Architettura di Metasploit

Metasploit è il framework per l'exploitation più utilizzato. Fornisce una libreria strutturata di exploit, payload e strumenti per verificare e dimostrare le vulnerabilità durante attività autorizzate.

Anziché scrivere ogni attacco da zero, può caricare moduli già collaudati, configurarli ed eseguirli tramite un'interfaccia coerente.

L'interfaccia principale è msfconsole, una shell interattiva a riga di comando. Offre il completamento tramite tabulazione, la cronologia dei comandi e l'accesso a ogni modulo.

La avvia da un terminale e poi lavora interamente all'interno del suo prompt.

Metasploit organizza le funzionalità in tipi di moduli:

• exploit: codice che sfrutta una vulnerabilità.
• payload: codice eseguito sul bersaglio dopo lo sfruttamento.
• auxiliary: scanner, fuzzer e strumenti che non distribuiscono un payload.
• post: azioni successive allo sfruttamento su un host compromesso.
• encoder e nop: aiutano i payload a eludere il rilevamento.

I moduli utilizzano un percorso gerarchico che indica esattamente la loro funzione. Leggendo il percorso è possibile riconoscere il tipo, la piattaforma e il servizio bersaglio.

È importante distinguere tra:

• L'exploit è il modo per entrare; compromette il software vulnerabile.
• Il payload è ciò che si vuole fare una volta entrati, ad esempio aprire una shell.

Vengono abbinati: un singolo exploit può distribuire molti payload diversi a seconda dell'obiettivo e del bersaglio.

L'utilizzo di qualsiasi modulo segue un ciclo ripetibile:

• fare search per trovare un modulo.
• usare use per caricarlo.
• impostare le options, come RHOSTS e LHOST.
• eseguirlo con run o exploit.

Questa coerenza permette al framework di operare su migliaia di moduli.

Le impostazioni dei moduli risiedono nel datastore. Ogni opzione può essere obbligatoria o facoltativa.

• RHOSTS: indirizzo o indirizzi del bersaglio remoto.
• RPORT: porta remota.
• LHOST: indirizzo in ascolto per le connessioni inverse.
• LPORT: porta in ascolto.

Utilizzi show options per verificare ciò di cui un modulo ha bisogno prima di eseguirlo.

Metasploit si integra con un database PostgreSQL per memorizzare host, servizi, dati acquisiti e credenziali individuati durante un'attività. Questo consente di gestire in modo efficiente un ambito di analisi ampio.

Lo avvii prima di lanciare la console, così i risultati verranno registrati automaticamente.

I moduli auxiliary svolgono attività utili senza eseguire exploitation: scansione delle porte, enumerazione dei servizi, brute force degli accessi e fuzzing.

Spesso costituiscono il primo passo, perché raccolgono le informazioni necessarie prima di selezionare un exploit.

msfvenom è uno strumento complementare per generare payload autonomi sotto forma di file: eseguibili, script o shellcode da distribuire al di fuori della console.

Combina la generazione e la codifica dei payload in un unico comando, risultando utile per simulazioni di phishing o distribuzioni personalizzate durante test autorizzati.

Per attività multiple, i workspace di Metasploit mantengono separati nel database gli host, i servizi e i dati acquisiti di ogni cliente. Può passare da uno all'altro, evitando che i dati confluiscano tra valutazioni diverse.

Verifichi la sua comprensione dei tipi di moduli.

Ha imparato l'architettura di Metasploit:

• msfconsole è l'interfaccia principale; msfvenom crea payload autonomi.
• Tipi di moduli: exploit, payload, auxiliary, post, encoder/nop.
• I percorsi dei moduli codificano tipo, piattaforma e servizio.
• Flusso di lavoro: search, use, set options, run; le impostazioni risiedono nel datastore.
• Il database PostgreSQL tiene traccia di host, servizi e dati acquisiti.

Prossimo argomento: cercare e utilizzare gli exploit in modo efficace.