Projekt 5 — Offensive Security & Adversary Emulation

Teil eines 5-Projekte-Home-Lab-SOC-Bogens: aufbauen → erkennen & anreichern → untersuchen → überwachen & jagen → angreifen & gegenprüfen.

Dieses Projekt ergänzt die fehlende Hälfte des Bildes aus den Projekten 1–4: Alles davor war Blue Team (Erkennungen bauen, Vorfälle untersuchen, in Netzwerkdaten jagen). Dieses hier versetzt mich auf die Angreiferseite — Aufklärung, Ausnutzung und Post-Exploitation gegen eine echte, dokumentierte Schwachstelle — und wendet sich dann wieder dem bestehenden SOC zu, um zu messen, was tatsächlich erkannt wurde.

Zusammenfassung

Angriffskette auf einen Blick

Recon (Nmap)  →  Exploit (Metasploit: vsftpd backdoor)  →  Root shell (Meterpreter)
     →  Dump /etc/shadow  →  Crack hash (John)  →  Verify via SSH login
     →  Cross-check against Wazuh / Suricata / Zeek

Wichtigste Erkenntnisse

1. Eine CVE aus 2011 bietet auch heute noch eine vollständige, realistische Angriffskette — von der ersten Aufklärung über den Root-Zugriff bis hin zur Offenlegung von Anmeldedaten, ohne dass moderne Härtung einem ungepatchten Host im Weg steht.
2. Root-Zugriff ist nicht das Ende der Geschichte — er beginnt eine neue. Root erlaubte mir, Passwort-Hashes auszulesen, einen davon sofort zu knacken (msfadmin:msfadmin) und zu beweisen, dass er als zweiter, unabhängiger Weg ins System per einfachem SSH funktioniert — was bedeutet, dass das Patchen des FTP-Bugs allein diesen Host nicht vollständig absichern würde.
3. Das Ziel hatte keinerlei hostbasierte SOC-Sichtbarkeit. Auf Metasploitable war kein Wazuh-Agent installiert, sodass der Exploit, die Root-Shell und der Zugriff auf Anmeldedaten für die hostbasierte Überwachung völlig unsichtbar waren — eine direkte Veranschaulichung von „Du kannst nicht erkennen, was du nicht überwachst."
4. Netzwerkbasierte Überwachung (Zeek) war die einzige verfügbare Sichtbarkeitsebene — und sie zum Laufen zu bringen legte eine echte Kette von 4–5 separaten, eigenständigen Fehlern offen, von einer falschen Netzwerkschnittstelle über einen veralteten Konfigurationspfad bis hin zu einem Agenten, der einen vollständigen Neustart statt eines sanften benötigte. Vollständige Aufschlüsselung in docs/04-blue-team-cross-check.md.
5. Suricata (signaturbasiert) blieb bei einem SSH-Login mit gültigen Anmeldedaten zu Recht still — ein legitimes Ergebnis zu den Grenzen signaturbasierter Erkennung, keine Lücke.

Dokumentation

• docs/01-reconnaissance.md — Nmap-Scans, Identifizierung von Schwachstellen
• docs/02-exploitation.md — Auswahl und Nutzung von Metasploit-Modulen
• docs/03-post-exploitation.md — Auslesen, Knacken und Verifizieren von Anmeldedaten
• docs/04-blue-team-cross-check.md — SOC-Erkennungslückenanalyse und die reale Debugging-Kette dahinter

Laborumgebung

• Kali — physischer Host und Angriffsmaschine (Nmap, Metasploit, John the Ripper, Suricata, Zeek)
• Metasploitable2 — absichtlich verwundbare Ziel-VM
• Netzwerk — VirtualBox Host-only Adapter (192.168.56.x), dasselbe Netzwerk, das bereits in Projekt 4 eingeführt wurde, damit Kali (der Host) den Verkehr zum und vom Ziel direkt erreichen und überwachen konnte
• Bestehender SOC (Projekte 1–4) — Wazuh SIEM, Suricata IDS, Zeek NSM, hier ausschließlich als „Blue-Team“-Seite dieses Engagements verwendet

Screenshots

Siehe screenshots/, nach Phase organisiert.