Metasploitable2: الاستطلاع واستغلال الباب الخلفي في UnrealIRCd

إخلاء المسؤولية

Metasploitable2 هي آلة افتراضية معرّضة للثغرات عن قصد، نُشرت تحديدًا للتدريب والممارسة الأمنية. أُنجز هذا المشروع بالكامل داخل مختبر افتراضي معزول أملكه وأتحكم به، لأغراض تعليمية فقط.

نظرة عامة

يوثّق هذا المشروع سلسلة هجوم كاملة ضد Metasploitable2: اكتشاف المضيف على الشبكة، والبصمة الرقمية لخدماته، وتحديد باب خلفي معروف في UnrealIRCd، واستغلاله للحصول على وصول إلى صدفة أوامر.

الهدف

ممارسة وتوثيق سير العمل القياسي من الاستطلاع إلى الاستغلال: العثور على الهدف، وحصر خدماته، وتحديد ثغرة قابلة للاستغلال، واستغلالها، وتأكيد مستوى الوصول المُكتسب.

بيئة المختبر

• المهاجم: Linux (Kali)، Nmap، Metasploit Framework
• الهدف: Metasploitable2 (قائمة على Ubuntu، معرّضة للثغرات عن قصد)
• الشبكة: شبكة فرعية خاصة ومعزولة (192.168.245.0/24)

الأدوات المستخدمة

• Nmap
• Metasploit Framework (msfconsole)
• وحدة الاستغلال unix/irc/unreal_ircd_3281_backdoor

المنهجية

1. تشغيل nmap -sn 192.168.245.0/24 لاكتشاف المضيفات الحيّة على الشبكة الفرعية.
2. تشغيل nmap -sT -A <target-ip> للبصمة الرقمية لنظام التشغيل والحصول على معلومات مفصّلة عن المضيف.
3. تأكيد الاتصال باستخدام ping.
4. تشغيل nmap -sV <target-ip> لحصر المنافذ المفتوحة وإصدارات الخدمات، مما أظهر UnrealIRCd يعمل على المنفذ 6667.
5. في Metasploit، اختيار unix/irc/unreal_ircd_3281_backdoor، وهو استغلال معروف لباب خلفي مُدرج في UnrealIRCd 3.2.8.1 (CVE-2010-2075).
6. تهيئة الحمولة وRHOSTS وLHOST، ثم تشغيل الاستغلال.
7. تأكيد الوصول إلى صدفة الأوامر باستخدام whoami، والذي أعاد root.
8. تصفّح نظام الملفات (ls -l، cd /etc) وقراءة /etc/shadow لتأكيد مستوى الوصول الذي تم الحصول عليه.

النتائج

• حدّد Nmap الهدف وخدماته المفتوحة، بما في ذلك UnrealIRCd على المنفذ 6667.
• نجح استغلال الباب الخلفي من المحاولة الأولى وأعاد صدفة أوامر بصلاحيات root، دون الحاجة إلى تصعيد صلاحيات منفصل.
• كان ملف shadow قابلًا للقراءة، مما يؤكد وصولًا كاملًا إلى نظام الملفات على مستوى نظام التشغيل.

تعيين MITRE ATT&CK

ملاحظات الكشف والدفاع

• وُجد هذا الباب الخلفي بسبب توزيعة برمجية مخترَقة، وليس بسبب خلل تصميمي في UnrealIRCd نفسه. وهو مثال قوي على أهمية التحقق من سلامة الحزم (المجاميع الاختبارية، الإصدارات الموقّعة).
• صدفة أوامر تُنشأ من عملية خادم IRC هي علاقة أب-ابن غير معتادة بين العمليات، وينبغي أن ترصدها المراقبة القائمة على المضيف.
• أي وصول للقراءة إلى /etc/shadow من عملية لا يملكها root أو من جلسة غير متوقعة ينبغي أن يُطلق تنبيهًا في بيئة مُهيّأة بشكل صحيح.

الدروس المستفادة

قام كشف الإصدارات في Nmap بالجزء الأكبر من العمل هنا. إن التعرّف على UnrealIRCd 3.2.8.1 كإصدار محدّد معروف بثغراته هو ما حوّل نتيجة فحص عامة إلى اكتشاف فعلي. وهذه هي المهارة نفسها التي يستخدمها محلل الثغرات أو محلل SOC عند فرز مخرجات الفحص مقابل قاعدة بيانات CVE.

القيود

لا توجد تصحيحات أو تقوية مطبّقة على Metasploitable2 بحكم التصميم. وهذا يوضّح آليات الاستغلال، وليس ما يتطلبه اختراق نظام إنتاجي مُصان ومُراقَب.

لقطات الشاشة

• اكتشاف المضيفات باستخدام Nmap
• فحص الخدمات/الإصدارات الذي يُظهر UnrealIRCd
• تهيئة الاستغلال
• صدفة أوامر ناجحة مع مخرجات whoami
• عرض مقصوص/محجوب لتصفّح نظام الملفات (لا تُدرج التفريغ الكامل لتجزئات /etc/shadow)