Payloady i Meterpreter

Payload to kod wykonywany na celu po pomyślnym wykorzystaniu exploita. Określa on, co można zrobić dalej — od uruchomienia pojedynczego polecenia po otwarcie w pełni interaktywnej powłoki.

Wybór właściwego payloadu zależy od systemu operacyjnego celu, konfiguracji sieci i wymaganego poziomu dostępu.

Payloady mogą być dostarczane na dwa sposoby:

• Staged (proszę zwrócić uwagę na / w meterpreter/reverse_tcp): najpierw wysyłany jest mały kod pośredniczący, który następnie pobiera pełny payload. Początkowy ślad jest mniejszy.
• Stageless (proszę zwrócić uwagę na _ w meterpreter_reverse_tcp): cały payload jest dostarczany jednocześnie. To rozwiązanie jest bardziej niezawodne w niestabilnych sieciach.

Istnieją dwa kierunki połączenia:

• Bind shell: cel otwiera port i oczekuje na połączenie, a użytkownik łączy się z nim. Takie połączenia są często blokowane przez zapory sieciowe.
• Reverse shell: cel łączy się z powrotem z użytkownikiem (LHOST/LPORT). Zwykle pozwala to ominąć zapory, które zezwalają na połączenia wychodzące.

Z tego powodu payloady reverse są najczęściej wybierane domyślnie.

Meterpreter to zaawansowany payload Metasploit. W przeciwieństwie do podstawowej powłoki poleceń działa w pamięci, komunikuje się przez szyfrowany kanał i oferuje bogaty zestaw poleceń do działań po uzyskaniu dostępu.

Ponieważ nie zapisuje danych na dysku, jest trudniejszy do wykrycia niż osobny plik wykonywalny.

Po uzyskaniu sesji Meterpreter podstawowe polecenia pomagają zorientować się w środowisku celu.

Meterpreter umożliwia przenoszenie plików między komputerem użytkownika a celem za pomocą prostych poleceń. Jest to przydatne do pobierania dowodów lub przygotowywania narzędzi w autoryzowanych testach.

Polecenie shell przenosi z Meterpreter do natywnego interpretera poleceń celu (cmd.exe lub /bin/sh), gdy potrzebne są bezpośrednio polecenia systemu operacyjnego.

Wpisanie exit powoduje powrót do znaku zachęty Meterpreter bez utraty sesji.

Często uzyskuje się dostęp z ograniczonymi uprawnieniami. Meterpreter pomaga je eskalować:

• getsystem próbuje znanych technik uzyskania uprawnień SYSTEM w systemie Windows.
• Moduł post local_exploit_suggester proponuje exploity lokalnej eskalacji uprawnień odpowiednie dla danego hosta.

Wyższe uprawnienia umożliwiają wykradanie poświadczeń i uzyskanie głębszego dostępu.

Sesja działa wewnątrz procesu. Jeśli proces jest niestabilny lub prawdopodobnie zostanie zakończony, należy użyć polecenia migrate, aby przenieść sesję do stabilniejszego, długo działającego procesu.

Migracja do procesu odpowiadającego poziomowi uprawnień użytkownika pomaga również wtopić się w środowisko i może zmienić kontekst użytkownika.

Meterpreter zawiera funkcje przechwytywania przydatnych danych podczas autoryzowanych ocen bezpieczeństwa, takie jak hashdump do zbierania skrótów haseł oraz narzędzia keyscan do zademonstrowania skutków przechwytywania danych wejściowych.

Z takich możliwości należy korzystać wyłącznie w uzgodnionym zakresie, a wszystkie działania dokumentować w raporcie dla klienta.

Payload reverse wymaga nasłuchiwania po stronie użytkownika, aby przechwycić połączenie. Moduł multi/handler pełni tę funkcję. Należy skonfigurować go przy użyciu tego samego payloadu, LHOST i LPORT, które wykorzystano do wygenerowania payloadu.

Jest to niezbędne, gdy payload wygenerowany za pomocą msfvenom jest dostarczany poza konsolą: najpierw należy uruchomić handler, a następnie wyzwolić payload na celu.

Proszę wybrać payload, który omija restrykcyjną zaporę sieciową.

Nauczył(a) się Pan(i) korzystać z payloadów i Meterpreter:

• Payloady mogą być staged (/), stageless (_), a także typu bind lub reverse; payload reverse zwykle lepiej omija zapory sieciowe.
• Meterpreter działa w pamięci przez szyfrowany kanał i udostępnia bogaty zestaw poleceń.
• Podstawowe zadania obejmują: sysinfo, getuid, ps, download/upload, shell.
• Uprawnienia można eskalować za pomocą getsystem i local_exploit_suggester, a polecenie migrate służy do zwiększenia stabilności.
• Z funkcji gromadzenia danych należy korzystać wyłącznie w określonym zakresie i wszystko dokumentować.

Następnie: moduły post-exploitation, pivoting i gromadzenie danych.