23 - Pentesting Telnet

Tip

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE) Azure 해킹 배우기 및 연습하기: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks 지원하기

• 구독 계획 확인하기!
• **💬 디스코드 그룹 또는 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.
• HackTricks 및 HackTricks Cloud 깃허브 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.

기본 정보

Telnet은 네트워크를 통해 사용자가 컴퓨터에 접근할 수 있도록 해주는 안전하지 않은 네트워크 프로토콜입니다.

기본 포트: 23

23/tcp open  telnet

Enumeration

Banner Grabbing

nc -vn <IP> 23

모든 흥미로운 enumeration은 nmap으로 수행할 수 있습니다:

nmap -n -sV -Pn --script "*telnet* and safe" -p 23 <IP>

The script telnet-ntlm-info.nse will obtain NTLM info (Windows versions).

From the telnet RFC: In the TELNET Protocol are various “옵션” that will be sanctioned and may be used with the “DO, DON’T, WILL, WON’T” structure to allow a user and server to agree to use a more elaborate (or perhaps just different) set of conventions for their TELNET connection. Such options could include changing the character set, the echo mode, etc.

이 옵션들을 열거할 수 있다는 것은 알고 있으나 방법을 모르겠습니다. 방법을 아시면 알려주세요.

Telnet 옵션 / 기능 열거

Telnet uses IAC + DO/DONT/WILL/WONT negotiations to enable options. You can observe supported options by capturing the initial negotiation and by probing for specific features.

Nmap 옵션/기능 프로브

# Detect support for the Telnet ENCRYPT option
nmap -p 23 --script telnet-encryption <IP>

# Enumerate Microsoft Telnet NTLM info (NetBIOS/DNS/OS build)
nmap -p 23 --script telnet-ntlm-info <IP>

# Brute-force via NSE (alternative to Hydra/Medusa)
nmap -p 23 --script telnet-brute --script-args userdb=users.txt,passdb=pass.txt <IP>

telnet-encryption 스크립트는 ENCRYPT 옵션을 지원하는지 확인합니다; 일부 구현체는 과거에 이 옵션을 잘못 처리해 취약했으나, 이 스크립트는 지원 여부만 확인합니다. telnet-ntlm-info는 Microsoft Telnet NTLM이 활성화된 경우 NTLM 메타데이터(NetBIOS/DNS/OS build)를 노출합니다. telnet-brute는 Telnet을 위한 NSE brute-force 감사기입니다.

Brute force

설정 파일

/etc/inetd.conf
/etc/xinetd.d/telnet
/etc/xinetd.d/stelnet

HackTricks 자동 명령어

Protocol_Name: Telnet    #Protocol Abbreviation if there is one.
Port_Number:  23     #Comma separated if there is more than one.
Protocol_Description: Telnet          #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for t=Telnet
Note: |
wireshark to hear creds being passed
tcp.port == 23 and ip.addr != myip

https://book.hacktricks.wiki/en/network-services-pentesting/pentesting-telnet.html

Entry_2:
Name: Banner Grab
Description: Grab Telnet Banner
Command: nc -vn {IP} 23

Entry_3:
Name: Nmap with scripts
Description: Run nmap scripts for telnet
Command: nmap -n -sV -Pn --script "*telnet*" -p 23 {IP}

Entry_4:
Name: consoleless mfs enumeration
Description: Telnet enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/telnet/telnet_version; set RHOSTS {IP}; set RPORT 23; run; exit' && msfconsole -q -x 'use auxiliary/scanner/telnet/brocade_enable_login; set RHOSTS {IP}; set RPORT 23; run; exit' && msfconsole -q -x 'use auxiliary/scanner/telnet/telnet_encrypt_overflow; set RHOSTS {IP}; set RPORT 23; run; exit' && msfconsole -q -x 'use auxiliary/scanner/telnet/telnet_ruggedcom; set RHOSTS {IP}; set RPORT 23; run; exit'

Recent Vulnerabilities (2022-2026)

• CVE-2024-45698 – D-Link Wi-Fi 6 routers (DIR-X4860): telnet 서비스의 입력 검증 부재로 원격 공격자가 하드코딩된 자격증명을 사용해 로그인하고 OS 명령을 주입할 수 있음; 펌웨어 1.04B05 이상으로 수정됨.
• CVE-2023-40478 – NETGEAR RAX30: Telnet CLI passwd 명령의 스택 기반 버퍼 오버플로우로 네트워크 인접 환경에서 root로서의 code execution이 가능해짐; 인증이 필요하지만 우회될 수 있음.
• CVE-2022-39028 – GNU inetutils telnetd: 두 바이트 시퀀스 (0xff 0xf7 / 0xff 0xf8)가 telnetd에서 NULL-pointer dereference를 유발할 수 있으며, 반복적인 크래시는 inetd가 서비스를 비활성화하게 만들어 DoS를 초래할 수 있음.

취약점 분류(vulnerability triage) 시 이러한 CVE들을 염두에 두어라 — 대상이 패치되지 않은 펌웨어나 레거시 inetutils Telnet daemon을 실행 중이라면 비교적 직선적인 code-execution 경로 또는 파괴적인 DoS로 이어질 수 있다.

CVE-2026-24061 — GNU Inetutils telnetd auth bypass (Critical)

Summary: telnetd in GNU Inetutils through 2.7 allows remote authentication bypass via a USER environment variable value of -f root, resulting in unauthenticated root access.
Root cause: argument injection (CWE-88) because telnetd forwards the client-supplied USER environment variable to login without sanitization.
Scope: GNU Inetutils telnetd versions 1.9.3–2.7 are affected (published January 21, 2026).

Mitigations

• Patch/upgrade affected packages immediately (e.g., Debian fixes are in 2:2.4-2+deb12u2, 2:2.6-3+deb13u1, and 2:2.7-2).
• Disable Telnet or restrict access to trusted management networks while patching.

Sniffing Credentials & Man-in-the-Middle

Telnet은 모든 것을, credentials를 포함해, clear-text로 전송합니다. 이들을 캡처하는 두 가지 빠른 방법:

# Live capture with tcpdump (print ASCII)
sudo tcpdump -i eth0 -A 'tcp port 23 and not src host $(hostname -I | cut -d" " -f1)'

# Wireshark display filter
tcp.port == 23 && (telnet.data || telnet.option)

능동적 MITM의 경우 ARP spoofing(예: arpspoof/ettercap)과 동일한 sniffing filters를 결합해 스위치 기반 네트워크에서 passwords를 수집하세요.

Automated Brute-force / Password Spraying

# Hydra (stop at first valid login)
hydra -L users.txt -P rockyou.txt -t 4 -f telnet://<IP>

# Ncrack (drop to interactive session on success)
ncrack -p 23 --user admin -P common-pass.txt --connection-limit 4 <IP>

# Medusa (parallel hosts)
medusa -M telnet -h targets.txt -U users.txt -P passwords.txt -t 6 -f

Most IoT botnets (Mirai variants) still scan port 23 with small default-credential dictionaries—mirroring that logic can quickly identify weak devices.

Exploitation & Post-Exploitation

Metasploit에는 몇 가지 유용한 모듈이 있습니다:

• auxiliary/scanner/telnet/telnet_version – 배너 및 옵션 열거.
• auxiliary/scanner/telnet/brute_telnet – 멀티스레드 브루트포스.
• auxiliary/scanner/telnet/telnet_encrypt_overflow – 취약한 Solaris 9/10 Telnet에 대한 RCE (ENCRYPT 옵션 처리 관련).
• exploit/linux/mips/netgear_telnetenable – 많은 NETGEAR 라우터에서 조작된 패킷으로 telnet 서비스를 활성화합니다.

쉘을 얻은 후에는 TTYs are usually dumb을 기억하세요; python -c 'import pty;pty.spawn("/bin/bash")'로 업그레이드하거나 HackTricks TTY tricks를 사용하세요.

Hardening & Detection (Blue team corner)

1. SSH를 우선 사용하고 Telnet 서비스를 완전히 비활성화하세요.
2. Telnet이 필요한 경우 관리 VLAN에만 바인딩하고, ACL을 적용하며 데몬을 TCP wrappers(/etc/hosts.allow)로 감싸세요.
3. 레거시 telnetd 구현을 ssl-telnet 또는 telnetd-ssl로 교체하여 전송 암호화를 추가하세요. 그러나 이것은 전송 중 데이터만 보호할 뿐—비밀번호 추측은 여전히 쉽게 성공합니다.
4. 포트 23으로의 아웃바운드 트래픽을 모니터링하세요; 침해된 장치는 엄격한 HTTP 이그레스 필터를 우회하기 위해 종종 Telnet을 통한 리버스 셸을 생성합니다.

References

• D-Link Advisory – CVE-2024-45698 Critical Telnet RCE.
• NVD – CVE-2022-39028 inetutils telnetd DoS.
• NVD – CVE-2026-24061.
• Canadian Centre for Cyber Security Alert AL26-002 (CVE-2026-24061).
• Debian Security Tracker – CVE-2026-24061 fixed versions.

Tip

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE) Azure 해킹 배우기 및 연습하기: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks 지원하기

• 구독 계획 확인하기!
• **💬 디스코드 그룹 또는 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.
• HackTricks 및 HackTricks Cloud 깃허브 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.