💣Metasploit Payloads
Nota: Este tipo de técnicas son muy invasivas, ya que vamos a ganar acceso a distintos sistemas, por lo que no podemos utilizar estas técnicas sin un consentimiento o aprobación por parte del objetivo
Automatización de Payloads con Metasploit
Metasploit es un marco de ataque automatizado desarrollado por Rapid7 que agiliza el proceso de explotación de vulnerabilidades mediante el uso de módulos prediseñados que contienen opciones fáciles de usar para explotar vulnerabilidades y entregar cargas útiles para obtener un shell en un sistema vulnerable. Puede hacer que explotar un sistema vulnerable sea tan fácil que algunos proveedores de capacitación en ciberseguridad limitan la cantidad de veces que se puede utilizar en los exámenes de laboratorio.
En esta sección, interactuaremos con Metasploit en Kali Linux. Usaremos cargas útiles prediseñadas (modules) y manuales con MSFVenom. Es importante tener en cuenta que muchas empresas de ciberseguridad establecidas utilizan la edición de pago de Metasploit (Metasploit Pro) para realizar pruebas de penetración, auditorías de seguridad e incluso campañas de ingeniería social. Si desea explorar las diferencias entre la edición comunitaria y Metasploit Pro, puede consultar este cuadro comparativo .
Practicando con Metasploit
Podríamos dedicar el resto de este módulo a cubrir todo lo relacionado con Metasploit, pero solo llegaremos a trabajar con los conceptos básicos dentro del contexto de shells y cargas útiles.
Comencemos a trabajar prácticamente con Metasploit iniciando la consola del marco Metasploit como root ( sudo msfconsole)
Iniciando MSF
Podemos ver que hay arte ASCII creativo presentado como banner en el lanzamiento y algunos números de particular interés.
2131Exploits592Payloads
Estos números pueden cambiar a medida que los desarrolladores agregan y eliminan código o si importa un módulo para usarlo en Metasploit. Familiaricémonos con las cargas útiles de Metasploit usando un clásico exploit que puede usarse para comprometer un sistema Windows. Recuerde que Metasploit se puede utilizar para algo más que explotación. También podemos usar diferentes módulos para escanear y enumerar objetivos.
En este caso, usaremos los resultados de la enumeración de un escaneo nmap para elegir un módulo de Metasploit para usar.
Escaneo NMAP
En el resultado, vemos varios puertos estándar que normalmente están abiertos en un sistema Windows de forma predeterminada. Recuerde que el escaneo y la enumeración es una excelente manera de saber qué sistema operativo (Windows o Linux) está ejecutando nuestro objetivo para encontrar un módulo apropiado para ejecutar con Metasploit. Vayamos con SMB(puerto 445) como vector de ataque potencial.
Una vez que tengamos esta información, podemos usar la función de búsqueda de Metasploit para descubrir módulos asociados con SMB. En msfconsole, podemos emitir el comando search para obtener una lista de módulos asociados con vulnerabilidades SMB:
Buscando dentro de Metasploit
Veremos una larga lista de modulos asociados a nuestra búsqueda. Observe el formato en el que se encuentra cada módulo. Cada módulo tiene un número que aparece en el extremo izquierdo de la tabla para facilitar la selección del módulo : a Name,, y .Disclosure DateRankCheckDescription
El número a la "izquierda" de cada módulo potencial es un número relativo basado en su búsqueda que puede cambiar a medida que se agregan módulos a Metasploit. No espere que este número coincida cada vez que realice la búsqueda o intente utilizar el módulo.
Veamos un módulo en particular para entenderlo en el contexto de las cargas útiles.
56 exploit/windows/smb/psexec
Output | Significado |
| El número asignado al módulo en la tabla dentro del contexto de la búsqueda. Este número facilita la selección. Podemos usar el comando |
| Esto define el tipo de módulo. En este caso, se trata de un módulo de explotación. Muchos módulos de explotación en MSF incluyen la carga útil que intenta establecer una sesión de shell. |
| Esto define la plataforma a la que nos dirigimos. En este caso, sabemos que el objetivo es Windows, por lo que el exploit y la carga útil serán para Windows. |
| Esto define el servicio para el cual se escribe la carga útil en el módulo. |
| Esto define la herramienta que se cargará en el sistema de destino si es vulnerable. |
Una vez que seleccionemos el módulo, notaremos un cambio en el mensaje que nos brinda la posibilidad de configurar el módulo en función de parámetros específicos de nuestro entorno.
Selección de opciones
Observe cómo exploit está fuera del paréntesis. Esto puede interpretarse como que el tipo de módulo MSF es un exploit y que el exploit y la carga útil específicos están escritos para Windows. El vector de ataque es SMB, y la carga útil de Meterpreter se entregará mediante psexec . Aprendamos más sobre el uso de este exploit y la entrega de la carga útil mediante el optionscomando.
Examinar las opciones de un exploit
Esta es un área donde Metasploit brilla en términos de facilidad de uso. En la salida de las opciones del módulo, vemos varias opciones y configuraciones con una descripción de lo que significa cada configuración. No usaremos SERVICE_DESCRIPTION y SERVICE_DISPLAY_NAME en SERVICE_NAMEesta sección. Observe cómo este exploit en particular utilizará una conexión de shell TCP inversa utilizando Meterpreter. Un shell Meterpreter nos brinda mucha más funcionalidad que un shell inverso TCP sin formato, como establecimos en las secciones anteriores de este módulo. Es la carga útil predeterminada que se utiliza en Metasploit.
Utilizamos el comando set para configurar los siguientes ajustes como tales:
Opciones de configuración
Estas configuraciones garantizarán que nuestra carga útil se entregue al destino adecuado ( RHOSTS), se cargue en el recurso compartido administrativo predeterminado ( ADMIN$) utilizando credenciales ( SMBPass& SMBUser) y luego inicie una conexión de shell inversa con nuestra máquina host local ( LHOST).
Estas configuraciones serán específicas de la dirección IP en su cuadro de ataque y en el cuadro de destino. Además de las credenciales, puede reunirse para un compromiso. Podemos configurar la dirección IP del túnel VPN LHOST (host local) o la ID de la interfaz del túnel VPN.
Exploit
Después de ejecutar el comando exploit, se ejecuta el exploit y se intenta entregar la carga útil al objetivo utilizando la carga útil de Meterpreter. Metasploit informa cada paso de este proceso, como se ve en el resultado. Sabemos que esto fue exitoso porque se envió el stage exitosamente, lo que estableció una sesión de shell de Meterpreter ( meterpreter >) y una sesión de shell a nivel de sistema. Tenga en cuenta que Meterpreter es una carga útil que utiliza la inyección de DLL en memoria para establecer sigilosamente un canal de comunicación entre una caja de ataque y un objetivo. Las credenciales y el vector de ataque adecuados pueden brindarnos la capacidad de cargar y descargar archivos, ejecutar comandos del sistema, ejecutar un registrador de teclas, crear/iniciar/detener servicios, administrar procesos y más.
En este caso, como se detalla en la documentación del módulo Rapid 7 : "Este módulo utiliza un nombre de usuario y contraseña de administrador válidos (o hash de contraseña) para ejecutar una carga útil arbitraria. Este módulo es similar a la utilidad "psexec" proporcionada por SysInternals. Este módulo "Ahora puede limpiarse por sí mismo. El servicio creado por esta herramienta utiliza un nombre y una descripción elegidos al azar".
Al igual que otros intérpretes de lenguaje de comandos (Bash, PowerShell, ksh, etc.), las sesiones de shell de Meterpreter nos permiten emitir un conjunto de comandos que podemos usar para interactuar con el sistema de destino. Podemos usar ? para ver una lista de comandos que podemos usar. Notaremos limitaciones con el shell Meterpreter, por lo que es bueno intentar usar el comando shell para colocarlo en un shell a nivel de sistema si necesitamos trabajar con el conjunto completo de comandos del sistema nativos de nuestro objetivo.
Shell interactiva en Windows
Podemos ingresar a un shell del sistema ( shell) para obtener acceso al sistema de destino como si estuviéramos conectados y abrir una consola CMD.exe.
Shell interactiva en Linux
Vemos que en Linux al cambiar a shell tiene funcionalidad limitada y no aparece el nombre de usuario
Generando un Shell TTY con Python
Cuando ingresamos al shell del sistema Linux, notamos que no hay ningún mensaje presente, pero aún podemos emitir algunos comandos del sistema. Este es un shell al que normalmente se hace referencia como non-tty shell. Estos shells tienen una funcionalidad limitada y a menudo pueden impedir el uso de comandos esenciales como su( switch user) y sudo( super user do), que probablemente necesitaremos si buscamos escalar privilegios. Esto sucedió porque el usuario de Apache ejecutó la carga útil en el objetivo. Nuestra sesión se establece como usuario de apache. Normalmente, los administradores no acceden al sistema como usuarios de Apache, por lo que no es necesario definir un lenguaje de intérprete de shell en las variables de entorno asociadas con Apache.
Podemos generar manualmente un shell TTY usando Python si está presente en el sistema. Siempre podemos comprobar la presencia de Python en los sistemas Linux escribiendo el comando: which python. Para generar la sesión de shell TTY usando Python, escribimos el siguiente comando:
Este comando usa Python para importar el módulo pty y luego usa la función pty.spawn para ejecutar bourne shell binary( /bin/sh). Ahora tenemos un mensaje ( sh-4.2$) y acceso a más comandos del sistema para movernos por el sistema como queramos.
Metasploit Cheatsheet
En la siguiente sección recojo los comandos fundamentales para realizar una explotación avanzada con Metasploit:
🧨MetaSploitÚltima actualización
