Payload e Meterpreter

Un payload è il codice che viene eseguito sul target dopo il successo di un exploit. Definisce le operazioni successive possibili, dall'esecuzione di un singolo comando all'apertura di una shell interattiva completa.

La scelta del payload corretto dipende dal sistema operativo del target, dalla configurazione di rete e dal livello di accesso necessario.

I payload prevedono due modalità di distribuzione:

• Staged (noti la / in meterpreter/reverse_tcp): invia prima uno stub di piccole dimensioni, che scarica poi il payload completo. L'impatto iniziale è minore.
• Stageless (noti il carattere _ in meterpreter_reverse_tcp): l'intero payload viene distribuito in una sola volta. È più affidabile sulle reti instabili.

Esistono due direzioni di connessione:

• Bind shell: il target apre una porta e resta in attesa; lei si connette a essa. Spesso viene bloccata dai firewall.
• Reverse shell: il target si connette nuovamente a lei (LHOST/LPORT). In genere riesce a superare i firewall che consentono le connessioni in uscita.

Per questo motivo, i payload reverse sono spesso l'impostazione predefinita.

Meterpreter è il payload avanzato di Metasploit. A differenza di una shell di comandi di base, viene eseguito in memoria, comunica tramite un canale crittografato e offre un ricco set di comandi per la post-exploitation.

Poiché evita di scrivere sul disco, è più discreto rispetto al rilascio di un eseguibile separato.

Una volta ottenuta una sessione Meterpreter, alcuni comandi fondamentali consentono di orientarsi nel target.

Meterpreter trasferisce file tra il suo computer e il target tramite semplici comandi, utili per acquisire prove o predisporre strumenti nei test autorizzati.

Il comando shell porta da Meterpreter all'interprete dei comandi nativo del target (cmd.exe o /bin/sh) quando ha bisogno di eseguire direttamente comandi a livello di sistema operativo.

Digiti exit per tornare al prompt di Meterpreter senza perdere la sessione.

Spesso si ottiene inizialmente un accesso con privilegi limitati. Meterpreter aiuta a eseguire l'escalation:

• getsystem tenta tecniche note per ottenere i privilegi SYSTEM su Windows.
• Il modulo post local_exploit_suggester consiglia exploit locali per l'escalation dei privilegi sull'host.

Privilegi più elevati consentono di estrarre credenziali e ottenere un accesso più approfondito.

La sua sessione risiede all'interno di un processo. Se il processo è instabile o potrebbe essere terminato, esegua la migrate in un processo più stabile e di lunga durata per mantenere attiva la sessione.

Migrare in un processo che corrisponde al suo livello di privilegi aiuta anche a confondersi con l'attività legittima e può modificare il contesto dell'utente.

Meterpreter include funzionalità per acquisire dati utili durante le valutazioni autorizzate, come hashdump per raccogliere gli hash delle password e gli strumenti keyscan per dimostrare l'impatto dell'acquisizione dell'input.

Usi queste funzionalità solo nell'ambito concordato e documenti ogni operazione nella relazione per il cliente.

Un payload reverse richiede un servizio in ascolto sul suo lato per intercettare la connessione. Il modulo multi/handler svolge questa funzione. Lo configuri con lo stesso payload, LHOST e LPORT usati per generare il payload.

È essenziale quando distribuisce un payload di msfvenom al di fuori della console: avvii prima l'handler, quindi attivi il payload sul target.

Scelga il payload in grado di aggirare un firewall restrittivo.

Ha imparato a conoscere i payload e Meterpreter:

• I payload possono essere staged (/) o stageless (_), nonché bind o reverse; quelli reverse in genere superano più facilmente i firewall.
• Meterpreter viene eseguito in memoria tramite un canale crittografato e offre numerosi comandi.
• Attività fondamentali: sysinfo, getuid, ps, download/upload, shell.
• Esegua l'escalation con getsystem e local_exploit_suggester; usi migrate per la stabilità.
• Usi le funzionalità di raccolta solo nell'ambito autorizzato e documenti ogni operazione.

Prossimo argomento: moduli post-exploitation, pivoting e raccolta di dati.