Metasploit用法大全

Metasploit用户接口
msfconsole
Armitage: KaliGUI启动；armitage命令启动

Metasploit功能程序
msfvenom
集成了载荷生成器、载荷编码器、空指令生成器的功能
查看详细指令选项：msfvenom-h

服务器消息块协议扫描
msf>useauxiliary/scanner/smb/smb_version

搜寻配置不当的MicrosoftSQLServer
msf>useauxiliary/scanner/mssql/mssql_ping

SSH服务器扫描
msf>useauxiliary/scanner/ssh/ssh_version

FTP扫描
msf>useauxiliary/scanner/ftp/ftp_version，发现ftp服务器
msf>useauxiliary/scanner/ftp/anonymous，检查是否允许匿名登录

简单网管协议扫描
msf>useauxiliary/scanner/snmp/snmp_login

渗透攻击基础
msf>showexploits
msf>showauxiliary
msf>showoptions
msf>showpayloads
msf>showtargets
info
set和unset
setg和unsetg
save

你的第一次渗透攻击
操作机：KaliLinux
靶机：WindowsXPSP2
Step1：Nmap脚本扫描发现漏洞
Nmap脚本扫描：nmap--script=SCRIPT-NAME(脚本名)
Nmap脚本路径：/usr/share/nmap/scripts/SCRIPT-NAME.nse
Step2：使用msf，根据漏洞选择攻击模块
msf>searchMODULE_KEYWORD（模块名）
关键字通常为：漏洞编号，漏洞软件名称，msf模块名称
Step3：根据信息搜集结果，配置攻击模块，完成攻击
msf>showoptions

攻击Metasploitable主机
操作机：KaliLinux
靶机：Metasploitable2（Ubuntu8.04）
Step1：Nmap扫描发现漏洞 Nmap脚本扫描：nmap–sT–A–P0
Nmap脚本路径：/usr/share/nmap/scripts/SCRIPT-NAME.nse
Step2：使用msf，根据漏洞选择攻击模块
根据服务或软件信息，使用搜索引擎查找相关漏洞信息
msf>searchMODULE_KEYWORD
关键字通常为：漏洞编号，漏洞软件名称，msf模块名称
Step3：根据信息搜集结果，配置攻击模块，完成攻击
msf>showoptions
Metasploitable2有很多漏洞，尝试对多个漏洞进行利用

全端口攻击载荷：暴力猜解目标开放的端口
全端口攻击载荷是为了应对防火墙
当然，我们可以使用Nmap达到同样的目的，这样的载荷是为了提高自动化程度
msf>search allports

攻陷WindowsXP虚拟机
攻击路径：
使用nmap扫描端口
攻击MSSQL
暴力破解MSSQL服务
xp_cmdshell
Meterpreter基本命令
获取键盘记录

挖掘用户名和密码
提取密码哈希值
Windows系统存储哈希值的方式一般为LANManager（LM）、NTLANManager（NTLM），或NTLANManagerv2（NTLMv2）。
使用Meterpreter命令获取密码哈希值
meterpreter>usepriv
meterpreter>runpost/windows/gather/hashdump
彩虹表

传递哈希值
smb/psexec模块
使用密码哈希值进行认证，绕过密码破解

权限提升
利用低权限用户建立反向shell连接，获得Meterpreter会话
利用Meterpreter的priv扩展
meterpreter>usepriv
meterpreter>getsystem
meterpreter>getuid
这样的方法是否奏效，取决于低权限用户具有的权限
MSF会话管理
CTRL-Z
sessions–l
sessions–iSESSION_ID

令牌假冒
令牌假冒是Meterpreter最强大的功能之一，对渗透测试非常有帮助。
示例场景：你正在对某个组织进行渗透测试，成功地入侵了系统并建立了一个Meterpreter的终端，
而域管理员用户在13小时内登录过这台机器。在该用户登入这台机器的时候，
一个Kerberos令牌将会发送到服务器上（进行单点登录）并将在随后的一段时间之内有效。
你可以使用这个活动令牌来入侵系统，通过Meterpreter你可以假冒成域管理员的角色，
而不需要破解他的密码，然后你就可以去攻击域管理员账号，甚至是域控制器。
示例体现了令牌假冒的强大，也描述了使用的前置条件，
如：建立Meterpreter，启用域，受控机器上有域管理员的有效令牌，等

使用PS
盗取令牌的两种方式：1.steal_tokenPID
meterpreter>ps，获取PID
steal_tokenPID，盗取令牌2.incognito模块
有些情况下ps命令不能列出域管理员账号
meterpreter>useincognito
meterpreter>list_tokens–u
meterpreter>impersonate_tokenDOMAIN\\USERNAME

通过跳板攻击其他机器
Meterpreter进行跳板攻击
meterpreter>runget_local_subnets
msf>routeadd
通过添加路由实现跳板，依赖于攻击机与跳板机之间的Meterpreter会话，一旦会话断开，跳板将失效
使用MetasploitPro的VPN跳板
商业版本功能
接入目标内网，扩大了攻击面和可选攻击方式

使用Meterpreter脚本
迁移进程
关闭杀毒软件
获取系统密码哈希值
查看目标机上的所有流量
攫取系统信息
控制持久化

向后渗透攻击模块转变
如果想列举所有的后渗透攻击模块，可以这样输入然后在末尾按TAB键：
meterpreter>runpost/
Displayall199possibilities (yorn

将命令行shell升级为Meterpreter
sessions–u
setg命令将LPORT和LHOST参数设置为Metasploit的全局变量，而不是局限在这一个模块之内。
在使用sessions-u命令升级为Meterpreter的时候是必需的。
exploit–z,CTRL-Z

通过附加的Railgun组件操作WindowsAPI
meterpreter>irb
irbshell允许使用Ruby的语法与Meterpreter直接交互
Railgun能为你提供与Win32本地应用程序一样访问WindowsAPI的能力

msfvenom：载荷生成，载荷编码
msfvenom--help
常用参数：
msfvenom-pPAYLOADNAME--payload-options，查看载荷参数
msfvenom–f，指定载荷输出格式
msfvenom–e，指定载荷编码方式
msfvenom–l MODULENAME，列出指定类型的模块清单

隐秘地启动一个攻击载荷
msfvenom–k，配置攻击载荷在一个独立的线程中启动
这种模式下，当包含载荷的程序被启动，宿主程序也会正常运行，避免被用户察觉
-k选项不一定能用在所有的可执行程序上，在实际攻击前请确保你已经在实验环境中进行了测试

加壳软件
UPX加壳
加密，压缩
与MSF编码器的情况类似，目前，仅使用加壳，免杀效果不明显

基于浏览器的渗透攻击
基于浏览器的渗透攻击原理
HeapSpraying（堆喷/堆喷射）
关于空指令
X86：\x90
空指令滑行区+Payload
内存保护机制日益完善，单一技术手段已经不足以完成漏洞利用，但是仍可以作为漏洞利用的组成部分，其思路也值得借鉴

使用调试器揭秘空指令
目的：搞清楚空指令和汇编指令是如何执行的
OllyDbg动态调试
在Shellcode尾部设置断点
在攻击机开启监听

IE浏览器极光漏洞的利用
msf>usewindows/browser/ms10_002_aurora
载荷执行过程中，目标用户机器会变迟钝，为了防止用户关闭浏览器，导致渗透攻击中断，Meterpreter提供了一些指令
手动迁移进程：meterpreter>run migrate –f
模块高级选项：msf exploit(ms10_002_aurora)>show advanced

文件格式漏洞渗透攻击
MS11-006，在微软Windows系统函数CreateSizedDIBSECTION中存在的一个栈溢出漏洞
msf>use windows/fileformat/ms11_006_createsizeddibsection
确认攻击模块的目标系统版本：
msf exploit(ms11_006_createsizeddibsection)>show targets
此类攻击方式载荷是文档，往往需要与钓鱼攻击结合起来

发送攻击负载
邮件，下载链接
开启多线程监听
如果用户在文件夹中设置了使用缩略图（thumbnails）方式查看文件，当用户打开payload文件所在的文件夹，即可触发攻击

Metasploit辅助模块（auxiliary module）
辅助模块不使用payload，但提供了端口扫描、指纹识别、暴力猜解、Fuzz测试等很多类型的工具
msf>show auxiliary

辅助模块剖析
FoursquareAPI和自定义辅助模块
目的：查看辅助模块的内部结构，这是一个和渗透测试无关的签到工具
查看FousquareAPI文档，了解如何使用API 通过调用Metasploit框架提供的方法，使用FoursquareAPI，完成自定义模块
使用Metasploit框架进行开发能让我们将注意力集中在模块功能细节上，而不是处理大量重复的代码

配置SET工具包
项目地址：https://github.com/trustedsec/social-engineer-toolkit
配置文件：config/core/set_config
修改metasploit目录为实际目录：METASPLOIT_PATH=/usr/share/metasploit-framework
开启邮件钓鱼：WEBATTACK_EMAIL=ON
关闭自动检测：AUTO_DETECT=OFF
开启Apache攻击：APACHE_SERVER=ON

针对性钓鱼攻击向量
Spear-Phishing Attack Vectors
Abobe PDF 的Collab.collectEmailInfo漏洞
设置发件邮箱时需注意，常见邮箱的安全防护措施，如附件检测、第三方邮件客户端认证等

Web攻击向量
JavaApplet
客户端Web攻击
用户名和密码获取
标签页劫持攻击（Tabnabbing）
中间人攻击
网页劫持
综合多重攻击方法

SET的其他特性
SET的交互式shell：该交互式shell可以替换Meterpreter作为一个攻击载荷
RATTE：一个基于HTTP隧道攻击载荷，它依赖于HTTP协议进行通信，并利用了目标主机的代理设置
Web图形界面：一个完整的Web应用攻击程序，能够自动化实施上述讨论的攻击过程
无线攻击向量：在目标主机上创建一个假冒的无线热点

在MSSQL上进行命令执行
突破口：MSSQL弱口令
调用系统管理员权限的扩展存储过程xp_cmdshell，这个存储过程使得你可以在MSSQL服务的运行账户环境（通常是Local System）下执行底层操作系统命令
xp_cmdshell的激活 msf>use auxiliary/admin/mssql/mssql_exec

分析mssql_exec模块
调用Metasploit核心库的MS SQL协议模块：include Msf::Exploit::Remote::MSSQL
激活xp_cmdshell存储过程：mssql_xpcmdshell_enable
调用mssql_xpcmdshell执行操作系统命令

编写一个新的模块
PowerShell
运行Shell渗透攻击
编写Powershell_upload_exec函数
从十六进制转换回二进制程序
计数器
运行渗透攻击模块

Fuzz测试器模块
目标：使服务器端崩溃
使用Ollydbg对服务器端进行调试
根据调试结果对Fuzz字符串长度进行调整

控制结构化异常处理链
查看SEH链内容
查看导致SEH改写的堆栈内容
计算SEH覆盖发生位置：tools/pattern_offset.rb
调整Fuzz长度字符串长度

绕过SEH限制
一段任意的缓冲区填充
NOP空指令滑行区
Shellcode
近跳转
短跳转
POP-POP-RETN

获取返回地址
定位POP-POP-RETN指令序列
使用工具查找：msfpescan –p TARGETAPP.exe
用于调试攻击载荷（发送中断指令）：generic/debug_trap
调整初始缓冲区长度

坏字符和远程代码执行
坏字符：导致shellcode被截断的字符
坏字符取决于攻击目标，最快的方法是从攻击目标相同/相似的渗透代码中找坏字符
http://en.wikibooks.org/wiki/Metasploit/WritingWindowsExploit#Dealing_with_badchars

分析multi_meter_inject脚本
查看命令行选项和配置语法格式
变量和函数定义，命令行选项
host_process.memory.allocate调用
隐藏启动远程进程

Meterpreter API
打印输出
基本API调用
Meterpreter Mixins

编写Meterpreter脚本的规则
只使用临时、本地和常数变量，永远不要使用全局或者类变量，因为他们可能与框架内的变量相互冲突。
使用tab键进行缩进，不要使用空格键。
对程序块来说，不要使用大括号{}，使用do和end语法模式。
当声明函数时，养成在声明前进行注释，提供函数用途简要介绍的习惯。
不要使用sleep函数，使用"select(nil,nil,nil,<time>)"。
不要使用puts等其他标准的输出函数，使用print,print_line、print_status、print_error、和print_good函数。
总是包含-h选项，该选项将对脚本进行简要的功能说明，并列出所有的命令行选项。
如果你的脚本需要在特定操作系统或者Meterpreter平台运行，确保他们只能在所支持的平台上运行，并在不支持的操作系统和平台运行时报错。

创建自己的Meterpreter脚本
自定义Meterpreter脚本：execute_upload
绕过Windows用户账户控制（UAC）防护功能
msf>use exploit/windows/local/bypassuac
对已经建立的、受UAC限制的Meterpreter会话使用，建立绕过UAC限制的会话，达到提权的目的

**********************************************************************************************
*****一次模拟的渗透测试过程*****
**********************************************************************************************

*****前期交互目标信息
Windows XP
网络环境：互联网+内网
开放端口：80
Metasploitable Linux
网络环境：内网
在内网开发大量端口
目标：
控制内网中的Metasploitable主机

*****情报搜集
Nmap扫描：nmap–sT–P0
发现80端口的http服务
确认为Web服务器

*****威胁建模
手动测试/工具测试
手动测试是否存在SQL注入漏洞
确定攻击路径

*****渗透攻击
根据攻击建模结果选择方式或工具
Sqlmap利用MSSQL注入漏洞
获取注入点，用于MSF终端中的渗透攻击

*****MSF终端中的渗透攻击过程
msf>use exploit/windows/mssql/mssql_payload_sqli
完成Meterpreter Shell植入

*****后渗透攻击
扫描Metasploitable靶机
在跳板机上使用nmap扫描内网
识别存有漏洞的服务
根据端口扫描结果，使用msf辅助模块中针对特定服务的扫描器

*****攻击Postgresql数据库服务
根据扫描结果，确认存在Postresql服务及端口号
搜索msf中与Postgresql相关的模块
选择合适的模块进行渗透攻击，这一过程需要尝试，并不是每一个查找到的模块都能成功利用
弱口令字典：
Wordlists

*****攻击一个偏门的服务
根据扫描结果，目标提供IRC服务
遇到不熟悉的应用或服务，在攻击前需要更多的时间进行深入研究
通过MSF的攻击模块查找、exploit-db、搜索引擎等对目标服务的进行研究，查找可能存在的漏洞信息

*****隐藏你的踪迹
修改时间戳：meterpreter>timestomp
修改事件日志：meterpreter>runevent_manager
流行的取证分析工具：Encase
记录下攻击过程对目标系统进行了哪些修改，可以更容易地隐藏踪迹