Esta puerto está asociado a CCProxy-FTP, es un puerto de red alternativo utilizado para transferir archivos a través del protocolo FTP, Mientras que el FTP tradicional usa por defecto el puerto 21, la herramienta de software CCProxy utiliza el puerto 2121 de manera predeterminada para habilitar el servicio de proxy y transferencia de archivos.

El servicio Proxy permite a los usuarios de red local conectarse a través de CCProxy para acceder a servidores FTP de forma gestionada.

Reconocimiento.

Dado a que es un servidor FTP, por definición utiliza el protocolo TPC y se comunica inicialmente en Texto Plano. Esto significa que podemos usar nuestra herramienta Netcat para interrogar al puerto y que ser que esconde detrás de él.

Dado a que tenemos las credenciales msfadmin, podemos establecer conexión con el servidor. Desde aquí, como tenemos una conexión, podríamos subir archivos a la máquina víctima para ejecutar algún script malicioso con una reverse shell o que nos permita tener mayor control desde nuestra máquina atacante.

Hardening

Para eliminar este vector de ataque secundario, debemos identificar qué proceso está levantando el puerto 2121 para apagarlo de raíz. Este segundo servidor ProFTPD se está ejecutando como un daemon independiente (en modo standalone) o está amarrado directamente a la configuración global de ProFTPD.

Vamos a detener el servicio, y romper el arranque automático para que no se levante cada vez que encienda el servidor.

netstat -lnpt | grep 2121

/etc/init.d/proftpd stop

update-rc.d -f proftpd remove

Este último comando nos ayuda a eliminar el servicio del arranque automático del sistema.