Metasploitable2-Reconnaissance-and-UnrealIRCd-Backdoor-Exploitation

End-to-End-Aufklärung und Ausnutzung einer bekannten Backdoor (CVE-2010-2075) auf Metasploitable2 mit Nmap und Metasploit.

• Nmap
• Metasploit Framework (msfconsole)
• unix/irc/unreal_ircd_3281_backdoor Exploit-Modul

Methodik

1. nmap -sn 192.168.245.0/24 ausgeführt, um aktive Hosts im Subnetz zu entdecken.
2. nmap -sT -A <target-ip> ausgeführt, um das Betriebssystem zu fingerprinten und detaillierte Host-Informationen zu erhalten.
3. Konnektivität mit ping bestätigt.
4. nmap -sV <target-ip> ausgeführt, um offene Ports und Dienstversionen aufzuzählen, wodurch UnrealIRCd auf Port 6667 sichtbar wurde.
5. In Metasploit unix/irc/unreal_ircd_3281_backdoor ausgewählt, einen bekannten Exploit für eine in UnrealIRCd 3.2.8.1 eingefügte Backdoor (CVE-2010-2075).
6. Die Payload, RHOSTS und LHOST konfiguriert und anschließend den Exploit ausgeführt.
7. Shell-Zugriff mit whoami bestätigt, was root zurückgab.
8. Das Dateisystem durchsucht (ls -l, cd /etc) und /etc/shadow gelesen, um die erlangte Zugriffsebene zu bestätigen.

Ergebnisse

• Nmap identifizierte das Ziel und seine offenen Dienste, einschließlich UnrealIRCd auf Port 6667.
• Der Backdoor-Exploit war beim ersten Versuch erfolgreich und lieferte eine Shell mit root-Privilegien, ohne dass eine separate Rechteausweitung erforderlich war.
• Die Shadow-Datei war lesbar, was vollständigen Dateisystemzugriff auf Betriebssystemebene bestätigte.

MITRE ATT&CK-Zuordnung

Hinweise zur Erkennung und Verteidigung

• Diese Backdoor existierte aufgrund einer kompromittierten Software-Distribution, nicht wegen eines Designfehlers in UnrealIRCd selbst. Sie ist ein starkes Beispiel dafür, warum die Überprüfung der Paketintegrität (Checksummen, signierte Releases) wichtig ist.
• Eine Shell, die aus einem IRC-Daemon-Prozess hervorgeht, ist eine ungewöhnliche Eltern-Kind-Prozessbeziehung, die hostbasierte Überwachung melden sollte.
• Jeder Lesezugriff auf /etc/shadow durch einen Prozess, der nicht root gehört, oder durch eine unerwartete Sitzung sollte in einer ordnungsgemäß konfigurierten Umgebung einen Alarm auslösen.

Erkenntnisse

Die Versionserkennung von Nmap hat hier die Hauptarbeit geleistet. UnrealIRCd 3.2.8.1 als eine bestimmte, bekanntermaßen verwundbare Version zu erkennen, ist das, was ein generisches Scan-Ergebnis in einen tatsächlichen Befund verwandelte. Das ist dieselbe Fähigkeit, die ein Schwachstellenanalyst oder SOC-Analyst bei der Triage von Scan-Ausgaben gegen eine CVE-Datenbank einsetzt.

Einschränkungen

Metasploitable2 hat konstruktionsbedingt keine Patches oder Härtung erhalten. Dies demonstriert die Ausnutzungsmechanik, nicht das, was erforderlich ist, um ein gewartetes, überwachtes Produktionssystem zu kompromittieren.

Screenshots

• Nmap-Host-Erkennung
• Dienst-/Versions-Scan, der UnrealIRCd zeigt
• Exploit-Konfiguration
• Erfolgreiche Shell mit whoami-Ausgabe
• Eine zugeschnittene/redigierte Ansicht des Dateisystem-Durchsuchens (nicht den vollständigen /etc/shadow-Hash-Dump einfügen)