Metasploitable2-Reconnaissance-and-UnrealIRCd-Backdoor-Exploitation

Reconnaissance et exploitation de bout en bout d'une backdoor connue (CVE-2010-2075) sur Metasploitable2 à l'aide de Nmap et Metasploit.

• Nmap
• Metasploit Framework (msfconsole)
• Module d'exploitation unix/irc/unreal_ircd_3281_backdoor

Méthodologie

1. Exécution de nmap -sn 192.168.245.0/24 pour découvrir les hôtes actifs sur le sous-réseau.
2. Exécution de nmap -sT -A <target-ip> pour identifier l'OS et obtenir des informations détaillées sur l'hôte.
3. Confirmation de la connectivité avec ping.
4. Exécution de nmap -sV <target-ip> pour énumérer les ports ouverts et les versions des services, ce qui a révélé UnrealIRCd en écoute sur le port 6667.
5. Dans Metasploit, sélection de unix/irc/unreal_ircd_3281_backdoor, un exploit connu pour une backdoor insérée dans UnrealIRCd 3.2.8.1 (CVE-2010-2075).
6. Configuration du payload, de RHOSTS et de LHOST, puis exécution de l'exploit.
7. Confirmation de l'accès shell avec whoami, qui a retourné root.
8. Parcours du système de fichiers (ls -l, cd /etc) et lecture de /etc/shadow pour confirmer le niveau d'accès obtenu.

Résultats

• Nmap a identifié la cible et ses services ouverts, notamment UnrealIRCd sur le port 6667.
• L'exploit de la backdoor a réussi du premier coup et a retourné un shell avec les privilèges root, sans nécessiter d'escalade de privilèges séparée.
• Le fichier shadow était lisible, confirmant un accès complet au système de fichiers au niveau de l'OS.

Cartographie MITRE ATT&CK

Notes de détection et de défense

• Cette backdoor existait en raison d'une distribution logicielle compromise, et non d'un défaut de conception d'UnrealIRCd lui-même. C'est un excellent exemple de pourquoi la vérification de l'intégrité des paquets (sommes de contrôle, versions signées) est importante.
• Un shell lancé depuis un processus démon IRC est une relation parent-enfant de processus inhabituelle que la surveillance basée sur l'hôte devrait signaler.
• Tout accès en lecture à /etc/shadow par un processus non détenu par root ou une session inattendue devrait déclencher une alerte dans un environnement correctement configuré.

Leçons apprises

La détection de version de Nmap a fait le gros du travail ici. Reconnaître UnrealIRCd 3.2.8.1 comme une version spécifique et connue comme vulnérable est ce qui a transformé un résultat de scan générique en une véritable découverte. C'est la même compétence qu'un analyste en vulnérabilités ou un analyste SOC utilise lors du tri des résultats de scan par rapport à une base de données de CVE.

Limitations

Metasploitable2 n'a aucun correctif ni durcissement appliqué par conception. Cela démontre les mécanismes d'exploitation, et non ce qu'il faut pour compromettre un système de production maintenu et surveillé.

Captures d'écran

• Découverte d'hôtes avec Nmap
• Scan de services/versions montrant UnrealIRCd
• Configuration de l'exploit
• Shell réussi avec la sortie de whoami
• Une vue recadrée/caviardée de la navigation dans le système de fichiers (ne pas inclure le dump complet des hachages de /etc/shadow)