Dozent: In
der heutigen Vorlesung lernen wir
einige Grundlagen zur Interaktion mit dem Metaploit-Interpreter.
Ich habe also schon eine Sitzung
hier, und wie Sie sehen können, nur meterpreter.
Unter Linux ist der Befehl help in
jeder Befehlszeile immer der beste Befehl, den Sie ausführen können.
Als erstes werden wir
eine Hilfe leisten.
Und wie Sie sehen, erhalten
wir eine große Liste aller Befehle,
die Sie ausführen können, sowie eine Beschreibung der einzelnen Befehle.
Ich werde Ihnen jetzt ein paar Grundlagen zeigen.
Das erste, was ich
Ihnen zeigen möchte, ist der Hintergrundbefehl.
Der Hintergrund
wird also im Grunde genommen die aktuelle Sitzung
im Hintergrund darstellen. In einer
Abschlusssitzung ist dies also der Minimierung eines Fensters sehr ähnlich.
Wenn ich also den Hintergrund laufen lasse, gehe
ich zurück zu
Metasploit, wie Sie dort sehen können, und ich
kann andere Metasploit-Exploits ausführen, um den Zielcomputer weiter
auszunutzen oder nur um andere Computer auszunutzen.
Während ich meine Verbindung zu dem Computer aufrechterhielt,
den ich gerade gehackt habe.
Um eine Liste aller Computer oder der Sitzungen anzuzeigen, die wir
haben, können wir einfach
Sitzungen ausführen, L,
um die aktuellen Sitzungen aufzulisten, und wie Sie sehen können,
haben wir hier eine Sitzung,
meterpreter, also ist sie immer noch da
Ich habe es nicht verloren und es befindet sich
zwischen unserem Gerät und dem
Zielgerät (206). Damit ich in diese Sitzung zurückkehren
und wieder mit dem Messgerät interagieren kann,
muss ich nur die Sitzungen erneut ausführen.
Minus ich für die Interaktion, und dann
werde ich Nummer zwei setzen, die
die ID der Sitzung ist.
Und wie Sie sehen, bin ich wieder in der Messsitzung.
Ein weiterer Befehl, den
ich
Ihnen zeigen möchte, ist
sysinfo. Sie sehen, wie ich ihn jedes Mal ausführe,
wenn ich mich in ein System einhacke. Als Grund
für diesen Befehl werden Informationen über den Zielcomputer angezeigt, also
zeigt er uns den Computernamen, richtig Hier sehen wir das Betriebssystem des Zielcomputers
und es wird
Windows 10 ausgeführt.
Wir sehen die Architektur. Es handelt
sich also um einen 64-Bit-Computer. Wenn Sie also in
Zukunft einige ausführbare Dateien auf diesem
Ziel ausführen möchten, wissen wir Bescheid Es ist eine 64-Bit-Version und wir erstellen
ausführbare 64-Bit-Dateien. Wir können sehen, dass
die Sprache Englisch ist, die Arbeitsgruppe, an
der gearbeitet wird, und die Benutzer-ID, bei der es angemeldet ist. Dann
können wir die Version von
meterpreter sehen, die ist
Läuft auf dem Zielcomputer und ist eigentlich eine
32-Bit-Version von meterpreter.
Ein weiterer nützlicher Befehl zum Sammeln
von Informationen ist IP-config. Jetzt ist IP config der
IP-config sehr ähnlich, die Sie
erhalten, wenn Sie auf dem Windows-Computer an der Eingabeaufforderung ausgeführt
werden, und zeigt Ihnen
alle Schnittstellen an, die mit dem verbunden sind Auf dem
Zielcomputer sehen
wir zum Beispiel die erste
Schnittstelle, wir sehen die
MAC-Adresse, wir sehen die IP-Adresse,
und hier ist zum Beispiel die Schnittstelle, die mit
unserem Netzwerk verbunden ist,
und die, die wir haben Verbindung
von. Wenn das Gerät also mit mehreren Netzwerken verbunden
ist, können Sie alle
Schnittstellen und deren Interaktion sehen.
Ein weiterer nützlicher Befehl zum Sammeln von Informationen,
den Sie ausführen können,
ist PS. Jetzt listet PS alle
Prozesse auf, die auf dem Zielcomputer ausgeführt werden.
Dies können also Hintergrundprozesse oder tatsächliche Programme
sein, die als Windows-Programme oder GUIs
im Vordergrund ausgeführt werden.
Hier sehen Sie jeden Prozess, den Namen des
Prozesses und dann die ID
oder die PID, in der er
ausgeführt wird.
Ein interessanter Prozess ist der Entdecker. exe, und das ist buchstäblich
die grafische Oberfläche von Windows, und wir können sehen, dass es auf der Prozess-ID
2116 ausgeführt wird. Sobald Sie sich in ein System gehackt haben, ist
es eine sehr gute Idee, den Prozess,
den aktuellen Prozess, auf dem Sie ausgeführt
werden, zu migrieren in einen Prozess, der sicherer als Ihr
aktueller Prozess ist.
Der Explorer ist beispielsweise die grafische Oberfläche von Fenstern, sodass
er immer ausgeführt wird,
solange die Person ihr Gerät verwendet.
Es ist also viel sicherer als der Prozess, über
den Sie Zugriff auf den Computer erhalten
haben. Wenn Sie beispielsweise
über eine ausführbare Datei oder ein
Programm Zugriff erhalten haben, verlieren
Sie Ihren Prozess, sobald die Person
dieses Programm schließt.
A Besser ist es, zu einem Prozess zu migrieren, bei dem
die Wahrscheinlichkeit geringer ist, dass er geschlossen oder
beendet wird. Daher verwenden wir den Befehl
migrate, um unsere aktuelle Sitzung in einen anderen Prozess zu verschieben
, und wir werden den
Explorer-Prozess verwenden, weil er
sehr sicher
ist, Put 2115, und es
gibt offensichtlich keinen solchen Prozess.
Es sollte also 2116 sein,
und die Migration ist jetzt erfolgreich, sodass der Meterpreter im
Moment vom Explorer ausgeführt wird. exe, jetzt, wenn wir
zum Task-Manager
auf dem Zielcomputer gehen und meinen Systemmonitor
oder Ressourcenmonitor ausführen, sorry.
Wenn wir jetzt in
ein Netzwerk gehen und CP-Verbindungen herstellen, werden Sie
feststellen, dass die Verbindung hier auf Port 8080 vom
Explorer stammt. Wenn
Sie Firefox oder Chrome sehen,
können Sie zu diesem Prozess migrieren und
insbesondere, dass Sie
eine Verbindung über Port 8080
herstellen oder Sie kann
80 verwenden, dann sieht
es noch weniger verdächtig aus,
da 80 und 8080 die von
Webservern verwendeten Ports sind. Es ist also sehr natürlich oder
ganz normal, eine Verbindung über
Port 80 oder 8080 zu haben.