Instructeur: Dans la
conférence d'aujourd'hui, nous allons apprendre quelques notions
de base sur la manière d'interagir avec un interpréteur de méta-exploits.
Donc, j'ai déjà une session ici,
et comme vous pouvez le voir, c'est juste metrepreter.
Sous Linux, dans toutes les lignes de commande,
la commande help est toujours la meilleure que vous puissiez exécuter.
Donc, la première chose que nous allons
faire, nous allons faire une aide.
Et comme vous pouvez le constater,
nous obtenons une grande liste de toutes les
commandes que vous pouvez exécuter et une description de chacune de ces commandes.
Donc, je vais vous montrer quelques bases tout de suite,
la première chose que je
veux vous montrer est la commande background.
Donc background
sera fondamentalement à l'arrière-plan de la session en
cours, donc dans une session
de terminateur, cela ressemblera simplement à la réduction d'une fenêtre.
Ainsi, lorsque je suis en tâche de fond, je
reviens à metasploit, comme
vous pouvez le voir, et je peux exécuter d'autres
exploits de métasploit pour exploiter davantage la machine
cible, ou simplement pour exploiter d'autres machines.
Tout en maintenant ma connexion à l'ordinateur
que je viens de pirater.
Donc, pour voir une liste de tous les ordinateurs ou des sessions
que nous avons, nous pouvons
simplement lancer des sessions,
L, pour lister les sessions en cours, et comme vous pouvez
le voir, nous avons une session
ici, meterpreter, donc elle est toujours là, nous
je ne l'ai pas perdue, et c'est entre notre périphérique et
le périphérique cible, qui est
206, maintenant si je veux revenir dans cette session,
pour interagir à nouveau avec meterpreter, tout ce
que j'ai à faire est d'exécuter à nouveau
les sessions, moins je pour interagir, et
ensuite je vais mettre le numéro deux,
qui est l'identifiant de la session.
Et comme vous pouvez le constater, je suis de retour dans la session metrepreter.
Une autre commande que
je
veux vous montrer est le
sysinfo, et vous me voyez courir à chaque fois
que je pirate un système, et la raison de
cette commande, elle vous montre des informations sur l'ordinateur cible, donc
le nom de l'ordinateur, à droite ici, nous pouvons voir le système d’exploitation de
l’ordinateur cible, et il
exécute Windows 10,
nous pouvons voir l’architecture; il s’agit
donc d’un ordinateur 64 bits. Par conséquent, si vous vouliez
exécuter des exécutables sur cette cible, nous
savons que c'est un 64 bits et nous créons des exécutables 64 bits, nous
pouvons voir que la langue est l'anglais,
le groupe de travail sur lequel il
travaille et l'ID utilisateur dans lequel il est connecté, puis nous pouvons voir
la version de meterpreter qui est
exécuté sur la machine
cible, et il s’agit en fait d’une version
32 bits de meterpreter.
IP-config est une autre commande utile pour
la collecte d’informations. IP config est très similaire à la
configuration IP que vous obtenez lorsque
vous vous exécutez sur la machine Windows à l’invite de
commande. Elle vous montrera
toutes les interfaces connectées à la ordinateur cible, on peut voir
par exemple,
ici une interface, on peut
voir l’adresse MAC, on
peut voir l’adresse IP, et par
exemple ici, c’est l’interface qui est connectée à notre réseau,
et celle que nous avons
eue connexion à partir de, donc si
le périphérique est connecté à plusieurs réseaux, vous pourrez
voir toutes les interfaces
et savoir comment interagir avec elles.
PS est une autre commande utile de collecte
d’informations, à savoir PS.
Désormais, PS répertoriera tous les
processus en cours d’exécution sur l’ordinateur cible.
Il peut donc s'agir de processus en arrière-plan ou
de programmes exécutés au premier plan en tant
que programmes Windows ou interfaces graphiques.
Vous pouvez voir chaque processus ici, le nom
du processus, puis vous pouvez
voir l'ID ou le PID dans lequel
il s'exécute.
Un processus intéressant est l'explorateur. exe, et c’est littéralement
l’interface graphique de Windows, et nous pouvons voir qu’il s’exécute sur
le processus ID 2116, une très bonne idée maintenant, une
fois que vous piratez un système,
est de migrer le processus actuel.
dans un processus qui est plus sûr que
votre processus actuel.
Par exemple, l'explorateur est l'interface graphique de Windows. Il est
donc toujours actif tant
que la personne utilise son appareil.
Ainsi, il est beaucoup plus sûr que le processus
par lequel vous avez obtenu votre accès à
l’ordinateur via, par exemple,
si vous l’avez obtenu via un
exécutable ou un programme, vous
perdrez votre processus dès que la personne
aura fermé ce programme.
La meilleure façon de procéder consiste à migrer vers un processus moins
susceptible d'être fermé ou fermé. Nous allons donc
utiliser une commande appelée migrate pour déplacer
notre session actuelle vers un processus différent. et nous allons utiliser
le processus de l'explorateur car
il est très sûr,
Put 2115,
et il n'y en a
évidemment pas, ce devrait donc
être 2116, et la migration
réussit maintenant, donc le compteur est en ce moment en cours
d'exécution à partir de l'explorateur. exe, maintenant, si nous allons au
gestionnaire de tâches
sur l’ordinateur cible et exécutons mon moniteur système, ou
moniteur de ressources, désolé.
Maintenant, si nous allons
sur le réseau et que nous allons dans les connexions
CP, vous verrez que la connexion ici sur le port 8080
provient de l'explorateur. exe, donc
cela ne provient pas d’un fichier malveillant,
notre charge utile ou notre porte dérobée est en
fait exécutée par l’explorateur. Désormais,
si vous voyez Firefox ou Chrome, vous
pouvez migrer vers ce processus, et
surtout si vous vous connectez
via le port 8080, ou vous-même. peut
utiliser 80, alors cela aura l'air encore moins
suspect car 80 et 8080 sont les ports utilisés par les serveurs Web,
il est donc très naturel ou très normal
d'avoir une connexion sur le port 80 ou 8080.