Módulos posteriores a la explotación

Obtener una sesión es solo el principio. La post-explotación abarca todo lo que hace después para demostrar el impacto: recopilar evidencias, escalar privilegios y acceder a partes más profundas de la red.

Los módulos post de Metasploit automatizan estas tareas contra una sesión existente, siempre dentro del alcance autorizado del trabajo.

Los módulos post actúan sobre una sesión que ya tiene. Cargue uno, asígnelo a la sesión y ejecútelo. La estructura de la ruta indica la plataforma y la finalidad.

Primero, conozca a fondo el host. Los módulos de recopilación obtienen:

• Usuarios con sesión iniciada y cuentas locales.
• Software instalado y nivel de parches.
• Configuración de red y rutas.
• Antivirus y productos de seguridad presentes.

Esta información orienta sus siguientes acciones y el informe para el cliente.

El loot son datos valiosos: hashes de contraseñas, credenciales almacenadas en caché, contraseñas guardadas en navegadores, claves SSH y archivos de configuración.

Las credenciales recuperadas son muy valiosas porque a menudo permiten acceder a otros sistemas. Metasploit las almacena en su base de datos para reutilizarlas y elaborar informes.

La persistence consiste en mantener el acceso después de reinicios. En trabajos de red team, esto demuestra el riesgo real, pero debe contar con autorización explícita y eliminarse cuidadosamente después.

Documente siempre cualquier mecanismo de persistencia que instale para que el cliente pueda verificar su eliminación. La persistencia no autorizada es poco ética y también ilegal.

El pivoting utiliza un host comprometido como punto intermedio para acceder a redes que no puede alcanzar directamente. El primer host suele tener acceso a una subred interna que está oculta para usted.

Al enrutar el tráfico a través de ese host, amplía su alcance hacia partes más profundas del entorno, de forma similar a cómo se desplazan lateralmente los atacantes reales.

El módulo post autoroute (o el comando route) indica a Metasploit que envíe el tráfico destinado a una subred interna a través de su sesión existente.

Después de añadir una ruta, otros módulos de Metasploit pueden analizar y atacar hosts de esa red oculta como si estuviera conectado localmente.

Para utilizar herramientas externas a Metasploit a través del pivot, configure el reenvío:

• portfwd: reenvía un único puerto remoto a su equipo local.
• Módulo auxiliar socks_proxy: expone todo el pivot como un proxy SOCKS que puede ejecutar con proxychains.

Con las credenciales recopiladas y una ruta de pivot, puede desplazarse lateralmente a otros hosts internos. Entre las técnicas se incluyen reutilizar hashes de contraseñas (pass-the-hash) y autenticarse en servicios adicionales.

Cada nuevo host puede proporcionar más credenciales, creando una cadena que demuestra hasta dónde podría llegar un atacante. Documente la ruta completa en el informe.

Los trabajos profesionales terminan con la limpieza: elimine los archivos cargados, la persistencia y las rutas añadidas, y restaure el entorno.

El resultado final es un informe claro que relaciona cada acceso inicial, escalada, pivot y credencial recopilada con un riesgo empresarial y una recomendación de corrección. El objetivo es ayudar al cliente a mejorar, no limitarse a entrar.

Los trabajos grandes generan muchas sesiones. Mantenga la organización:

• sessions -l muestra todas las sesiones activas.
• sessions -i N interactúa con una de ellas.
• sessions -u N actualiza un shell básico a Meterpreter.
• sessions -K finaliza todas las sesiones durante la limpieza.

Nombrar y registrar las sesiones evita que un pivot complejo se convierta en un caos.

Identifique la técnica que se describe.

Ha completado la post-explotación:

• Los módulos post se ejecutan contra una sesión existente para enumerar, recopilar datos y realizar acciones.
• El loot (hashes, claves y configuraciones) a menudo permite acceder a más sistemas.
• Use la persistence únicamente con autorización explícita y documente su eliminación.
• El pivoting mediante autoroute, junto con portfwd/SOCKS, permite el movimiento lateral hacia redes ocultas.
• Finalice con una limpieza y unos informes exhaustivos.

Esto completa Metasploit Framework Mastery. Siguiente módulo: Nmap Deep Dive.