Metasploitable2：侦察与 UnrealIRCd 后门利用

免责声明

Metasploitable2 是一台故意设计为存在漏洞的虚拟机，专门为安全培训和练习而发布。本项目完全在我拥有并控制的隔离虚拟实验环境中进行，仅用于教育目的。

概述

本项目记录了对 Metasploitable2 的完整攻击链：在网络中发现主机、对其服务进行指纹识别、识别 UnrealIRCd 中的已知后门，并利用该后门获取 shell 访问权限。

目标

练习并记录标准的从侦察到利用的工作流程：找到目标、枚举其服务、识别可利用的漏洞、利用该漏洞，并确认所获得的访问权限级别。

实验环境

• 攻击方：Linux（Kali）、Nmap、Metasploit Framework
• 目标：Metasploitable2（基于 Ubuntu，故意存在漏洞）
• 网络：私有隔离子网（192.168.245.0/24）

使用的工具

• Nmap
• Metasploit Framework（msfconsole）
• unix/irc/unreal_ircd_3281_backdoor 漏洞利用模块

方法论

1. 运行 nmap -sn 192.168.245.0/24 以发现子网中的活动主机。
2. 运行 nmap -sT -A <target-ip> 以对操作系统进行指纹识别并获取详细的主机信息。
3. 使用 ping 确认连通性。
4. 运行 nmap -sV <target-ip> 以枚举开放端口和服务版本，从而发现运行在 6667 端口上的 UnrealIRCd。
5. 在 Metasploit 中，选择 unix/irc/unreal_ircd_3281_backdoor，这是针对 UnrealIRCd 3.2.8.1 中植入的后门（CVE-2010-2075）的已知漏洞利用模块。
6. 配置 payload、RHOSTS 和 LHOST，然后运行漏洞利用。
7. 使用 whoami 确认 shell 访问权限，返回结果为 root。
8. 浏览文件系统（ls -l、cd /etc）并读取 /etc/shadow，以确认所获得的访问权限级别。

结果

• Nmap 识别出了目标及其开放的服务，包括运行在 6667 端口上的 UnrealIRCd。
• 后门漏洞利用在第一次尝试时即成功，并返回了一个具有 root 权限的 shell，无需单独进行权限提升。
• shadow 文件可读，确认在操作系统层面拥有完整的文件系统访问权限。

MITRE ATT&CK 映射

检测与防御说明

• 该后门的存在源于软件分发被篡改，而非 UnrealIRCd 本身的设计缺陷。这是一个有力的例证，说明了为什么验证软件包完整性（校验和、签名发布）至关重要。
• 由 IRC 守护进程生成的 shell 是一种异常的父子进程关系，基于主机的监控应当对此进行标记。
• 在配置得当的环境中，任何非 root 所属进程或异常会话对 /etc/shadow 的读取访问都应触发警报。

经验教训

Nmap 的版本检测在此发挥了主要作用。将 UnrealIRCd 3.2.8.1 识别为一个特定的、已知存在漏洞的版本，正是这一点将普通的扫描结果转化为实际的发现。这与漏洞分析师或 SOC 分析师在将扫描输出与 CVE 数据库进行比对时所使用的技能相同。

局限性

Metasploitable2 按设计未应用任何补丁或加固措施。这展示的是漏洞利用机制，而非攻陷一个持续维护、受到监控的生产系统所需的条件。

截图

• Nmap 主机发现
• 显示 UnrealIRCd 的服务/版本扫描
• 漏洞利用配置
• 成功获取 shell 及 whoami 输出
• 文件系统浏览的裁剪/脱敏视图（不要包含完整的 /etc/shadow 哈希转储）