Metasploitable2: 정찰 및 UnrealIRCd 백도어 익스플로잇

면책 조항

Metasploitable2는 보안 교육 및 실습을 위해 특별히 공개된 의도적으로 취약한 가상 머신입니다. 이 프로젝트는 교육 목적으로만, 제가 소유하고 통제하는 격리된 가상 랩 환경 내에서 전적으로 수행되었습니다.

개요

이 프로젝트는 Metasploitable2에 대한 전체 공격 체인을 문서화합니다: 네트워크에서 호스트를 발견하고, 서비스를 핑거프린팅하고, UnrealIRCd의 알려진 백도어를 식별하고, 이를 익스플로잇하여 셸 접근 권한을 획득하는 과정입니다.

목표

표준적인 정찰-익스플로잇 워크플로우를 연습하고 문서화합니다: 대상을 찾고, 서비스를 열거하고, 익스플로잇 가능한 취약점을 식별하고, 익스플로잇하고, 획득한 접근 수준을 확인합니다.

랩 환경

공격자: Linux (Kali), Nmap, Metasploit Framework
대상: Metasploitable2 (Ubuntu 기반, 의도적으로 취약함)
네트워크: 사설, 격리된 서브넷 (192.168.245.0/24)

사용된 도구

Nmap
Metasploit Framework (msfconsole)
unix/irc/unreal_ircd_3281_backdoor 익스플로잇 모듈

방법론

nmap -sn 192.168.245.0/24를 실행하여 서브넷에서 활성 호스트를 발견했습니다.
nmap -sT -A <target-ip>를 실행하여 OS를 핑거프린팅하고 상세한 호스트 정보를 얻었습니다.
ping으로 연결성을 확인했습니다.
nmap -sV <target-ip>를 실행하여 열린 포트와 서비스 버전을 열거했고, 이를 통해 포트 6667에서 실행 중인 UnrealIRCd가 드러났습니다.
Metasploit에서 UnrealIRCd 3.2.8.1에 삽입된 백도어에 대한 알려진 익스플로잇인 unix/irc/unreal_ircd_3281_backdoor를 선택했습니다 (CVE-2010-2075).
페이로드, RHOSTS, LHOST를 구성한 후 익스플로잇을 실행했습니다.
whoami로 셸 접근을 확인했고, root가 반환되었습니다.
파일시스템을 탐색하고(ls -l, cd /etc) /etc/shadow를 읽어 획득한 접근 수준을 확인했습니다.

결과

Nmap이 대상과 열린 서비스를 식별했으며, 포트 6667의 UnrealIRCd가 포함되었습니다.
백도어 익스플로잇이 첫 시도에서 성공하여 root 권한의 셸을 반환했고, 별도의 권한 상승이 필요하지 않았습니다.
shadow 파일을 읽을 수 있었으며, OS 수준에서 전체 파일시스템 접근이 가능함을 확인했습니다.

MITRE ATT&CK 매핑

Technique	ID	Description
Network Service Discovery	T1046	Nmap 호스트 및 서비스 스캐닝
Exploit Public-Facing Application	T1190	UnrealIRCd 백도어 익스플로잇
OS Credential Dumping	T1003.008	/etc/shadow 읽기

탐지 및 방어 참고 사항

이 백도어는 UnrealIRCd 자체의 설계 결함이 아니라, 손상된 소프트웨어 배포판으로 인해 존재했습니다. 패키지 무결성(체크섬, 서명된 릴리스) 검증이 중요한 이유를 보여주는 강력한 사례입니다.
IRC 데몬 프로세스에서 생성된 셸은 호스트 기반 모니터링이 탐지해야 할 비정상적인 부모-자식 프로세스 관계입니다.
비-root 소유 프로세스나 예상치 못한 세션에 의한 /etc/shadow 읽기 접근은 적절히 구성된 환경에서 경보를 발생시켜야 합니다.

배운 점

여기서는 Nmap의 버전 탐지가 핵심적인 역할을 했습니다. UnrealIRCd 3.2.8.1을 특정하고 알려진 취약 버전으로 인식한 것이 일반적인 스캔 결과를 실제 발견 사항으로 바꾸어 주었습니다. 이는 취약점 분석가나 SOC 분석가가 스캔 출력을 CVE 데이터베이스와 대조하여 분류할 때 사용하는 것과 동일한 기술입니다.

한계

Metasploitable2는 설계상 패치나 하드닝이 적용되지 않았습니다. 이는 익스플로잇 메커니즘을 보여줄 뿐, 유지보수되고 모니터링되는 프로덕션 시스템을 침해하는 데 필요한 것을 보여주지는 않습니다.

스크린샷

Nmap 호스트 발견
UnrealIRCd를 보여주는 서비스/버전 스캔
익스플로잇 구성
whoami 출력이 포함된 성공적인 셸
파일시스템 탐색의 잘라내기/가림 처리된 보기 (전체 /etc/shadow 해시 덤프는 포함하지 마십시오)

인기

Metasploitable2-Reconnaissance-and-UnrealIRCd-Backdoor-Exploitation