Instruktor:
W dzisiejszym wykładzie nauczymy
się podstaw interakcji z tłumaczem metaploitów.
Mam już sesję tutaj,
a jak widać, po prostu licznik.
W Linuksie we wszystkim, w każdym wierszu
poleceń, polecenie pomocy jest zawsze najlepszym poleceniem, jakie można uruchomić.
Więc pierwszą rzeczą, którą
zrobimy, pomożemy.
Jak widzimy, otrzymujemy dużą
listę wszystkich poleceń, które można
uruchomić, oraz opis działania każdego z tych poleceń.
Pokażę wam teraz podstawy, pierwszą rzeczą,
którą chcę wam
pokazać, jest polecenie w tle.
Tak więc
tło będzie zasadniczo tło bieżącej sesji, więc w
jednej sesji terminatora będzie
to po prostu bardzo podobne do minimalizowania okna.
Więc kiedy uruchomię tło, wrócę do metasploit,
jak widać,
i mogę uruchomić inne exploity metasploit,
aby dalej wykorzystać maszynę docelową lub
po prostu wykorzystać inne maszyny.
Podczas utrzymywania połączenia z komputerem,
który właśnie zhakowałem.
Tak więc, aby zobaczyć listę wszystkich komputerów lub sesji,
które mamy, możemy po
prostu uruchomić sesje,
L, aby wyświetlić listę bieżących sesji, i jak widać,
mamy tutaj sesję, licznik, więc
nadal tam jest, my nie zgubiłem
go i znajduje się między naszym urządzeniem a
urządzeniem docelowym, czyli 206,
teraz, jeśli chcę wrócić do tej sesji,
aby ponownie wejść w interakcję z
licznikiem, wszystko, co muszę zrobić, to
ponownie uruchomić sesje, minus I za
interakcję, a potem wstawię numer
dwa, który jest identyfikatorem sesji.
I jak widać, wróciłem do sesji licznika.
Kolejnym poleceniem, które
chcę
ci pokazać, jest sysinfo
i widzisz, że uruchamiam to za każdym
razem, gdy włamuję się do systemu, a
powód tego polecenia pokazuje informacje o komputerze docelowym, więc
pokazuje nam nazwę komputera, prawda tutaj widzimy system operacyjny komputera docelowego,
a na
nim działa
system Windows 10, widzimy architekturę,
więc jest to komputer 64-bitowy, więc w przyszłości,
jeśli chcesz uruchomić niektóre pliki
wykonywalne na tym celu, wiemy jest 64-bitowy i tworzymy 64-bitowe pliki
wykonywalne, widzimy, że językiem jest
angielski, grupa robocza, nad którą on
pracuje, i identyfikator użytkownika, który jest zalogowany, a następnie możemy
zobaczyć wersję miernika, który
jest działający na
docelowej maszynie, a właściwie jest to 32-bitowa
wersja miernika wydajności.
Innym przydatnym poleceniem do zbierania
informacji jest konfiguracja IP, teraz konfiguracja IP jest bardzo
podobna do konfiguracji IP, którą
otrzymujesz, gdy uruchamiasz się na komputerze z systemem Windows
w wierszu polecenia,
i pokaże ci wszystkie interfejsy podłączone do komputer docelowy,
możemy
zobaczyć na przykład, tutaj
interfejs pierwszy, możemy
zobaczyć adres MAC, możemy zobaczyć
adres IP, i na przykład tutaj jest to
interfejs podłączony do naszej
sieci i ten, który otrzymaliśmy połączenie
z, więc jeśli urządzenie jest podłączone do wielu
sieci, zobaczysz wszystkie interfejsy
i sposób interakcji z nimi.
Innym przydatnym poleceniem gromadzenia informacji, które
można uruchomić, jest
PS, teraz PS wyświetli listę
wszystkich procesów uruchomionych na komputerze docelowym.
Mogą to być procesy działające w tle lub
rzeczywiste programy działające na pierwszym planie jako
programy systemu Windows lub GUI.
Tutaj możesz zobaczyć każdy proces, nazwę procesu,
a następnie możesz zobaczyć
identyfikator lub identyfikator PID, w którym
jest uruchomiony.
Ciekawym procesem jest odkrywca. exe, i to
dosłownie graficzny interfejs systemu Windows, i widzimy, że działa on
na ID procesu 2116, teraz bardzo dobrym pomysłem po
włamaniu się do systemu jest migracja
procesu, bieżącego procesu, na którym
pracujesz w proces, który jest bezpieczniejszy niż
obecny proces.
Na przykład eksplorator jest interfejsem graficznym systemu Windows, więc
zawsze działa tak długo,
jak dana osoba używa swojego urządzenia.
Jest to więc znacznie bezpieczniejsze niż proces
uzyskiwania dostępu do komputera, na przykład,
jeśli uzyskałeś dostęp
za pomocą pliku wykonywalnego lub
programu, proces zostanie utracony,
gdy tylko osoba zamknie ten
program, więc
lepszym sposobem jest migracja do procesu, który rzadziej zostanie
zamknięty lub zakończony, więc co zrobimy,
użyjemy polecenia migruj, aby przenieść
naszą bieżącą sesję do innego procesu , i użyjemy
procesu eksploratora, ponieważ jest
bardzo bezpieczny, Put
2115,
i oczywiście nie ma
takiego procesu, więc powinien
to być 2116, a
migracja zakończyła się powodzeniem, więc licznik w tym
momencie biegnie od eksploratora. exe, teraz jeśli przejdziemy do
menedżera zadań
na komputerze docelowym i uruchomimy monitor systemu
lub monitor zasobów, przepraszam.
Teraz, jeśli przejdziemy
do sieci i przejdziemy do połączeń CP,
zobaczysz, że połączenie tutaj na porcie 8080 pochodzi
od eksploratora. exe, więc
nie pochodzi ze złośliwego pliku, nasz
ładunek lub backdoor faktycznie działa przez eksplorator,
teraz jeśli widzisz
Firefoxa lub Chrome, możesz migrować do
tego procesu, a zwłaszcza,
że łączysz się przez
port 8080 lub może korzystać z
80, wtedy będzie wyglądać jeszcze mniej
podejrzanie, ponieważ 80 i 8080 to porty używane przez serwery sieciowe,
więc połączenie z portem 80 lub
8080 jest bardzo naturalne lub bardzo normalne.