มอดูลหลังการโจมตี

การได้เซสชันเป็นเพียงจุดเริ่มต้นเท่านั้น การทำงานหลังการโจมตี คือทุกสิ่งที่คุณทำหลังจากนั้นเพื่อแสดงผลกระทบ ได้แก่ การรวบรวมหลักฐาน การยกระดับสิทธิ์ และการเข้าถึงเครือข่ายที่ลึกยิ่งขึ้น

โมดูล post ของ Metasploit ทำงานเหล่านี้โดยอัตโนมัติกับเซสชันที่มีอยู่ ทั้งหมดต้องอยู่ภายในขอบเขตที่ได้รับอนุญาตของงาน

โมดูลหลังการโจมตีทำงานกับเซสชันที่คุณมีอยู่แล้ว คุณโหลดโมดูล ชี้โมดูลไปยังเซสชัน แล้วเรียกใช้ โครงสร้างเส้นทางจะบอกแพลตฟอร์มและวัตถุประสงค์

ขั้นแรก ให้ทำความเข้าใจโฮสต์อย่างละเอียด โมดูลรวบรวมข้อมูลจะเก็บข้อมูลต่อไปนี้:

• ผู้ใช้ที่เข้าสู่ระบบและบัญชีภายในเครื่อง
• ซอฟต์แวร์ที่ติดตั้งและระดับแพตช์
• การกำหนดค่าเครือข่ายและเส้นทาง
• โปรแกรมป้องกันไวรัสและผลิตภัณฑ์รักษาความปลอดภัยที่มีอยู่

ข้อมูลนี้ช่วยกำหนดแนวทางการดำเนินการถัดไปและเนื้อหาในรายงานสำหรับลูกค้า

ข้อมูลที่เก็บได้ คือข้อมูลที่มีค่า เช่น ค่าแฮชรหัสผ่าน ข้อมูลประจำตัวที่แคชไว้ รหัสผ่านที่จัดเก็บในเบราว์เซอร์ คีย์ SSH และไฟล์การกำหนดค่า

ข้อมูลประจำตัวที่กู้คืนได้มีค่ามาก เพราะมักใช้ปลดล็อกระบบอื่น ๆ Metasploit จะจัดเก็บข้อมูลเหล่านี้ไว้ในฐานข้อมูลเพื่อใช้ซ้ำและจัดทำรายงาน

การคงอยู่ หมายถึงการรักษาการเข้าถึงไว้แม้มีการรีบูต ในงานทีมแดง สิ่งนี้ช่วยพิสูจน์ความเสี่ยงในโลกจริง แต่ต้องได้รับอนุญาตอย่างชัดเจนและล้างออกอย่างระมัดระวังภายหลัง

โปรดบันทึกกลไกการคงอยู่ทุกชนิดที่คุณติดตั้งไว้เสมอ เพื่อให้ลูกค้าตรวจสอบการลบได้ การคงอยู่โดยไม่ได้รับอนุญาตเป็นทั้งการกระทำที่ผิดจริยธรรมและผิดกฎหมาย

การใช้เส้นทางผ่านระบบ ใช้โฮสต์ที่ถูกยึดครองเป็นจุดผ่านเพื่อเข้าถึงเครือข่ายที่คุณไม่สามารถเชื่อมต่อได้โดยตรง โฮสต์แรกมักเข้าถึงเครือข่ายย่อยภายในที่ซ่อนจากคุณ

เมื่อกำหนดเส้นทางการรับส่งข้อมูลผ่านโฮสต์นั้น คุณจะขยายการเข้าถึงให้ลึกเข้าไปในสภาพแวดล้อมมากขึ้น ซึ่งสะท้อนวิธีที่ผู้โจมตีจริงเคลื่อนที่ไปด้านข้าง

โมดูลหลังการโจมตี autoroute (หรือคำสั่ง route) บอกให้ Metasploit ส่งการรับส่งข้อมูลสำหรับเครือข่ายย่อยภายในผ่านเซสชันที่มีอยู่

หลังเพิ่มเส้นทางแล้ว โมดูล Metasploit อื่น ๆ จะสามารถสแกนและโจมตีโฮสต์ในเครือข่ายที่ซ่อนอยู่นั้นได้เสมือนว่าคุณอยู่ในเครือข่ายเดียวกัน

หากต้องการใช้เครื่องมือภายนอก Metasploit ผ่านจุดผ่าน ให้ตั้งค่าการส่งต่อดังนี้:

• portfwd: ส่งต่อพอร์ตระยะไกลหนึ่งพอร์ตมายังเครื่องของคุณ
• โมดูลเสริม socks_proxy: เปิดจุดผ่านทั้งหมดเป็นพร็อกซี SOCKS ที่คุณสามารถใช้ร่วมกับ proxychains ได้

เมื่อมีข้อมูลประจำตัวที่เก็บได้และเส้นทางผ่านระบบแล้ว คุณจะเคลื่อนที่แบบ ด้านข้าง ไปยังโฮสต์ภายในอื่น ๆ เทคนิคต่าง ๆ ได้แก่ การนำค่าแฮชรหัสผ่านกลับมาใช้ซ้ำ (pass-the-hash) และการยืนยันตัวตนกับบริการเพิ่มเติม

โฮสต์ใหม่แต่ละเครื่องอาจให้ข้อมูลประจำตัวเพิ่มขึ้น ทำให้เกิดห่วงโซ่ที่แสดงให้เห็นว่าผู้โจมตีอาจเข้าถึงได้ไกลเพียงใด โปรดบันทึกเส้นทางทั้งหมดไว้ในรายงาน

งานระดับมืออาชีพจะจบลงด้วย การล้างระบบ: ลบไฟล์ที่อัปโหลด การคงอยู่ และเส้นทางที่เพิ่มไว้ จากนั้นคืนสภาพแวดล้อม

ผลงานส่งมอบขั้นสุดท้ายของคุณคือรายงานที่ชัดเจน ซึ่งเชื่อมโยงจุดยึด การยกระดับสิทธิ์ การใช้เส้นทางผ่านระบบ และข้อมูลประจำตัวที่เก็บได้แต่ละรายการเข้ากับความเสี่ยงทางธุรกิจและคำแนะนำในการแก้ไข เป้าหมายคือช่วยให้ลูกค้าปรับปรุงระบบ ไม่ใช่เพียงเจาะระบบให้ได้

งานขนาดใหญ่ทำให้เกิดเซสชันจำนวนมาก โปรดจัดระเบียบให้ดี:

• sessions -l แสดงรายการเซสชันที่ใช้งานอยู่ทั้งหมด
• sessions -i N ใช้โต้ตอบกับเซสชันหนึ่งรายการ
• sessions -u N ยกระดับเชลล์พื้นฐานเป็น Meterpreter
• sessions -K ยุติเซสชันทั้งหมดระหว่างการล้างระบบ

การตั้งชื่อและติดตามเซสชันช่วยป้องกันไม่ให้การใช้เส้นทางผ่านระบบที่ซับซ้อนกลายเป็นความยุ่งเหยิง

ระบุเทคนิคที่กำลังอธิบาย

คุณทำงานหลังการโจมตีเสร็จสมบูรณ์แล้ว:

• โมดูลหลังการโจมตี ทำงานกับเซสชันที่มีอยู่เพื่อสำรวจ เก็บข้อมูล และดำเนินการต่าง ๆ
• ข้อมูลที่เก็บได้ (แฮช คีย์ การกำหนดค่า) มักช่วยปลดล็อกระบบเพิ่มเติม
• การคงอยู่ ต้องมีการอนุญาตอย่างชัดเจนและมีการบันทึกการล้างระบบเท่านั้น
• การใช้เส้นทางผ่านระบบ ผ่าน autoroute รวมถึง portfwd/SOCKS ช่วยให้เคลื่อนที่ไปด้านข้างเข้าสู่เครือข่ายที่ซ่อนอยู่ได้
• จบงานด้วย การล้างระบบและการจัดทำรายงาน อย่างละเอียด

ส่วนนี้เป็นการจบหลักสูตรความเชี่ยวชาญ Metasploit Framework ถัดไป: เจาะลึก Nmap