Architektura Metasploit

Metasploit to najczęściej używany framework do wykorzystywania luk. Udostępnia uporządkowaną bibliotekę exploitów, payloadów i narzędzi służących do testowania i prezentowania podatności podczas autoryzowanych działań.

Zamiast pisać każdy atak od podstaw, można wczytywać sprawdzone moduły, konfigurować je i uruchamiać za pośrednictwem spójnego interfejsu.

Podstawowym interfejsem jest msfconsole — interaktywna powłoka wiersza poleceń. Oferuje uzupełnianie za pomocą klawisza Tab, historię poleceń i dostęp do każdego modułu.

Uruchamia się ją z terminala, a następnie całą pracę wykonuje się w jej wierszu poleceń.

Metasploit organizuje funkcje w typy modułów:

• exploit: kod wykorzystujący podatność.
• payload: kod uruchamiany na celu po wykorzystaniu podatności.
• auxiliary: skanery, fuzzery i narzędzia, które nie dostarczają payloadu.
• post: działania po wykorzystaniu podatności na przejętym hoście.
• encoder i nop: pomagają payloadom omijać wykrywanie.

Moduły używają hierarchicznej ścieżki, która dokładnie informuje, do czego służą. Odczytanie ścieżki ujawnia typ, platformę i usługę docelową.

Ważne rozróżnienie:

• Exploit to sposób wejścia; przełamuje zabezpieczenia podatnego oprogramowania.
• Payload określa, co ma się wydarzyć po uzyskaniu dostępu, na przykład otwarcie powłoki.

Łączy się je w pary: jeden exploit może dostarczać wiele różnych payloadów, zależnie od celu i systemu docelowego.

Praca z dowolnym modułem przebiega według powtarzalnego cyklu:

• search — wyszukaj moduł.
• use — wczytaj go.
• Ustaw options, takie jak RHOSTS i LHOST.
• run lub exploit — uruchom moduł.

Ta spójność sprawia, że framework można skalować do tysięcy modułów.

Ustawienia modułów znajdują się w magazynie danych (datastore). Każda opcja może być wymagana lub opcjonalna.

• RHOSTS: zdalny adres lub zdalne adresy celu.
• RPORT: port zdalny.
• LHOST: adres nasłuchiwania dla połączeń zwrotnych.
• LPORT: port nasłuchiwania.

Przed uruchomieniem należy użyć show options, aby sprawdzić wymagania modułu.

Metasploit integruje się z bazą danych PostgreSQL w celu przechowywania hostów, usług, danych zdobyczy i danych uwierzytelniających wykrytych podczas działań. Umożliwia to sprawne śledzenie dużego zakresu testów.

Bazę należy uruchomić przed uruchomieniem konsoli, aby wyniki były zapisywane automatycznie.

Moduły auxiliary wykonują użyteczne działania bez wykorzystywania podatności: skanowanie portów, enumerację usług, brute force logowania i fuzzing.

Często są pierwszym krokiem, ponieważ gromadzą informacje potrzebne przed wybraniem exploita.

msfvenom to narzędzie towarzyszące służące do generowania samodzielnych payloadów jako plików: plików wykonywalnych, skryptów lub shellcode'u dostarczanego poza konsolą.

Łączy generowanie payloadów i kodowanie w jednym poleceniu, co jest przydatne podczas symulacji phishingu lub niestandardowego dostarczania w autoryzowanych testach.

Podczas wielu działań obszary robocze Metasploit utrzymują hosty, usługi i dane zdobyczy każdego klienta w odizolowanych obszarach bazy danych. Można przełączać się między nimi, dzięki czemu dane nie przenikają między ocenami.

Sprawdź swoją znajomość typów modułów.

Dowiedziałeś się, jak zbudowany jest Metasploit:

• msfconsole to główny interfejs; msfvenom tworzy samodzielne payloady.
• Typy modułów: exploit, payload, auxiliary, post, encoder/nop.
• Ścieżki modułów kodują typ, platformę i usługę.
• Przebieg pracy: search, use, set options, run; ustawienia znajdują się w datastore.
• Baza danych PostgreSQL śledzi hosty, usługi i dane zdobyczy.

Dalej: skuteczne wyszukiwanie exploitów i korzystanie z nich.