ผู้สอน: ในการบรรยายวันนี้
เราจะเรียนรู้พื้นฐานบางประการเกี่ยวกับวิธีการโต้ตอบกับล่าม
metaploits
ฉันมีเซสชั่นที่นี่แล้ว และอย่างที่คุณเห็นมันก็แค่มิเตอร์มิเตอร์
ใน Linux ในทุกสิ่ง ในทุกบรรทัดคำสั่ง คำสั่ง help
เป็นคำสั่งที่ดีที่สุดที่คุณสามารถเรียกใช้ได้เสมอ
สิ่งแรกที่เราจะทำคือ
เราจะช่วย
และอย่างที่คุณเห็น เราได้รับรายการคำสั่งจำนวนมากที่คุณสามารถเรียกใช้ได้
และคำอธิบายว่าแต่ละคำสั่งเหล่านี้ทำอะไรได้บ้าง
ดังนั้น ผมจะแสดงข้อมูลพื้นฐานให้คุณทราบในตอนนี้
สิ่งแรกที่ผมต้องการแสดงให้คุณเห็นคือคำสั่งพื้นหลัง
ดังนั้นโดยพื้นฐานแล้ว
พื้นหลังจะเป็นพื้นหลังของเซสชันปัจจุบัน ดังนั้นในเซสชัน
Terminator หนึ่งเซสชัน มันจะเหมือนกับการย่อหน้าต่างให้เล็กสุด
ดังนั้นเมื่อฉันเรียกใช้พื้นหลัง ฉันจะกลับไปที่ metasploit
อย่างที่คุณเห็น และฉันสามารถเรียกใช้การใช้ประโยชน์จาก
metasploit อื่น ๆ เพื่อใช้ประโยชน์จากเครื่องเป้าหมายเพิ่มเติม หรือเพียงเพื่อใช้ประโยชน์จากเครื่องอื่น
ในขณะที่ยังคงเชื่อมต่อกับคอมพิวเตอร์ที่ฉันเพิ่งถูกแฮ็ก
ดังนั้น หากต้องการดูรายการคอมพิวเตอร์ทั้งหมดหรือเซสชันที่เรามี
เราสามารถเรียกใช้เซสชัน
L เพื่อแสดงรายการเซสชันปัจจุบัน
และอย่างที่คุณเห็น เรามีเซสชันที่นี่ เครื่องวัดมิเตอร์ ดังนั้นมันก็ยังอยู่ที่นั่น
เรา ไม่ได้ทำหาย และมันอยู่ระหว่างอุปกรณ์ของเรากับอุปกรณ์เป้าหมาย ซึ่งก็คือ 206 ตอนนี้
ถ้าฉันอยากกลับเข้าสู่เซสชันนั้น เพื่อโต้ตอบกับเครื่องวัดมิเตอร์อีกครั้ง สิ่งที่ฉันต้องทำคือเรียกใช้เซสชันอีกครั้ง ลบ I สำหรับการโต้ตอบ
จากนั้นฉันจะใส่หมายเลข 2 ซึ่งเป็น ID ของเซสชัน
และอย่างที่คุณเห็น ฉันกลับมาในเซสชั่นมิเตอร์วัดแสง
คำสั่งอื่นที่ฉันต้องการแสดงให้คุณเห็นคือ
sysinfo และคุณเห็นฉันเรียกใช้สิ่งนี้ทุกครั้งที่ฉันแฮ็คเข้าสู่ระบบ
และเหตุผลของคำสั่งนี้ มันแสดงข้อมูลเกี่ยวกับคอมพิวเตอร์เป้าหมายของคุณ
ดังนั้นมันจึงแสดงชื่อคอมพิวเตอร์ให้เราทราบ ที่นี่
เราสามารถเห็นระบบปฏิบัติการของคอมพิวเตอร์เป้าหมาย และมันกำลังรัน windows 10 เรามองเห็นสถาปัตยกรรม ดังนั้นมันเป็นคอมพิวเตอร์ 64
บิต ดังนั้นในอนาคตหากคุณต้องการรันโปรแกรมเรียกทำงานบางอย่างบนเป้าหมายนั้น
เรารู้ เป็น 64 บิตและเราสร้างโปรแกรมปฏิบัติการ 64 บิตเราจะเห็นว่าภาษาเป็นภาษาอังกฤษกลุ่มงานที่กำลังทำงานอยู่และ ID ผู้ใช้ที่เข้าสู่ระบบแล้วเราจะเห็นเวอร์ชันของเครื่องวัดค่าที่
ทำงานบนเครื่องเป้าหมาย และจริงๆ แล้วเป็นเครื่องวัดระยะแบบ 32 บิต
คำสั่งที่มีประโยชน์อีกอย่างหนึ่งสำหรับการรวบรวมข้อมูลคือ
IP-config ตอนนี้การกำหนดค่า IP นั้นคล้ายกับการกำหนดค่า IP ที่คุณได้รับเมื่อคุณเรียกใช้บนเครื่อง
windows บน command prompt และจะแสดงอินเทอร์เฟซทั้งหมดที่เชื่อมต่อกับ คอมพิวเตอร์เป้าหมาย เราสามารถเห็นได้ เช่น ที่นี่ อินเทอร์เฟซที่หนึ่ง เราสามารถดูที่อยู่ MAC เราสามารถดูที่อยู่ IP และตัวอย่าง ที่นี่
นี่คืออินเทอร์เฟซที่เชื่อมต่อกับเครือข่ายของเรา และที่เราได้รับ การเชื่อมต่อจาก ดังนั้นหากอุปกรณ์เชื่อมต่อกับหลายเครือข่าย คุณจะสามารถดูอินเทอร์เฟซทั้งหมดและวิธีโต้ตอบกับพวกเขาได้
คำสั่งรวบรวมข้อมูลที่มีประโยชน์อีกอย่างหนึ่งที่คุณสามารถเรียกใช้ได้คือ
PS ตอนนี้ PS จะแสดงรายการกระบวนการทั้งหมดที่ทำงานบนคอมพิวเตอร์เป้าหมาย
ดังนั้นสิ่งเหล่านี้อาจเป็นกระบวนการพื้นหลังหรือโปรแกรมจริงที่ทำงานในเบื้องหน้าเป็นโปรแกรม
windows หรือ GUI
คุณสามารถดูแต่ละกระบวนการได้ที่นี่ ชื่อของกระบวนการ
จากนั้นคุณจะเห็น ID หรือ
PID ที่กระบวนการนั้นทำงานอยู่
กระบวนการที่น่าสนใจคือนักสำรวจ exe และนั่นคืออินเทอร์เฟซแบบกราฟิกของ
windows อย่างแท้จริง และเราจะเห็นว่ามันทำงานบนกระบวนการ ID 2116
ตอนนี้เป็นความคิดที่ดีมากเมื่อคุณแฮ็คเข้าสู่ระบบ คือการโยกย้ายกระบวนการ กระบวนการปัจจุบันที่คุณกำลังทำงานอยู่ เข้าสู่กระบวนการที่ปลอดภัยกว่ากระบวนการปัจจุบันของคุณ
ตัวอย่างเช่น explorer คือส่วนต่อประสานกราฟิกของ windows
ดังนั้นมันจึงทำงานตลอดเวลาตราบใดที่บุคคลนั้นใช้อุปกรณ์ของตน
ดังนั้นจึงปลอดภัยกว่ากระบวนการที่คุณเข้าถึงคอมพิวเตอร์ได้มาก
เช่น หากคุณเข้าถึงผ่านโปรแกรมปฏิบัติการหรือโปรแกรม คุณจะสูญเสียกระบวนการทันทีที่บุคคลนั้นปิดโปรแกรมนั้น ดังนั้น
วิธีที่ดีกว่าคือย้ายไปยังกระบวนการที่มีโอกาสน้อยที่จะถูกปิดหรือสิ้นสุด ดังนั้นสิ่งที่เราจะทำ เราจะใช้คำสั่งที่เรียกว่า
migrate เพื่อย้ายเซสชันปัจจุบันของเราไปยังกระบวนการอื่น และเราจะใช้กระบวนการ explorer เพราะมันปลอดภัยมาก ใส่ 2115 และไม่มีกระบวนการดังกล่าวอย่างชัดเจน ดังนั้นควรเป็น 2116 และการย้ายข้อมูลประสบความสำเร็จในขณะนี้
ดังนั้นมิเตอร์พรีเตอร์ในขณะนี้จึงเรียกใช้จากนักสำรวจ
exe
ตอนนี้ถ้าเราไปที่ตัวจัดการงานบนคอมพิวเตอร์เป้าหมายและเรียกใช้การตรวจสอบระบบหรือการตรวจสอบทรัพยากรขออภัย
ตอนนี้ ถ้าเราไปที่เครือข่าย
และเข้าสู่การเชื่อมต่อ CP คุณจะเห็นว่าการเชื่อมต่อที่นี่บนพอร์ต
8080 นั้นมาจาก explorer
exe
ดังนั้นจึงไม่ได้มาจากไฟล์ที่เป็นอันตราย
เพย์โหลดหรือแบ็คดอร์ของเราทำงานผ่าน explorer
จริงๆ ตอนนี้ ถ้าคุณเห็น firefox
หรือ chrome คุณสามารถโยกย้ายไปยังกระบวนการนั้น และโดยเฉพาะอย่างยิ่ง คุณกำลังเชื่อมต่อผ่านพอร์ต
8080 หรือคุณ ใช้ 80 ได้ มันก็จะดูน่าสงสัยน้อยลงไปอีกเพราะ 80 และ 8080 เป็นพอร์ตที่เว็บเซิร์ฟเวอร์ใช้
ดังนั้นจึงเป็นเรื่องปกติหรือธรรมดามากที่จะมีการเชื่อมต่อบนพอร์ต 80 หรือ 8080