OFENZIVNA SIGURNOST 2021./2022.

Prva laboratorijska vježba: Metasploit okvir

UVOD

Metasploit okvir (eng. framework) je skup modularnih alata za penetracijsko testiranje i

razvoj metoda iskorištavanja (eng. exploit). Dio je Kali linux OS-a otvorenog koda (uz preko
600 ostalih programa) koji se koristi u digitalnoj forenzici, testiranju probojnosti, istraživanju
sigurnosti i reverznom inženjerstvu. Najbitniji moduli unutar Metasploit-a su sadržaj (eng.
payload) i exploit. Exploit iskorištava ranjivost sustava kako bi ugradio payload koji na razne
načine (reverse shell, keyloggers, trojans) daje pristup sustavu. Metasploit kao kolekcija
payload-a i exploit-a omogućava korištenje različitih kombinacija jednih i drugih za postizanje
željenog cilja.

U sklopu ove laboratorijske vježbe potrebno je izgraditi okruženje za testiranje s virtualnim

strojevima Kali Linux i Metasploitable 2, upoznati se s naredbama i značajkama Metasploit
framework-a te izvršiti nekoliko napada na Metasploitable 2 virtualni stroj.

ZADATCI

1. Koristeći upute postavite okruženje za testiranje.

2. Skenirajte otvorene portove Metasploitable 2 virtualnog stroja. (pogledajte:
https://nmap.org/)
3. Napravite exploit pristupa (engl. port) 21 na kojem se nalazi FTP koristeći Metasploit
framework (pogledajte: vsftpd modul). Provjerite jeste li dobili root pristup na
Metasploitable virtualnom stroju.
4. Napravite exploit port-a 22 na kojem se nalazi SSH (pogledajte: ssh_login modul). Za
listu najčešćih korisničkih imena i lozinki pogledajte:
https://github.com/jeanphorn/wordlist. Spojite se sa ssh na Metasploitable virtualni
stroj. Na koji način bi napravili eskalaciju ovlasti?
5. Napravite exploit port-a po izboru koji će rezultirati dobivanjem root pristupa na
virtualnom stroju.

PREDAJA

Potrebno je predati kratki izvještaj koji sadrži:

● postupak rješavanja zadataka s korištenim naredbama

● slike zaslona s uspješno izvedenim exploit-ima te eskaliranim ovlastima

Rok za predaju vježbe je 8.12.2021. u 23:59. Za ispunjavanje minimuma i prolaz predmeta

potrebno je poslati ispravno rješenje laboratorijske vježbe do navedenog roka.

1
U slučaju problema ili nedoumica prilikom izrade vježbe molimo da pravovremeno
kontaktirate nastavno osoblje putem mailing liste predmeta ofesig@zemris.fer.hr (isključivo
koristeći fer.hr adresu) ili putem platforme MS Teams.

Važno: Dozvoljeno je i poželjno diskutiranje mogućih pristupa rješavanju vježbe između

studenata. Međutim, samu laboratorijsku vježbu studenti moraju raditi samostalno. Nastavno
osoblje će provesti provjere sličnosti predanih rješenja, a ponašanje koje nije u skladu s
Kodeksom ponašanja studenata FER-a ćemo prijaviti Povjerenstvu za stegovnu
odgovornost studenata te odrediti dodatne sankcije u sklopu predmeta.