Moduli post-exploitation

Ottenere una sessione è solo l'inizio. La post-exploitation comprende tutte le attività successive per dimostrare l'impatto: raccolta di prove, escalation e accesso più profondo alla rete.

I moduli post di Metasploit automatizzano queste attività su una sessione esistente, sempre nell'ambito autorizzato dell'incarico.

I moduli post operano su una sessione già disponibile. Ne carica uno, lo associa alla sessione e lo esegue. La struttura del percorso indica la piattaforma e lo scopo.

Per prima cosa, analizzi a fondo l'host. I moduli di raccolta acquisiscono:

• Utenti con sessione attiva e account locali.
• Software installato e livello delle patch.
• Configurazione di rete e instradamenti.
• Antivirus e prodotti di sicurezza presenti.

Queste informazioni orientano le operazioni successive e la relazione per il cliente.

Il loot è costituito da dati preziosi: hash delle password, credenziali memorizzate nella cache, password salvate nei browser, chiavi SSH e file di configurazione.

Le credenziali recuperate sono preziose perché spesso consentono di accedere ad altri sistemi. Metasploit le archivia nel database per riutilizzarle e inserirle nelle relazioni.

La persistence consiste nel mantenere l'accesso anche dopo i riavvii. Nei test red team dimostra il rischio reale, ma deve essere autorizzata esplicitamente e rimossa con attenzione al termine.

Documenti sempre ogni meccanismo di persistenza installato, così il cliente può verificarne la rimozione. La persistenza non autorizzata è contraria all'etica e alla legge.

Il pivoting usa un host compromesso come punto di passaggio per raggiungere reti che non può contattare direttamente. Il primo host spesso ha accesso a una subnet interna a lei nascosta.

Instradando il traffico attraverso quell'host, estende la portata più in profondità nell'ambiente, riproducendo il modo in cui i veri aggressori si spostano lateralmente.

Il modulo post autoroute (o il comando route) indica a Metasploit di inviare il traffico destinato a una subnet interna attraverso la sessione esistente.

Dopo aver aggiunto una route, gli altri moduli Metasploit possono scansionare e attaccare gli host su quella rete nascosta come se lei si trovasse nella rete locale.

Per usare strumenti esterni a Metasploit attraverso il pivot, configuri il forwarding:

• portfwd: inoltra una singola porta remota al computer locale.
• Il modulo ausiliario socks_proxy: espone l'intero pivot come proxy SOCKS, che può usare con proxychains.

Con le credenziali raccolte e una route di pivot, si sposta lateralmente verso altri host interni. Le tecniche includono il riutilizzo degli hash delle password (pass-the-hash) e l'autenticazione verso servizi aggiuntivi.

Ogni nuovo host può fornire altre credenziali, creando una catena che dimostra fin dove potrebbe arrivare un aggressore. Documenti l'intero percorso nella relazione.

Gli incarichi professionali terminano con la pulizia: rimuova i file caricati, la persistenza e le route aggiunte, quindi ripristini l'ambiente.

Il risultato finale è una relazione chiara che collega ogni accesso iniziale, escalation, pivot e credenziale raccolta a un rischio aziendale e a una raccomandazione correttiva. L'obiettivo è aiutare il cliente a migliorare, non solo a penetrare nei sistemi.

Gli incarichi di grandi dimensioni producono molte sessioni. Rimanga organizzato:

• sessions -l elenca tutte le sessioni attive.
• sessions -i N interagisce con una sessione.
• sessions -u N aggiorna una shell di base a Meterpreter.
• sessions -K termina tutte le sessioni durante la pulizia.

Dare un nome alle sessioni e tenerne traccia impedisce che un pivot complesso degeneri nel caos.

Identifichi la tecnica descritta.

Ha completato la post-exploitation:

• I post modules vengono eseguiti su una sessione esistente per enumerare, raccogliere dati ed eseguire operazioni.
• Il loot (hash, chiavi, configurazioni) spesso consente di accedere ad altri sistemi.
• La persistence va usata solo con autorizzazione esplicita e con una rimozione documentata.
• Il pivoting tramite autoroute, insieme a portfwd/SOCKS, consente il movimento laterale verso reti nascoste.
• Concluda con una pulizia e una reportistica accurate.

Questo completa Metasploit Framework Mastery. Prossimo modulo: Nmap Deep Dive.