Modules post-exploitation

Obtenir une session n’est que le début. La post-exploitation comprend tout ce que vous faites ensuite pour démontrer l’impact : collecte de preuves, élévation des privilèges et accès à des zones plus profondes du réseau.

Les modules post de Metasploit automatisent ces tâches sur une session existante, toujours dans le périmètre autorisé de l’intervention.

Les modules post-exploitation agissent sur une session dont vous disposez déjà. Vous en chargez un, l’associez à la session, puis l’exécutez. La structure du chemin indique la plateforme et la fonction.

Commencez par connaître parfaitement l’hôte. Les modules de collecte récupèrent :

• Les utilisateurs connectés et les comptes locaux.
• Les logiciels installés et le niveau d’application des correctifs.
• La configuration du réseau et les routes.
• Les antivirus et les produits de sécurité présents.

Ces informations orientent vos prochaines actions et le rapport destiné au client.

Les données collectées sont des informations précieuses : condensats de mots de passe, identifiants mis en cache, mots de passe enregistrés par les navigateurs, clés SSH et fichiers de configuration.

Les identifiants récupérés sont précieux, car ils permettent souvent d’accéder à d’autres systèmes. Metasploit les stocke dans sa base de données pour les réutiliser et établir des rapports.

La persistance consiste à conserver l’accès après les redémarrages. Dans les interventions d’équipe rouge, elle démontre un risque réel, mais doit être explicitement autorisée et soigneusement supprimée ensuite.

Consignez toujours tout mécanisme de persistance installé afin que le client puisse vérifier sa suppression. Une persistance non autorisée est à la fois contraire à l’éthique et illégale.

Le rebond consiste à utiliser un hôte compromis comme relais pour atteindre des réseaux auxquels vous ne pouvez pas accéder directement. Le premier hôte a souvent accès à un sous-réseau interne qui vous est caché.

En acheminant le trafic par cet hôte, vous étendez votre portée plus profondément dans l’environnement, comme le feraient de véritables attaquants lors de leurs déplacements latéraux.

Le module post-exploitation autoroute (ou la commande route) indique à Metasploit d’envoyer le trafic destiné à un sous-réseau interne via votre session existante.

Après l’ajout d’une route, les autres modules Metasploit peuvent analyser et attaquer les hôtes de ce réseau caché comme si vous étiez connecté localement.

Pour utiliser des outils externes à Metasploit via le relais, configurez une redirection :

• portfwd : redirige un seul port distant vers votre machine locale.
• Le module auxiliaire socks_proxy : expose l’ensemble du relais comme proxy SOCKS que vous pouvez utiliser avec proxychains.

Avec des identifiants collectés et une route de rebond, vous vous déplacez latéralement vers d’autres hôtes internes. Les techniques comprennent la réutilisation de condensats de mots de passe (pass-the-hash) et l’authentification auprès de services supplémentaires.

Chaque nouvel hôte peut fournir d’autres identifiants, créant une chaîne qui montre jusqu’où un attaquant pourrait aller. Documentez l’intégralité du chemin dans le rapport.

Les interventions professionnelles se terminent par un nettoyage : supprimez les fichiers téléversés, la persistance et les routes ajoutées, puis restaurez l’environnement.

Votre livrable final est un rapport clair reliant chaque accès initial, élévation, rebond et identifiant collecté à un risque métier et à une recommandation de remédiation. L’objectif est d’aider le client à s’améliorer, pas seulement de s’introduire dans ses systèmes.

Les interventions de grande ampleur produisent de nombreuses sessions. Restez organisé :

• sessions -l liste toutes les sessions actives.
• sessions -i N permet d’interagir avec l’une d’elles.
• sessions -u N transforme un interpréteur de commandes simple en session Meterpreter.
• sessions -K ferme toutes les sessions pendant le nettoyage.

Nommer et suivre les sessions empêche un rebond complexe de sombrer dans le chaos.

Identifiez la technique décrite.

Vous avez terminé la post-exploitation :

• Les modules post-exploitation s’exécutent sur une session existante pour énumérer, collecter des données et agir.
• Les données collectées (condensats, clés, configurations) permettent souvent d’accéder à d’autres systèmes.
• La persistance doit être utilisée uniquement avec une autorisation explicite et faire l’objet d’un nettoyage documenté.
• Le rebond via autoroute, associé à portfwd/SOCKS, permet les déplacements latéraux vers des réseaux cachés.
• Terminez par un nettoyage et un rapport complets.

Vous avez ainsi terminé la maîtrise de Metasploit Framework. Module suivant : découverte approfondie de Nmap.