Metasploitable2-Reconnaissance-and-UnrealIRCd-Backdoor-Exploitation

Reconnaissance e sfruttamento end-to-end di una backdoor nota (CVE-2010-2075) su Metasploitable2 utilizzando Nmap e Metasploit.

• Nmap
• Metasploit Framework (msfconsole)
• Modulo exploit unix/irc/unreal_ircd_3281_backdoor

Metodologia

1. Eseguito nmap -sn 192.168.245.0/24 per scoprire gli host attivi sulla sottorete.
2. Eseguito nmap -sT -A <target-ip> per effettuare il fingerprinting del sistema operativo e ottenere informazioni dettagliate sull'host.
3. Confermata la connettività con ping.
4. Eseguito nmap -sV <target-ip> per enumerare le porte aperte e le versioni dei servizi, il che ha rivelato UnrealIRCd in esecuzione sulla porta 6667.
5. In Metasploit, selezionato unix/irc/unreal_ircd_3281_backdoor, un exploit noto per una backdoor inserita in UnrealIRCd 3.2.8.1 (CVE-2010-2075).
6. Configurato il payload, RHOSTS e LHOST, quindi eseguito l'exploit.
7. Confermato l'accesso alla shell con whoami, che ha restituito root.
8. Esplorato il filesystem (ls -l, cd /etc) e letto /etc/shadow per confermare il livello di accesso ottenuto.

Risultati

• Nmap ha identificato il target e i suoi servizi aperti, incluso UnrealIRCd sulla porta 6667.
• L'exploit della backdoor è riuscito al primo tentativo e ha restituito una shell con privilegi di root, senza necessità di una separata escalation di privilegi.
• Il file shadow era leggibile, confermando l'accesso completo al filesystem a livello di sistema operativo.

Mappatura MITRE ATT&CK

Note su rilevamento e difesa

• Questa backdoor esisteva a causa di una distribuzione software compromessa, non per un difetto di progettazione di UnrealIRCd stesso. È un forte esempio di perché verificare l'integrità dei pacchetti (checksum, release firmate) sia importante.
• Una shell generata da un processo demone IRC è un'insolita relazione processo padre-figlio che il monitoraggio basato su host dovrebbe segnalare.
• Qualsiasi accesso in lettura a /etc/shadow da parte di un processo non di proprietà di root o di una sessione inaspettata dovrebbe attivare un avviso in un ambiente configurato correttamente.

Lezioni apprese

Il rilevamento delle versioni di Nmap ha fatto il lavoro pesante qui. Riconoscere UnrealIRCd 3.2.8.1 come una versione specifica e nota come vulnerabile è ciò che ha trasformato un risultato di scansione generico in una vera e propria scoperta. È la stessa competenza che un analista di vulnerabilità o un analista SOC utilizza quando valuta l'output di una scansione rispetto a un database di CVE.

Limitazioni

Metasploitable2 non ha patch o hardening applicati per progettazione. Questo dimostra la meccanica dello sfruttamento, non ciò che serve per compromettere un sistema di produzione mantenuto e monitorato.

Screenshot

• Scoperta host con Nmap
• Scansione servizi/versioni che mostra UnrealIRCd
• Configurazione dell'exploit
• Shell ottenuta con successo con output di whoami
• Una vista ritagliata/redatta dell'esplorazione del filesystem (non includere il dump completo degli hash di /etc/shadow)