Moduły po uzyskaniu dostępu

Uzyskanie sesji to dopiero początek. Post-exploitation obejmuje wszystkie późniejsze działania mające zademonstrować skutki ataku: gromadzenie dowodów, eskalację uprawnień i docieranie do głębszych segmentów sieci.

Moduły post Metasploit automatyzują te zadania dla istniejącej sesji, zawsze w ramach autoryzowanego zakresu testu.

Moduły post działają na już istniejącej sesji. Należy załadować moduł, wskazać mu sesję i uruchomić go. Struktura ścieżki informuje o platformie i przeznaczeniu modułu.

Najpierw należy dokładnie poznać hosta. Moduły gromadzące informacje zbierają:

• Użytkowników aktualnie zalogowanych i konta lokalne.
• Zainstalowane oprogramowanie i poziom poprawek.
• Konfigurację sieci i trasy.
• Obecne programy antywirusowe i zabezpieczające.

Informacje te pomagają zaplanować kolejne działania i przygotować raport dla klienta.

Loot to cenne dane: skróty haseł, zapisane w pamięci podręcznej poświadczenia, hasła zapisane w przeglądarkach, klucze SSH i pliki konfiguracyjne.

Odzyskane poświadczenia są niezwykle cenne, ponieważ często umożliwiają dostęp do innych systemów. Metasploit przechowuje je w swojej bazie danych, aby można było ich ponownie użyć i uwzględnić je w raportach.

Persistence oznacza utrzymanie dostępu po ponownym uruchomieniu systemu. W testach red team pozwala to wykazać rzeczywiste ryzyko, ale musi być wyraźnie autoryzowane i później starannie usunięte.

Zawsze należy dokumentować każdy zainstalowany mechanizm persistence, aby klient mógł potwierdzić jego usunięcie. Nieautoryzowane utrzymywanie dostępu jest zarówno nieetyczne, jak i niezgodne z prawem.

Pivoting polega na użyciu przejętego hosta jako punktu pośredniego w celu dotarcia do sieci, z którymi nie można połączyć się bezpośrednio. Pierwszy host często ma dostęp do wewnętrznej podsieci niewidocznej dla użytkownika.

Przekierowanie ruchu przez ten host rozszerza zasięg działań na głębsze obszary środowiska, odzwierciedlając sposób, w jaki prawdziwi napastnicy przemieszczają się poprzecznie.

Moduł post autoroute (lub polecenie route) informuje Metasploit, aby wysyłał ruch przeznaczony dla wewnętrznej podsieci przez istniejącą sesję.

Po dodaniu trasy inne moduły Metasploit mogą skanować i atakować hosty w tej ukrytej sieci tak, jakby użytkownik znajdował się lokalnie.

Aby korzystać z narzędzi spoza Metasploit przez punkt pośredni, należy skonfigurować przekierowanie:

• portfwd: przekierowuje pojedynczy zdalny port na komputer lokalny.
• Moduł pomocniczy socks_proxy: udostępnia cały punkt pośredni jako proxy SOCKS, z którego można korzystać za pomocą proxychains.

Mając zdobyte poświadczenia i trasę przez punkt pośredni, można przemieszczać się poprzecznie do innych wewnętrznych hostów. Techniki obejmują ponowne użycie skrótów haseł (pass-the-hash) i uwierzytelnianie w dodatkowych usługach.

Każdy nowy host może dostarczyć kolejnych poświadczeń, tworząc łańcuch pokazujący, jak daleko mógłby dotrzeć napastnik. Pełną ścieżkę należy udokumentować w raporcie.

Profesjonalne testy kończą się sprzątaniem: należy usunąć przesłane pliki, mechanizmy persistence i dodane trasy, a następnie przywrócić środowisko do pierwotnego stanu.

Końcowym rezultatem jest przejrzysty raport, który łączy każdy przyczółek, etap eskalacji, pivot i zdobyte poświadczenie z ryzykiem biznesowym oraz zaleceniem naprawczym. Celem jest pomoc klientowi w poprawie bezpieczeństwa, a nie samo włamanie.

Duże testy generują wiele sesji. Należy zachować porządek:

• sessions -l wyświetla wszystkie aktywne sesje.
• sessions -i N umożliwia interakcję z jedną z nich.
• sessions -u N podnosi podstawową powłokę do Meterpreter.
• sessions -K kończy wszystkie sesje podczas sprzątania.

Nadawanie nazw sesjom i śledzenie ich stanu zapobiega pogrążeniu złożonego pivotingu w chaosie.

Proszę rozpoznać opisywaną technikę.

Ukończył(a) Pan(i) etap post-exploitation:

• Moduły post działają na istniejącej sesji, aby zbierać informacje, gromadzić dane i wykonywać działania.
• Loot (skróty, klucze, konfiguracje) często umożliwia dostęp do kolejnych systemów.
• Persistence należy stosować wyłącznie za wyraźną zgodą i po udokumentowaniu sprzątania.
• Pivoting za pomocą autoroute oraz portfwd/SOCKS umożliwia przemieszczanie się poprzeczne do ukrytych sieci.
• Test należy zakończyć dokładnym sprzątaniem i raportowaniem.

To kończy kurs Metasploit Framework Mastery. Następny moduł: Nmap Deep Dive.