Módulos pós-exploração

Obter uma sessão é apenas o começo. A pós-exploração é tudo o que você faz depois para demonstrar o impacto: coletar evidências, escalar privilégios e alcançar partes mais profundas da rede.

Os módulos post do Metasploit automatizam essas tarefas em uma sessão existente, sempre dentro do escopo autorizado do trabalho.

Os módulos pós-exploração atuam sobre uma sessão que você já possui. Você carrega um módulo, indica a sessão e o executa. A estrutura do caminho informa a plataforma e a finalidade.

Primeiro, conheça bem o host. Os módulos de coleta reúnem:

• Usuários conectados e contas locais.
• Software instalado e nível de atualização.
• Configuração de rede e rotas.
• Antivírus e produtos de segurança presentes.

Essas informações orientam seus próximos passos e o relatório do cliente.

Coleta são dados valiosos: hashes de senhas, credenciais armazenadas em cache, senhas salvas no navegador, chaves SSH e arquivos de configuração.

Credenciais recuperadas são valiosas porque frequentemente permitem acessar outros sistemas. O Metasploit as armazena no banco de dados para reutilização e elaboração de relatórios.

Persistência significa manter o acesso após reinicializações. Em trabalhos de equipe vermelha, isso comprova o risco no mundo real, mas deve ser explicitamente autorizado e cuidadosamente removido depois.

Documente sempre qualquer mecanismo de persistência instalado para que o cliente possa verificar sua remoção. Persistência não autorizada é antiética e ilegal.

O pivotamento usa um host comprometido como ponto intermediário para alcançar redes que você não consegue acessar diretamente. O primeiro host frequentemente tem acesso a uma sub-rede interna oculta para você.

Ao encaminhar o tráfego por esse host, você amplia seu alcance dentro do ambiente, reproduzindo a forma como invasores reais se movimentam lateralmente.

O módulo pós-exploração autoroute (ou o comando route) informa ao Metasploit que envie o tráfego destinado a uma sub-rede interna pela sua sessão existente.

Depois de adicionar uma rota, outros módulos do Metasploit podem analisar e atacar hosts nessa rede oculta como se você estivesse conectado localmente.

Para usar ferramentas externas ao Metasploit por meio do ponto intermediário, configure o encaminhamento:

• portfwd: encaminha uma única porta remota para sua máquina local.
• Módulo auxiliar socks_proxy: disponibiliza todo o ponto intermediário como um proxy SOCKS que você pode executar com proxychains.

Com credenciais coletadas e uma rota de pivotamento, você se move lateralmente para outros hosts internos. As técnicas incluem reutilizar hashes de senhas (pass-the-hash) e autenticar-se em serviços adicionais.

Cada novo host pode fornecer mais credenciais, criando uma cadeia que demonstra até onde um invasor poderia chegar. Documente o caminho completo no relatório.

Trabalhos profissionais terminam com a limpeza: remova arquivos enviados, persistência e rotas adicionadas; depois, restaure o ambiente.

Seu resultado final é um relatório claro que relaciona cada acesso inicial, escalonamento, pivotamento e credencial coletada a um risco empresarial e a uma recomendação de correção. O objetivo é ajudar o cliente a melhorar, não apenas invadir.

Trabalhos grandes produzem muitas sessões. Mantenha a organização:

• sessions -l lista todas as sessões ativas.
• sessions -i N interage com uma delas.
• sessions -u N atualiza um shell básico para Meterpreter.
• sessions -K encerra todas as sessões durante a limpeza.

Nomear e acompanhar as sessões impede que um pivotamento complexo se transforme em caos.

Identifique a técnica descrita.

Você concluiu a pós-exploração:

• Os módulos pós-exploração são executados em uma sessão existente para enumerar, coletar dados e realizar ações.
• A coleta (hashes, chaves e configurações) frequentemente permite acessar mais sistemas.
• Use persistência somente com autorização explícita e limpeza documentada.
• O pivotamento por meio de autoroute, junto com portfwd/SOCKS, permite a movimentação lateral em redes ocultas.
• Finalize com uma limpeza e elaboração de relatórios completas.

Isso conclui o domínio do Metasploit Framework. Próximo módulo: aprofundamento em Nmap.