Metasploit. Не прилетает сессия

[linked3234]

Всем привет! Нашёл уязвимый сервис у знакомого, он мне разрешил его пропентестить.. На том сервисе примерно 10 открытых портов, где висит ПО старых версий, та же джумла версий 2.* и т.д. и т.п. Подбираю эксплоиты: вроде нашёл штук 10 подходящих, все перепробовал - сессия не прилетает. Просто эксплоит якобы отрабатывает и всё. Порт на моей машине открывается, сканером во время эксплуатации с другой машины просканил, т.е. с моей стороны всё нормально.. В чём могут быть загвоздки? Что я могу делать не так? Что может не так происходить на удалённой машине?

 

[Ondrik8]

ip белый? у тебя? просто беда новичков в том что сессия не прилетает так как они ставят свой локал айпи)
эх счастливые те люди у которых стоят 192.168.1.2-220))) просто открыл метасплойт и жди))))) шутка!

 

[linked3234]

IP динамический, в LHOST я указываю свой внешний ip. Но сканером я свой компьютер просканировать с другого устройства и другого провайдера могу, протестил на апаче (80 порт), да и как писал выше 4444 (опять же с другого провайдера)..
P.S: я настроил на маршрутизаторе что бы запросы шли конкретно на мой комп, с msf.

 

[Ondrik8]

ну все! забудь, родной)) для чего хацкеры ВПС-ы себе берут? отвечу, шоб IP был! шоб PAYLOAD (троян) знал куда стучатся и т.д.)) пробуй шел грузануть на сервак так точно получится!

 

[linked3234]

А в чём прикол тогда, что во время проведения мной эксплуатации на ресурс, по ip:4444 с другого компа с другим интернетом - комп смог увидеть открытый у меня порт? Тобишь я к тому, что по ip и 4444 порту до меня можно достучаться с интернета.
Имхо я вижу только одну проблему в будущем, что по идее заражённая машина не сможет до меня достучаться когда ip изменится, но я ведь снова смогу проэксплуатировать цель.

 

[Ondrik8]

2ip что говорит? порт 4444 открыт? если да, то не все потеряно)

 

[linked3234]

Ещё раз: я с другого компа с интернетом другого провайдера просканил комп с которого я провожу атаку (дабы убедиться что порт открывается и его видно из глобали) - nmap'ом -p 4444, и я получил ответ что порт open. Через несколько секунд когда эксплоит выдал sucessfull и no sessions, порт снова стал closed.. Т.е. я уверен в том, что порт открыт и виден с глобалки.. Я вот ломаю голову над тем что может ещё быть) Ip точно не менялся, у меня как висел 6 часов назад тот ip, так и сейчас висит) Ноут с которого я пентестил сложил, и завтра с утра собираюсь продолжать пентестить с новыми мыслями, если таковые поимеются
Да, и сегодня я как раз таки заказал услугу фиксированного ip, завтра мб и подключат, только после моих сегодняшних эксперементов кажется всё останется с таким же результатом.. И я всё же склоняюсь что у меня в каком то месте очень кривые руки, т.к. с msf работаю не так давно))

 

[Ondrik8]

handler настроил?
paload под линукс или винду настроил?

и нах тебе белый ip ? тебя же спалят))))) если буш дальше работать! ух)))

 

[linked3234]

Ну я тут подумал, можно же через vpn всё прогонять? Или я ошибаюсь?
handler..где то я в гугле сегодня натыкался на такое, не помню делал - нет..я помню на всякий через iptables прогонял ещё 4444 порт.. Можете пожалуйста пояснить по обработчику (хандлеру)? Payload да, выбрал. Там линь стоит, но только не прогоняет..У меня ещё мысли возникли что каким то боком антивирус или ещё что там палит начинку когда я пытаюсь её через уязвимость использовать.. Я на каком то порту Kaspersky for linux просто заметил.. В общем как то так))
P.S: Kaspersky for linux file server

 

[Ondrik8]

метасплойт на отдельной машине или на виртуалке? если да то винда на вир. машину не всегда обратку пропускает)
настройка такая
use multi/handler
set payload linux/meterpreter/reversre_tcp это пример
дальше настройка екслойта там тоже если нужно настраивай обратку и exploit) я просто сам ща ушатаный за день, пойду спать, если что завтра по думаем ! хех, точнее сегодня.. если трабл не пропадет

 

[linked3234]

Хорошо, спасибо!
Метасплоит на отдельной машине на дебиане стоит,
Вспомнил, прописывал use multi/handler.. Но до конца так и не понял что к чему)
Я обычно как делал:
Искал актуальные уязвимости (напр. под апач или джумлу), use /exploit/...../уязвимость, затем смотрел опции и настраивал (обычно только RHOST/RPORT(он обычно по дефолту стоял уже), ну и прописывал LHOST и LPORT (по дефолту сразу 4444 ставился), ну и выбирал начинку.. Обычно выбирал типа reverse_tcp.. Ну и жал exploit, и судорожно наблюдал как эксплоит отрабатывает и сессия не прилетает))) Я сам сегодня измотался, 6 часов непрерывно просидел за компом пытаясь разобраться.. Так и не доразобрался Поэтому пошёл на форум и решил спросить подсказок у профита... Надеюсь, завтра будут новые мысли и идеи)) Ещё раз спасибо за помощь! Доброй ночи Если вдруг прийдёт что ещё в голову, рад буду выслушать)

 

[armanibadboy]

set REVERSELISTENERBINDADDRESS "ЛОКАЛ IP твоего компа"

 

[linked3234]

И всё таки, пусть у меня белый ip, и я настрою VPN.. Таргет по прежнему нормально должен будет видеть мой комп? Просто не понятен момент, в каком месте будет анонимность, если я в LHOST буду прописывать свой IP и пакеты с заражённой машины будут прилетать на мой ip адрес.. Получается надо будет как то настраивать так, что бы пакеты шли на VPN сервер, а от него ко мне?(что по всей видимости мне кажется несколько сложной задачей)

 

[<~DarkNode~>]

Что вы так бурно дискусируете??
Какие вдс-ки, какие белые айпи адреса?)) Вы че? Для разовой сессии и динамика сойдет на ура, айпишник же не каждую минуту меняется...

Проблема может быть совсем банальной - это может быть обычный фаервол, который режит исходящий трафик...
Стоит попробовать бекконект на 80 или 443 порт или bind TCP connect.

 

[Ondrik8]

пля... точняк) вчера вот сервак один настраивал с фаерволом бадался) че я упустил этот момент? Старею...

 

[linked3234]

Да я то и вижу что коннект есть, трабла в том что много чего пробую и ничего не получается, имхо эксплойты по-любому есть рабочие, версии подходят, например для джумлы, апача и т.д. Просто мне кажется что я что то ещё делаю не так, либо чего то недопонимаю.
[doublepost=1505802289,1505801983][/doublepost]Пс: до этого проблема была что роутер не пропускал соединения на 4444 порт, потом я перенастроил, пропустил трафик на нужный порт роутера.. а когда дело шляпа всё равно было, я напрямую эзернетовский кабель подрубил к компу, настроил рррое и пробовал так юзать... только один фиг все эксплоиты завершаются которые должны наверняка подойти, а сессия не прилетает. Вот и интересуюсь у знающих, что я могу делать не так

 

[id2746]

Что вы так бурно дискусируете??
Какие вдс-ки, какие белые айпи адреса?)) Вы че? Для разовой сессии и динамика сойдет на ура, айпишник же не каждую минуту меняется...

Проблема может быть совсем банальной - это может быть обычный фаервол, который режит исходящий трафик...
Стоит попробовать бекконект на 80 или 443 порт или bind TCP connect.

Имеется ввиду бэкконнект на 443 порт по revers_http? И это при условии серого ip и если жертва за nat?

 

[linked3234]

Смотрите.. Вообще там валяется сайт, вернее - даже несколько, только на разных портах.. И что интересно на одном одна версия джумлы, на другом - другая, на третьем - вообще валяется какая то система левая.. Всё одна организация, и всё на одном ip висит... Может, что то с этим ещё завязано?

 

[ghostphisher]

Имеется ввиду бэкконнект на 443 порт по revers_http? И это при условии серого ip и если жертва за nat?

revers_https - он более надежный чем стандaртный revers_tcp

 

[linked3234]

А в чём заключается надёжность? Получается одна начинка может прокатывать, а другая нет? Ведь в любом случае в уязвимую систему закидывается файл, который может пропалить уязвимая система если на ней что то стоит?
И вопрос ещё раз, который задавал выше: как можно использовать vpn, если у меня фиксированный ip? Ведь если у меня включен VPN, указан RHOST и в LHOST мой внешний ip, получается жертве трафик будет идти через VPN, а обратно напрямую..Ведь так? Какие есть варианты?