立ち話

興味があることを書いてます。正確な内容は公式ドキュメントや参考文献を確認してください。

Metasploitable2をKVMに導入する

1. はじめに

Nessus を用いる際に、脆弱性のある仮想マシンとして Metasploitable も導入したいと思ったので、ここではKVMにMetasploitable2をインストールする方法についてまとめる。

1.1 Metasploitable

Metasploitable は、意図的に脆弱に作られたLinuxマシンである1。 Metasploitableの仮想マシンはセキュリティのトレーニング、セキュリティテストのツール、ペネトレーションテストの練習に役立つ。信頼できないネットワークに対しては公開してはならない。

2. ダウンロードと導入

2.1 ダウンロードと導入のための準備

Sourceforge から最新版をダウンロードする2。 ダウンロードしたzipを解凍すると、以下のような構成になっていると思う。

tcbn@tcbn-N14xZU:~/Downloads/Metasploitable2-Linux$ ls
Metasploitable.nvram  Metasploitable.vmsd  Metasploitable.vmxf
Metasploitable.vmdk   Metasploitable.vmx

KVMでは vmdk 形式のファイル (VMWareのイメージ) も扱うことができるが、KVMのスナップショット機能を利用するためには qcow2 形式である必要があるため、qemu-img convert コマンドで vmdk イメージを qcow2 イメージに変換する。今回実行するコマンドは、

qemu-img convert -f vmdk -O qcow2 Metasploitable.vmdk Metasploitable.qcow2

のようになる。これで qcow2 形式のイメージが得られるので、コピー (バックアップ) をしてから使用すると良いだろう。

cp Metasploitable.qcow2 Metasploitable_cp.qcow2

また、信頼できないネットワークに公開しないために、Isolated Network のサブネットを新しく作っておき、このネットワークのみに接続することにする。サブネットの作成については、以前の記事に簡単に書いている3

2.2 導入

ここまで準備した上で、KVMにMetasploitableを導入する。導入方法については海外の方の記事で参考になるものがあった4。 Virtual Machine Manager を開き、"Create a new virtual machine" で、"Import existing disk image" を選択し、次に進む。

Create a new virtual machine

Browse の Browse Local から、作ったqcow2を選択する。

Browse Local

パスが入ったのを確認し、インストールするOSを "Generic default" として次に進む (パスを探索する権限がないといった警告が出るが、次に進んで問題ないと思う)。

Choose the OS

メモリやCPUの設定をして次に進む。

Choose Memory and CPU settings

仮想マシンの名前、ネットワークの選択をする。Network selection で、作成した Isolated network を選択することに注意する。念のため、"Customize configuration before install" にチェックを入れてから Finish する。

Ready to begin the installation

Configuration のネットワークの設定で、Isolated network になっているかを再確認して (念のため)、左上の Begin Installation をクリックする。

Configuration

少し待つと、ログイン画面が出てくる。

Login

ユーザ名とパスワードが表示されているので、この通りにログインする。IPアドレスを確かめると、Isolated Network に接続されていることがわかる。

Login and check IP address

IPアドレスを固定して使用することにする。