Metasploitable2: Разведка и эксплуатация бэкдора UnrealIRCd

Отказ от ответственности

Metasploitable2 — это намеренно уязвимая виртуальная машина, опубликованная специально для обучения и практики в области безопасности. Этот проект был выполнен полностью в изолированной виртуальной лаборатории, которой я владею и управляю, исключительно в образовательных целях.

Обзор

Этот проект документирует полную цепочку атаки на Metasploitable2: обнаружение хоста в сети, фингерпринтинг его сервисов, выявление известного бэкдора в UnrealIRCd и его эксплуатацию для получения доступа к оболочке.

Цель

Отработать и задокументировать стандартный рабочий процесс от разведки до эксплуатации: найти цель, перечислить её сервисы, выявить эксплуатируемую уязвимость, проэксплуатировать её и подтвердить уровень полученного доступа.

Лабораторная среда

• Атакующий: Linux (Kali), Nmap, Metasploit Framework
• Цель: Metasploitable2 (на базе Ubuntu, намеренно уязвимая)
• Сеть: приватная, изолированная подсеть (192.168.245.0/24)

Использованные инструменты

• Nmap
• Metasploit Framework (msfconsole)
• модуль эксплойта unix/irc/unreal_ircd_3281_backdoor

Методология

1. Выполнил nmap -sn 192.168.245.0/24 для обнаружения активных хостов в подсети.
2. Выполнил nmap -sT -A <target-ip> для фингерпринтинга ОС и получения детальной информации о хосте.
3. Подтвердил связность с помощью ping.
4. Выполнил nmap -sV <target-ip> для перечисления открытых портов и версий сервисов, что выявило UnrealIRCd, работающий на порту 6667.
5. В Metasploit выбрал unix/irc/unreal_ircd_3281_backdoor — известный эксплойт для бэкдора, внедрённого в UnrealIRCd 3.2.8.1 (CVE-2010-2075).
6. Настроил payload, RHOSTS и LHOST, затем запустил эксплойт.
7. Подтвердил доступ к оболочке с помощью whoami, который вернул root.
8. Просмотрел файловую систему (ls -l, cd /etc) и прочитал /etc/shadow, чтобы подтвердить уровень полученного доступа.

Результаты

• Nmap идентифицировал цель и её открытые сервисы, включая UnrealIRCd на порту 6667.
• Эксплойт бэкдора сработал с первой попытки и вернул оболочку с привилегиями root, без необходимости отдельного повышения привилегий.
• Файл shadow был доступен для чтения, что подтвердило полный доступ к файловой системе на уровне ОС.

Сопоставление с MITRE ATT&CK

Заметки по обнаружению и защите

• Этот бэкдор существовал из-за скомпрометированного дистрибутива ПО, а не из-за недостатка дизайна самого UnrealIRCd. Это яркий пример того, почему проверка целостности пакетов (контрольные суммы, подписанные релизы) важна.
• Оболочка, порождённая процессом IRC-демона, — это необычное отношение родительского и дочернего процессов, которое должно отмечаться хост-мониторингом.
• Любой доступ на чтение к /etc/shadow со стороны процесса, не принадлежащего root, или неожиданной сессии должен вызывать срабатывание оповещения в правильно настроенной среде.

Извлечённые уроки

Определение версий в Nmap выполнило здесь основную работу. Распознавание UnrealIRCd 3.2.8.1 как конкретной известной уязвимой версии — именно это превратило общий результат сканирования в реальную находку. Это тот же навык, который использует аналитик уязвимостей или аналитик SOC при триаже результатов сканирования по базе данных CVE.

Ограничения

Metasploitable2 не имеет патчей или усиления защиты по своему дизайну. Это демонстрирует механику эксплуатации, а не то, что требуется для компрометации поддерживаемой, контролируемой производственной системы.

Скриншоты

• Обнаружение хостов с помощью Nmap
• Сканирование сервисов/версий, показывающее UnrealIRCd
• Конфигурация эксплойта
• Успешная оболочка с выводом whoami
• Обрезанный/отредактированный вид просмотра файловой системы (не включать полный дамп хешей /etc/shadow)