Instructeur: In de lezing
van vandaag gaan we wat basiskennis opdoen
over de interactie met metaploits interpreter.
Dus ik heb hier al een sessie, en zoals
je ziet is het gewoon meterpreter.
In Linux, in alles, in elke commandoregel, is het help-commando
altijd het beste commando dat je kunt uitvoeren.
Dus het eerste wat we gaan doen,
is een hulp doen.
En zoals je ziet krijgen we een grote lijst
van alle commando's die je kunt uitvoeren,
en een beschrijving van wat elk van deze commando's doet.
Dus, ik ga je nu wat basisbeginselen laten zien,
het eerste wat ik je wil laten
zien is het achtergrond commando.
Dus achtergrond zal
in principe de huidige sessie, dus in een terminator sessie,
het zal gewoon, het is zeer vergelijkbaar
met het minimaliseren van een venster.
Dus als ik background uitvoer, ga ik terug naar metasploit,
zoals je daar kunt zien, en kan
ik andere metasploit-exploits uitvoeren om de doelmachine
verder te exploiteren, of gewoon om andere machines
te exploiteren.
Terwijl ik mijn verbinding behoud met de
computer die ik net gehackt heb.
Dus, om een lijst te zien van alle computers of
de sessies die we hebben,
kunnen we gewoon sessies,
L, uitvoeren om de huidige sessies op te sommen,
en zoals je kunt zien hebben
we hier een sessie, meterpreter,
dus die is er nog steeds, we zijn hem niet kwijtgeraakt, en hij staat
tussen ons apparaat en het doelapparaat, dat 206 is, nu hoef ik alleen
maar sessies opnieuw uit te voeren, min I voor interactie, en dan zet ik nummer twee, dat is het
ID van de sessie.
En zoals je ziet ben ik terug in de meterpreter sessie.
Een ander commando dat ik
je wil laten zien
is sysinfo, en dit zie je elke
keer als ik in een systeem inbreek, en de reden voor
dit commando, het laat je informatie zien over de
doelcomputer, dus het laat ons de computernaam zien, hier,
we kunnen het besturingssysteem van de doelcomputer zien, en het draait
Windows 10, we kunnen de architectuur zien,
dus het is een 64-bit computer, dus
in de toekomst als je wat uitvoerbare bestanden wilt
draaien op dat doel, weten we dat het
een 64-bit is en maken we een 64-bit uitvoerbare bestanden, we kunnen zien
dat de taal Engels is, de werkgroep
waarop het werkt, en de gebruikers-ID
waarop het is ingelogd, en dan kunnen we de versie van meterpreter
zien die draait op de doelmachine, en het is eigenlijk
een 32-bit versie van meterpreter.
Een ander nuttig commando voor het verzamelen
van informatie is IP-config, nu lijkt IP-config erg op de IP-config
die je krijgt als je op de Windows machine
op de opdrachtprompt draait, en het toont je alle interfaces die verbonden zijn met de
doelcomputer, we kunnen bijvoorbeeld hier interface één zien, we kunnen het MAC-adres zien, we kunnen het IP-adres zien, en bijvoorbeeld
hier, dit is de interface die verbonden
is met ons netwerk, en degene waarvan we de verbinding kregen, dus als het apparaat verbonden is met meerdere netwerken, zul
je in staat zijn om alle interfaces te zien en hoe ermee te communiceren.
Een ander nuttig commando dat u kunt uitvoeren
om informatie te verzamelen is
PS. PS geeft een lijst van alle processen
die op de doelcomputer draaien.
Dit kunnen dus achtergrondprocessen zijn of echte
programma's die op de voorgrond draaien als Windows-programma's
of GUI's.
Je ziet hier elk proces, de naam
van het proces, en dan
de ID, of de PID, waarin het
draait.
Een interessant proces is de verkenner. exe, en dat is letterlijk
de grafische interface van Windows, en we kunnen zien dat het draait
op proces ID 2116, nu een heel goed idee als je inbreekt in een
systeem, is om het proces, het huidige
proces waarop je draait te migreren
naar een proces dat veiliger is dan je huidige proces.
De verkenner is bijvoorbeeld de grafische interface van Windows,
dus die draait altijd zolang de
persoon zijn toestel gebruikt.
Het is dus veel veiliger dan het proces waarmee
je toegang kreeg tot de computer, als
je bijvoorbeeld toegang
kreeg via een executable, of een
programma, verlies je je proces
zodra de persoon dat programma afsluit, dus een betere
manier is om te migreren naar een proces dat minder snel wordt
afgesloten, of beëindigd, dus wat we
gaan doen, we gaan een commando gebruiken
genaamd migreren, om onze huidige sessie naar een ander proces te verplaatsen, en we gaan het explorer proces gebruiken omdat het erg veilig is, Zet 2115, en er is natuurlijk geen dergelijk proces, dus het
zou 2116 moeten zijn, en de migratie is nu succesvol, dus de meterpreter draait op dit moment vanuit
de explorer.
exe,
als we nu naar het taakbeheer
gaan op de doelcomputer, en mijn systeemmonitor uitvoeren, of
resource monitor, sorry.
Als we nu naar het netwerk
gaan, en naar CP verbindingen gaan, zie je dat
de verbinding hier op poort 8080, van de verkenner
komt. exe, dus het komt niet
van een kwaadaardig bestand, onze payload
of backdoor draait eigenlijk via de verkenner,
als je nu firefox of chrome
ziet, kun je migreren naar dat proces,
en vooral dat je verbinding maakt
via poort 8080, of je kunt 80 gebruiken,
dan ziet het er nog minder verdacht uit
omdat 80 en 8080 de poorten zijn die gebruikt
worden door webservers, dus het is heel natuurlijk of heel normaal
om een verbinding te hebben op poort 80 of
8080.