Payload: staged e stageless, Meterpreter

Un payload è il codice eseguito sulla destinazione dopo il successo di un exploit. Definisce ciò che l'attaccante ottiene: una shell, l'esecuzione di comandi, l'accesso ai file o un agente completo come Meterpreter.

I payload Stageless (/) contengono tutto in un unico binario: sono più grandi ma più semplici e, dopo la distribuzione iniziale, non richiedono un callback di rete. I payload Staged (//) inviano prima un piccolo stager, che scarica il secondo stage dall'handler.

Utilizzi stageless quando la destinazione non ha accesso a Internet o all'handler dopo lo sfruttamento iniziale: il payload deve essere autonomo. Utilizzi staged quando desidera un payload iniziale più piccolo e dispone di una connessione affidabile all'handler.

Meterpreter è il payload avanzato di Metasploit: viene eseguito interamente in memoria, utilizza comunicazioni crittografate e fornisce un'API completa con accesso al file system, migrazione dei processi, keylogging, acquisizione di screenshot e pivoting.

Comandi Meterpreter essenziali per il post-sfruttamento: informazioni sul sistema, elenco dei processi, operazioni sui file e rete.

Migri il processo Meterpreter in un processo più stabile o meno sospetto (ad esempio explorer.exe su Windows). In questo modo può anche aumentare i privilegi, se esegue la migrazione verso un processo con privilegi più elevati.

msfvenom genera file payload autonomi (EXE, ELF, APK, shellcode) da distribuire tramite phishing, dispositivi USB abbandonati intenzionalmente o web shell nei test autorizzati.

Il modulo auxiliary multi/handler riceve le connessioni delle reverse shell. Lo configuri con lo stesso payload, LHOST e LPORT utilizzati in msfvenom prima di distribuire il payload.

Gli encoder di msfvenom possono offuscare i payload per eludere il rilevamento di base degli antivirus basato sulle firme. Nota: gli EDR moderni utilizzano il rilevamento comportamentale; gli encoder da soli non sono sufficienti contro le difese avanzate.

I payload Reverse si connettono dalla destinazione all'attaccante (una modalità più adatta a NAT e firewall). I payload Bind restano in ascolto sulla destinazione e l'attaccante si connette ad essi. Reverse è la modalità preferita nella maggior parte degli scenari.

I difensori rilevano Meterpreter tramite firme di rete (pattern del traffico C2), scansione della memoria (tracce dell'iniezione riflessiva di DLL) e analisi comportamentale (process hollowing, relazioni padre-figlio insolite).

Scelga i payload staged per ridurre l'impatto iniziale e quelli stageless per una distribuzione autonoma. Meterpreter è il payload più completo per il post-sfruttamento: viene eseguito in memoria, è crittografato ed estensibile. Utilizzi msfvenom per generare binari autonomi e configuri sempre multi/handler per ricevere i callback.