Post-Exploitation-Module

Eine Session zu erlangen, ist erst der Anfang. Post-Exploitation umfasst alles, was Sie danach tun, um die Auswirkungen zu demonstrieren: Beweismittel sammeln, Rechte ausweiten und tiefer in das Netzwerk vordringen.

Die post-Module von Metasploit automatisieren diese Aufgaben für eine bestehende Session – stets innerhalb des autorisierten Umfangs des Einsatzes.

Post-Module arbeiten mit einer bereits vorhandenen Session. Sie laden ein Modul, weisen es der Session zu und führen es aus. Die Pfadstruktur gibt Aufschluss über Plattform und Zweck.

Verschaffen Sie sich zunächst ein genaues Bild vom Host. Module zum Sammeln von Informationen erfassen:

• Angemeldete Benutzer und lokale Konten.
• Installierte Software und Patchstand.
• Netzwerkkonfiguration und Routen.
• Vorhandene Antiviren- und Sicherheitsprodukte.

Diese Informationen bestimmen Ihre nächsten Schritte und fließen in den Kundenbericht ein.

Loot sind wertvolle Daten: Passwort-Hashes, zwischengespeicherte Zugangsdaten, im Browser gespeicherte Passwörter, SSH-Schlüssel und Konfigurationsdateien.

Wiederhergestellte Zugangsdaten sind besonders wertvoll, weil sie häufig den Zugriff auf weitere Systeme ermöglichen. Metasploit speichert sie zur Wiederverwendung und für die Berichterstellung in seiner Datenbank.

Persistenz bedeutet, den Zugriff über Neustarts hinweg aufrechtzuerhalten. Bei Red-Team-Einsätzen zeigt dies reale Risiken auf, muss jedoch ausdrücklich autorisiert und anschließend sorgfältig entfernt werden.

Dokumentieren Sie stets jeden installierten Persistenzmechanismus, damit der Kunde dessen Entfernung überprüfen kann. Nicht autorisierte Persistenz ist sowohl unethisch als auch illegal.

Pivoting verwendet einen kompromittierten Host als Sprungbrett, um Netzwerke zu erreichen, auf die Sie nicht direkt zugreifen können. Der erste Host hat häufig Zugriff auf ein internes Subnetz, das für Sie verborgen ist.

Indem Sie den Datenverkehr über diesen Host leiten, erweitern Sie Ihren Zugriff tiefer in die Umgebung – ähnlich wie sich echte Angreifer seitlich fortbewegen.

Das Post-Modul autoroute (oder der route-Befehl) weist Metasploit an, Datenverkehr für ein internes Subnetz über Ihre bestehende Session zu senden.

Nach dem Hinzufügen einer Route können andere Metasploit-Module Hosts in diesem verborgenen Netzwerk scannen und angreifen, als wären Sie lokal verbunden.

Um über den Pivot externe Tools zu verwenden, richten Sie eine Weiterleitung ein:

• portfwd: leitet einen einzelnen Remote-Port an Ihren lokalen Computer weiter.
• Das Hilfsmodul socks_proxy: stellt den gesamten Pivot als SOCKS-Proxy bereit, den Sie mit proxychains verwenden können.

Mit gesammelten Zugangsdaten und einer Pivot-Route bewegen Sie sich seitlich zu anderen internen Hosts. Zu den Techniken gehören die Wiederverwendung von Passwort-Hashes (Pass-the-Hash) und die Authentifizierung bei zusätzlichen Diensten.

Jeder neue Host kann weitere Zugangsdaten liefern und so eine Kette bilden, die zeigt, wie weit ein Angreifer vordringen könnte. Dokumentieren Sie den vollständigen Pfad im Bericht.

Professionelle Einsätze enden mit der Bereinigung: Entfernen Sie hochgeladene Dateien, Persistenzmechanismen und hinzugefügte Routen und stellen Sie anschließend die ursprüngliche Umgebung wieder her.

Ihr abschließendes Ergebnis ist ein verständlicher Bericht, der jeden ersten Zugriff, jede Rechteausweitung, jedes Pivoting und jede gesammelte Zugangsinformation einem Geschäftsrisiko und einer Empfehlung zur Behebung zuordnet. Ziel ist es, dem Kunden bei der Verbesserung zu helfen, nicht lediglich einzubrechen.

Bei umfangreichen Einsätzen entstehen viele Sessions. Behalten Sie den Überblick:

• sessions -l listet alle aktiven Sessions auf.
• sessions -i N stellt eine Verbindung zu einer Session her.
• sessions -u N aktualisiert eine einfache Shell zu Meterpreter.
• sessions -K beendet während der Bereinigung alle Sessions.

Das Benennen und Nachverfolgen von Sessions verhindert, dass ein komplexes Pivoting im Chaos endet.

Identifizieren Sie die beschriebene Technik.

Sie haben die Post-Exploitation abgeschlossen:

• Post-Module werden gegen eine bestehende Session ausgeführt, um Informationen zu sammeln, Beute zu sichern und Aktionen durchzuführen.
• Loot (Hashes, Schlüssel, Konfigurationen) ermöglicht häufig den Zugriff auf weitere Systeme.
• Persistenz nur mit ausdrücklicher Genehmigung und dokumentierter Bereinigung.
• Pivoting über autoroute sowie portfwd/SOCKS ermöglicht seitliche Bewegungen in verborgene Netzwerke.
• Schließen Sie den Einsatz mit einer gründlichen Bereinigung und Berichterstellung ab.

Damit ist Metasploit Framework Mastery abgeschlossen. Nächstes Modul: Nmap Deep Dive.