Dans cet article je vais expliquer comment faire une recherche manuelle de vulnérabilités. Avant tout il faudra utiliser un outil de type NMAP, lequel permettra de scanner les différents ports d’une cibles. J’utiliserais pour illustrer cette recherches de vulnérabilités, les informations contenues dans cet article, que j’avais rédige pour faire une démonstration d’un scan de Metasploitable.
En commençant par la lecture du rapport final du scan de Metasploitable. J’utiliserait simplement le premier port ouvert découvert par NMAP durant le scan, et je vous laisserais le soin de continuer vos recherches par vous même pour les autres ports.
Voici une copie du rapport final.
Le premier port ouvert est: le port 21/tcp utilisant le service FTP dans sa version VSFTPD 2.3.4
Grâce a ces informations Il est maintenant possible de vérifier la présence d’une vulnérabilité en faisant une recherche manuelle sur le site https://www.exploit-db.com avec comme terme de recherches la version du service: VSFTPD 2.3.4.
Exploit-db nous retournes un résultat. Cliquez dessus pour afficher les détails.
Une vulnérabilité est présente dans la version VSFTPD 2.3.4 et elle est exploitable par l’intermédiaire d’un script, qui après inspection indique:
<<This file is part of the Metasploit Framework and may be subject to
redistribution and commercial restrictions. Please see the Metasploit
Framework web site for more information on licensing and terms of use.
http://metasploit.com/framework/>>
Qui veut dire que ce script fait partie du framework metasploit qu’il sera possible d’utiliser en phase d’exploitation.
Il est aussi indiqué dans le même script que:
<<This module exploits a malicious backdoor that was added to the VSFTPD download
archive. This backdoor was introdcued into the vsftpd-2.3.4.tar.gz archive between
June 30th 2011 and July 1st 2011 according to the most recent information
available. This backdoor was removed on July 3rd 2011.>>
Ce qui veut dire q’un backdoor a été ajouté à la version vsftpd 2.3.4 entre le 30 juin 2011 et le 1er juillet 2011. il aurait été supprimé le 3 juillet 2011.
En continuant la recherches d’information concernant la faille présente dans VSFTPD 2.3.4, il sera judicieux d’utiliser Google avec les termes suivants: vsftpd 2.3.4 vulnérabilité (en n’omettant pas d’activer l’option « recherche en français uniquement »).
Le premier lien qui devrait s’afficher devrais être: https://vigilance.fr/vulnerabilite/vsftpd-backdoor-de-la-version-2-3-4-10805
Une brève lecture de la description de la vulnérabilité retournera des informations très inintéressantes.
Description de la vulnérabilité
Le code source du serveur FTP vsftpd est hébergé sur le site vsftpd.beasts.org. Cependant, entre le 30 juin 2011 et le 3 juillet 2011, un backdoor a été ajouté dans ce code source. Ce backdoor détecte si le nom de login commence par « 🙂 », et ouvre un shell sur le port 6200/tcp. Un attaquant distant peut donc employer ce backdoor, afin d’accéder au système.
La constatation est sans appel. Cette vulnérabilité permettrait donc grâce a quelques simples manipulations d’accéder au système ainsi que de passer en mode root afin de prendre le contrôle total de la machine…
Tentez maintenant de trouver quelles sont les autres services qui sont vulnérables, et n’oubliez pas que plus vous trouverez d’information il vous sera facile d’exploiter les différentes failles. Pour vous aider vous pourrez utiliser différents sites web dont (liste non exhaustive):
https://www.exploit-db.com
https://cve.mitre.org
https://nvd.nist.gov
https://www.rapid7.com/db/search
https://www.cert.ssi.gouv.fr
https://www.cvedetails.com
https://www.google.com/
ATTENTION: utilisez toujours ces informations et ces techniques dans un cadre légal. Toute entrave a cette régle pourait vous étre tres douloureuse. les amendes et les peines de prison étant trés lourdes