где потренироваться с metasploit

[rvlr]

мое почтение.
подскажите где , на чем потренироваться в инернете с metasploit чтобы никого не обидеть, ничего не испортить, просто хочется научиться немного понимать как это все работает в интернете, а не в virtual box

 

[mcfly]

два ПК один с 1) виндой 2) с Линукс и msf с разными подключениями к сети ( usb модем, провод)

 

[Squ0nk]

Арендуй сервак, поставь туда metaspoitable и пробуй сделать что-нибудь, ну либо можешь сам дома сервер сделать.

 

[rvlr]

мне нужен сайт типа как для тренировки. А не сервак дома с шнурами. Давно б поставил, но может вдруг есть уже готовый где нибудь.

 

[Squ0nk]

мне нужен сайт типа как для тренировки. А не сервак дома с шнурами. Давно б поставил, но может вдруг есть уже готовый где нибудь.

tryhackme, hackthebox

 

[mcfly]

Standoff365

 

[larchik]

мне нужен сайт типа как для тренировки. А не сервак дома с шнурами. Давно б поставил, но может вдруг есть уже готовый где нибудь.

Какие шнуры? На виртуалке разворачиваешь что угодно и тренируешься. Для метасплоита хорошо подойдёт Metasploitable

 

[f22]

в интернете, а не в virtual box

А для вашей задачи в чём принципиальное отличие интернета от virtualbox?

Вам выше предложили установить виртуальные машины - одну с Kali, другую уязвимую.
Единственное отличие для вас, как для атакующего, будет то, что IP адрес будет не белый, а серый. Ну и никто вас искать не будет, если вы напортачите где-нибудь.

Подобных машин сейчас в избытке:

• Metasploitable 2
• Damn Vulnerable Web Application (DVWA)
• VulnHub
• Сервис Hack The Box
• OWASP Broken Web Apps Project

Ну а начать стоит с изучения различных подходов пентеста.
Наиболее оптимальный вариант - платформа

Ссылка скрыта от гостей

 

[rvlr]

А для вашей задачи в чём принципиальное отличие интернета от virtualbox?

Вам выше предложили установить виртуальные машины - одну с Kali, другую уязвимую.
Единственное отличие для вас, как для атакующего, будет то, что IP адрес будет не белый, а серый. Ну и никто вас искать не будет, если вы напортачите где-нибудь.

Подобных машин сейчас в избытке:

• Metasploitable 2
• Damn Vulnerable Web Application (DVWA)
• VulnHub
• Сервис Hack The Box
• OWASP Broken Web Apps Project

Ну а начать стоит с изучения различных подходов пентеста.
Наиболее оптимальный вариант - платформа

Ссылка скрыта от гостей

да дело в том, что я попробовал мсф на цели(она для теста в интернете была), применил эксплоит к порту, эксплоит сработал, payload загрузил, но коннект закрылся, спрашивал у чата gpt , искал ответы, оказалось видимо проблемы с портом при коннекте с целью, вот и пытаюсь разобраться в чем ошибка. Поэтому хочу научиться тестировать на удаленной цели в интернете, а не внутри virtual box

 

[Exited3n]

да дело в том, что я попробовал мсф на цели(она для теста в интернете была), применил эксплоит к порту, эксплоит сработал, payload загрузил, но коннект закрылся, спрашивал у чата gpt , искал ответы, оказалось видимо проблемы с портом при коннекте с целью, вот и пытаюсь разобраться в чем ошибка. Поэтому хочу научиться тестировать на удаленной цели в интернете, а не внутри virtual box

Так ты основ сетей не знаешь, что ты там собрался тренировать то ?

 

[rvlr]

если установить LPORT 5555 (просто пример) в msf, в kali linux (которая в virtual box, через NAT, в iptable порт открыл, в NAT сделал проброс порта 5555) , через windows +vpn и все это через домашний роутер (например D-LInk) (vpn ставил через vps) - порт 5555 будет принимать входящий трафик?

Так? :

1. Настроить проброс порта на VPS (через который работает VPN).
2. Настроить проброс порта на Windows (чтобы трафик доходил до Linux).
3. Изменить сетевую конфигурацию Linux (чтобы она могла принимать трафик).

 

[f22]

применил эксплоит к порту

над терминологией вам точно нужно поработать. Эксплоит "применяется" к уязвимости, точнее эксплуатирует уязвимость. А вот уязвимость может присутствовать в программе, которая открывает и "слушает" порт.

payload загрузил, но коннект закрылся

с вероятностью 99% ваш "атакующий" компьютер находится за NAT, упрощённо говоря, под одним IP адресом сидят множество пользователей, а правильного перенаправления от маршрутизатора провайдера к вашему компьютеру (а скорее всего к роутеру, а потом уже к компьютеру), конечно никто не пробрасывал. Из-за этого соединение и не устанавливается.

Поэтому

основ сетей не знаешь

начинать нужно именно с этого и совет вам дают верный.


Что касается

эксплоит сработал, payload загрузил

Откуда уверенность, что владелец ресурса, на котором вы решили потренироваться не обратится в органы, а те, для улучшения своей статистики раскрытий, не устроят вам маски-шоу?
Опять же - совет развернуть уязвимую машину в своей сети определённо обезопасит вас.
Если хотите поэкспериментировать с реальной обстановкой, никто не мешает поднять похожую сеть, но мы вновь упираемся в знание сетей.

Поэтому хочу научиться тестировать на удаленной цели в интернете, а не внутри virtual box

Отличная аргументация)