Payloads y Meterpreter

Un payload es el código que se ejecuta en el objetivo después de que un exploit tiene éxito. Define lo que puede hacer a continuación, desde ejecutar un único comando hasta abrir un shell interactivo completo.

La elección del payload adecuado depende del sistema operativo del objetivo, de la configuración de red y del nivel de acceso que necesite.

Los payloads se distribuyen de dos formas:

• Staged (observe la / en meterpreter/reverse_tcp): envía primero un stub pequeño que después descarga el payload completo. La huella inicial es menor.
• Stageless (observe el _ en meterpreter_reverse_tcp): entrega el payload completo de una sola vez. Es más fiable en redes inestables.

Hay dos direcciones de conexión:

• Bind shell: el objetivo abre un puerto y espera; usted se conecta a él. Los firewalls suelen bloquearlo.
• Reverse shell: el objetivo se conecta de vuelta a usted (LHOST/LPORT). Normalmente atraviesa los firewalls que permiten las conexiones salientes.

Por este motivo, los payloads reverse suelen ser la opción predeterminada.

Meterpreter es el payload avanzado de Metasploit. A diferencia de un shell de comandos básico, se ejecuta en memoria, se comunica mediante un canal cifrado y ofrece un amplio conjunto de comandos para la post-explotación.

Como evita escribir en el disco, es más sigiloso que depositar un ejecutable independiente.

Una vez que tenga una sesión de Meterpreter, los comandos fundamentales le permiten orientarse en el objetivo.

Meterpreter mueve archivos entre su equipo y el objetivo mediante comandos sencillos, lo que resulta útil para recopilar evidencias o preparar herramientas en pruebas autorizadas.

El comando shell le saca de Meterpreter y le lleva al intérprete de comandos nativo del objetivo (cmd.exe o /bin/sh) cuando necesita ejecutar directamente comandos del sistema operativo.

Escriba exit para volver al indicador de Meterpreter sin perder la sesión.

A menudo obtendrá acceso con privilegios limitados. Meterpreter ayuda a escalarlos:

• getsystem intenta técnicas conocidas para obtener SYSTEM en Windows.
• El módulo post local_exploit_suggester recomienda exploits de escalada local de privilegios para el host.

Un nivel de privilegios superior permite extraer credenciales y obtener un acceso más profundo.

Su sesión vive dentro de un proceso. Si ese proceso es inestable o es probable que se cierre, use migrate para pasar a un proceso más estable y de larga duración y mantener activa la sesión.

Migrar a un proceso que coincida con su nivel de privilegios también ayuda a pasar desapercibido y puede cambiar su contexto de usuario.

Meterpreter incluye funciones para capturar datos útiles durante evaluaciones autorizadas, como hashdump para recopilar hashes de contraseñas y herramientas keyscan para demostrar el impacto de la captura de entradas.

Use estas capacidades únicamente dentro del alcance acordado y documente todo en el informe para el cliente.

Un payload reverse necesita algo que escuche en su lado para recibir la conexión. El módulo multi/handler es ese receptor. Configúrelo con el mismo payload, LHOST y LPORT que utilizó para generar el payload.

Esto es esencial cuando entrega un payload de msfvenom fuera de la consola: inicie primero el handler y, después, active el payload en el objetivo.

Ha aprendido sobre payloads y Meterpreter:

• Los payloads pueden ser staged (/) o stageless (_), y bind o reverse; los reverse suelen atravesar mejor los firewalls.
• Meterpreter se ejecuta en memoria mediante un canal cifrado y ofrece numerosos comandos.
• Tareas básicas: sysinfo, getuid, ps, download/upload, shell.
• Escalade privilegios con getsystem y local_exploit_suggester; use migrate para mejorar la estabilidad.
• Use las funciones de recopilación únicamente dentro del alcance y documente todo.

A continuación: módulos de post-explotación, pivoting y recopilación de datos.