Mit Metasploitable 2 hat Rapid7 neues „Futter“ für die Testumgebung geliefert. Dabei handelt es sich um eine virtuelle Maschine auf der Basis von Ubuntu, die viele Schwachstellen enthält. Sie lädt geradezu zum Testen ein. Neben bekannten Java- , Apache- und PHP- Schwachstellen, wird auch der FTP-Server vsftpd mit einer Backdoor gezeigt. Darüber hinaus kann man die installierten Webapplikationen einen Penetrationstest unterziehen.
Eine Auflistung aller Schwachstellen findet man hier. Die virtuelle Maschine lässt sich nach dem Download sehr leicht in die Testumgebung integrieren. Dabei lassen sich sowohl VMWare-Produkte als auch VirtualBox nutzen. Hier findet man ein Video, das die Integration des VMWare-Images in VirtualBox Schritt für Schritt beschreibt.
Ich habe Metasploitable2 mit Nexpose Community gescannt und danach mit der „Hail Mary“-Funktion von Armitage einen schnellen automatisierten Test unterzogen. Das Ergebnis waren insgesamt 6 Sessions.
Vulnerabilityscan mit Nexpose Community.
Schnelltest mit Armitage (Hail Mary).
Hier das Video mit allen Schwachstellen (Nexpose Community) und danach der Test mit Armitage.
[youtube kev23scksCw]