Payloads: con etapas y sin etapas, Meterpreter

Un payload es el código que se ejecuta en el objetivo después de que un exploit se ejecuta correctamente. Define lo que obtiene el atacante: una shell, ejecución de comandos, acceso a archivos o un agente completo como Meterpreter.

Los payloads Stageless (/) contienen todo en un único binario: son más grandes, pero más sencillos, y no necesitan una conexión de red posterior a la entrega inicial. Los payloads Staged (//) envían primero un stager pequeño que descarga la segunda etapa desde el handler.

Utilice stageless cuando el objetivo no tenga acceso a Internet o al handler después del exploit inicial: el payload debe ser autónomo. Utilice staged cuando desee un payload inicial más pequeño y disponga de una conexión fiable con el handler.

Meterpreter es el payload avanzado de Metasploit: se ejecuta completamente en memoria, utiliza comunicaciones cifradas y proporciona una API completa con acceso al sistema de archivos, migración de procesos, registro de pulsaciones de teclas, captura de pantalla y pivotaje.

Comandos esenciales de Meterpreter para la pos-explotación: información del sistema, lista de procesos, operaciones con archivos y funciones de red.

Migre el proceso de Meterpreter a un proceso más estable o menos sospechoso, como explorer.exe en Windows. Esto también puede elevar los privilegios si se realiza la migración a un proceso con más privilegios.

msfvenom genera archivos de payload independientes (EXE, ELF, APK y shellcode) para su entrega mediante phishing, dispositivos USB abandonados o web shells en pruebas autorizadas.

El módulo auxiliar multi/handler captura conexiones de reverse shell. Configúrelo con el mismo payload, LHOST y LPORT que utilizó en msfvenom antes de entregar el payload.

Los encoders de msfvenom pueden ofuscar los payloads para evadir la detección básica de los antivirus basada en firmas. Nota: los EDR modernos utilizan detección basada en el comportamiento; los encoders por sí solos no son suficientes contra defensas avanzadas.

Los payloads reverse se conectan desde el objetivo al atacante, lo que resulta más adecuado para NAT y firewalls. Los payloads bind escuchan en el objetivo y el atacante se conecta a ellos. En la mayoría de los escenarios se prefiere reverse.

Los defensores detectan Meterpreter mediante firmas de red (patrones de tráfico de C2), análisis de memoria (artefactos de inyección reflectiva de DLL) y análisis de comportamiento (process hollowing y relaciones inusuales entre procesos padre e hijo).

¿Qué diferencia a un payload staged de uno stageless en Metasploit?

Elija payloads staged para obtener una huella inicial pequeña y stageless para una entrega autónoma. Meterpreter es el payload más capaz para la pos-explotación: se ejecuta en memoria, utiliza cifrado y es extensible. Utilice msfvenom para generar binarios independientes y configure siempre multi/handler para capturar las conexiones de retorno.