron para la web con Wappalyzer:
Utilizamos script http en nmap para enumerar subdominios:
Buscamos en searchsploit alguna vulnerabilidad para Voting System:
Usaremos el sql injection php/webapps/49843.txt:
El script funciona asi segun su creador:
Abrimos Burpsuite e intentamos realizar la inyección :
Analizamos la respuesta:
Vamos al panel de Voting System de login y estamos autenticados :
A pesar de que logramos autenticarnos no podemos realizar ningún avance significativo, así que intentaremos probar con otra vulnerabilidad asociada a otro puerto. En el puerto 443, existen dos subdominios asociados, stanging.love.htb y love.htb para poder verlos correctamente los agregaremos a nuestro etc hosts:
Etc Host con los nuevos dominios incluidos:
Vemos el nuevo dominio:
Para comprobar que funcione listaremos los puertos que no nos deja ver normalmente, como el 5.000:
Esta vulnerabilidad nos puede permitir realizar un SSRF, o falsificación de solicitudes del lado del servidor, esta es una vulnerabilidad de seguridad que permite a un atacante manipular una aplicación web para que realice solicitudes a recursos internos o externos, potencialmente comprometiendo la seguridad de la aplicación y la organización.
Ingresamos al sistema pero es el mismo al que accedimos antes, asi que probaremos con un nuevo escript de searchsploit esta vez el: Voting System 1.0 - File Upload RCE | php/webapps/49445.py.
Modificamos el Script descargado:
Ejecutamos el script mientras estamos en escucha como indica el creador y tenemos éxito, estamos dentro:
Buscamos la primera flag:
Ahora intentaremos ganar privilegios, lo haremos creando un directoro Privesc dentro de los archivos temporales del sistema y utilizando los binarios de Winpease de Github.
Creamos el directorio:
Descargamos Winpease desde Github:
Levantamos un server con python en el puerto 80 y nos traspasamos el Winpeas a la maquina victima:
Al ejecutarlo nos arroja las posibles vulnerabilidades que posee el sistema, estas vulnerabilidades nos pueden convertir en ROOT, escalando privilegios.
Encontramos dentro del análisis AlwaysInstallelevated algo de lo que nos podemos aprovechar.
Para poder usar AlwaysElevated como una vulnerabilidad que nos otorgue privilegios, debemos crear un payload con msfvenom:
Una vez creado el Payload, volvemos a abrir un servidor con python y descargamos el payload a la maquina victima:
Ahora instalamos el reverse.msi en la maquina victima mientras estamos por escucha en el puerto 443 y asi obtenemos Privilegios:
Buscamos la ultima flag como ROOT:
Y así después de conseguir la ultima Flag, daríamos por finalizada la maquina Love.
Last updated