Metasploit-Architektur

Metasploit ist das am weitesten verbreitete Exploitation-Framework. Es bietet eine strukturierte Bibliothek aus Exploits, Payloads und Tools, um Schwachstellen in autorisierten Einsätzen zu testen und zu demonstrieren.

Statt jeden Angriff von Grund auf selbst zu schreiben, laden Sie bewährte Module, konfigurieren sie und führen sie über eine einheitliche Benutzeroberfläche aus.

Die wichtigste Benutzeroberfläche ist msfconsole, eine interaktive Kommandozeilen-Shell. Sie bietet Tab-Vervollständigung, eine Befehlshistorie und Zugriff auf jedes Modul.

Sie starten sie in einem Terminal und arbeiten anschließend vollständig innerhalb ihrer Eingabeaufforderung.

Metasploit organisiert seine Funktionen in Modultypen:

• exploit: Code, der eine Schwachstelle ausnutzt.
• payload: Code, der nach der erfolgreichen Ausnutzung auf dem Ziel ausgeführt wird.
• auxiliary: Scanner, Fuzzer und Tools, die keinen Payload ausliefern.
• post: Aktionen nach der Kompromittierung eines Hosts.
• encoder und nop: Unterstützen Payloads dabei, einer Erkennung zu entgehen.

Module verwenden einen hierarchischen Pfad, der genau angibt, was sie tun. Anhand des Pfads erkennen Sie Typ, Plattform und Zieldienst.

Eine wichtige Unterscheidung:

• Der Exploit ist der Weg hinein; er bringt die verwundbare Software aus dem Gleichgewicht.
• Der Payload legt fest, was geschehen soll, sobald Sie Zugriff haben, beispielsweise das Öffnen einer Shell.

Sie kombinieren beide: Ein Exploit kann abhängig von Ihrem Ziel und dem Zielsystem viele verschiedene Payloads ausliefern.

Die Arbeit mit jedem Modul folgt einem wiederholbaren Ablauf:

• Mit search nach einem Modul suchen.
• Mit use das Modul laden.
• Optionen wie RHOSTS und LHOST festlegen.
• Mit run oder exploit ausführen.

Diese Einheitlichkeit ermöglicht es dem Framework, mit Tausenden von Modulen zu arbeiten.

Die Moduleinstellungen befinden sich im Datastore. Jede Option kann erforderlich oder optional sein.

• RHOSTS: Adresse(n) des entfernten Ziels.
• RPORT: entfernter Port.
• LHOST: Ihre Listening-Adresse für Reverse-Verbindungen.
• LPORT: Ihr Listening-Port.

Verwenden Sie show options, um vor der Ausführung zu sehen, was ein Modul benötigt.

Metasploit lässt sich in eine PostgreSQL-Datenbank integrieren, um während eines Einsatzes entdeckte Hosts, Dienste, Beute und Zugangsdaten zu speichern. So können Sie einen großen Umfang effizient nachverfolgen.

Starten Sie die Datenbank, bevor Sie die Konsole öffnen, damit Ergebnisse automatisch aufgezeichnet werden.

Auxiliary-Module erledigen nützliche Aufgaben, ohne Systeme auszunutzen: Port-Scanning, Dienstaufzählung, Brute-Force-Anmeldeversuche und Fuzzing.

Sie sind häufig der erste Schritt, da sie die Informationen sammeln, die Sie vor der Auswahl eines Exploits benötigen.

msfvenom ist ein Begleittool zum Erzeugen eigenständiger Payloads als Dateien: ausführbare Dateien, Skripte oder Shellcode, die Sie außerhalb der Konsole bereitstellen.

Es kombiniert die Payload-Erzeugung und das Encoding in einem Befehl und eignet sich für Phishing-Simulationen oder die individuelle Bereitstellung in autorisierten Tests.

Bei mehreren Einsätzen halten Metasploit-Arbeitsbereiche die Hosts, Dienste und Beute jedes Kunden in der Datenbank getrennt. Sie wechseln zwischen ihnen, damit keine Daten zwischen Bewertungen übertragen werden.

Testen Sie Ihr Verständnis der Modultypen.

Sie haben die Architektur von Metasploit kennengelernt:

• msfconsole ist die Hauptschnittstelle; msfvenom erstellt eigenständige Payloads.
• Modultypen: exploit, payload, auxiliary, post, encoder/nop.
• Modulpfade codieren Typ, Plattform und Dienst.
• Workflow: search, use, set options, run; Einstellungen befinden sich im Datastore.
• Die PostgreSQL-Datenbank erfasst Hosts, Dienste und Beute.

Als Nächstes geht es darum, Exploits effektiv zu suchen und einzusetzen.