教师：在今天的讲座中,
我们将学习一些关于如何与metapploits解释器交互的基础知识｡
我已经有了一个会话, 正如你所看到的,
它只是meterpreter｡
在Linux中, 在任何情况下, 在每个命令行中,
help命令总是您可以运行的最佳命令｡
所以我们要做的第一件事,
我们要做一个帮助｡
如您所见, 我们得到了一个可以运行的所有命令的大列表,
以及对每个命令的功能的描述｡
现在我将向您展示一些基础知识,
首先我要向您展示的是后台命令｡
因此, 背景基本上是当前会话的背景,
因此在一个终结器会话中, 它将只是, 这与最小化窗口非常相似｡
因此, 当我在后台运行时, 我将返回到metasploit,
如您所见, 我可以运行其他metasploit漏洞利用程序,
以进一步利用目标计算机, 或者只是利用其他计算机｡
同时保持我和刚黑进去的电脑的连接｡
要查看所有计算机或会话的列表, 我们只需运行会话L,
列出当前会话｡ 如您所见, 我们这里有一个会话meterpreter, 它仍然存在, 我们没有丢失它, 它位于我们的设备和目标设备206之间, 现在, 如果我想返回该会话,
再次与meterpreter交互, 我所要做的就是再次运行会话, 减去I表示交互, 然后我将输入2号, 即会话的ID｡
你们可以看到, 我又回到了仪表解释器阶段｡
我想向大家展示的另一个命令是sysinfo, 每次我入侵系统时都会运行这个命令｡
之所以使用这个命令, 是因为它向大家显示了目标计算机的信息, 也就是计算机名称｡
在这里, 我们可以看到目标计算机的操作系统,
它运行的是Windows 10, 我们可以看到它的体系结构, 因此它是一台64位计算机, 将来, 如果您想在该目标上运行一些可执行文件, 我们知道它是64位的, 我们创建一个64位可执行文件, 我们可以看到语言是英语, 它正在工作的工作组,
以及它登录的用户ID, 然后我们可以看到目标计算机上运行的meterpreter版本, 它实际上是32位版本的meterpreter｡
另一个用于收集信息的有用命令是IP-config｡
现在, IP config与您在Windows计算机的命令提示符下运行时获得的IP config非常相似, 它将显示连接到目标计算机的所有接口,
例如, 我们可以看到接口1, 我们可以看到MAC地址, 我们可以看到IP地址, 例如, 这是连接到我们网络的接口, 也是我们从中获得连接的接口, 因此, 如果设备连接到多个网络, 您将能够看到所有接口以及如何与它们交互｡
您可以运行的另一个有用的信息收集命令是PS,
现在PS将列出目标计算机上正在运行的所有进程｡
因此, 这些可能是后台进程, 也可能是作为Windows程序或GUI在前台运行的实际程序｡
您可以在这里看到每个进程, 进程的名称,
然后您可以看到它正在运行的ID或PID｡
一个有趣的过程是探索者｡ exe, 这就是Windows的图形界面,
我们可以看到它运行在ID为2116的进程上, 现在一个非常好的主意是, 一旦你入侵了一个系统, 就把这个进程, 你当前运行的进程,
迁移到一个比你当前进程更安全的进程中｡
例如, 资源管理器是windows的图形界面,
所以只要用户在使用他们的设备,
它就一直在运行｡
因此, 它比您访问计算机时所使用的进程要安全得多｡
例如, 如果您通过可执行文件或程序获得访问权限,
那么一旦该人关闭该程序, 您就会丢失您的进程｡ 因此, 更好的方法是迁移到一个不太可能被关闭或终止的进程｡ 因此, 我们要做的是, 我们将使用一个名为migrate的命令,
将当前会话移动到另一个进程中, 我们将使用资源管理器进程,
因为它非常安全, Put 2115, 显然没有这样的进程, 因此应该是2116,
现在迁移成功了, 所以此刻的仪表解释器正在从探测器运行｡
exe,
现在如果我们转到目标计算机上的任务管理器,
并运行我的系统监视器, 或资源监视器, 对不起｡
现在, 如果我们进入网络,
进入CP连接, 您会看到端口8080上的连接来自资源管理器｡
exe,
所以它不是来自恶意文件, 我们的有效负载或后门实际上是通过资源管理器运行的, 现在,
如果您看到Firefox或Chrome,
您可以迁移到该进程, 特别是您通过端口8080连接,
或者您可以使用80, 这样看起来就更不可疑了, 因为80和8080是Web服务器使用的端口, 因此在端口80或8080上建立连接是非常自然或正常的｡