Metasploitable2: पुनर्जागरण और UnrealIRCd बैकडोर शोषण

अस्वीकरण

Metasploitable2 एक जानबूझकर कमजोर वर्चुअल मशीन है, जिसे विशेष रूप से सुरक्षा प्रशिक्षण और अभ्यास के लिए प्रकाशित किया गया है। यह परियोजना पूरी तरह से एक पृथक वर्चुअल लैब के भीतर की गई थी जिसका स्वामित्व और नियंत्रण मेरे पास है, केवल शैक्षिक उद्देश्यों के लिए।

अवलोकन

यह परियोजना Metasploitable2 के विरुद्ध एक पूर्ण आक्रमण श्रृंखला का दस्तावेजीकरण करती है: नेटवर्क पर होस्ट की खोज, इसकी सेवाओं की फिंगरप्रिंटिंग, UnrealIRCd में एक ज्ञात बैकडोर की पहचान, और शेल पहुंच प्राप्त करने के लिए इसका शोषण।

उद्देश्य

मानक recon-to-exploitation वर्कफ़्लो का अभ्यास और दस्तावेजीकरण करना: लक्ष्य खोजें, इसकी सेवाओं की गणना करें, एक शोषण योग्य भेद्यता की पहचान करें, इसका शोषण करें, और प्राप्त पहुंच के स्तर की पुष्टि करें।

लैब वातावरण

• आक्रमणकारी: Linux (Kali), Nmap, Metasploit Framework
• लक्ष्य: Metasploitable2 (Ubuntu-आधारित, जानबूझकर कमजोर)
• नेटवर्क: निजी, पृथक सबनेट (192.168.245.0/24)

प्रयुक्त उपकरण

• Nmap
• Metasploit Framework (msfconsole)
• unix/irc/unreal_ircd_3281_backdoor एक्सप्लॉइट मॉड्यूल

कार्यप्रणाली

1. सबनेट पर लाइव होस्ट खोजने के लिए nmap -sn 192.168.245.0/24 चलाया।
2. OS की फिंगरप्रिंटिंग और विस्तृत होस्ट जानकारी प्राप्त करने के लिए nmap -sT -A <target-ip> चलाया।
3. ping के साथ कनेक्टिविटी की पुष्टि की।
4. खुले पोर्ट और सेवा संस्करणों की गणना के लिए nmap -sV <target-ip> चलाया, जिससे पोर्ट 6667 पर चल रहा UnrealIRCd सामने आया।
5. Metasploit में, unix/irc/unreal_ircd_3281_backdoor चुना, जो UnrealIRCd 3.2.8.1 (CVE-2010-2075) में डाले गए बैकडोर के लिए एक ज्ञात एक्सप्लॉइट है।
6. पेलोड, RHOSTS, और LHOST को कॉन्फ़िगर किया, फिर एक्सप्लॉइट चलाया।
7. whoami के साथ शेल पहुंच की पुष्टि की, जिसने root लौटाया।
8. फाइलसिस्टम ब्राउज़ किया (ls -l, cd /etc) और प्राप्त पहुंच के स्तर की पुष्टि के लिए /etc/shadow पढ़ा।

परिणाम

• Nmap ने लक्ष्य और इसकी खुली सेवाओं की पहचान की, जिसमें पोर्ट 6667 पर UnrealIRCd शामिल है।
• बैकडोर एक्सप्लॉइट पहले प्रयास में सफल रहा और root विशेषाधिकारों वाला शेल लौटाया, किसी अलग विशेषाधिकार वृद्धि की आवश्यकता नहीं थी।
• shadow फ़ाइल पठनीय थी, जो OS स्तर पर पूर्ण फाइलसिस्टम पहुंच की पुष्टि करती है।

MITRE ATT&CK मैपिंग

पहचान और रक्षा नोट्स

• यह बैकडोर एक समझौता किए गए सॉफ़्टवेयर वितरण के कारण मौजूद था, UnrealIRCd में ही कोई डिज़ाइन दोष नहीं। यह एक मजबूत उदाहरण है कि पैकेज अखंडता (चेकसम, हस्ताक्षरित रिलीज़) की जांच क्यों मायने रखती है।
• IRC डेमन प्रक्रिया से उत्पन्न शेल एक असामान्य parent-child प्रक्रिया संबंध है जिसे होस्ट-आधारित निगरानी को फ्लैग करना चाहिए।
• गैर-root स्वामित्व वाली प्रक्रिया या अप्रत्याशित सत्र द्वारा /etc/shadow तक किसी भी पढ़ने की पहुंच को उचित रूप से कॉन्फ़िगर किए गए वातावरण में अलर्ट ट्रिगर करना चाहिए।

सीखे गए सबक

Nmap की संस्करण पहचान ने यहां भारी काम किया। UnrealIRCd 3.2.8.1 को एक विशिष्ट, ज्ञात-कमजोर संस्करण के रूप में पहचानना ही वह चीज़ थी जिसने एक सामान्य स्कैन परिणाम को एक वास्तविक निष्कर्ष में बदल दिया। यह वही कौशल है जिसका उपयोग एक भेद्यता विश्लेषक या SOC विश्लेषक CVE डेटाबेस के विरुद्ध स्कैन आउटपुट की ट्राइएज करते समय करता है।

सीमाएं

Metasploitable2 में डिज़ाइन के अनुसार कोई पैच या हार्डनिंग लागू नहीं है। यह शोषण की यांत्रिकी प्रदर्शित करता है, न कि एक अनुरक्षित, निगरानी वाले उत्पादन सिस्टम को समझौता करने में क्या लगता है।

स्क्रीनशॉट

• Nmap होस्ट डिस्कवरी
• UnrealIRCd दिखाने वाला सेवा/संस्करण स्कैन
• एक्सप्लॉइट कॉन्फ़िगरेशन
• whoami आउटपुट के साथ सफल शेल
• फाइलसिस्टम ब्राउज़िंग का क्रॉप किया गया/संपादित दृश्य (पूर्ण /etc/shadow हैश डंप शामिल न करें)