Payloads und Meterpreter

Ein Payload ist der Code, der nach einem erfolgreichen Exploit auf dem Ziel ausgeführt wird. Er legt fest, was Sie anschließend tun können – vom Ausführen eines einzelnen Befehls bis zum Öffnen einer vollständig interaktiven Shell.

Die Wahl des richtigen Payloads hängt vom Betriebssystem des Ziels, der Netzwerkkonfiguration und dem benötigten Zugriffsumfang ab.

Payloads werden auf zwei Arten übertragen:

• Staged (achten Sie auf das / in meterpreter/reverse_tcp): Zuerst wird ein kleiner Stub gesendet, der anschließend den vollständigen Payload herunterlädt. Dadurch ist die anfängliche Dateigröße kleiner.
• Stageless (achten Sie auf das _ in meterpreter_reverse_tcp): Der vollständige Payload wird auf einmal übertragen. Das ist bei instabilen Netzwerken zuverlässiger.

Es gibt zwei Verbindungsrichtungen:

• Bind-Shell: Das Ziel öffnet einen Port und wartet; Sie verbinden sich mit diesem Port. Firewalls blockieren dies häufig.
• Reverse-Shell: Das Ziel verbindet sich zurück zu Ihnen (LHOST/LPORT). Dies passiert normalerweise auch bei Firewalls, die ausgehende Verbindungen zulassen.

Aus diesem Grund sind Reverse-Payloads meist die Standardeinstellung.

Meterpreter ist der erweiterte Payload von Metasploit. Anders als eine einfache Befehls-Shell läuft er im Arbeitsspeicher, kommuniziert über einen verschlüsselten Kanal und bietet einen umfangreichen Befehlssatz für die Post-Exploitation.

Da er keine Dateien auf die Festplatte schreibt, ist er unauffälliger, als wenn eine separate ausführbare Datei abgelegt wird.

Sobald Sie eine Meterpreter-Session haben, helfen grundlegende Befehle dabei, sich auf dem Zielsystem zu orientieren.

Mit einfachen Befehlen überträgt Meterpreter Dateien zwischen Ihrem Computer und dem Ziel. Das ist nützlich, um Beweismittel zu sammeln oder bei autorisierten Tests Tools bereitzustellen.

Der Befehl shell wechselt von Meterpreter zum systemeigenen Befehlsinterpreter des Ziels (cmd.exe oder /bin/sh), wenn Sie direkt Befehle auf Betriebssystemebene benötigen.

Geben Sie exit ein, um zur Meterpreter-Eingabeaufforderung zurückzukehren, ohne die Session zu verlieren.

Oft erhalten Sie zunächst nur eingeschränkte Berechtigungen. Meterpreter unterstützt Sie bei der Rechteausweitung:

• getsystem versucht bekannte Techniken, um unter Windows SYSTEM-Rechte zu erlangen.
• Das Post-Modul local_exploit_suggester empfiehlt Exploits zur lokalen Rechteausweitung für den Host.

Höhere Berechtigungen ermöglichen das Auslesen von Zugangsdaten und einen umfassenderen Zugriff.

Ihre Session läuft innerhalb eines Prozesses. Wenn dieser Prozess instabil ist oder wahrscheinlich beendet wird, migrieren Sie mit migrate in einen stabileren, langfristig laufenden Prozess, damit Ihre Session bestehen bleibt.

Die Migration in einen Prozess mit derselben Berechtigungsstufe hilft außerdem dabei, sich unauffällig einzufügen, und kann Ihren Benutzerkontext ändern.

Meterpreter bietet Funktionen zum Erfassen nützlicher Daten während autorisierter Prüfungen, etwa hashdump zum Sammeln von Passwort-Hashes und Keyscan-Tools, um die Auswirkungen der Eingabeerfassung zu demonstrieren.

Verwenden Sie solche Funktionen nur innerhalb des vereinbarten Umfangs und dokumentieren Sie alles für den Kundenbericht.

Ein Reverse-Payload benötigt auf Ihrer Seite einen lauschenden Dienst, der die Verbindung entgegennimmt. Das Modul multi/handler übernimmt diese Aufgabe. Konfigurieren Sie es mit demselben Payload sowie LHOST und LPORT, die zum Erzeugen des Payloads verwendet wurden.

Das ist unverzichtbar, wenn Sie einen msfvenom-Payload außerhalb der Konsole bereitstellen: Starten Sie zuerst den Handler und lösen Sie anschließend den Payload auf dem Ziel aus.

Wählen Sie den Payload aus, der eine restriktive Firewall umgehen kann.

Sie haben Payloads und Meterpreter kennengelernt:

• Payloads können staged (/) oder stageless (_) sowie bind oder reverse sein; Reverse-Payloads umgehen Firewalls meist besser.
• Meterpreter läuft über einen verschlüsselten Kanal im Arbeitsspeicher und bietet umfangreiche Befehle.
• Zentrale Aufgaben: sysinfo, getuid, ps, download/upload, shell.
• Erweitern Sie die Rechte mit getsystem und local_exploit_suggester; verwenden Sie migrate für mehr Stabilität.
• Verwenden Sie Funktionen zum Sammeln von Daten nur innerhalb des vereinbarten Umfangs und dokumentieren Sie alles.

Als Nächstes: Post-Exploitation-Module, Pivoting und das Sammeln von Beweismitteln.